SaaS of software: wat is veiliger?

COMPUTABLE EXPERT

dr.ir. Maarten van Emmerik

Directeur

Expert van Computable voor het topic Cloud Computing

Meer

De meeste organisaties en personen zijn er inmiddels van overtuigd dat het veiliger is om geld bij de bank te bewaren dan in een kluis of onder een matras. Dit ondanks, of misschien juist dankzij, recente ervaringen met instanties als Icesave en DNB. Maar gaat dit ook op voor het onderbrengen van vertrouwelijke gegevens bij een SaaS-leverancier versus hosting op eigen servers? Net als bij geld gaat het hier om twee aspecten van veiligheid. Kan ik er op elk moment zelf bij en kan ik er op vertrouwen dat anderen er niet mee vandoor gaan? Kortom, beschikbaarheid en vertrouwelijkheid.

Beschikbaarheid

De beschikbaarheid is bij een SaaS goed te kwantificeren en wordt meestal in een service level agreement (SLA) opgenomen. Een beschikbaarheid van 99,8 procent betekent dat het systeem maximaal 1,5 uur per maand niet bereikbaar is. Een systeem kan alleen beschikbaar zijn als aan alle randvoorwaarden is voldaan: electriciteit, netwerk, storage, servers en software. Om de beschikbaarheid te verhogen zal een SaaS-leverancier deze componenten ten minste dubbel moeten uitvoeren. In de praktijk betekent dit aansluiting op meerdere electriciteitsnetwerken, meerdere datanetwerken, dieselgeneratoren en batterij back-up en dubbele hardware. Deze faciliteiten worden standaard door professionele datacenters aangeboden.  

Om een goede beschikbaarheid te leveren is één datacentrum niet genoeg. Er kan altijd een calamiteit plaatsvinden en back-ups moeten sowieso op een andere beveiligde locatie worden opgeslagen. Een SaaS kan een tweede datacenter als back-up of 'disaster recovery'-site inrichten. De dagelijkse back-ups worden via een beveiligde verbinding van de productiesite naar de back-upsite overgestuurd. Aangezien daar ook een volledige omgeving ingericht is kunnen de back-ups hier gerestored worden. Dit heeft als voordeel dat de klant zelf de back-ups kan controleren door op de back-upsite in te loggen. In deze configuratie heeft de SaaS-aanbieder een N+2 redundante infrastructuur. Een hot back-up op de productiesite en een extra back-up op een andere locatie.  

Wat betreft beschikbaarheid kan een SaaS-leverancier dus meestal een betere beschikbaarheid bieden dan een organisatie die de software zelf op één enkele locatie heeft draaien. Organisaties met meerdere interne datacenters kunnen uiteraard een soortgelijke beschikbaarheid intern bereiken, zei het tegen hoge kosten. Alle componenten moeten dus drie maal uitgevoerd worden en daarnaast zijn er kosten voor synchronisatie en 24 uur monitoring van de applicatie. We kunnen stellen dat het voor kleine organisaties praktisch niet uitvoerbaar is om dezelfde beschikbaarheid te bieden en voor grote organisaties alleen tegen veelal hogere kosten.

Vertrouwelijkheid

Om te voorkomen dat onbevoegden gegevens kunnen inzien of wijzigen is veel standaardtechnologie beschikbaar zoals databaseversleuteling, versleutelde internetverbindingen (https), firewalls en IP-filtering. Daarnaast moet de applicatie zelf een goed ingebouwd beveiligingsmodel bieden op basis van rollen en rechten. Gebruikers worden toegekend aan groepen en per groep wordt bepaald welke gegevens bekeken of gewijzigd mogen worden. Ook is een zogenaamde audit trail van belang. Systeembeheerders kunnen zien wie er heeft ingelogd en welke data wanneer gewijzigd is. Deze audit trail kan helpen om het beveiligingsmodel te controleren en verder te optimaliseren.  

De infrastuctuur zoals boven beschreven kan met relatief lage kosten zelf ingericht worden of zit deels in de software zelf. Een SaaS-aanbieder zal wat dit betreft vaak niet heel veel toegevoegde waarde leveren ten opzichte van intern hosten. Als de software alleen intern gebruikt hoeft te worden, dan kan intern hosten veiliger zijn omdat het netwerk niet van buiten bereikbaar is. Deze confguratie werkt uiteraard niet als organisaties informatie willen uitwisselen met derde partijen zoals klanten, leveranciers, partners en prospects. Het participeren in bedrijfsprocessen door de 'extended enterprise' is veelal juist de reden om voor een SaaS te kiezen.  

Een belangrijk verschil tussen SaaS en interne hosting is dat de interne ict-afdeling niet meer bij de servers en database kan. Bij interne software hebben ict-medewerkers vaak wachtwoorden waarmee vertrouwelijke gegevens zoals salarissen en e-mailberichten opgevraagd kunnen worden. Voor unit managers en directie kan dit een argument zijn om juist voor een SaaS te kiezen. Hetzelfde kan spelen bij samenwerkingsverbanden of conglomeraten die via een SaaS aan bedrijfsprocessen samenwerken. Het installeren van de software bij één van de partijen kan gevoelig liggen bij de overig partijen. De SaaS-aanbieder wordt als neutrale partij gezien en heeft zelf ook geen enkel belang bij inzage in interne informatie.

Conclusie

Over het algemeen zou je kunnen stellen dat SaaS in de meeste gevallen een betere combinatie van beschikbaarheid en vertrouwelijkheid kan bieden dan interne hosting. Organisaties die voldoende budget en faciliteiten hebben kunnen de veiligheid nog verhogen door op een intern netwerk te werken. De keuze wordt ook bepaald door (bedrijfs)politieke factoren. Sommige SaaS-aanbieders leveren ook een soort 'best of both worlds'-oplossing waarbij de klant een eigen server krijgt die wel bereikbaar is voor eigen medewerkers en alleen via een speciaal netwerk. Deze 'single-tenant'-configuratie is misschien formeel geen SaaS meer, maar een soort 'private banking' naar analogie van het bankwezen.