Overstappen naar de cloud: het klinkt tegenwoordig als de gewoonste zaak van de wereld, maar afscheid nemen van je eigen datacenter en vertrouwen op systemen van derden brengt heel wat hoofdbrekens met zich mee. Voor organisaties die in de financiële sector werkzaam zijn, zijn er nog net wat meer uitdagingen. Hoe ga je voldoen aan alle regels die toezichthouders en overheden stellen? Hoe ga je bewijzen dat je compliant bent? Met welk deel van je IT ga je naar de cloud? En ben je als bedrijf wel goed voorbereid? Een eerste tip: het is een flinke lijst met complexe vraagstukken. Probeer vooral zelf het wiel niet uit te vinden.

Bij een cloudtransitie, ontkom je niet aan de meest essentiële vraag: is mijn data wel veilig? Dat je als organisatie secuur met gegevens omgaat, moet je kunnen bewijzen. Of je je gegevens nou opslaat op eigen servers of in de cloud. Onder de streep betekent compliant zijn dat je wet- en regelgeving naleeft, zowel regels van externe partijen als interne bedrijfsafspraken. Vooral in de financiële sector gaat het om gevoelige gegevens. Denk dan aan bank- en in sommige gevallen zelfs gezondheidsgegevens, zoals bij verzekeringen of hypotheken. Daar moet je extreem voorzichtig mee zijn.

Als bedrijf in de financiële sector moet je aan allerlei verplichtingen voldoen. Denk aan wetten van de overheid en regels van de AFM, De Nederlandsche Bank en andere toezichthouders. Je moet verklaringen kunnen afleggen van compliancy, denk bijvoorbeeld aan ISAE 3402 type 2 en SOC 2. Of voldoen aan wetgeving zoals de AVG of Schrems 2, dat uitspraken doet over waar je, geografisch gezien, data van EU-ingezetenen al dan niet mag onderbrengen. Om echt compliant te zijn moet je aantonen dat je voor alle problemen een oplossing hebt en dat je als bedrijf in control bent.

Business weer laten draaien

Zeker voor bedrijven in de financiële sector is het in de periode voor een livegang essentieel om alle risico’s die er zijn in kaart te brengen. Hoe snel moet je je business weer draaiende hebben als er zich een ramp voordoet? Stel dat je dat binnen acht uur moet kunnen, dan heb je even de tijd en hoef je niet per se twee systemen naast elkaar live te hebben. Maar heb je de verplichting opgelegd gekregen van een van de toezichthouders of een belanghebbende, om binnen een minuut weer live te zijn, dan moet je wél zorgen dat alles wat belangrijk is stand-by staat. Stel dat je als bank geen geld meer kunt overschrijven, omdat het datacenter het tijdelijk niet doet, dan raakt dat de hele sector, en misschien zelfs de hele maatschappij. Dat mag dus nooit gebeuren.

Voor de klantengroep van Info Support zijn er twee grote cloudaanbieders: Amazon en Microsoft met hun Azure-platform. Daarnaast maakt een steeds grotere groep klanten gebruik van de Info Support -cloudomgeving, die in onze eigen datacenters draait. Info Support snapt die systemen als geen ander en weet weet hoe security-officers of de risk- & compliance-officers van een bedrijf kunnen aantonen dat ze compliant zijn. Bij dat laatste ligt een grote uitdaging. Je moet als bedrijf namelijk zelf laten zien dat je compliant bent. Dat doe je door – naast verklaringen aan te leveren – bewijzen te verzamelen.

Bij het inregelen van een nieuw systeem raadt Info Support klanten aan om er een pentest op los te laten door een extern beveiligingsbureau. Schiet maar een gat in de verdediging als je denkt dat dat lukt. Vervolgens kan het Security Operations Center (SoC) van de klant zelf, als het live staat, monitoren op security-incidenten, of dat overlaten aan Info Support dat ook SoC-diensten levert.

Kosten

Valkuilen, gevaren en potentiële problemen zijn er dus genoeg. Waarom zou je jezelf als bedrijf wel aan een overstap wagen? De voordelen zijn groot. Een eigen serverpark beveiligen en compliant krijgen – en houden – kost óók de nodige effort. Werken in de cloud is snel en praktisch. Je kunt makkelijk je capaciteit opschalen of verkleinen. Je kunt gebruik maken van geografische risicospreiding door data op verschillende locaties op te slaan. Dat gaat allemaal veel eenvoudiger dan wanneer je zelf servers in beheer hebt.

Qua kosten valt er zeker wat te winnen. Je betaalt namelijk voor de capaciteit die je nodig hebt. Dat is logisch, maar je hoeft niet 24 uur per dag te betalen voor alle diensten die je afneemt. Dat kan ook een valkuil zijn. Neem een acceptatie-testomgeving, die draait meestal alleen tijdens kantooruren. Het is zonde om daar een hele dag voor te betalen. Daar moet je als afnemer wel aan denken. Degene die ’s avonds het licht uit doet, moet ook de servercapaciteit uitzetten. Tenminste, als het resources zijn die afgerekend worden per tijdseenheid. Er zijn bijvoorbeeld ook clouddiensten die afgerekend worden op basis van het aantal keer dat ze worden aangesproken. Dus, of dit relevant is en of dit wel zomaar kan, is afhankelijk van het doel dat je hebt met je transitie naar de cloud.

Het zijn vraagstukken waar Info Support graag hun tanden inzet. Als een bedrijf het zelf wil doen, dan kan dat ook, maar moet je keer op keer op zoek naar een oplossing voor een probleem dat waarschijnlijk al een aantal keer getackeld is door anderen. Probeer dus niet het wiel opnieuw uit te vinden.