ORGANISATORISCHE AANDACHTSPUNTEN BIJ CLOUD COMPUTING

Transcriptie

1 O4S Green Paper / september 2014, versie 1.0 ORGANISATORISCHE AANDACHTSPUNTEN BIJ CLOUD COMPUTING De belangrijkste organisatorische aandachtspunten bij uw reis naar de CLOUD 1

2 Een White Paper is een document dat uitgebreide, objectieve en relevante informatie biedt over een bepaald onderwerp. Hierdoor kunnen lezers gemakkelijker een beslissing nemen rond dat onderwerp. Omdat de kleur groen bepalend is binnen de huisstijl van onze ICT-organisatie Open for Support, gebruiken wij de benaming O4S Green Paper. Open for Support afgekort O4S is opgericht in Sinds 2006 zijn we actief op het gebied van datacenterdiensten in het algemeen en Cloud Computing en VoIP-diensten in het bijzonder, primair voor het MKB. Zowel dit document als onze overige O4S Green Papers zijn geschreven vanuit jarenlange ervaring op ons vakgebied. Deze ervaring is aangevuld met onderzoek uit offline en online bronnen en kennis en kunde van andere experts binnen het ICT-vakgebied. Dit O4S Green Paper is bedoeld voor medewerkers die niet zijn gespecialiseerd in ICT. Waar mogelijk wordt niet te diep ingegaan op technische verklaringen. De aandacht ligt vooral op bedrijfsmatige onderwerpen. Desondanks is de inhoud van dit document ook interessant voor technische medewerkers. Is dit de meest recente versie? Bezoek daartoe onze website. Daar treft u ook andere interessante O4S Green Papers aan. Zie: Aan de samenstelling van deze uitgave is veel tijd en energie besteed. Wij verzoeken u de inhoud in zijn geheel door te sturen en openbaar te maken door middel van druk, fotokopie, internet, , et cetera. Wilt u delen uit dit document gebruiken? Stel ons vooraf dan even op de hoogte via greenpapers@o4s.nl Open for Support Nederland bv

3 Inhoudsopgave Introductie 1. Organisatorische aspecten 1.1. Adviseur(s) 1.2. Betrek uw medewerkers 1.3. (Her)formuleer uw ICT-beleid 1.4. De juiste leverancier 1.5. Service Level Agreement (SLA) 2. Slotwoord Verklarende woordenlijst In dit O4S Green Paper worden zo weinig mogelijk technische termen gebruikt. Een verklaring van de meeste termen die wel zijn gebruikt, is te vinden op onze website 1

4 O4S Green Paper / september 2014, versie Introductie CLOUD COMPUTING IS NU NOG EEN VAN DE MOGELIJKHEDEN VOOR HET AFNEMEN VAN ICT-DIENSTEN. VOLGENS EXPERTS IS HET OVER ENKELE JAREN DE NORM. DE KEUZE VOOR CLOUD COMPUTING IS EEN KEUZE VOOR DE LANGERE TERMIJN. WANT U ZULT UW ICT-LANDSCHAP NIET ELK JAAR VOLLEDIG OPNIEUW INRICHTEN. DAAROM IS HET BELANGRIJK OM ALLE AANDACHTSPUNTEN GOED TE OVERDENKEN. De inzet van Cloud Computing is voor een groot deel een technische aangelegenheid, maar ook diverse organisatorische aandachtspunten spelen een belangrijke rol. Wat is Cloud Computing? Dit begint bij de keuze voor een leverancier die op Bij Cloud Computing bevinden zich de centrale technisch, organisatorisch en cultureel gebied het beste past bij uw organisatie. Een ander belangrijk aandachtspunt zijn uw medewerkers. Zij krijgen vaak extra mogelijkheden. Een voorbeeld is thuiswerken. Hoe gaan zij en uw organisatie hiermee om? Voert u beleid op dit gebied? Of moet uw beleid worden aangepast? Daarnaast is een goede overeenkomst tussen uw organisatie en uw leverancier belangrijk voor een succesvolle samenwerking. Zo n overeenkomst heeft meestal de vorm van een Service onderdelen van uw ICT-omgeving, zoals servers, het besturingssysteem, de applicaties en de gegevensbestanden op een externe locatie: het datacenter van de Cloud-leverancier. U deelt onder meer de verbindingen, switches, servers en opslagcapaciteit met andere klanten van de leverancier. Vervolgens maakt uw organisatie via internet of rechtstreeks verbinding met het datacenter en kunt u gebruikmaken van de ICTomgeving. Lokaal beschikken uw medewerkers Level Agreement, afgekort een SLA. alleen nog over eenvoudige computersystemen In deze O4S Green Paper aandacht voor deze organisatie veel voordelen op als het gaat om organisatorische aspecten bij uw reis naar de CLOUD. en randapparatuur zoals printers. Dit levert uw kosten, flexibiliteit en efficiency. Aspecten die minimaal even belangrijk zijn als de technische aspecten, om de reis aangenaam en succesvol te maken. 2

5 O4S Green Paper / september 2014, versie Organisatorische aspecten CLOUD COMPUTING BIEDT VEEL MOGELIJKHEDEN. ZO KUNNEN MEDEWERKERS VAN THUIS UIT WERKEN OF ZELFS HELEMAAL PLAATSONAFHANKELIJK. ELK APPARAAT KAN WORDEN GEBRUIKT, ONGEACHT HET BESTURINGSSYSTEEM. IN DIT HOOFDSTUK EEN OVERZICHT VAN DE BELANGRIJKSTE ORGANISATORISCHE AANDACHTSPUNTEN. DIT OVERZICHT IS NIET COMPLEET, WIJ WILLEN DUIDELIJK MAKEN DAT HET NIET UITSLUITEND EEN TECHNISCHE AANGELEGENHEID IS EN DAT ER OOK VOLDOENDE ORGANISATORISCHE ASPECTEN ZIJN DIE AANDACHT VERDIENEN. 1.1 Adviseur(s) 1.2. Betrek uw medewerkers ICT is uitgegroeid tot een omvangrijk vakgebied. Kostenbesparingen, meer efficiency door de inzet van Aan de voorzijde wordt ICT steeds eenvoudiger voor nieuwe technologieën, behoefte aan ontzorging de gebruiker, maar aan de achterzijde neemt de Er zijn meerdere redenen om te kiezen voor Cloud complexiteit toe. De kans is groot dat uw organisatie Computing. Uw medewerkers of collega s zijn daarbij niet de juiste, of onvoldoende ICT-kennis heeft. Het altijd belangrijk. Want zij maken uiteindelijk gebruik kan ook zijn dat u geen tijd wilt of kunt vrijmaken van de nieuwe middelen. Luister daarom naar hun voor de nieuwe kansen die ICT biedt. Daarom is het wensen en betrek hen waar mogelijk bij uw reis naar raadzaam om een externe, onafhankelijke adviseur de CLOUD. Dat kan via een of meerdere sessies waarin deelgenoot te maken van uw reis naar de CLOUD. Er u samen de nieuwe kansen van Cloud Computing zijn veel adviesbureaus, van klein tot groot. U kunt bespreekt en deze vergelijkt met de wensen en eisen ervoor kiezen om specifieke onderdelen of taken uit van uw organisatie. te besteden. Of u besteedt het hele Cloud-traject uit. Daaronder valt onder meer het in kaart brengen van Het is sowieso verstandig om uw medewerkers uw wensen en eisen, het selecteren van potentiële blijvend te informeren, bijvoorbeeld via een leveranciers en de uiteindelijke keuze van een periodieke nieuwsbrief. Ook al omdat medewerkers in leverancier kunnen daar deel van uitmaken. de Cloud-omgeving meestal minder vrijheden hebben op het computersysteem. Dit is afhankelijk van de De kosten die hieraan zijn verbonden, wegen afspraken die u maakt met uw leverancier. Zo kunnen doorgaans niet op tegen de kosten van een verkeerde gebruikers vaak zelf geen software meer downloaden beslissing. Als uw budget beperkt is, kunnen ook en installeren. Informeer hen daarom op tijd over de de werkzaamheden worden beperkt. Tijdens één belangrijkste veranderingen. of meerdere sparringsessies bijvoorbeeld kunnen uw belangrijkste technische en organisatorische aandachtspunten worden vastgesteld. 3

6 1. Als uw organisatie kiest voor Cloud Computing, 2.3. (her)formuleer uw ICT-beleid bieden zich nieuwe efficiencykansen aan. Voorbeelden zijn plaatsonafhankelijke toegang tot Wachtwoordbeleid Via een unieke gebruikersnaam en een persoonlijk wachtwoord kan een gebruiker standaard toegang bedrijfsgegevens en de inzet van (privé)apparatuur krijgen tot zijn ICT-omgeving. Deze beveiliging zoals smartphones en tablets. Maar als deze kansen kan worden uitgebreid met een zogenaamde niet goed zijn voorbereid of onvoldoende worden Token. Dit kan een hardwarematige Token zijn of gedeeld met medewerkers, kan een beveiligingsrisico een applicatie op een smartphone. Gebruikers die optreden. plaatsonafhankelijk werken, dienen vaak verplicht gebruik te maken van een Token. Is een Token niet Besteed daarom voldoende aandacht aan het updaten verplicht, dan is het wachtwoord de belangrijkste van uw ICT-beleid. Of formuleer een ICT-beleid als u beveiliging. Het wachtwoordbeleid moet dus goed dat nog niet heeft. In dat laatste geval is de overstap zijn geformuleerd, waarbij onder meer aandacht is naar een nieuw ICT-landschap een geschikt moment. besteed aan de minimale lengte van het wachtwoord, Zeker als dat landschap uw organisatie nieuwe en het gebruik van bepaalde karakters en de frequentie meer mogelijkheden biedt. Veel adviesbureaus zijn dat een wachtwoord dient te worden gewijzigd. gespecialiseerd in het formuleren van een ICT-beleid. Hieronder volgt een aantal belangrijke onderwerpen. Toegang met welke middelen? Met Cloud Computing hebben gebruikers Plaats- en tijdonafhankelijk werken apparaatonafhankelijk toegang tot de ICT-omgeving. Cloud Computing is niet het nieuwe werken, het Via een desktop PC met MS Windows, een Apple faciliteert wel het nieuwe werken. Gebruikers kunnen Mac, een ipad of een andere tablet. Het kan allemaal plaats- en tijdonafhankelijk gebruikmaken van de en dat is een groot voordeel. Maar is dat voordeel ICT-omgeving alsof ze op hun eigen bureaustoel ook altijd wenselijk? Mogen gebruikers verbinding zitten. De vraag is wel: wil uw organisatie dat ook maken met privéapparatuur? En zo ja: mogen ze dan echt? Of is het beter om beperkingen in te bouwen ook problemen melden met deze apparatuur? Het voor bepaalde gebruikers? is belangrijk om hier van tevoren goed over na te denken. Toegang tot applicaties In een volwassen Cloud-omgeving staat vast welke Het is van belang dat elke medewerker weet wat het gebruikers toegang hebben tot welke applicaties. ICT-beleid inhoudt en daartoe tekent voor akkoord. Aanvullend is te bepalen welke applicaties Ook controle en eventuele sancties maken doorgaans worden ontsloten vanuit welke locatie(s). Een deel uit van dat beleid. Bij grotere organisaties heeft boekhoudapplicatie bijvoorbeeld kan functioneren als de OR hierin een leidende rol. een gebruiker op kantoor werkt en niet als hij op een andere plaats werkt. 4

7 1.4. De juiste leverancier Ook al heeft u een jarenlange band opgebouwd met uw leverancier: het is altijd goed om opnieuw in kaart te brengen wat de huidige ICT-markt te bieden heeft en hoe die aansluit op uw organisatie. Hieronder een aantal criteria die u kunnen helpen bij uw keuze voor de juiste leverancier. Certificeringen Onderstaande certificeringen zijn relevant voor een leverancier van Cloud Computing. En dus mogelijk ook voor uw organisatie. ISO9001 De ISO-standaard voor kwaliteitsmanagementsystemen. Deze standaard is niet specifiek ICT gerelateerd. ISO20000 De ISO-standaard voor IT Service Management of ITSM, een geïntegreerde procesaanpak voor ICT dienstverleners. Belangrijke processen maken deel uit van deze certificering, waaronder incidenten-, wijzigingen-, capaciteits- en continuïteitsbeheer. Cultuur U moet zich prettig voelen bij uw leverancier, en omgekeerd. De omvang van uw eigen organisatie en die van uw leverancier is hierbij van belang. Zo is een mkb er al snel een nummer bij een beduidend grotere ICT leverancier. En verder: is de onderlinge cultuur formeel of informeel? Wordt elke minuut in rekening gebracht, of gaat uw leverancier hier flexibel mee om? Na een aantal gesprekken op beide locaties blijkt of er sprake is van een klik. Kennisgebieden Eén leverancier kan nooit gespecialiseerd zijn op alle ICT-gebieden. Heeft uw leverancier kennis van de specifieke toepassingen binnen uw organisatie op uw reis naar de CLOUD? Misschien beschikt de (potentiële) leverancier over meer opdrachtgevers die gebruik maken van dezelfde toepassing en die ervaringen met u willen delen. ISO27001 De ISO-standaard voor informatiebeveiliging. Deze standaard is van toepassing op alle typen organisaties, niet alleen ICT dienstverleners. ISO27001 specificeert eisen voor de uitvoering van beveiligingsmaatregelen. ISAE3402-verklaring Een internationale kwaliteitsverklaring die zekerheid biedt bij de uitbesteding van ICTprocessen. Een hiertoe gerechtigde accountant zorgt voor de verklaring, waarvan het aanzien een sterk stijgende lijn vertoont. 5

8 Public of Private Cloud? Welke mogelijkheden kan een Cloud-leverancier u bieden? Een korte uitleg van de begrippen Public Cloud en Private Cloud. Een Public Cloud is een ICT-omgeving waarin meerdere organisaties gebruikmaken van dezelfde hard- en softwarebronnen. Voorbeelden zijn mailen database-servers (al zijn die rechtentechnisch gescheiden per organisatie). Een Private Cloud is een ICT omgeving die volledig gescheiden is opgebouwd voor een bepaalde opdrachtgever. Dit betekent dat alle virtuele- en/ of fysieke servers uitsluitend door de desbetreffende organisatie worden gebruikt. Datacenter Het datacenter is medebepalend voor de kwaliteit en continuïteit van de dienstverlening. In dit datacenter bevindt zich alle apparatuur, waaronder servers en opslagcapaciteit. Het datacenter bevat ook de verbinding naar internet of rechtstreeks naar u als opdrachtgever. Hieronder enkele aandachtspunten. Veiligheidsmaatregelen Heeft uw leverancier voldoende veiligheidsmaatregelen genomen? Voorbeelden zijn hekwerken, camerabewaking en toegangsbeveiliging. Vraag ook naar de aanwezigheid van continuïteitsvoorzieningen, zoals koeling en noodstroom. Lokale ondersteuning Bespreek vooraf aan de samenwerking met uw (potentiële) leverancier of deze ook lokale ondersteuning biedt op momenten dat u daar behoefte aan heeft. Stel er zijn problemen met een werkplek of met een printer. Worden deze bij u op locatie verholpen, of dient u daar een andere leverancier voor in te schakelen? Sommige leveranciers richten zich uitsluitend op de datacenterdienstverlening, waardoor u zelf een andere partij dient te regelen voor lokale aangelegenheden. TIP! Eigen datacenter of gehuurde ruimte Heeft uw leverancier een eigen datacenter of huurt hij een ruimte bij derden? Is het datacenter alleen toegankelijk voor uw leverancier of ook voor derden? Breng een bezoek aan de locatie die uw ICT-omgeving straks mogelijk verzorgt. Dan ziet u zelf of deze locatie voldoet aan uw kwaliteitseisen. Het is absoluut een normale zaak om referenties op te vragen en om met deze referenties een dialoog aan te gaan. Hoe bevalt de samenwerking en wat zijn aandachtspunten. Besteed de juiste energie aan het selecteren van de voor uw organisatie juiste partner. Hardware Om de continuïteit te waarborgen, moet kritieke hardware minimaal dubbel zijn uitgevoerd. Belangrijk is dat A-merken worden gebruikt. Let ook op een actieve garantie en een goede onderhoudsovereenkomst. Is de apparatuur van uw leverancier of huurt hij deze? Informeer in dat laatste geval naar de geldende garanties. 6

9 1.5 Service Level Agreement (SLA) Afspraken met uw leverancier worden meestal vastgelegd in een Service Level Agreement of SLA. Een SLA geeft u enerzijds inzicht in de werkprocessen en -methodieken van de leverancier. Anderzijds kunt u terugvallen op deze SLA als de dienstverlening niet volgens afspraak verloopt. Hieronder een aantal onderwerpen die in een SLA aan bod (zouden moeten) komen. Beschikbaarheid De beschikbaarheid van de ICT-omgeving wordt doorgaans uitgedrukt in een percentage, bijvoorbeeld 99%. Het is van belang dat helder is omschreven waarop dit percentage is gebaseerd. Is het 99% van 24 uur per dag? Of 99% van een bepaalde tijdspanne, bijvoorbeeld van tot uur? En hoe wordt dit percentage gemeten? Is dit 99% per maand of 99% per jaar? In een goede SLA staat ook wat de consequenties zijn als de beschikbaarheid niet wordt gehaald. Meestal wordt dan korting geboden of vindt een onderling gesprek plaats om te evalueren hoe de situatie is ontstaan en hoe die verbeterd kan worden. Duur, verlenging en beëindiging Vanzelfsprekend moet de duur van de overeenkomst in de SLA staan. Wanneer gaat de overeenkomst precies in en wanneer eindigt deze? De overeenkomst kan stilzwijgend worden verlengd met eenzelfde periode of met bijvoorbeeld een jaar. Bij beëindiging van de overeenkomst moet duidelijkheid bestaan over het ter beschikking stellen van de programmatuur en gegevensbestanden. Zowel in tijd als in eventuele kosten. Die duidelijkheid moet er ook zijn als sprake is van een geschil of als een van de partijen de overeenkomst tussentijds wil ontbinden. Marktconformiteit Een marktconformiteitsclausule is interessant voor u als opdrachtgever als u kunt aantonen dat de kosten binnen de contractduur niet langer in verhouding zijn met de gemiddelde kosten in de markt. U kunt uw leverancier dan verplichten zijn tarieven aan te passen, of de overeenkomst tussentijds open te breken. Wat vind ik nog meer belangrijk om te vermelden in mijn SLA? 7

10 Eigendomsrecht Als opdrachtgever bent u eigenaar van de bedrijfsspecifieke programmatuur en van uw data c.q. gegevensbestanden. Toch is het verstandig om dit expliciet te vermelden in de SLA. Net als het gegeven dat u altijd een actuele kopie van de gegevensbestanden kunt opeisen. Daarbij moet ook zijn vastgelegd binnen hoeveel tijd de leverancier aan dit verzoek moet voldoen en welke kosten hiermee zijn gemoeid. Datzelfde geldt voor eventuele randvoorwaarden, zoals openstaande posten die moeten zijn voldaan. Aanvullend kunt u in de SLA laten opnemen dat bij een geschil de openstaande bedragen worden gestort op bijvoorbeeld een notarisrekening, waarna de gegevensbestanden worden overgedragen. Geheimhouding De Cloud-leverancier heeft toegang tot uw bedrijfsgegevens. Als er ook sprake is van persoonsgegevens moeten hierover duidelijke afspraken zijn gemaakt in het verlengde van de WBP (Wet Bescherming Persoonsgegevens). Wie heeft wanneer en waarom gebruikgemaakt van bepaalde gegevens? Veelal worden afgespraken gemaakt over het vastleggen van elke individuele actie waarbij data wordt benaderd, bijvoorbeeld middels een wijzigingsverzoek met hierin opgenomen datum, tijd, medewerker en motivatie. Kosten Vaak wordt in een SLA verwezen naar de offerte. Als niet wordt verwezen naar een onderling akkoord bevonden voorstel, moeten alle relevante kosten duidelijk in de SLA staan. Dat geldt ook voor kosten die periodiek kunnen fluctueren, bijvoorbeeld op basis van het aantal actieve gebruikers en de beschikbare opslagcapaciteit. Een eventuele kostenindexering moet eveneens deel uitmaken van de SLA, inclusief de begindatum van de indexering. Onderhoudsvensters Meestal voorziet een ICT-leverancier in een of meerdere onderhoudsvensters per maand. Dit zijn momenten waarop onderhoudstaken worden uitgevoerd die niet mogelijk zijn tijdens gewone werktijden. Denk aan het installeren van nieuwe programmatuur of aan updates waarbij systemen herstart moeten worden. Tijdens een onderhoudsvenster is de ICT-omgeving vaak verminderd beschikbaar. Leg daarom duidelijk vast wanneer de onderhoudsvensters plaatsvinden. Processen Doorgaans zijn relevante processen helder omschreven in een SLA. De meeste ICTdienstverleners maken hierbij gebruik van ITIL (Information Technology Infrastructure Library). ITIL omvat de belangrijkste bedrijfsprocessen van een ICT-dienstverlener, waaronder incidenten-, wijzigingen-, probleem- en capaciteitsbeheer. Laat in de SLA opnemen welke processen van toepassing zijn op welke onderdelen van de dienstverlening, bij voorkeur aangevuld met een duidelijke procesomschrijving. Reactie- en oplostijden Stel dat u een storing of incident meldt. Binnen hoeveel tijd mag u dan een oplossing verwachten? De SLA moet duidelijkheid geven over reactie- en oplostijden. Dat geldt ook bij wijzigingsverzoeken. Underpinning Underpinning houdt in dat een ICT-dienstverlener meldingen aanneemt en deze vervolgens doorgeeft aan de relevante leverancier. Voorbeeld: een printerprobleem komt terecht bij de printerleverancier. Maar het kan ook gaan om incidenten of wijzigingsverzoeken. In de SLA moet voor alle partijen duidelijk zijn wie het aanspreekpunt is en wie (eind)verantwoordelijk is. Servicedesk Als opdrachtgever komt u hier meestal terecht met uw vragen. In de SLA moeten duidelijke afspraken staan over de bereikbaarheid van de servicedesk. Afwijkende regels bij bijvoorbeeld calamiteiten moeten eveneens helder zijn omschreven. Een SLA is een juridisch stuk. Laat uw juridisch adviseur het document kritisch doorlezen. 8

11 5. Slotwoord Michel van den Biggelaar Algemeen directeur Open for Support Nederland bv CLOUD COMPUTING IS MEER DAN ALLEEN TECHNIEK. HET IS VAN INVLOED OP UW HELE ORGANISATIE. OOK OP ORGANISATORISCH VLAK. ZORGVULDIGHEID IS DAARBIJ ESSENTIEEL. Een eventuele overstap naar Cloud Computing is meteen een goed moment om uw ICT-beleid nader te bepalen. Geef bij de uitbesteding van uw ICTomgeving ook de nodige aandacht aan een Service Level Agreement (SLA). Als de dienstverlening en samenwerking goed verlopen, zult u niet snel teruggrijpen op dit document. Maar als er aanleiding toe is, is het prettig dat belangrijke afspraken duidelijk zijn vastgelegd. Dit O4S Green Paper richt zich op de organisatorische aandachtspunten bij uw mogelijke reis naar de CLOUD. Naast de vermelde organisatorische aandachtspunten, zijn ook de nodige technische aandachtspunten van belang. Deze worden behandeld in afzonderlijk O4S Green Papers. Hoe nu verder? Bespreek de aandachtspunten in dit O4S Green Paper met relevante personen binnen uw organisatie. Waarschijnlijk komen dan nog meer organisatorische onderwerpen naar voren waarmee u rekening dient te houden bij uw keuze voor Cloud Computing. Uw mening telt... Wij willen graag weten wat uw mening is over dit O4S Green Paper. Zijn er zaken die u mist of waar u anders over denkt? Maak dit dan kenbaar. Dan verwerken wij uw inzichten mogelijk in ons volgende Green Paper. U bereikt ons via greenpaper@o4s.nl. Vanzelfsprekend kunt u ook contact opnemen met de auteurs van dit O4S Green Paper. 9

12 Mijn aantekeningen: 10

13 O4S Green Paper / september 2014, versie 1.0 Organisatorische aandachtspunten bij Cloud Computing Dit is een uitgave van: Open for Support Nederland bv Amerikalaan AE Maastricht-Airport +31 (0) info@o4s.nl 11