Haarlemse Cloudvisie

Haarlemse Cloudvisie

1 juni 2024 Concerncontrol

Inhoudsopgave 1.

Inleiding

3

2.

Wat is cloud?

3

3.

Voordelen van cloud

4

4.

Nadelen van cloud

5

5.

Visie Haarlem

6

6.

Afwegingskader

7

7.

Vervolg - uitwerking naar de praktijk

8

2

1.

Inleiding De transitie van ICT-infrastructuur naar 'cloud' is volop gaande. Ook bij Haarlem is dit een steeds belangrijker wordend thema. Vrijwel alle soorten software worden anno 2024 aangeboden in de cloud. Vaak is dat in de vorm van SaaS (Software as a Service) maar ook infrastructuur en platform worden 'as a Service' aangeboden. De redenen hiervoor zijn duidelijk, over het algemeen geeft 'as a Service' meer gebruiksgemak, eenvoudiger beheer en onderhoud, vaak betere beveiliging en soms lagere kosten voor de gemeente1. De grootste voordelen op deze gebieden worden geboden in wat de Public cloud2 wordt genoemd en die wordt gedomineerd door drie grote Amerikaanse aanbieders: Amazon, Google en Microsoft. Public cloud is het goedkoopst en makkelijkst maar er zijn ook nadelen aan verbonden, zeker voor de overheid, die pas zichtbaar worden op een langere tijdlijn. Hoe veilig en vertrouwd is de data van onze inwoners als het in een datacenter in de Verenigde Staten of een ander land staat of onder een andere jurisdictie valt? En zijn we nog wel in regie op ons applicatielandschap als we alles als service afnemen3? Daardoor ontstaat spanning tussen kiezen voor de goedkoopste en makkelijkste cloud-vorm (Public cloud) en de publieke waarden waar we als gemeente voor staan.

In deze cloudvisie worden de voor- en nadelen van de verschillende varianten uitgewerkt en wordt een afwegingskader voorgesteld.

2.

Wat is cloud? De meest bekende vorm van cloud is 'Software as a Service' of SaaS. SaaS is kant-en-klare software die via de cloud wordt geleverd. Bij SaaS is niet meer dan een browser en inloggegevens nodig om toegang te krijgen tot software die ergens op een server op het internet draait. Een veelgebruikte SaaS-dienst binnen de overheid is Microsoft Office365 met o.a. Word en Teams om samen te kunnen werken, andere voorbeelden zijn internetbankieren en webwinkels (bol.com, Amazon). Inmiddels is SaaS volledig ingeburgerd maar toch is het een relatief nieuwe vorm van softwarelevering. Slechts 10 tot 15 jaar terug werd software voornamelijk geleverd door installatie op computers van de gemeente. Inmiddels is de kwaliteit van internet zodanig dat software op afstand gebruikt kan worden zonder deze lokaal te installeren. Naast SaaS zijn nog andere 'as a Service'-vormen beschikbaar in de cloud, waarvan IaaS en PaaS het meest relevant zijn: 1

De totale kosten voor software nemen doorgaans niet af, er treedt een verschuiving op van zelf doen naar inkopen, de kwaliteit van beheer en updates is door de schaalgrootte bij leveranciers vaak wel beter gegarandeerd. 2 Naast Public cloud kennen we ook Private cloud, met vergelijkbare technieken maar in bezit van organisaties zelf die meer controle kunnen uitoefenen. 3 Zie o.a. Nederland en de EU: zet in op cloud soevereiniteit van Instituut Clingendael.

3

• IaaS (Infrastructure as a Service) IaaS biedt een virtuele infrastructuur, zoals servers, opslag en netwerken, via de cloud. Het is alsof je de hardware van een traditioneel datacenter huurt, maar dan online, zonder je zorgen te maken over het fysieke onderhoud van de hardware. • PaaS (Platform as a Service) PaaS levert een platform waarop ontwikkelaars applicaties kunnen bouwen, testen en uitrollen. Het neemt veel van de technische rompslomp weg, waardoor ontwikkelaars sneller en efficiënter kunnen werken.

3.

Voordelen van cloud De voordelen van SaaS en de andere cloud-vormen zit in het overdragen van de verantwoordelijkheid voor beheer en onderhoud naar de leverancier, zie de figuur hieronder.

Figuur 1 - illustratie van verschuiving van verantwoordelijkheid bij gebruik- van 'as a Service'

De leverancier zorgt ervoor dat de service in de cloud draait en beschikbaar is, daar heeft de afnemer geen zorgen meer over. Dat was voorheen niet het geval, alles draaide 'On Premise', de gemeente was zelf verantwoordelijk voor het aanschaffen, distribueren, installeren, updaten, beveiligen en ondersteunen van de software. Dat vraagt van de gemeente een hoog kennisniveau op het gebied van beheer en beveiliging wat in de huidige schaarse arbeidsmarkt lastig te krijgen is. Voor de ICT-afdeling is cloud veel eenvoudiger te beheren, (beveiligings)updates en dergelijke worden door de leverancier doorgevoerd. De service is ook vaak schaalbaar in capaciteit, rekenkracht en opslag wat kan helpen bij pieken in het gebruik. Hoe meer als service uit de cloud kan worden afgenomen, hoe beter. Het betekent wel een ander soort rol voor de ICT-afdeling, van zelf doen naar regie voeren. Dat vraagt een nieuwe IV-organisatie naast de oude, met andere competenties en een andere vorm van sturing en beheersing. Een groot deel van het werk voor de IV-organisatie blijft hetzelfde maar de organisatie zal ook hoogwaardiger en professioneler moeten

4

worden omdat externe ontwikkelingen en vereisten ons daartoe dwingen. Op de ontwikkeling van het nieuwe deel van de organisatie zal gestuurd en geïnvesteerd moeten worden. Voor het deel dat door de leverancier wordt beheerd zijn continuïteit en beschikbaarheid vaak ook beter geregeld. Het is daarmee een van de bouwstenen voor 24/7 dienstverlening. Voor eindgebruikers in de gemeente is het ook veel prettiger, door snellere updates kunnen ze beschikken over de laatste versie van de software en plaats en tijdonafhankelijk werken wordt ondersteund. De snellere updates zijn ook belangrijk bij informatiebeveiliging. Als laatste het voordeel dat cloud gemeenten gelegenheid biedt om meer eenheid te brengen in de technische infrastructuur. Door te standaardiseren op hetzelfde platform (Haven) wordt het mogelijk om samen te organiseren en samen toepassingen te ontwikkelen. Alle programmatuur die binnen Common Ground wordt ontwikkeld draait op Haven, dat maakt een versnelling mogelijk voor samen organiseren als Haarlem daarvoor kiest.

4.

Nadelen van cloud De positieve kanten van cloud hebben ook een tegenhanger die vaak samenhangt met de voordelen. Alle data en alle functionaliteit bevindt zich op computers van derden. Deze derden hebben volledige controle over de beschikbaarheid, integriteit en vertrouwelijkheid ervan. De vertrouwelijkheid kan onder andere jurisdicties vallen met wetgeving die niet overeenkomt met de onze en in sommige gevallen worden overruled. De drie grootste leveranciers van cloud zijn Amerikaanse bedrijven: Amazon, Google en Microsoft. De Amerikaanse overheid behoudt zich het recht voor om de opgeslagen data in te zien, ook als die zich op het grondgebied van andere overheden bevindt. In theorie kan een leverancier van cloud ook overgaan tot het afsluiten van de services in de cloud, al dan niet gedwongen door de eigen overheid. De overdracht van verantwoordelijkheid zoals geïllustreerd in figuur 1 kan ook worden gezien als overdracht van soevereiniteit en roept de vraag op in hoeverre we bij het opslaan van data in de cloud onze zeggenschap kunnen behouden. Migraties naar cloud zijn complexe projecten. Eenmaal uitgevoerd ontstaat een lock-in van data, koppelingen en functionaliteit die lastig om te keren is en die leidt tot afhankelijkheid van de leverancier (vendor lock-in). In de praktijk kun je moeilijk terug.

Dat wordt nog versterkt doordat de verschillende services die de grote leveranciers aanbieden niet zonder meer uitwisselbaar zijn. Tenzij gebruik wordt gemaakt van standaarden is het niet mogelijk om iets dat voor de Amazoncloud gebouwd is over te zetten naar Microsoft of Google en andersom. De risico's kunnen voor een deel worden weggenomen met wetten, verordeningen, richtlijnen, contracten en inkoopvoorwaarden, denk aan het Data Privacy Framework (voorheen Privacy Shield). Dit biedt papieren zekerheid, de praktische realiteit is dat data en functionaliteit worden overgedragen aan een derde die: • toegang tot de Service kan blokkeren (beschikbaarheid) • de data kan manipuleren (integriteit) • de data bedoeld of onbedoeld kan lekken of inzien (vertrouwelijkheid) De risico's lijken onwaarschijnlijk maar wanneer we deze constateringen combineren met de vaststelling dat migraties naar cloud voor lange duur worden aangegaan en moeilijk omkeerbaar zijn, is het van belang om terughoudend te zijn met het opslaan van overheidsdata buiten onze

5

landsgrenzen en onze eigen jurisdictie en om voortdurend alert te zijn op het tegengaan van al te grote afhankelijkheid van één of een beperkt aantal leveranciers.

5.

Visie Haarlem We willen in Haarlem optimaal profiteren van de voordelen van de cloud. Ons streven is gericht op het zoveel mogelijk uitbesteden van complex en duur beheer en onderhoud, naar het verbeteren van de beschikbaarheid en continuïteit van dienstverlening en bedrijfsvoering en naar het optimaliseren van kosten en het efficiënt inzetten van schaars personeel. We willen daarom zoveel mogelijk richting Public cloud en SaaS. Maar door de beschreven nadelen kan niet alle data en functionaliteit naar de Public cloud en SaaS worden gebracht. We werken als gemeente vanuit publieke waarden, o.a. beschreven in de Visie op de Informatiesamenleving4, en in de Haarlemse Visie op Data. In de cloud-visie maken we expliciet hoe we deze waarden vertalen naar cloud en daarmee richtinggevend voor ons handelen worden. Hieronder beschrijven we welke waarden het meest relevant zijn voor de keuze om al dan niet gebruik te maken van de Public Cloud.

• Gegevens zijn betrouwbaar en veilig Inwoners en ondernemers moeten erop kunnen vertrouwen dat de gemeente zorgt dat de gegevens waar de gemeente mee werk kloppen en dat ze bij haar in veilige handen zijn. De gemeente zorgt voor betrouwbare en veilige opslag van de gegevens die de gemeente over hen registreert, privacy en security moeten gegarandeerd zijn, de resultaten van DPIA's5 en DTIA's6 spelen daarbij een belangrijke rol. We moeten zoveel mogelijk zeker stellen dat anders dan de gemeente en de betrokkenen zelf niemand anders toegang heeft of kan krijgen, we moeten soeverein kunnen beschikken over onze data. • Transparant en controleerbaar We moeten als gemeente transparant en controleerbaar zijn over de plekken waar data en functionaliteit zich bevinden. Ook zijn we transparant over de afweging in concrete gevallen om wel of niet gebruik te maken van een cloudoplossing. • Duurzaam en verantwoord Bij de keuzes in de cloud kijken we ook naar duurzaamheid en verantwoording, we letten op stroomverbruik, verbruik van grondstoffen, mensenrechten en arbeidsomstandigheden. We geven voorrang aan groene datacenters en bij aanbestedingen hanteren we de Internationale Sociale Voorwaarden. Een waarde die niet in de eerder genoemde visie is opgenomen maar die in de discussie over de cloud wel heel relevant is , is onze eigen gemeentelijke autonomie.

4

Zie de Visie op de Informatiesamenleving die gelijktijdig met deze visie aan de raad wordt aangeboden. DPIA staat voor Data Protection Impact Assessment: een systematische proces voor het identificeren en minimaliseren van de privacyrisico's van gegevensverwerkingsactiviteiten. 6 DTIA staat voor Data Transfer Impact Assessment (DTIA): een beoordeling van de privacy- en beveiligingsrisico's verbonden aan de overdracht van persoonsgegevens naar landen buiten de Europese Economische Ruimte (EER). 5

6

•

Autonomie gegarandeerd We moeten blijvend kunnen garanderen dat we in regie zijn op onze eigen informatievoorziening en bij veranderende omstandigheden vrij zijn om andere keuzes te kunnen maken. We zullen daarom actief moeten waken tegen te grote leveranciersafhankelijkheid. We zorgen o.a. altijd voor een passende exit-strategie en we passen zoveel mogelijk open standaarden toe, open standaarden maken het mogelijk om data en functionaliteit over te zetten naar andere leveranciers of systemen die ondersteuning bieden voor dezelfde standaarden

We zullen voortdurend moeten zoeken naar een middenweg tussen het profiteren van de onmiskenbare voordelen van cloud en het verantwoord omgaan met de nadelen7. De beweegruimte van de gemeente is echter beperkt, net als de mogelijkheden voor beïnvloeding. De Europese markt voor cloud-diensten wordt gedomineerd door een klein aantal Amerikaanse leveranciers die de beste technologie voor een aantrekkelijke prijs bieden, de ontwikkeling van Europese diensten van een vergelijkbaar niveau kan alleen op landelijk en Europees niveau worden aangestuurd. Voor Haarlem betekent dit dat we om de publieke waarden voor de cloud zoveel mogelijk te kunnen garanderen (een deel van) onze overheidsdata en functionaliteiten voorlopig zullen moeten opslaan en laten draaien in eigen of gedeelde datacenters of bij Nederlandse of Europese entiteiten die niet onder invloed staan van andere rechtssystemen. Bij het opstellen van de eisen aan alle soorten cloud-oplossingen haken we aan bij eisen vanuit het Rijk8 en de VNG9. Bij vervangingen moeten we per geval beoordelen wat de meest geschikte vorm is: SaaS of andere 'as a Service'-vormen in Public cloud, eigen datacenter (On Premise) of, voor zover beschikbaar, Private cloud, in samenwerking met andere (gemeentelijke) overheden10. Om de keuze goed te kunnen maken is een afwegingskader opgesteld.

6.

Afwegingskader Door middel van het afwegingskader wordt voor elke applicatie of gegevensverzameling afgewogen of en zo ja, welke cloud-oplossing passend is. Public cloud wordt het voorkeursmodel in vernieuwingsvraagstukken tenzij dat strijdig is met publieke waarden. In die gevallen wijken we uit naar Private cloud, al dan niet gedeeld met andere overheden, of naar ons eigen datacenter (On Premise). Als Public cloud passend is gaat de voorkeur uit naar SaaS, anders naar PaaS en vervolgens naar IaaS. In onderstaande beslisboom is het afwegingsproces gevisualiseerd.

7

Zie hiervoor ook het rapport Raad weten met digitalisering van het Rathenau Instituut waarin wordt beschreven hoe publieke waarden door digitalisering onder druk kunnen komen en wat de rol kan zijn van de gemeenteraad daarin. 8 Zie: Rijksbreed cloud-beleid en Implementatiekader risicoafweging cloudgebruik 9 Zie: GIBIT | VNG 10 Het op die manier gebruik maken van verschillende vormen van cloud (Public cloud, Private cloud en ook On Premise) noemen we Hybrid cloud.

7

Het afwegingskader moet worden toegepast bij alle vernieuwingen en vervangingen.

7.

Vervolg - uitwerking naar de praktijk Met het vaststellen van de waarden en het afwegingskader wordt richting geboden aan de ontwikkeling en de adoptie van cloud in de praktijk. Er zal een eigen datacenter moeten worden ingericht dat een betrouwbaar veilig, zoveel mogelijk gestandaardiseerd en wendbaar ICTfundament biedt door gebruik te maken van moderne technologieën en standaarden. We zullen ook de vaardigheden moeten gaan versterken en ontwikkelen om het hybride applicatielandschap op een goede manier te kunnen beheren en waar nodig ontwikkeling en beheer van data en applicaties in de cloud te kunnen regisseren. Daarbij gaat het o.a. om: • Cloudadoptie en -migratie Opbouwen van expertise in het adopteren en migreren van bestaande applicaties en data naar de cloud. Dit omvat het begrijpen van cloud-architectuur, beveiligingspraktijken en het beoordelen en kiezen van passende cloud-providers • Beveiliging en compliance Blijven investeren in beveiligingsmaatregelen om gegevens en diensten in de cloud te beschermen. Dit omvat identiteitsbeheer, toegangscontrole en naleving van regelgeving. • Dataverwerking en -beheer Een sterke datacompetentie m.b.t. de inzet en het gebruik van cloud is essentieel om door dataanalyse inzichten te verkrijgen.

• Samenwerking en verandermanagement Personeel trainen en bewust maken van de invloed die veranderingen rond cloud hebben in de dagelijkse praktijk. Samenwerking met andere overheidsinstanties en leveranciers is daarbij ook belangrijk. • Innovatie en wendbaarheid Bevorderen van een cultuur van innovatie en snel kunnen reageren op veranderende behoeften.

8

• Financieel management Aanpassen van onze financiële modellen of nieuwe modellen ontwikkelen om de kosten van cloudservices te beheren. Dit omvat budgettering, kostenanalyse en optimalisatie Beveiliging en compliance zullen worden uitgewerkt in een verdiepend kader voor het gebruik van de (Public) cloud. De opbouw van een nieuw datacenter, het samenwerken met andere (gemeentelijke) overheden bij het opzetten van een Private cloud en de noodzakelijke ontwikkelingen van de organisatie en de benodigde vaardigheden zullen worden uitgewerkt in een transitieplan. Daardoor zal ook meer duidelijkheid kunnen worden geboden over de financiële consequenties.

9

Bijlage : samenhang beleid informatiedomein

10

Dit is een uitgave van gemeente Haarlem, 1 juni 2024

Tekst: afdeling Concerncontrol, Fotografie: [Naam], Ontwerp: [Naam], Drukwerk: [Naam] ________________________________ Postbus 511 2003 PB Haarlem Tel. 14 023 haarlem.nl 11