Onze overheid mag eindelijk naar de cloud

De overheid mag voor zijn clouddiensten eindelijk in zee gaan met buitenlandse techreuzen zo valt te lezen een brief die onlangs aan de Tweede Kamer is gestuurd door Staatssecretaris Alexandra van Huffelen (Digitalisering). Nu was het niet zo dat alles wat cloud is categorisch verboden was, onze overheid gebruikt voor een deel al Cloud-diensten zoals Microsofts Office 365. Dit is een Cloud SaaS-dienst. Maar voor meer interne en gevoelige data waren de Cloud PaaS en IaaS diensten van Microsoft, Google en Amazon uitgesloten.

Misschien eerst even kort een overzicht van de ‘soorten cloud’, of een onderverdeling in lagen met wat voorbeelden. Het NIST Model (van het Amerikaanse National Institute of Standards and Technology) kent 3 abstractie niveaus.

Van hoog naar laag abstractieniveau zijn deze als volgt:

Bijvoorbeeld Office 365, Gmail, Google Workspace. Dit zijn toepassingen die je meestal afneemt per gebruiker, per maand. Je hebt als klant geen onderhoud of expertise nodig, slechts gebruikerservaring voor functioneel beheer. Certificering, onderhoud en vernieuwing worden door de SaaS leverancier gedaan

Bij Cloud PaaS bouw je eigen toepassingen op het platform van de PaaS cloud dienstverlener. Jouw software teams ontwikkelen de software (of herverpakken het) en hebben geen omkijken meer naar beheer, onderhoud, hosting en data centers. Het PaaS niveau is waar de laatste 10 jaar veel innovatie heeft plaatsgevonden en waardoor veel startups zonder problemen enorm kunnen groeien zonder dat hun diensten traag worden. Een veelgenoemd voordeel van PaaS is ook de snelheid waarmee diensten geleverd kunnen worden, dit is vaak in seconden en niet meer na maandenlange implementatietrajecten

Bij Infrastructure as a Service huurt de organisatie het infrastructuur fundament wat normaal in eigen datacenters staat zoals Virtual Machines en Netwerk apparatuur bij een Cloud provider. Daarna bouwt en onderhoudt de organisatie een eigen ‘virtueel datacenter’ op dit fundament.

In de minister brief uit 2011 (van toenmalig minister Donner van binnenlandse zaken) werd de overheid verboden om zaken te doen met cloud providers. Onze overheid moest z'n eigen gesloten ‘rijkscloud’ gaan gebruiken volgens de brief. Er werd dus een Cloud aanbesteed en onze overheid werd gedwongen om deze cloud af te nemen.

Omdat het dienstenpakket van een publieke cloud nooit af is en hoog-dynamisch, zou deze ‘rijkscloud’ slechts het dienstenaanbod kunnen hebben van een middelgrote hostingprovider en nooit de hedendaagse PaaS diensten kunnen evenaren van de cloud leveranciers. Doordat de aanbestedingsprocedures en rijksoverheid programma's extreem inflexibel zijn (net als overal in europa) kon het niet anders dat een ‘rijkscloud’ een mislukking zou worden.

11 Jaar later lijkt de ‘rijkscloud' geen succes, je zou kunnen zeggen ‘gegokt en verloren’. Het is in ieder geval tijd voor een vernieuwing! Bij deze 2e poging mogen de techreuzen zoals Microsoft, Amazon en Google wel mee gaan bieden, ze zijn niet zoals in 2011 bij voorbaat uitgesloten. Een positieve stap dus! Daarmee lijken de opmerkingen van de hoogleraar-criticasters van de stap door Staatssecretaris Alexandra van Huffelen een achterhoedegevecht.

De criticasters verwijten de Staatssecretaris een gebrek aan visie. Naar mijn mening was de visie 11 jaar geleden prima aanwezig: helaas kan er geen concurrerende Cloud dienst ontstaan binnen de context van een rijksprogramma met een constant veranderend dienstenpakket. Het constant veranderende karakter van de Clouddiensten, de schaalvoordelen die bij de ‘winnende diensten’ behaald kan worden is binnen een nationale overheid simpelweg te klein. Er zijn geen prikkels tot innoveren of meebewegen binnen de markt: er is immers al een contract met inkomsten en looptijd.

Daarbij komt dat een prioriteit bij een ‘rijkscloud’ ligt bij veiligheid en misschien de prijs. De cloud-combinatie van veilig, schaalbaar en flexibel blijkt alleen te bestaan bij de techreuzen. Het gezamenlijk investeringsbudget van de grote 3 cloud providers is enorm. John Dinsdale, analist schat het als volgt: “Microsoft en Google investeren elk kwartaal tussen de $ 5 miljard en $ 10 miljard, en Amazon tussen de $10 miljard en $ 20 miljard per kwartaal". deze schatting betekent dat het totale investeringsbudget van de grote drie in 1 jaar tussen de $80 en $160 miljard ligt. $160 Miljard is ongeveer zo groot als de hele (olie-)economie van Qatar, maar dan als investeringsbudget voor nieuwe cloud hardware en diensten. Door het innovatieve karakter en de diepe zakken van de techreuzen is het vernieuwen en secure houden van een private cloud is gewoon te veel geworden in combinatie met schaalvoordeel en flexibiliteit.

Dat er in de kritieken een link gelegd wordt tussen cloud bedrijven en hun gratis SaaS diensten (Facebook, gmail) slaat de plank mis: een Virtual Private Cloud zoals deze afgenomen worden bij Amazon, Microsoft of Google is op geen enkele manier te vergelijken met de diensten van de ‘gratis SaaS’ diensten en staan los van elkaar.

Een term die recentelijk (weer) populair is geworden rondom Cloud en overheid is de term ‘Sovereign Cloud’ of Soevereine Cloud. Deze term beschrijft de specifieke uitdagingen rondom Cloud en wet/regelgeving rondom databescherming en privacy.

Soevereine clouds zijn ontworpen en gebouwd om gegevenstoegang en een niveau van gegevensbeveiliging te bieden die voldoen aan de eisen van lokale wetgevers en toezichthouders. Bij soevereine clouds wordt extra rekening gehouden met regels op het gebied van gegevensprivacy, toegang en controle. Deze ‘Soevereine Clouds’ matchen dus erg goed met de financiële industrie en de overheid. Gelukkig is dit niets nieuws! AWS belooft: “Onze benadering om [de belofte van een soevereine cloud] na te komen, is om de AWS Cloud soeverein-by-design te blijven maken, zoals het vanaf de eerste dag is geweest”. Op deze manier geven de grote cloud providers dus geen grote uitdaging rondom compliance met wet en regelgeving, de meeste zijn immers ‘sovereign-by-design’.

Er kan nog zeker wel wat verbeteren aan de ‘cloud-reis’ vanaf de start van de transformatie. Bij het migreren of aansluiten van Cloud SaaS dienstverleners zijn de paden van migratie door de leverancier vaak standaard en relatief simpel. Zodra je van een (verouderde) on-premise/datacenter pakket-software of interne systemen gaat transformeren zijn de paden vaak wat complexer. Het Hybride model waarbij diensten zowel in eigen datacenters als in de publieke cloud aangeboden worden is niet altijd even makkelijk te realiseren.

De complexiteit zit hem in het transformeren naar Cloud PaaS: waarbij applicaties gedeeltelijk herbouwd moeten worden om geschikt te worden ‘voor de cloud’. Er zijn bij Cloud PaaS transformaties mooie hybride oplossingen mogelijk zoals Amazons ‘EKS-anywhere’ van Amazon en ‘Anthos’ van Google bieden deze Hybride mogelijkheid als overbrugging tussen de tijd dat er veel in eigen datacenters en de cloud draait, gestandaardiseerd op Containers en Kubernetes.

Bij het migreren van eigen datacenter infrastructuur naar Cloud IaaS is het vaak uitdagend om de cloud-kosten in de hand te houden terwijl de migratie op stoom komt. Dit komt omdat er 2 paradigma’s met elkaar in conflict komen: de CAPEX gebaseerde datacenters en de OPEX gebaseerde Cloud.

De ZEN Cloud Landing Zone biedt een hybride model aan waarbij de organisatie stap voor stap transformeert, rekening houdend met gelden wet en regelgevingen en begeleiding van de teams om een probleemloze transformatie door te maken. We helpen bij alle SaaS, PaaS en IaaS transformaties!