SLA bij cloud vraagt om nieuw beleid

Met de komst van cloud computing verandert het hele ict-landschap. Hardware en software met eventuele licenties worden niet meer aan de eindgebruiker verkocht en kosten worden afgerekend via een dienstenmodel. Dat heeft verstrekkende gevolgen voor de servicecontracten die tussen bedrijven worden opgesteld. Onze experts van het topic Beleid vertellen hoe service level agreements (SLA) bij cloud computing kunnen worden afgesproken en hoe die in een contract moeten worden opgenomen.

Marcel van Wort, senior consultant, Orange Business Services

Waar het bij cloud computing om draait is dat het lokale ict-beheer steeds minder belangrijk wordt, het verzorgen van een goedwerkende browser en een lan-verbinding kan lokaal al voldoende zijn. Dit betekent wel dat de gebruikerservaring grotendeels afhankelijk is van de vpn-verbindingen en de diensten geleverd door de cloud service provider. Het meten maar vooral het diagnosticeren van deze gebruikerservaring is niet simpel aangezien, er vele apparaten, netwerken en wellicht meerdere derde partijen in het communicatiepad tussen gebruiker en centrale cpu zitten.

Indien een servicecontract met SLA-waardes is afgesproken, moet er dus een mogelijkheid zijn om elk detail end-to-end goed te kunnen meten en consolideren. Naast de technische doelstellingen is het ook van groot belang om de prestaties van de cloudprovider op het gebied van operationele processen zoals wijzigingsbeheer en incident afhandeling in het service contract op te nemen. Ook hier geldt dat een end-to-end gebruikerservaring belangrijk is en dat dit zeer lastig is te consolideren indien de clouddienst is geleverd door meerdere partijen.

Je zult dan ook zien dat met name de netwerkproviders die end-to-end clouddiensten kunnen aanbieden een strategische plek innemen bij het leveren van dit soort diensten. Dit omdat de cloudervaring grotendeels afhankelijk is van netwerkkwaliteit en capaciteit van de cpu en opslag-infrastructuur in hun datacentra, maar ook van een allesomvattende operationele beheerstructuur.

Leendert Hinds, applicatie- en databasespecialist, Hints Company

‘Servicecontracten bij cloud computing', waar moet de beheerder rekening mee houden? Het beantwoorden van deze vraag is niet eenvoudig en is onmogelijk om in een paar woorden te realiseren. Een aantal handreikingen waar men aan moet denken zijn: 1) Hoe is de verhouding tussen eigenaarschap van de hardware in combinatie met de softwarelicenties en het beheer versus het afrekenmodel per gebruiker per maand? 2) Hoe zit het met de integratie tussen de verschillende applicaties lokaal en de integratie tussen de applicaties in de cloud onderling? 3) Waar zit de echte toegevoegde waarde van cloudoplossingen voor de onderneming en hoe kan de onderneming dit zelfstandig meten? 4) Hoe afhankelijk wordt de onderneming van de clouddienstverlener? 5) Wie heeft de regie als er binnen de onderneming meerdere clouddienstverleners zijn?

Naast deze handreikingen is het absoluut noodzakelijk om ook de volgende acties te ondernemen: 1) Zorg ervoor dat je debestaande onderneming begrijpt. 2) Definieer op basis hiervan wat je nodig hebt. 3) Definieer op basis van wat je nodig hebt jouw verwachtingen. Alleen door deze handelingen kun je ervoor zorgen dat jouw onderneming van de voordelen van cloudoplossingen kan genieten zonder de nadelen te ervaren.

Marco Lesmeister, algemeen directeur, Kender Thijssen

Als je de keuze maakt om de ict-dienstverlening niet aan één partij uit te besteden, maar zelf een deel te blijven uitvoeren of in zee te gaan met meerdere gespecialiseerde ict-dienstverleners, ontstaat de vraag waar de verantwoordelijkheid voor service-integratie wordt belegd.

Uiteindelijk blijft er namelijk maar één dienst over: ‘eindgebruiker maakt gebruik van ict'. De samenhang dient te werken en dient bewaakt te worden. Hou je die verantwoordelijkheid zelf, als klant, of leg je ‘m bij één van de dienstverleners? In beide gevallen dient de service-integrator ervoor te zorgen dat de opdrachtgever de diensten krijgt zoals afgesproken en dat dit gebeurt op een manier die in lijn is met de security, compliance en andere reguleringen waar de klant zich aan wil en/of moet houden.

Dit is al vele jaren zo en die discussie is in het kader van cloud computing niet anders. Formuleer je eisen, benoem een service-integrator en die dient ervoor te zorgen dat alles klopt. Heeft hij daar onderaannemers voor nodig, prima. Dan dient hij te waarborgen dat hij met die onderaannemers aan alle eisen voldoet. In de cloud, uit de cloud, bovenlangs of onderdoor. Het kiezen van de juiste service-integrator, die die verantwoordelijkheid invulling geeft, is al jaren het belangrijkste keuzepunt als er diensten worden uitbesteed. Servicecontracten bij cloud computing zijn dus in feite niks anders dan servicecontracten zoals door echte service-integratoren al vele jaren worden opgesteld.

Jurgen van der Vlugt, senior auditor, Achmea/Eureko

Nu de klant bij cloud computing steeds onzekerder wordt over waar de gegevens en de processing plaatsvinden en met welke kwaliteit dat gebeurt, is de verleiding groot om in contracten nog veel meer details over beheer en beveiliging te vragen dan voorheen. En ondertussen stijgen de kosten van externe verklaringen over de verleende diensten onverminderd door. Dus moet de effectiviteit en efficiency van de assurance omhoog. En dan moet er ook nog eens veel beter worden aangesloten op het risicomanagement bij iedere klant specifiek. Dat betekent dat de standaard-assuranceverklaringen die na wat pijn en moeite breed worden geaccepteerd, weer zullen verdwijnen en er maatwerk voor terugkomt Wie draait voor de meerkosten daarvan op? En hoe behouden we dan nog de voordelen van cloud computing…?

Daniël Smits, management consultant, Sogeti Nederland

Contracten voor de cloud zijn anders. De cloud kent minder maatwerk en vereist aandacht voor regie. Bijvoorbeeld regie op de impact van wijzigingen. Wijzigingen die niet altijd door de klant worden bepaald. Ook is het niet langer de investering maar het gebruik dat de prijs bepaalt. Het verschil tussen building en running costs neemt af omdat de cloudleverancier de kosten voor migratie kan meenemen in de prijs van de service. Interessant is dat de business hierdoor de controle kan krijgen over de running costs. Een domein dat voorheen vooral door ict werd gecontroleerd en vaak het leeuwendeel van de kosten (soms tot wel 80 procent) betreft.

Ict wordt vergelijkbaar met elektriciteit uit het stopcontact, maar er zijn ook nieuwe risico's. Wat heb je aan een contract dat stelt dat de kosten niet worden doorberekend als de service uitblijft? De schade bedraagt meestal een veelvoud van de kosten. Van wie zijn de data bij conflicten en welke afspraken zijn er gemaakt als je wilt overstappen naar een andere cloudprovider? Het is de kunst vooraf garanties te krijgen dat de leverancier hetzelfde serviceniveau levert zelfs als je van plan bent over te stappen. Kortom, veel nieuwe aandachtspunten maar ook kansen. Aan de cloud is niet te ontkomen en dat moet je ook niet willen. Een architect bij Shell stelt het als volgt: ‘Cloud is default. Anything that can run in the cloud should, …'.

Elisabeth de Leeuw, security consultant, Siemens IT Solutions & Services

Cloudservices zijn laagdrempelig en goedkoop voor de organisatie. Het beheer van meerdere cloudservices is echter complexer dan vaak gedacht wordt. Wat een prima contract lijkt, kan vanuit oogpunt van beheer tegenvallen. Om ten volle van de voordelen van cloudservices te kunnen profiteren, zijn er enkele die aandacht vragen: 1) Beheerorganisaties denken in termen van technologie. Het managen van contracten en SLA's vereist focus op de business. 2) Cloudsourcing draait om standaardisatie. Dit staat op gespannen voet met specifieke eisen van de business. 3) De eisen van de markt worden doorvertaald in eisen aan cloudservices. Dat geldt voor klant én serviceprovider. Deze ontwikkelingen lopen niet noodzakelijkerwijs parallel. 4) Het managen van risico's krijgt een nieuwe dimensie. Waar worden data en processen gehost? Welke wetgeving is van toepassing? Zijn data leakage en denial of service acceptabel? 5) Providers leveren diensten op basis van complexe, gevirtualiseerde infrastructuren. Risico's zijn moeilijk in kaart te brengen, laat staan te beheersen.

Sleutelwoord voor succesvolle cloudsourcing is regie. De klant moet in controle zijn. Dat begint bij het formuleren van de juiste criteria, het maken van goede keuzes en het afsluiten van solide contracten. En daarna: goed beheer. Van contracten, van infrastructuur én van relaties. Beheer is een proces, aan voortdurende evaluatie onderhevig. Nooit perfect. Maar goed genoeg. Mits de juiste zorg en aandacht wordt geschonken. De voordelen van cloudsourcing zijn evident en een inspanning waard. Afhankelijk van belangen en risico's die ermee gemoeid zijn kan het wenselijk zijn om extern advies in te winnen.

Dick Stegeman, vennoot, IHomer

Servicecontracten voor cloud computing zijn net zo spannend als je contract met de telecomleverancier of energiebedrijf. Natuurlijk moet je het doorlezen en beoordelen of het voldoet aan jouw eisen, maar invloed erop heb je niet of nauwelijks. Veel zorg hoef je daar niet over te hebben, want het is de leverende partij natuurlijk alles aan gelegen om deze voorwaarden marktcomform te houden. De vraag blijft natuurlijk wel of cloud computing voor elke organisatie geschikt is. Denk daarbij aan met name specifieke security- en Legal-aspecten.

Gideon Potgieter, eigenaar, Potgieter Consultancy

Afstemmen en vastleggen wat het meest belangrijk is, zoals uptime ( 99,9 of 99,95 of 99,99 procent), reactietijd bij downtime(seconden of minuten), hersteltijd bij downtime(minuten of uren), responstijd van verversing van schermen(milliseconden of microseconden), borging van veilige omgeving, borging van data-opslag, technische ondersteuning bij uitval, bonus/malus voor genoemde performance en vervolgens monitoren van performance en die tools die erbij horen.