BLOG – Security in de Cloud: een goed idee?
Door: William de Ruijter – IT Infrastructuur Specialist
Regelmatig krijgen we bij Mactwin de vraag: “Kan de aangeboden oplossing niet in de Cloud?” Een begrijpelijke vraag, want alles kan toch in de Cloud. Maar is dat wel zo’n goed idee?
Om daar antwoord op te geven, duiken we eerst in de definitie van ‘Cloud’. Volgens Wikipedia is de Cloud een netwerk dat – met alle computers die erop aangesloten zijn – een soort ‘wolk van computers’ vormt, waarbij de eindgebruiker niet weet op hoeveel of welke computer(s) de software draait of waar die computers precies staan. Deze uitleg raakt bij mij meteen een gevoelig snaar. Een securitysysteem laten draaien in een omgeving waarvan de locatie, omvang en waarschijnlijk ook de bewerker onbekend zijn; is dat wat je wilt? Met dit soort (vitale) systemen wil je toch weten en controleren wie er bij de data kunnen, met wie data gedeeld kan en mag worden en niet in de laatste plaats, waar de informatie zich bevindt.
Hosted server
Vaak bedoelen onze klanten echter een hosted server. Eentje die niet op een eigen locatie staat, maar in een datacenter waar de infrastructuur standaard al redundant is uitgevoerd. Soms is er zelfs sprake van een eigen cluster, waar de Cloud in het klein is opgebouwd. Het netwerk van de klant wordt – keurig versleuteld – ontsloten naar deze hostingomgeving en de server aldaar levert zijn diensten stabiel, veilig en snel. Althans dat is de belofte van het datacenter. Maar wat als de verbinding vandaag nu net eens niet stabiel is? Om dat risico te beperken kunnen alternatieve verbindingen worden aangelegd naar het datacenter, zoals Secure 4G of een back-up ADSL. Dat brengt echter extra kosten met zich mee. De vraag is dan of het niet beter en goedkoper is om zelf een redundante infrastructuur in te richten in plaats van uit te wijken naar een server in het datacenter.
Server op eigen locatie
Als ICT-er geef ik meestal de voorkeur aan een server op eigen locatie. Veel securitysystemen hebben toch lokale hardware en hoe minder componenten en partijen er tussen zitten, hoe kleiner de kans op verstoringen is. De servers van tegenwoordig kunnen jaren probleemloos draaien. Om de continuïteit te borgen, kun je ze voorzien van redundante voedingen, redundante schijven en een goed servicecontract. In bepaalde situaties vind ik een (hosted) Cloud oplossing wel een goed alternatief. Voor infrastructuren met meerdere locaties bijvoorbeeld, kan dit juist een veilige en kostenefficiënte oplossing zijn. De locaties zijn toch vaak afhankelijk van de WAN infrastructuur en in plaats van op iedere locatie een server te plaatsen, kan een centrale server in een datacenter een prima oplossing zijn. En, afhankelijk van de gewenste beschikbaarheid en bandbreedte, is deze oplossing ook qua complexiteit en kosten goed te overzien.
Nieuwe mogelijkheden door Cloud services
Door de opkomst van Cloud services zien we ook een nieuwe ontwikkeling. Leveranciers van bijvoorbeeld toegangscontrolesystemen bieden hun klanten de mogelijkheid om hun oplossing op een server op de leverancierslocatie te laten draaien. Een belangrijk voordeel is dan dat de leverancier ervoor zorgt dat u standaard de nieuwste software versie hebt. Klanten krijgen tevens de beschikking over een app waarmee zij het systeem kunnen bedienen via hun smartphone of een web portal. Handig en gebruiksvriendelijk. Maar ik adviseer om ook hier vooral erg kritisch naar het beveiligingsniveau te kijken. Alles wat je via het internet ontsluit, is immers kwetsbaarder dan als het niet ontsloten wordt. En zelfs als deze systemen ICT veilig zijn, kun je je afvragen wat er gebeurt als je je mobiel verliest… Kan degene die jouw telefoon vindt dan de beelden zien, het alarm schakelen of de deuren openen?
Conclusie
In 2017 zijn Cloud services niet meer weg te denken. Allerlei leveranciers bieden dit comfort en deze vorm van ontzorging. We moeten daar zeker de vruchten van plukken. Maar ik adviseer iedereen die voor de keuze staat om de security systemen te laten draaien op een eigen server of een hosted server, om de beveiligingsaspecten zwaar mee te laten wegen. Dit natuurlijk in relatie tot de eigen risico’s. Hoe hoger of groter de risico’s, hoe zwaarder de beveiligingsaspecten moeten meewegen. Bij onvoldoende garanties omtrent de databeveiliging, geef ik de voorkeur aan een eigen server.