ANALYSE VAN DE ICT OMGEVING VAN OPENBARE SCHOLENGROEP SCHOONOORD

Transcriptie

1 ANALYSE VAN DE ICT OMGEVING VAN OPENBARE SCHOLENGROEP SCHOONOORD Auteur(s): Rien Kusters / Reijer van Wegen Datum: 4 december 2015 Versie: 1.1

2 INHOUDSOPGAVE Inleiding... 2 Probleemstelling... 2 Onderzoek... 3 Structuur van het document... 3 Kengetallen en stamgegevens... 3 Analyse... 4 Inventaris op orde, maar niet geïnventariseerd Werkplekken zijn voorzien van recent besturingssysteem, een deel is toe aan vervanging Servers zijn recent vervangen, maar enkelvoudig uitgevoerd Noodstroom functioneert, maar is buiten garantie De hardware van het vaste netwerk is grotendeels op orde, de core-router is echter enkelvoudig uitgevoerd en heeft geen SLA Het draadloze netwerk heeft hardwarematig voldoende capaciteit, maar er zijn geen prestatieafspraken met de leverancier Het netwerk (vast & draadloos) is gesegmenteerd, maar dit kan aanmerkelijk beter Internet en firewall zijn op orde, maar onlosmakelijke verbonden aan de huidige IT leverancier De Active Directory is overzichtelijk ingericht Externe omgevingen... 9 Er is een degelijke back-up van bestanden, maar niet van servers Geautomatiseerd installatiemechanisme voor werkplekken is aanwezig en werkt Virusscanner, monitoring en het updatemechanisme zijn actueel, maar gebonden aan de huidige IT leverancier Er is een degelijke registratie van incidenten ingericht en in gebruik Documentatie van de omgeving is niet aanwezig Verzorgde patch- en serverkasten zijn een aandachtspunt Ervaringen van gebruikers Conclusie: de hardware is recent, de configuratie kan verbeterd worden, inventarisatie en documentatie zijn op onvoldoende niveau om te kunnen aanbesteden Specifiek met betrekking tot de beoogde aanbesteding Pagina 1

3 INLEIDING Openbare ScholenGroep Schoonoord (OSGS) is een scholengroep met een 4-tal scholen. Dit gaat om Schoonoord in Doorn (358 lln), Het lyceum en het VMBO in Zeist (1548 lln) en het vakcollege in Maarsbergen. (Bron: Nov. 2015, Scholenopdekaart.nl) De scholen in Doorn en Zeist maken gebruik van een gedeelde ICT infrastructuur. Een groot gedeelte hiervan is ondergebracht op de locatie van het Lyceum in Zeist. De aanleg en het beheer van de ICT voorzieningen wordt verzorgd door de huidige IT leverancier. De OSGS heeft in de afgelopen jaren diverse malen te kampen met storingen in de ICT. In reactie hierop is een groot gedeelte van de ICT voorzieningen vervangen en opnieuw ingericht. Dit heeft de storingen voor een deel weg kunnen nemen. Ook op dit moment zijn er nog diverse problemen die al langere tijd spelen (dit gaat o.a. om de Migratie Office 365, verbindingen met AppleTV s, en traagheid op het netwerk). PROBLEEMSTELLING Het contract van OSGS met de huidige IT leverancier loopt af op 30 juni Om de nieuwe IT omgeving te kunnen realiseren, moet OSGS Europees aanbesteden. Om hiervoor de juiste voorbereidingen te kunnen treffen wil ze echter meer inzicht hebben in de kwaliteit van de huidige ICT. Dit gaat vanzelfsprekend om de gebruikte apparatuur en om de kwaliteit van de toegepaste inrichting/configuratie, maar ook om de aanwezigheid van hulpmiddelen die nodig zijn om op een goede manier de omgeving te kunnen beheren. Het ontbreekt de OSGS echter aan voldoende kennis om een dergelijke beoordeling uit te kunnen voeren. Om die reden heeft ze Veltwerk gevraagd hierin te ondersteunen. Pagina 2

4 ONDERZOEK In dit onderzoek is gekeken naar verschillende aspecten van de ICT omgeving bij de OSGS. In dit rapport komt zowel de staat van de hardware, als de inrichting (configuratie) aan bod. Hiernaast zijn ook een aantal gesprekken gevoerd met enkele docenten om de ervaringen van hen vast te leggen. In het technische onderzoek is alleen gekeken naar de locatie Zeist. De locatie Doorn is ter referentie bezocht, en derhalve impliciet opgenomen in het onderzoek. STRUCTUUR VAN HET DOCUMENT In de analyse zal worden gestart met een beschrijving van de huidige situatie van de IT omgeving. Hier worden achtereenvolgens de bevindingen ten aanzien van de staat van de hardware, de gekozen inrichting, de actuele beheerprocessen en de ervaringen met het systeem beschreven. Elk onderdeel is voorzien van een beknopt advies ten aanzien van mogelijke verbeteringen. Hierbij worden ook de punten beschreven waar bij de toekomstige aanbesteding rekening mee gehouden moet worden. Het document wordt afgesloten met een overkoepelende samenvatting. Daarbij wordt specifiek gekeken welke onderwerpen van belang zijn voor de aankomende aanbesteding. KENGETALLEN EN STAMGEGEVENS Omgeving # Locaties 2 (hoofdlocatie en dependance) Technisch Netwerk OS Microsoft Active Directory # Leerlingen Circa 1906 (1548 & 358) Client OS Windows 8.1 # Medewerkers Circa 190 (Zeist) Circa 30 (Doorn) LAN / Wifi HP Procurve Dell # Lokalen / Circa 80 (Zeist) Firewall Managed firewall van de Instructieruimten Circa 20 (Doorn) huidige IT leverancier. # Werkplekken (Pc s/ Ruim 260 computers. Standaard lokaal Apple TV i.c.m. beamer en laptops / overig) (Zeist en Doorn) inrichting luidsprekers. Een twintigtal lokalen zijn uitgerust met digibord i.c.m. beamer en luidsprekers. Leerling administratie Magister ELO Magister Pagina 3

5 ANALYSE INVENTARIS OP ORDE, MAAR NIET GEÏNVENTARISEERD. De huidige IT leverancier is verantwoordelijk voor het beheer van de omgeving. De aanwezige hardware is aangeschaft door OSGS. Ondanks dat men goed op de hoogte is van welke hardware waar in het gebouw aanwezig is, is van de aanwezige hardware geen inventarisoverzicht aanwezig. Door het ontbreken van een inventarisoverzicht is geen concreet zicht op de leeftijd van de apparatuur. Dit maakt het gestructureerd vervangen van de hardware of het maken van een gegronde ICT begroting lastig. Voor de aanbesteding is een inventarisoverzicht van groot belang. De nieuwe leverancier kan op basis van dit overzicht bepalen welke hardware hergebruikt kan worden bij de nieuwe omgeving. WERKPLEKKEN ZIJN VOORZIEN VAN RECENT BESTURINGSSYSTEEM, EEN DEEL IS TOE AAN VERVANGING. Binnen het OSGS wordt gebruik gemaakt van twee modellen computers; HP ProDesk 400 G2 MT en Dell Inspiron 545. Het eerste model is aangeschaft in 2014 en het tweede model is aangeschaft in Alle werkplekken zijn voorzien van Windows 8 of een nieuwer besturingssysteem. De systemen zijn daarmee voorzien van vrij recente en in elk geval door de leverancier (Microsoft) ondersteunde software. Veltwerk hanteert op dit moment een gemiddelde technische levensduur voor werkplekken van 5 jaar. De oudere modellen bij OSGS passeren nu de grens van 6 jaar. Deze systemen zijn in de praktijk ook merkbaar langzamer. Dit maakt het aannemelijk dat deze werkplekken op korte termijn vervangen moeten worden. SERVERS ZIJN RECENT VERVANGEN, MAAR ENKELVOUDIG UITGEVOERD. OSGS heeft haar servers gevirtualiseerd. Hiervoor staat op de locaties, Zeist en Doorn, één fysieke server met VMware ESX. De beide fysieke servers, zowel in Doorn als in Zeist zijn recent vernieuwd. De server in Zeist is in 2014 vervangen en de server in Doorn is kort daarop gevolgd. Beide servers zijn voorzien van een snelle processor, 24 GB intern geheugen en zes 600 GB SAS schijven. De schijfconfiguratie bestaat uit een RAID 5 (vier schijven) en een hot-spare, wat 1,64 TB aan beschikbare ruimte oplevert. Deze fysieke servers zijn daarmee recent en beschikken over voldoende capaciteit. De huidige IT leverancier heeft zicht op het datagebruik op de servers. Daarbij is aangegeven dat er op termijn uitbreiding van de schijfruimte waarschijnlijk noodzakelijk is. Op beide locaties draaien twee virtuele servers. Een domein controller / fileserver, en een applicatie- / printserver. Op de locatie Zeist draait nog een derde virtuele server die gebruikt wordt voor de applicatie Topdesk. Pagina 4

6 Op de locatie in Zeist zijn nog een aantal oude, fysieke, voorheen productieservers actief. Op deze servers zit geen onderhoudscontract of ondersteuning. Om te voorkomen dat deze servers ongemerkt productie worden, of blijven, is het verstandig deze servers definitief uit te faseren en uit te schakelen. Gekozen is om per locatie één fysieke server te plaatsen omdat de bestanden op virtuele servers d.m.v. DFS worden gesynchroniseerd tussen de locaties. Dat betekent dat bestanden altijd beschikbaar en bereikbaar zijn vanaf één van beide locaties. Essentiele netwerkfunctionaliteit zoals DHCP en DNS is echter maar enkelvoudig ingericht en wordt bij een storing niet overgenomen door de server(s) op de andere locatie. Dat betekent dat bij uitval van een server op een locatie, de gebruikers niet kunnen inloggen en derhalve ook niet bij de bestanden kunnen komen. Het advies is deze opzet te verbeteren door: Op basis van standaard Microsoft 2012 server functionaliteit de essentiële netwerkfuncties over beide servers te verdelen zodat men ook in het geval van calamiteit op één locatie nog steeds kan inloggen en kan werken. Dit zal dan trager zijn, omdat beide locaties dan vanaf één server worden bediend en dit bovendien voor de uitgevallen locatie over de 100 Mbit internet verbinding verloopt. Hiervoor zullen een aantal, maar relatief eenvoudige, wijzigingen in het netwerk moeten worden gemaakt zodat bijvoorbeeld de DHCP verzoeken en de inlogverzoeken aan de juiste servers worden toegewezen. De functionaliteit voor dit noodscenario kan omwille van de beperkte capaciteit- worden ingericht voor bepaalde groepen gebruikers (docenten, administratie) Hiervoor moet wel de netwerkinrichting (met name de segmentering) verder worden verbeterd. (Zie netwerk) Een dergelijke opzet verbetert de continuïteit, maar neemt niet weg dat bepaalde services (printvoorzieningen, eventuele virtuele examenservers, etc.) dan nog steeds kunnen uitvallen. Hoewel de kans op uitval van fysieke servers in de praktijk klein is, kan men het effect dat dit heeft sterk verkleinen / wegnemen door op de locaties een tweede fysieke server te plaatsen waarop de virtuele servers, bij voorkeur door middel van gedeelde opslag, zijn veiliggesteld en kunnen worden opgestart als de eerste server mocht uitvallen. Dit is voor Veltwerk, bij scholen van deze omvang en met een dergelijke afhankelijkheid van de ICT de standaard opzet. NOODSTROOM FUNCTIONEERT, MAAR IS BUITEN GARANTIE. In Zeist zijn in de serverruimte drie noodstroomvoorzieningen aanwezig. Deze UPS en functioneren op het moment goed. De aanschafdata van deze UPS en zijn niet aanwezig. In het geval dat de productiedatum als uitgangspunt wordt gehanteerd is de garantie verlopen. Pagina 5

7 Met een ICT omgeving waarover men zelfstandig het beheer voert, is dit geen probleem. Het advies is dan om regelmatig de batterij te testen. Eventuele storingen in de noodstroomvoorziening kunnen hiermee voortijdig gedetecteerd worden. Wanneer de omgeving aanbesteed wordt, is dit een aandachtspunt. De nieuwe leverancier kan de werking van de UPS en niet garanderen. In de regel wordt er dan voor gekozen om of de noodstroomvoorziening uit te sluiten van de dienstverlening, of om deze te vervangen. DE HARDWARE VAN HET VASTE NETWERK IS GROTENDEELS OP ORDE, DE CORE-ROUTER IS ECHTER ENKELVOUDIG UITGEVOERD EN HEEFT GEEN SLA. Het grootste deel van de switches is in de zomer van 2015 vervangen. In een aantal lokalen/ruimten liggen nog oudere switches, maar deze zijn verantwoordelijk voor de verbinding naar een selecte groep computers. De voornaamste opvallende switches zijn bij lokaal 0.86, deze switches zijn ouder en functioneren op 100 MBit. De routering van het netwerk (core-routering) wordt verzorgd door de firewall die in beheer is van de huidige IT leverancier. Hierop is geen SLA afgesloten. De meeste switches zijn recent en hebben voldoende capaciteit om te voldoen aan de eisen. Om het gehele netwerk goed in te kunnen zetten is het advies de oude 100 Mbit switches ook te vervangen worden door 1000Mbit varianten. Daarnaast is het sterke advies om voor kernapparatuur in het netwerk, zoals de core-router de service afspraken door middel van een SLA vast te leggen, of om daar reserveapparatuur voor aan te houden. Dit omdat bij uitval van dit apparaat werking van het volledige netwerk uitvalt en er nu geen afspraken zijn aangaande de maximale hersteltijd. HET DRAADLOZE NETWERK HEEFT HARDWAREMATIG VOLDOENDE CAPACITEIT, MAAR ER ZIJN GEEN PRESTATIEAFSPRAKEN MET DE LEVERANCIER. Het draadloos netwerk is aangeschaft in 2013, en bestaat uit twee controllers (HP MSM760) en 91 access points (HP MSM430). Elke dag wordt een kopie gemaakt van de primaire controller naar de back-up controller. In het geval dat de primaire controller uitvalt kan eenvoudig de back-up controller geactiveerd worden. Op de primaire controller is een uitgebreide garantie afgesloten, maar deze is in het begin van 2015 verlopen. Het gebruik van een op een controller gebaseerd Wi-Fi netwerk heeft het voordeel dat het beheer op alle access points in één keer uitgevoerd kan worden. Bovendien kunnen gebruikers vrij rondlopen door het pand zonder problemen te ervaren bij het wisselen tussen de verschillende access points. De access points kunnen maken gebruik van recente draadloze protocollen (NG), en kunnen daarmee ongeveer 30 gebruikers met twee apparaten (30x device met een 2,5 Mbit HD Stream + 30x device met wat achtergrondsynchronisatie van s etc.) voorzien van een goed werkende verbinding. Met de Pagina 6

8 huidige verdeling van de access points door het gebouw, moet het draadloze netwerk voldoende capaciteit hebben voor de gebruikerswensen van de OSGS. Het is echter niet duidelijk of er afspraken gemaakt zijn met de leverancier over de prestaties van het draadloze netwerk. Hoewel de apparatuur hardwarematig in staat lijkt om voldoende capaciteit te leveren speelt ook de gemaakte configuratie een belangrijke rol. Het is derhalve verstandig om deze afspraken duidelijk te maken en vast te leggen zodat de leverancier daar indien nodig op aangesproken kan worden. HET NETWERK (VAST & DRAADLOOS) IS GESEGMENTEERD, MAAR DIT KAN AANMERKELIJK BETER. Het netwerk is verdeeld in vier virtuele netwerken (VLAN s). Tussen de verschillende netwerken zijn beveiligingsregels opgesteld om het verkeer tussen deze netwerken te blokkeren. Vast netwerk Vaste computers, printers, centrale infrastructuur e.d. ( /16) Educatief ( /16) Bijbehorende draadloze netwerk Draadloze computers (koppeling via GPO) Personeel BYOD (gebruikersauthenticatie) Educatief BYOD (gebruikersauthenticatie) Apple TV s ( /23) Openbaar ( /24) Publiek (Nog niet volledig geïmplementeerd.) Gasten (Test netwerk) Voor het primaire netwerk is een groot netwerkbereik gekozen. Voor dit netwerk is wel een IP (verdelings)plan opgesteld, wat aangeeft in welke deel van het bereik een bepaald apparaat thuis hoort. Het nadeel van een dergelijke keuze is dat beveiliging tussen de verschillende apparaten niet goed ingesteld kan worden. Gebruikers hebben bijvoorbeeld rechtstreeks toegang tot printers en switches. Deze apparaten moeten vervolgens individueel beveiligd worden, wat de beheerswerkzaamheden vergroot. In de huidige configuratie zitten de beheerde mobiele apparaten, laptops en de BYOD van het personeel in hetzelfde netwerk als de vaste infrastructuur. Dit is waarschijnlijk gedaan om communicatie tussen de AppleTv s en de draadloze apparaten mogelijk te maken. Broadcast verkeer in een netwerk met zowel vaste apparaten als draadloze apparaten kan zorgen voor extra verkeer en traagheid. Om het beheer te vereenvoudigen, het overhead verkeer te verminderen en de beveiligingsmogelijkheden te vergroten, is het aan te raden om de netwerkconfiguratie te herzien. Het netwerk opdelen in kleinere delen zorgt voor een beheersbaarder netwerk. Een absoluut punt van aandacht is het daarbij scheiden van vaste apparaten en Wi-Fi apparaten in verschillende netwerken. Pagina 7

9 Voorts kan door het scheiden van de netwerken ook de beschikbaarheid worden vergroot doordat essentiële netwerkdiensten dan beter en als fallbackvoorziening over de servers van beide locaties kunnen worden verdeeld. INTERNET EN FIREWALL ZIJN OP ORDE, MAAR ONLOSMAKELIJKE VERBONDEN AAN DE HUIDIGE IT LEVERANCIER. De OSGS maakt gebruik van internetverbindingen via de huidige IT leverancier. Hiervoor wordt primair gebruik gemaakt van een 100/100 glasvezelverbinding en een back-up 20/1 ADSL verbinding. Deze zijn aangesloten op het interne netwerk via een Managed firewall van de huidige IT leverancier. Deze firewall oplossing is ontwikkeld door de huidige leverancier op hardware van de huidige IT leverancier. De oplossing is gebaseerd op PfSense. De huidige firewall heeft voldoende capaciteit, maar bij de aanbesteding moet rekening gehouden worden met dat dit een beheerde firewall is van de huidige IT leverancier. Het is mogelijk om na de aanbesteding dit contract door te zetten, of om bij de aanbesteding een nieuwe firewall op te nemen. DE ACTIVE DIRECTORY IS OVERZICHTELIJK INGERICHT. In de Active Directory is terug te zien dat de omgeving bestaat uit twee locaties, Zeist en Doorn. Dit is zowel zichtbaar in de sites, als in de OU s. De computers en gebruikers zijn verdeeld over de betreffende twee OU s, afhankelijk van de (primaire) locatie van de computer/gebruiker. De primaire gedeelde mappen voor bestanden zijn geconfigureerd als DFS shares, zodat de inhoud van deze mappen gesynchroniseerd wordt tussen Doorn en Zeist. In het geval van een storing, of het uitvallen van een server, zijn de bestanden nog beschikbaar op een andere server. De Group Policy Objecten zijn overzichtelijk opgebouwd. Hier is gekozen om het aantal objecten te beperken tot een minimum. Het plaatsen van alle instellingen in een overzichtelijk aantal policies vergroot de verwerkingssnelheid aan de client kant. Opvallend is de keuze om meerdere instellingen, zoals de installatie van software, te doen door middel van (afsluit)scripts. Hier is voor gekozen zodat de gebruiker niet lang moet wachten met opstarten, omdat grote wijzigingen aan het systeem worden uitgevoerd bij het afsluiten. Het nadeel is dat het niet gebruiken van de standaard methoden de foutgevoeligheid vergroot, en het analyseren van problemen ingewikkelder kan maken. De efficiëntie kan verbeteren wanneer gekozen wordt om het aantal scripts te minimaliseren en te kiezen voor marktstandaard oplossingen die beter beheersbaar en overdraagbaar zijn. SCCM kan ingezet worden voor het installeren van software en updates, en het uitrollen van nieuwe werkplekken. Bijkomend voordeel is daarbij dat nieuwe software, updates en zo voort ook op initiatief- en op afroep van de gebruiker kunnen worden uitgevoerd. Pagina 8

10 Daarnaast kan de omgeving nog verder worden verbeterd (en met name de inlogsnelheden worden verlaagd) door de profielen te verkleinden met bijvoorbeeld het gebruik van omgeleide mappen. Ook dit is in het netwerk van Veltwerk de standaard procedure. EXTERNE OMGEVINGEN Magister wordt gebruikt, maar er is geen integratie met het netwerk. Magister wordt gebruikt voor de leerling- en medewerkers administratie. Een koppeling om leerlingen en medewerkers automatisch te synchroniseren met de Active Directory is niet geïmplementeerd. Elk schooljaar levert OSGS een lijst met leerlingen aan, aan de huidige IT leverancier. Zij zorgt vervolgens dat voor deze leerlingen de bijbehorende accounts worden aangemaakt. Office 365 wordt alleen ingezet voor . Functies als SharePoint en vooral OneDrive worden niet gebruikt. Op dit moment wordt Office 365 alleen gebruikt voor de mail. Om de koppeling tussen Office 365 en de Active Directory te realiseren wordt gebruik gemaakt van DirSync. Office 365 biedt via OneDrive en SharePoint de mogelijkheid om bestandsdeling te gebruiken. Op dit moment wordt dit niet gebruikt. Het is een conceptplan om dit te gaan gebruiken. Veel VO instellingen kiezen er voor om magister te koppelen aan de Active Directory. In een dergelijk opzet wordt magister leidend in de structuur. De inrichting is daardoor consistenter en het functioneel beheer eenvoudiger. Doordat Magister als primaire bron wordt gebruik is het mogelijk om bijvoorbeeld de indeling van klassen te gebruiken bij de mail configuratie. Hierdoor is het mogelijk om in één keer een mailbericht naar een klas of schooljaar te sturen of om een bestand met een klas te delen. De koppeling met magister zorgt er hiernaast voor dat de inhoud van groepen en klassen altijd actueel is en dat bij het uitstromen van de leerlingen en medewerkers deze automatisch uit alle systemen wordt verwijderd. ER IS EEN DEGELIJKE BACK-UP VAN BESTANDEN, MAAR NIET VAN SERVERS. Voor de bestandsveiligheid is gekozen om de meeste bestanden te plaatsen in gedeelde mappen die door middel van DFS worden gesynchroniseerd tussen Zeist en Doorn. Bij het uitvallen van een server, zijn deze bestanden nog steeds bereikbaar. Van de bestanden wordt een back-up gemaakt naar de cloud back-up dienst van de huidige IT leverancier. Hierdoor is het mogelijk om verwijderde bestanden terug te halen, en is de bestandszekerheid gegarandeerd bij een volledige crash. Een complete back-up van de virtuele machines is niet aanwezig. Bij een volledige crash is de bestandszekerheid gegarandeerd, maar moeten de machines opnieuw opgebouwd worden. Dit zorgt bij een dergelijke storing dat het systeem langer niet beschikbaar is. Hierbij is het advies om ook een back-up voorziening te implementeren die een back-up van de virtuele machines maakt. Bij uitval van een fysieke server kunnen de back-ups van de virtuele machines dan eenvoudig op vervangende hardware weer operationeel worden gemaakt. Ook hiervoor geldt dat dit Pagina 9

11 relatief eenvoudig is te realiseren en voor een omgeving met de omvang van die van OSGS aan te raden is. GEAUTOMATISEERD INSTALLATIEMECHANISME VOOR WERKPLEKKEN IS AANWEZIG EN WERKT. Voor het (automatisch) installeren van werkplekken wordt gebruik gemaakt van WDS (Windows Deployment Services) in combinatie met MDT (Microsoft Deployment Toolkit). Hierdoor kunnen werkplekken eenvoudig voorzien worden van een nieuwe installatie. MDT geeft de flexibiliteit om eenvoudig images te maken voor verschillende doelgroepen zoals smartboard pc of leerling computer. VIRUSSCANNER, MONITORING EN HET UPDATEMECHANISME ZIJN ACTUEEL, MAAR GEBONDEN AAN DE HUIDIGE IT LEVERANCIER. Alle werkplekken en servers zijn voorzien de monitoring software van de huidige IT leverancier. Deze wordt automatisch geïnstalleerd bij het installeren van een werkplek. De monitoring software monitort naast de lokale machine, ook het netwerk. Hierdoor worden nieuwe machines, printers, switches en dergelijke automatisch gedetecteerd. De huidige IT leverancier gebruikt Autotask om de machines te beheren. Voor de virusscanner wordt gebruik gemaakt van Webroot. De monitoring software installeert tevens een virusscanner en draagt zorg voor de automatische updates van het systeem. Bij de updates worden niet alleen de Microsoft updates geïnstalleerd, maar ook de updates van overige standaard software zoals Adobe Reader en Java. Bij de aanbesteding van de IT omgeving moet rekening gehouden worden dat de gebruikte beheersoftware via de huidige IT leverancier loopt. De nieuwe leverancier moet hier een andere oplossing voor implementeren, of het contract met de huidige IT leverancier verlengen. ER IS EEN DEGELIJKE REGISTRATIE VAN INCIDENTEN INGERICHT EN IN GEBRUIK Intern wordt gebruik gemaakt van Topdesk voor de registratie van incidenten. In Topdesk worden de incidenten geregistreerd in tickets. De eindgebruiker heeft zicht op de behandeling van het ticket. Henk Hoogendam is de functioneel beheerder van het systeem. Het is goed om een oplossing zoals Topdesk te gebruiken voor de registratie van incidenten. Dit geeft inzicht in de problemen, doorlooptijd en oplossingen. DOCUMENTATIE VAN DE OMGEVING IS NIET AANWEZIG. Van de omgeving is vrijwel geen documentatie aanwezig. De huidige IT leverancier heeft enige documentatie, maar kan dit niet exporteren of overhandigen. De documentatie is belangrijk voor het beheer van de omgeving en voor de aankomende aanbesteding. Binnen de documentatie wordt vastgelegd hoe de omgeving is ingericht en waar welke verantwoordelijkheden liggen. Voor de aanbesteding is het essentieel om duidelijk te hebben hoe de omgeving is ingericht. De nieuwe Pagina 10

12 leverancier kan hierdoor bepalen wat in welke mate herbruikbaar is en welke handelingen nodig zijn om het systeem aan te passen aan de nieuwe vereisten. VERZORGDE PATCH- EN SERVERKASTEN ZIJN EEN AANDACHTSPUNT. De patchkast in het VMBO gebouw hangt open, en is een wirwar van kabels. Een verzorgde patchkast is technisch niet noodzakelijk. Wanneer de kabels juist zijn aangesloten functioneert de omgeving. Daarentegen is het beheer en het oplossen van problemen eenvoudiger in een verzorgde patchkast. Het herstructureren van de patchkasten kan problemen in het netwerk duidelijk maken. ERVARINGEN VAN GEBRUIKERS Om de ervaringen met de IT omgeving in kaart te brengen zijn een drietal gesprekken gevoerd respectievelijk met de huidige IT leverancier, IT beheer en docenten. De hieronder beschreven zaken zijn opgevallen in deze gesprekken. Bij de aanschaf van de nieuwe printers is zowel de organisatie als de IT niet op de hoogte gesteld of betrokken bij de aanschaf. Daarbij zijn de printers kort voor het examen aangeschaft, waardoor tijdens het examen printen niet altijd mogelijk was. De doorlooptijd van problemen en de installatie van nieuwe software is lang, en de vooruitgang/status wordt niet of slecht gecommuniceerd. Als het systeem werkt, kan het voldoende en is het snel genoeg. Helaas zijn vaak willekeurige (kleine) problemen die het gebruik niet mogelijk maken. Tijdens de schoolvakantie zijn nieuwe computers geplaatst. Op de eerste schooldag waren niet alle computers aangesloten, waardoor deze niet meteen bruikbaar waren. En kort geleden is een computerlokaal voorzien van nieuwe images, maar zijn twee computers in dit proces niet meegenomen. Deze voorbeelden geven aan dat twijfel bestaat over de controles op de uitgevoerde werkzaamheden. Bij het lyceum zijn te weinig computers beschikbaar om regelmatig met de hele klas de computers te kunnen gebruiken. Ten aanzien van de bovenstaande punten lijkt de communicatie van- en naar de organisatie een belangrijke rol te spelen. Veltwerk adviseert instellingen in het VO om na te denken over hoe dit op structurele wijze kan worden ingericht. Dat gaat enerzijds om het op te hoogte houden van aankomende wijzigingen, maar ook om het raadplegen van organisatie bij te nemen beslissingen. Zaken als een algemene nieuwsbrief en het periodiek toelichten van plannen rondom ICT in bijvoorbeeld een teamleiders overleg blijken in de praktijk goed te werken voor communicatie van ICT naar organisatie. Andersom kan door het inrichten van een werkgroep ICT waardevolle informatie worden betrokken van de gebruikers bij aankomende plannen. Daarnaast merkt Veltwerk in de praktijk dat dit ook zorg draagt voor draagvlak; ook als dingen een keer niet zo lopen als gepland. Pagina 11

13 CONCLUSIE: DE HARDWARE IS RECENT, DE CONFIGURATIE KAN VERBETERD WORDEN, INVENTARISATIE EN DOCUMENTATIE ZIJN OP ONVOLDOENDE NIVEAU OM TE KUNNEN AANBESTEDEN. De meeste hardware is recent en heeft voldoende capaciteit om de aankomende tijd mee te kunnen. Verdeeld over de locatie is nog oudere apparatuur aanwezig, dat niet meer voldoet aan de huidige wensen en beter vervangen kan worden, zoals de 100 Mbit switches, en de oudere Dell werkplekken. Het draadloze netwerk is hardwarematig op orde, er zijn echter geen prestatieafspraken vastgelegd. Dit bemoeilijkt het aanspreken van een leverancier bij eventueel disfunctioneren. Doordat geen inventarisoverzicht aanwezig is, is het moeilijk om een gegronde ICT begroting te maken en gericht verouderde hardware te vervangen. Het maken van een accuraat ICT inventarisoverzicht is sterk wenselijk voor het (financiële) beheer en is vrijwel onmisbaar in het licht van de aanstaande aanbesteding van de IT omgeving. De Active Directory is overzichtelijk en gestructureerd ingericht. Op een aantal plekken is bewust afgeweken van een standaard om bijvoorbeeld het installeren van software uit te voeren bij afsluiten in plaats van opstarten. De efficiëntie kan verbeteren wanneer gekozen wordt om het aantal scripts te minimaliseren en te kiezen voor marktstandaard oplossingen die beter beheersbaar en overdraagbaar zijn. Oplossingen zoals omgeleide mappen verkleinen het profiel verder, en verlaagt de aanmeldtijd. Het installeren van (Microsoft) updates en software gebeurt nu automatisch op het moment dat dergelijke installaties beschikbaar komen. Wanneer een installatie mislukt, zal deze elke dag opnieuw geprobeerd worden. Dit proces kan geautomatiseerd plaatsvinden in bijvoorbeeld het weekend. Door het goed plannen, en automatisch opstarten, en naderhand afsluiten, van computers op bijvoorbeeld zondag, is het niet nodig om deze actie doordeweeks uit te voeren en hier de gebruikers mogelijk mee lastig te vallen De netwerkinrichting is net iets te eenvoudig opgezet. Data kan eenvoudig veel apparaten bereiken terwijl dit niet nodig is. Het opdelen in meerdere kleinere delen verkleint het broadcast verkeer, en verhoogt de mogelijkheden tot beveiligen van delen van het netwerk. Alle routering van het netwerkververkeer verloopt over de managed firewall van de huidige IT leverancier. Dit apparaat is enkelvoudig uitgevoerd en er is geen SLA op afgesloten. Uit de gesprekken blijkt dat men de communicatie richting en betrokkenheid van de organisatie als beperkt ervaart. De oplostijd van de ICT problemen is lang. Wanneer het systeem functioneert kan het voldoende en is het over het algemeen snel genoeg. Meerdere secties gebruiken zelf oplossingen om de gebreken van de omgeving te omzeilen. Pagina 12

14 SPECIFIEK MET BETREKKING TOT DE BEOOGDE AANBESTEDING In het kader van de beoogde aanbesteding gelden de volgende aandachtspunten: De meeste hardware is recent. De oude Dell werkplekken zijn toe aan vervanging, en een aantal switches zijn niet in de laatste vervangingsreeks meegenomen. Dit kan in de aanbesteding meegenomen worden. Er zijn een aantal zwakke plekken in de huidige ICT omgeving. Denk aan de core-router en de beperkte herstelmogelijkheden bij uitval van fysieke servers. Het verdient advies om deze bij de aanbesteding te verbeteren. Documentatie van de omgeving is gering. Voor de aanbesteding is het noodzakelijk om een goede documentatie van de huidige inrichting van de omgeving te hebben. Een inventarisoverzicht is niet aanwezig. Voor de aanbesteding is het belangrijk om een gedetailleerd overzicht te hebben van de aanwezige hardware inclusief gegevens zoals leeftijd en garantie. De firewall, core-routering, internetverbindingen, virusscanner, monitoring en beheertool lopen via de huidige IT leverancier. In de aanbesteding moet hier rekening mee gehouden worden. Voor deze zaken zal in de aanbesteding een oplossing bepaald moeten worden. Het verdient in algemene zin aanbeveling om hiervoor marktstandaard oplossingen te kiezen om zo een lock-in op één leverancier te voorkomen. Pagina 13