‘Back up is bestuurlijke verantwoordelijkheid’

System integrator i³ groep en beveiligingsspecialist Symantec houden gezamenlijk een onderzoek naar het gedrag van Nederlandse (middel)grote bedrijven om gegevens veilig te stellen. Het is voor het eerst dat de schijnwerper specifiek op Nederland wordt gericht. “Back-up is natuurlijk de helft van het verhaal; het gaat er ook om hoe snel je een reservekopie weer kunt gebruiken”, stelt Rob Vissers, directeur van i³ groep.

De system integrator heeft in ons land naam gemaakt als opslagspecialist door bij elke situatie de beste oplossing te kiezen. Van oudsher heeft i³ groep een warme band met Symantec. “De breedte van het portfolio, en de aanwezige kennis en kunde bij deze leverancier sluit goed aan op onze wensen”, verklaart Vissers. “Wij zijn niet voor niets Platinum Partner en Data Protection Master; dat wil zeggen: de hoogste status die Symantec aan zijn partners geeft. En daar zijn we trots op.”

Maar de storagemarkt is dood. De tijd dat een organisatie een losstaand systeem koopt om gegevens op te slaan, is voorbij. “Storage is geïntegreerd in een totaaloplossing, waar tegenwoordig de cloud ook onderdeel van uitmaakt. En datacenters staan vol met virtuele (opslag)servers. Het gaat er nu meer om dat je in staat bent de beste oplossing te maken voor efficiënt databeheer. Daarom richten wij ons nu veel meer op cloud management”, legt Vissers uit.

Brandverzekering

Het is i³ groep opgevallen dat veel organisaties de back-up&restore oplossing beschouwen als een brandverzekering. Je sluit er eentje af, omdat het immers altijd handig is, maar wat er nou precies in de polis staat, komt pas aan bod als er brand is geweest. “Dan pas blijkt waartegen je jezelf hebt verzekerd; en al te vaak blijkt dan ook dat je onderverzekerd bent. Maar dan is het te laat om er nog iets aan te doen”, vertelt Vissers.

Een andere vergelijking komt naar voren: Rijkswaterstaat bepaalt welke overstromingsrisico’s aanvaardbaar zijn voor een zeker gebied. Mag het eens in de honderd jaar, of eens in de duizend jaar onderlopen? Het antwoord bepaalt de hoogte van de dijk en/of de grootte en plaats van het retentiegebied (waarnaar tijdelijk overtollig water kantoestromen). De economische waarde van alle gebouwen, bedrijven en voorzieningen in een gebied geeft aan hoe belangrijk het is om iets te beschermen. Die waarde zou jaarlijks moeten worden vastgesteld, omdat zij verandert. Maar dat gebeurt te weinig, waardoor dijkhoogte en geaccepteerde overstromingskans gebaseerd zijn op verouderde gegevens.

“Hetzelfde geldt voor data; die vertegenwoordigen een bepaalde bedrijfswaarde. Pas al je weet hoeveel de gegevens waard zijn, weet je of en hoe je ze moet beschermen”, licht Vissers toe. Hij geeft aan dat er tools beschikbaar zijn die kunnen helpen bij die waardebepaling, maar iemand gaat daar pas mee aan de slag als hij ervan overtuigd is dat het nuttig is die waarde te achterhalen.

In de directiekamer

De beschikbaarheid van bedrijfsgegevens is wel een onderwerp dat in de directiekamer aan bod komt. “Maar dan wordt het wel vaak meteen doorgeschoven naar de IT-afdeling”, weet Erik van Veen, senior manager bij Symantec Benelux. “Terwijl het toch een bestuurlijke verantwoordelijkheid is, want wet- en regelgeving schrijft voor welke data hoe lang moeten worden bewaard. En voor welke instanties ze beschikbaar moeten zijn. De bestuurders worden daarvoor verantwoordelijk gehouden, niet de IT-afdeling.” Daarbij komt dat veel data naarmate de tijd verstrijkt niet meteen beschikbaar hoeven te zijn, en dus het digitale archief in kunnen. Ook hierover zou de directie een besluit moeten nemen. “Het is een management vraagstuk”, stelt Van Veen.

De waarde van i³ groep voor een wereldspeler als Symantec is de lokale informatie waarover de system integrator beschikt. Want daar kan de leverancier zijn aanbod op afstemmen. Maar alle onderzoeken naar het gedrag van organisaties met back-up en herstel hebben een wereldwijde inslag. Hoogstens met een deelonderzoekje naar de Benelux. “Maar Nederland is sterk geautomatiseerd. Veel meer dan bijvoorbeeld België of Luxemburg. De gemiddelden over deze drie landen zeggen veel te weinig over Nederland zelf”, aldus Vissers.

Er zijn meer verschillen. Zo is de virtualisatiegraad in Nederland vrij hoog. Meestal met VMware van EMC of met Hyper-V van Microsoft; veel minder met Xen-Server van Citrix. Terwijl in andere landen Citrix juist wel veel wordt toegepast. Overigens is de overgrote meerderheid van de organisaties nog niet zo ver dat er een volledige gevirtualiseerd platform draait (een software defined datacenter). Een deel is fysiek, een ander deel virtueel. Er is sprake van een transitieperiode. Dat betekent dat de oplossingen voor databeschikbaarheid overweg moeten kunnen met beide modellen.

Marktonderzoeksbureau

Er leven dus nog wel wat vragen. Vandaar dat de twee bedrijven het initiatief hebben genomen om specifiek na te gaan hoe het zit met de back-up&restore uitdagingen waarvoor Nederlandse bedrijven en instellingen zich gesteld zien.Het tweetal heeft onafhankelijk marktonderzoeksbureau DUO Market Research in de arm genomen om de gewenste gegevens boven water te krijgen. Zij willen vooral ook weten of er verschillen zijn in onderscheidene sectoren. Zij kunnen zich voorstellen dat bedrijven in de gezondheidszorg andere eisen stellen aan databeschikbaarheid dan bijvoorbeeld de makelaardij.

De klanten van Symantec en i³ groep krijgen de vraag voorgelegd of zij willen meedoen aan de enquête. Er zijn ook andere adresbestanden ingeschakeld om een zo groot mogelijke respons te krijgen. “Iedereen die wil meedoen, is welkom”, zegt Vissers. “Wij hebben een button op onze website die naar de vragenlijst leidt, maar mensen kunnen natuurlijk ook terecht op de site van het onderzoeksbureau.”

Tot eind maart

Het onderzoek loopt tot eind maart. Ondervraagden zijn IT-beheerders, IT-managers en CIO’s bij middelgrote en grote Nederlandse bedrijven.

De resultaten zullen bekend worden gemaakt op 10 april 2014.

(TM)