Datacenters vormen de kern van onze digitale samenleving, want bijna alle applicaties, van bedrijfswebsites en persoonlijke financiële zaken tot zakelijke e-mail, draaien tegenwoordig in de cloud. En ‘in de cloud’ betekent ‘ergens in een datacenter’. Vandaar dat datacenters – volkomen terecht – door de Europese Commissie zijn bestempeld als kritische infrastructuur (‘essential entities’).
Digitale sabotage-aanvallen op datacenters kunnen desastreuze gevolgen hebben. Op het moment dat één of meerdere datacenters worden uitgeschakeld, zal de digitale samenleving daar direct ernstig hinder van ondervinden. En dat dit geen ver-van-mijn-bed-show is, zagen we in Oekraïne, waar Rusland gerichte, digitale aanvallen heeft uitgevoerd op datacenters met als doel deze uit te schakelen, hetgeen helaas ook grotendeels is gelukt.
Behalve belangrijk voor onze digitale samenleving, zijn datacenters de afgelopen jaren ook kwetsbaarder geworden voor digitale aanvallen. Dat komt doordat de facilitaire infrastructuur van een datacenter – zoals stroomvoorziening, stroomdistributiesystemen, koelinstallaties en brandblussystemen – allemaal direct of indirect aan internet zijn gekoppeld. In het verleden waren deze systemen veel meer ‘standalone’ en konden niet op afstand (remote) via internet worden onderhouden en/of aangestuurd. Deze it-aansturing brengt natuurlijk veel voordelen met zich mee, maar ook risico’s. Daarnaast is de toename van internet of things (iot)-apparaten binnen een datacenter ook een serieus punt van zorg. Iot-apparaten zijn in het verleden nooit ‘secure-by-design’ ontwikkeld en daardoor inherent onveilig. Zij vormen hierdoor digitale ingangen naar het interne netwerk voor mensen van buiten de organisatie. Het gevolg van bovengenoemde ontwikkelingen is dat het uitdijende aanvalsoppervlakte van een datacenter voor kwaadwillende hackers de afgelopen jaren veel interessanter is geworden.
Verkleinen
Met de toegenomen aanvalsoppervlakte zijn datacenters ook digitaal kwetsbaarder geworden. Dit is een ernstige zaak en uiteindelijk willen wij de kwetsbaarheid verkleinen, waardoor mogelijke aanvallen zijn te voorkomen of de schade is te beperken.
Om deze kwetsbaarheid te verkleinen, zijn de volgende aanbevelingen opgesteld:
- Ken uw digitale infrastructuur
You cannot protect what you don’t know. Zo luidt een bekend gezegde vanuit de beveiligingswereld. Om systemen te kunnen beveiligen, moet deze systemen bekend zijn. Het is dus essentieel om eerst de infrastructuur in kaart te brengen en inventarisatie van alle ot-, it- en iot-systemen en hun verbindingen/netwerken te verkrijgen. Dit is regel nummer één in de beveiligingswereld.
- Ken uw digitale kwetsbaarheden
Naast de kennis over de eigen systemen en netwerken, is het ook zaak om de kwetsbaarheden van deze eigen systemen en netwerken in kaart te brengen. Elektronische apparaten gaan namelijk weleens kapot en zullen op gezette tijden moeten worden geüpdatet of vervangen. Aangezien alle ot-, it- en iot-systemen tegenwoordig software bevatten, kunnen er softwarekwetsbaarheden in zitten. En het zijn juist deze hiaten die door de hackers worden misbruikt. Het is dus essentieel om ook een overzicht te hebben van de kwetsbaarheden binnen de datacenter-infrastructuur.
- Ken uw leveranciers en bijbehorende risico’s
Aangezien tegenwoordig alles en iedereen op een of andere manier digitaal met elkaar is verbonden, is het ook belangrijk om de ‘leverancier-afhankelijkheden’ in kaart te brengen. Ook datacenters hebben uiteenlopende leveranciers voor de stroomvoorziening, koelinstallaties en brandblussing, zoals al eerder genoemd. Aangezien deze ot-systemen vaak direct of indirect via internet door de fabrikanten worden gemonitord en/of worden onderhouden, zijn deze systemen ook ‘toegankelijk’ voor ‘anderen’. Het is dus essentieel om te weten welke leverancier digitaal toegang heeft tot datacentersystemen en op welke manier deze verbinding is beveiligd.
- Segmenteer uw systemen, netwerken, rollen en verantwoordelijkheden
Naast het verkrijgen van overzicht en inzicht, zoals hierboven is beschreven, is het goed inrichten van de infrastructuur ook zeer belangrijk voor de digitale beveiliging van datacenters. Het segmenteren van verschillende systemen en netwerken door middel van technische maatregelen (o.a. firewalls) zorgt ervoor dat kwaadwillende hackers niet overal bij kunnen wanneer zij op enige wijze toegang hebben verkregen tot de digitale infrastructuur. Hetzelfde geldt ook voor de rollen en verantwoordelijkheden van het eigen personeel. Niet iedereen mag overal bij. Dit moet afhangen van de rol en functie in de organisatie en de bijbehorende permissies. Deze permissies moeten goed zijn ingeregeld, gedocumenteerd en gecommuniceerd.
- Ontwikkel en test een incident-responseplan
Deze laatste suggestie staat hopelijk bovenaan op uw ‘actielijst’. Het is geen vraag of u een digitaal incident te verwerken krijgt, maar wanneer. Aangezien datacenters tot de kritische infrastructuur behoren, is een incident-responseplan noodzaak. Niet alleen het ontwikkelen van een dergelijk plan is belangrijk, maar ook het testen van het plan moet minimaal één of twee keer per jaar plaatsvinden, want the proof of the pudding is in the eating. Natuurlijk kan een datacenter ‘niet even’ worden platgelegd voor een incident-response-oefening, maar de procedures zullen wel moeten worden beoefend, zodat het datacenter daadwerkelijk kan ‘overleven’ als onze kritische infrastructuur serieus wordt aangevallen.
Utopie
Betekent dit dat het opvolgen van deze vijf tips – geboden, zo u wilt – ervoor kan zorgen dat datacenters honderd procent veilig zijn? Nee, die mate van veiligheid (lees: cyberweerbaarheid) is een utopie, maar ik ben ervan overtuigd dat een datacenter weerbaarder wordt als we de bovenstaande aanwijzingen serieus opvolgen. Een cyberincident kan nog altijd plaatsvinden, maar dan is de gevolgschade aanzienlijk minder en heeft het datacenter in elk geval een goed verhaal dat het er alles aan heeft gedaan om dit te voorkomen. Helaas zijn er nog steeds veel te veel datacenters die dit goede verhaal nog niet hebben.
Het is volgens mij nearline, een oude term die verwijst naar de aloude tape library waarbij een robot de tape laadt vanuit een magazijn. Hierbij zorgt parallellisatie in schrijven over meerdere tapedrives voor ongekende snelheden terwijl een ‘prefetching’ de data al klaar kan zetten in een cache voor het lezen. Wat betreft technische oplossingen in het I/O vraagstuk is tape dan ook nog lang niet dood als ik kijk naar het gebruik ervan door hyperscalers in een fenomeen zoals storage tiering. Het idee van een scheiding van de metadata en de data maakt het namelijk mogelijk verschillende opslagmedia te gebruiken.
Punt is echter dat daarmee alleen het probleem verschoven wordt want het is niet aan de afdeling IT om te bepalen wat onzinnige gegevens zijn en wat niet. Kosten van opslag met 70% verlagen is niet probleem, probleem zit in de data governance want de ‘litigation costs’ stijgen exponentieel doordat er onduidelijkheid is over wat onzinnige gegevens zijn en wat niet. Minister-president die besluit tot het verwijderen van chats en berichten maakt al duidelijk dat het classificeren van data een dingetje gaat worden.
Van datalake naar datalek zie ik dat veel organisaties bezig zijn met data uit de gebruikelijke silo’s van applicaties te halen. Eerder onzinnige data krijgt door DIKW-model van moderne datasynthese opeens zinnige waarde. En reversing de ‘Rutte-doctrine’ mag ik niks meer zeggen over bonnetjes, ik mag wel wat zeggen over dezelfde fouten door partijgenoot van Teeven als het om het onrechtmatig verwijderen van de e-mails gaat.
Near Online data slaat op data die je als gebruiker zelf kan ophalen zonder dat iemand van beheer een tape cassette of een optische disk uit de safe moet halen of een disk moet inschakelen. Het concept wordt door o.a. IBM ook wel Nearline genoemd als samentrekking van (near)online data, wat verhullend is. Wat Near Online dan wel Online wordt genoemd, is afhankelijk van de leverancier. Langzame HD’s worden ten onrechte Near Online genoemd. Near Online wordt ook verkocht met de slogan “at an offline price”. Maar Near Online software, een tape robot, optical jukeboxes en/of MAID brengen ook extra kosten met zich mee.
Near Online is inderdaad geen alternatief voor archivering. Het uitstellen van archivering door het DIKW-model laat de data alsmaar groeien. En als de berg data erg groot wordt, dan wordt het een steeds groter probleem om deze alsnog te archiveren en de data bruikbaar te houden. Een organisatie met een laag Analytical Capability Maturity Model niveau kan wel wishdom willen, maar misschien niet eens voldoen aan de AVG wetgeving ondanks Artificial intelligence, Datawarehouses en Business Intelligence specialisten.
De systemen waar een tape met een barcode door een robot in een tapedrive geladen wordt zijn me niet onbekend en weten op welke tape gevraagde data staat ook niet. Veel organisaties misbruiken nog altijd de back-up voor archivering. En dan wordt de I van informatie in DIKW-model wat lastig omdat classificatie niet vanuit de business gemaakt is. De ‘litigation costs’ van geen actief geheugen geldt voor de reconstructie, het wie wist wat op welke moment als we kijken naar het RBAC-model in de klassieke silo’s van applicaties.
En de berg data wordt erg groot als we kijken naar fenomeen van ongestructureerde data doordat we van de eerdere Systems of Record naar Systems of Collaboration zijn gegaan. Hele concept van een datawarehouse is achterhaald, nieuwe realiteit is video als ik kijk naar alle vergaderingen via Teams en de mogelijkheden van ‘cognitieve’ AI. Videoverslagen in plaats van de ouderwetse notulen, denk dat de Rutte-doctrine een update nodig heeft. Want nieuwste module kijkt naar lichaamstaal als een soort van leugendetector en met VR kunnen we de neus van sommigen wel verlengen.
Om even terug te komen op de vraag over een centralisatie van data, waarom?