Je kunt op dit moment geen brochure of whitepaper lezen of je wordt getrakteerd op een samenstel van Cloud Computing, GRC en Grid. Maar vooral SaaS. SaaS staat voor Software as a Service, het huren van een web based applicatie. Er zijn ook al varianten gesignaleerd als Solutions as a Service, Security as a Service en natuurlijk ook Service as a Service

SaaS is Hot. SaaS Mot! Het is in essentie een heel goed idee: het aanbieden van high-end applicaties voor weinig gebruikers, die te duur zijn om inhouse te hosten, met een ‘betalen naar gebruik’-model. Daarmee komen we eindelijk voorbij het punt dat een organisatie de eindgebruiker niet veel meer te bieden heeft dan browsen, e-mail, tekstverwerken en file- en printsharing, wat in 1994 ook al kon.

De IT zou de IT niet zijn als we de roze wolk van SaaS niet om andere 'hot' concepten zouden hangen. Zo zie je dat Google Apps - de moeder van alle cloudware - inmiddels als SaaS gepositioneerd wordt. Als één hype niet verkoopt dan doe je er toch gewoon twee, nietwaar? Als dát niet helpt kun je nog over grid computing beginnen...

De meeste verwarring is ontstaan door web based en internet based door elkaar te halen. Web based wil zeggen dat je de browser als client gebruikt. Wat als het belangrijkste voordeel van SaaS wordt gebracht (eenvoudige deployment), is niet specifiek voor SaaS. Het wordt pas SaaS als het betalingsmodel pay-per-use erbij komt.

SaaS levert op dit moment het vertrouwde tafereel op van af en aan stampende consultants. Straks hoef je geen office meer te installeren! Je nieuwe PC is veel gemakkelijker! Veel sneller! Veel veiliger ook. Volgens Gartner is het concept de kinderschoenen ontgroeid en zal 90% van alle organisaties in 2009 een vorm van SaaS gebruiken. En in 2012 zal 9% gratis officeproducten via de browser gebruiken, dus Microsoft, maak je borst maar nat.

Volgens analistenbureau IDC is het grootste voordeel van SaaS de snelheid en het gemak van deployment. Daarnaast spelen de lagere kosten een grote rol: betalen naar gebruik in plaats van naar aanschaf, minder interne IT-support en gelijkmatige betaling in plaats van met pieken en dalen. IDC ziet dan ook grote kansen in de consumentenmarkt omdat je veel sneller nieuwe features kunt krijgen.

Nou, ik heb nieuws. SaaS is alleen geschikt voor high-end gebruik zoals het begon bij CRM. Grid is extreem zinvol, maar alleen binnen je eigen rekencentrum. Op internet is een grid een mooi woord voor een Botnet. En Cloud computing gaat het ook al niet worden.

SaaS is begonnen met salesforce en vergelijkbare concepten; kostbare business software voor beperkt gebruik. Daarvan is het nut en het beveiligingsprofiel vrij overzichtelijk. Anders wordt het als SaaS voor de meer basale functies ingezet wordt. Een groot vaderlands bedrijf neemt Outlook als SaaS af. Toen de wereld nog gewoon was noemden we dat webmail, maar goed. Wat is daarvan nu de toegevoegde waarde? Dat je intern niet in staat bent zoiets basaals als e-mail kosteneffectief te regelen, zodat het blijkbaar goedkoper is om het door een commerciële aanbieder te laten doen? Het zegt mij vooral dat je intern vreselijk inefficiënt bent. Ik zou wel twee keer nadenken voordat ik als beursgenoteerde toko mijzelf een dergelijk brevet van onvermogen zou durven geven. Als het nu gratis is, zoals Google Apps, dan is het toch wel goed, zullen mensen zeggen. Dat is waar, als het gratis is, betaal je niet te veel. Maar voor niks gaat alleen de zon op, zeiden ze in de middeleeuwen al. Van de rest hoor je de prijs alleen pas later.

De SaaS-manie wordt gevoed door Google, Microsoft, en de ijzerboeren IBM, EMC, HP, Dell en "We put the dot in dot-com" Sun. De insteek van de laatsten is duidelijk; ze verkopen ijzer aan Google. "Me Too" Microsoft toont bij deze aan dat de beschuldiging van het kopieergedrag niet helemaal uit de lucht gegrepen is. En Google? Nou, dat is het bekende verhaal van te veel geld, te veel consultants en te weinig eigen ideeën. Recycle dan een paar oude, is het devies wat wij consultants uitbrengen. En dat is wat Google doet. Cloud Computing heette ooit Server Based Computing. Een paar jaar daarvoor Network Computer. En in een heel grijs verleden heette het gewoon een domme terminal en time sharing. En Cloud Computing is ook niet meer dan dat, domme terminals met slimme centrale computers. SaaS en Cloud zijn leuke ideeën voor bedrijven die hun terminals willen vervangen. Maar verder? De varianten op Thin computing vonden uiteindelijk allemaal een plaats - in de marge; zinvol, maar zeer beperkt. En dat zal nu ook gebeuren.

Vrijwel overal is het fat client model oppermachtig. Waarom zou je een nieuwe computer kopen die minder kan dan de huidige? Ja maar, zegt de cloudware verkoper, alles wat je nodig hebt kun je van Internet oproepen. Dus dan heb ik maar liefst een tekstverwerker. Die heb ik nu ook al. Ja, maar die online veroudert niet! Vanzelf een update! Wauw. Betekent dat dan dat ie het altijd doet, ook als het netwerk eruit klapt? Niet? Mmm. Kan ie ook wat ik nu allemaal kan met m'n Word? Ook al niet? O, maar in mijn Word 2008 zitten allemaal functies in die ik eigenlijk niet nodig heb, dus waar ik best zonder kan. Dus het is beter om een online tekstverwerker te nemen die dat allemaal niet kan. Ach zo. Is die gratis dan? Niet, zeg je? Waarom zou ik dan de huidige machine eruit gooien die ik al betaald heb? Niet vanwege de nieuwe features die cloud tekstverwerking mij biedt, want die zitten er niet in. Minder zelfs. Voor het gratis kan ik overigens prima met open office toe, hoor. Bovendien heb ik al een tekstverwerker, die niet vervangen is ook gratis en dan hoef ik niet te wennen aan een andere interface. En dan bewaarde ik de vervelendste vraag tot het eind: welke functies aan een tekstverwerker zijn eigenlijk verouderingsgevoelig?

Nu zijn er ook een paar cruciale gebreken in de uitgangspunten van SaaS en Cloud. De belangrijkste aannames zijn dat centrale rekenkracht en storage onbeperkt zijn en veel goedkoper dan die van losse servers en PC's. En bovendien dat netwerktoegang onbeperkt en flat fee is.

Onbeperkte centrale capaciteit is een hoax: storage capaciteit kun je dan wel massaal opschalen, disk I/O schaalt veel minder. Processorcapaciteit kun je een eind opschalen, maar daar is geen tekort aan; het beter benutten van de aanwezige capaciteit in je eigen netwerk is een veel grotere uitdaging. Internettoegang en netwerkbandbreedte zijn helemaal niet onbeperkt. Net neutrality is heus niet bedacht omdat het aanbod ongelimiteerd is.

Over de losse PC's is ook nog wel wat te zeggen. Wat is de behoefte aan een dunnere client dan de traditionele PC? Die nieuwe machine waar je alleen een browser op draait, zal ook een gangbare Intel of AMD processor hebben, waar je prima XP of Ubuntu op kan draaien. Dus met SaaS gaan er nog meer processoren met hun vingers in de neus. Natuurlijk kan het ook zo'n kittig minikastje zonder bewegende delen zijn. Maar de afnemers van Wyse en Sun Ray's zijn erg schaars, dus op de één of andere manier werkt het concept niet. Waarom zou het dan nu wél werken? Mensen willen nu eenmaal een dikke PC, net als die man die elke dag in z'n Bentley in de file staat geen Yugo wil.

SaaS en Security
SaaS buiten de deur houden is voor sommige ICT-afdelingen een kwestie van overleven. Daarbij komen de krachtigste argumenten uit de beveiligingshoek. Voor het commerciële verhaal van SaaS is het Security-aspect inderdaad killing. Het afserveren van de beveiligingsbezwaren als een mythe is het anticiperen op onvoldoende kennis bij de beslissers van de potentiële afnemers.

Andere SaaS-evangelisten stellen de toegenomen beveiligingsvraag juist als reden om hun product te gebruiken. En daar kan wel wat inzitten. Immers, als je als intern het extreem slecht doet, dan doet bijna ieder ander het beter. En dat kan ook wel een SaaS-aanbieder zijn. Dit geldt evenzeer de stijgende regeldruk; als je intern de HIPAA, PCI-DSS of een andere vinklijst moet naleven, dan heb je een financiële open einde regeling. Een externe leverancier kan dat ongetwijfeld goedkoper; het is veel rendabeler om de schaarse kennis voor meerdere netwerken in te zetten dan voor één enkel.

Helaas is dat maar beperkt waar: om een netwerk van 1000 PC's goed te beveiligen heb je al enkele fulltime topkrachten nodig. Dus alleen als je klein bent is het snijverlies aanwezig dat geïnsinueerd wordt. Het zal dus nooit zo zijn dat je meer krijgt voor minder geld. De kans is groot dat de wolkenverkopers toch hun invloed op je leidinggevenden zullen hebben (ook hier geldt dat wat je van ver haalt lekkerder is), en je geconfronteerd wordt met de opdracht SaaS te 'enablen'. Daarom hier een Top 10 van vragen die in ieder geval beantwoord moeten worden:

1. Waar is de data van je bedrijf? In welk land? Wie heeft er toegang?
   
2. En dan in het bijzonder: wie zijn de beheerders en wat kunnen die met de data?
   
3. Hoe hard is de scheiding naar data van verschillende klanten? De kans dat je een meer dan logisch gescheiden datagebied krijgt is klein, het kan immers altijd goedkoper.

   Dit zijn de klassieke vragen, die ook spelen bij reguliere outsourcing. Er zijn ook meer specifieke vragen:
   

4. Hoe zit het met de life cycle van users? Het ontnemen van de rechten van de eigen werknemers bij vertrek is al een ingewikkelde casus waar veel organisaties nog mee worstelen, bij SaaS moet dat ook. Is dit handwerk en hoe kan je vaststellen dat dit goed en tijdig gebeurt?
   
5. Je bent voor de beveiliging en het toegangsmodel afhankelijk van wat de aanbieder het beste lijkt. In sommige gevallen is dat prima in orde, maar gegeven de hoge hype waarde zijn er tal van aanbieders voor wie time-to-market alles is. Dit leidt tot zwakke systemen, zoals de deconfiture van het toch niet onbeduidende Sage zeer recent aantoonde. Mag je een penetratie test laten uitvoeren door een zelf gekozen partij?
   
6. Gebruikers worden bij steeds meer organisatie verwend met een enkelvoudig wachtwoord. Maar bij SaaS is dit niet bepaald gemeengoed. Ik geef je op een briefje dat het wachtwoord onder het toetsenbord ligt. Hoe realiseer je Single Sign On?
   
7. Als je medewerkers dezelfde userID hebben als op het interne netwerk (dat is makkelijker, nietwaar?), dan zullen ze waarschijnlijk ook hetzelfde wachtwoord kiezen. Deze sleutel tot je koninkrijk staat in het systeem van de aanbieder. Wil je dat?
   
8. Stel dat je wel Single Sign On hebt met SaaS. Moeten gebruikers iedere keer opnieuw aanloggen als ze van de ene naar de andere applicatie gaan (hint: het zijn cross-domein webapplicaties)? Dan is de winst van portals en ESSO weer net zo hard de deur uit.
   
9. SaaS kan een leuk doelwit voor een aanval zijn, door het gedrag van andere klanten. Weet je wat de andere klanten zoal doen waarmee ze de aandacht van dierenrechten-hacktivisten, cyberjihadisten en ander creatief tuig trekken?
   
10. Voor internettoegang tot gevoelige informatie heb je meer noodzaak tot sterke authenticatie. Met hoeveel RSA tokens kun je je gebruikers opzadelen?

Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter