Nederlandse ministeries hebben beperkt zicht op eigen clouddiensten

Nederlandse overheidsorganisaties hebben beperkt zicht op welke clouddiensten ze zelf gebruiken. Dat blijkt uit een inventarisatie van de Algemene Rekenkamer. In een kwart van de gevallen is het niet eens bekend of het gaat om een publieke aanbieder als Amazon of Google.

Van de 1588 clouddiensten zitten er 477 bij een overheidsdatacenter of andere 'private cloud'-aanbieder. Bij 700 diensten gaat het om een 'public cloud'-aanbieder als Amazon, Google of Microsoft, meldt de Algemene Rekenkamer. Bij 411 is het niet eens bekend bij de ministeries zelf of het gaat om een 'public' of 'private' aanbieder, of een hybride vorm.

Van die 700 clouddiensten bij 'public cloud'-aanbieders, zijn er 126 'materieel', dus belangrijk voor de dienstverlening van de organisatie. Bij twee derde van die 126 clouddiensten heeft het betrokken ministerie van tevoren geen risicoanalyse gemaakt voor het gebruik van een publieke cloudaanbieder.

Volgens de Algemene Rekenkamer bestaan die risico's wel degelijk. Zo kan informatie die ministeries opslaan bij een Amerikaans bedrijf bij de Amerikaanse overheid belanden via informatieverzoeken, kunnen publieke bedrijven te maken krijgen met hacks waardoor informatie op straat komt te liggen of kan een aanbieder zich uit de markt terugtrekken of failliet gaan.

"We concluderen dat de betreffende ministeries onvoldoende maatregelen nemen om de soevereiniteit, continuïteit van dienstverlening en gegevensbescherming te waarborgen in public cloud-contracten", concludeert de Rekenkamer. "Het risico bestaat dat het Rijk producten of diensten voor burgers en bedrijven niet kan blijven leveren. Ook bestaat het risico dat gegevens van burgers en bedrijven onvoldoende beschermd zijn en kunnen worden misbruikt door kwaadwillenden en statelijke actoren."

Reacties (66)

[IOS Ries]

Als boomer roep ik al jaren dat we spijt krijgen van die transitie naar cloud. Het heeft mij de bijnaam “de boze dino” opgeleverd bij mijn jongere collega’s. Maar misschien gaat de dino toch nog gelijk krijgen….😅

Big tech heeft je data in zijn bezit en met allerlei governance belooft men trouw niet bij de data te komen. Maar zoals we momenteel merken is er veel geopolitieke verschuiving en kan het wel eens heel onverstandig zijn om je data “in the cloud” te hebben. Maar het is zo lekker kosten efficiënt hè. 🦕 #dino-out

[whiner]

En of het daadwerkelijk goedkoper is is ook nog maar de vraag.

Denk dat het vooral is, zo nu is het niet meer onze verantwoordelijkheid.

[Speleding]

En ik roep al jaren dat je de risico's van de cloudtransitie moet afwegen tegen de risico's van het zelf blijven doen. Zorgvuldig omspringen met servers, datatoegang, etc, is gewoon lastig en onze overheid heeft geen geweldige reputatie op dat vlak.

Zo'n rapport van de rekenkamer zegt me niets als ze maar één kant van het verhaal onderzoeken. Ik wil weten of het er beter of slechter is geworden ten opzicht van on premise.

[Snow_King]

Los van toegang tot de data: Big Tech kan morgen onze overheid plat leggen door je account te sluiten. Dan ben je machteloos

[gr0bi]

Ik heb zo'n gevoel dat we na jaren alles centraliseren richting de cloud straks weer meer on-premise gaan. Of een eigen cloud creëren. De welbekende golfbeweging zeg maar.

[Pogostokje]

Dat kan voor servers die ooit 1 op 1 naar de cloud gebracht zijn, maar er is zoveel meer dat in de cloud draait ... denk bijvoorbeeld aan al die SAAS applicaties of die honderden services die Azure en AWS aanbieden. Dat moet dan allemaal wel beschikbaar zijn voor on-prem en dat is een probleem geworden, want dat is er vaak niet meer (SAAS) of het is niet te betalen (Azure/AWS cloud diensten). De huidige trend in IT is een geweldige dienst in een abonnementsvorm inkopen, waarbij onderliggend technisch beheer uit handen wordt genomen. Dat kun je niet even lokaal installeren.

[Division]

In principe is die hele PaaS laag (bijv. Azure Web Apps, App Insights, etc) gebouwd op open source IaaS (Docker, Kubernetes, etc) waarbij container technologie erg centraal staat. Prima zelf in te richten, maar je zal wat meer talent in huis moeten halen.

Ik zie zo vaak dat er niet wordt nagedacht bij die PaaS laag; makkelijk = klaar. Elke keer opnieuw de duurste instances van MS SQL server terwijl er NIETS mee wordt gedaan wat een open source (!) Postgres DB ook niet zou kunnen. Alle caching via dure Redis instances, puur omdat het makkelijk aan te vinken is in Azure.

[wica]

Bedoel je met Kubernetes IBM Redhat Openshift toevallig?

[thomasv]

Nee

[wica]

We hebben het toch over de Nederlandse overheid?
Die dik betalen aan IBM.

[thomasv]

Division had het over Azure en gaf als voorbeeld Docker en Kubernetes. Op Azure is Kubernetes niet noodzakelijk RedHat OpenShift. Dat is overigens ook (deels) een administratieve interface bovenop Kubernetes, evenals Code Engine bijv. (ook IBM) dat ook is, zei het in beide gevallen iets genuanceerder dan hoe plat ik het nu sla.

[coolkil]

Denk dat ze meer betalen aan MS tegenwoordig.

[NIK0]

@wica "de Nederlandse overheid" is nogal een breed begrip. Je zult vast onderdelen hebben die klant zijn bij IBM maar er zijn genoeg onderdelen die zaken doen met andere bedrijven.

[darioboy75]

Wat @Division probeert te zeggen is dat je met Kubernetes alles wat je op OpenShift kan ook zelf kan doen.

OpenShift is meer PaaS (net wat exta's, dashboards / ingeregeld spul) ten opzichte van standaard Kubernetes. Alhoewel je dat prima ook zelf kan doen op Kubernetes, alleen dan zelf moet inrichten.

[Miggle]

Haha, ik zag je opmerking en wist direct wie dit is

[xbeam]

Docker?

LXC en LXD en SDN networking
Met proxmox kan je gewoon je eigen data center / Azure / AwS op zetten

Waarin je klanten zelf hun eigen prefab domein controler enz en VPS/ kubernetes. ai inclusief GPU of NVIDIA CUDA support kunnen deployen

https://www.proxmox.com/e...tual-environment/features

En voor je waslijst aan preconfig diensten
https://www.proxmox.com/e...all/partner/turnkey-linux

[Reactie gewijzigd door xbeam op 15 januari 2025 20:26]

[darioboy75]

Proxmox is niet een volwaardig IaaS (Infrasturcture as a service). Daar mist het toch nog wel wat building blocks voor.

Kijk dan tenminste naar OpenStack of Cloudstack wat toch echt nog meer aanbied. Dat is nog te vergelijken met een AWS / Azure / Google achtige omgeving. Als je een simpele vps wilt uitrollen dan is iets als proxmox of vmware voldoende.

[xbeam]

Het is Europees, open sources en prima starten om zelf en eigen EU cloud op te gaan bouwen.

Wat jij opnoemt is dat mij volgens niet?

We kunnen toch programmeren in Europa? Net als de Amerikanen om die ontbrekende buidling bloks voor proxmox te maken?

[Reactie gewijzigd door xbeam op 16 januari 2025 09:21]

[darioboy75]

OpenStack en Cloudstack zijn open source. Ik zal het hieronder even linken voor je.

Sources:

• OpenStack -> https://www.openstack.org/
• CloudStack -> https://cloudstack.apache.org/

Voor een simpele deployment met 3 servers ofzo moet je bij de bovenstaande twee niet zijn, maar in Nederland zijn er diverse cloudproviders op gebouwd. Denk aan TransIP, Cyso Cloud (vroeger Fuga Cloud), DirectVPS en nog meer.

[xbeam]

Thanks

[david-v]

je kan ook prima een Postgres DB als service afnemen in Azure, het hangt allemaal af van wat je nodig hebt en waar je kennis van hebt. Prijzen voor een MS SQL DB variëren van rond de €12 per maand (alleen voor test/ontwikkel) tot wel meer dan €40.000. Ik denk dat weinig mensen kiezen voor de duurste

Maar, ik geef je wel volkomen gelijk dat er vaak hoge kosten worden gemaakt door een verkeerde keuze of dimensionering van wat je nodig hebt. In mijn eerst jaar op het project wist ik al bijna 50% kosten te verlagen door de juiste dimensionering te kiezen. Een machine die bij zeer hoge drukte amper boven de 5% CPU komt is echt zonde. Kies dan voor wat goed genoeg is tijdens normale druk en schaal automatisch indien nodig bijvoorbeeld. Daar is cloud uitermate goed in in de meeste gevallen.

Wat je ook niet moet vergeten is dat het niet alleen gaat om het ijzer maar om alles wat je moet regelen om aan de eisen te voldoen. Alle ISO certificeringen die door afnemers/klanten geëist worden kan nogal een prijzige opgave zijn voor een bedrijf. De datacenters van de cloud aanbieders hebben wat dat betreft al een streepje voor.

[schrikbeeld]

Dus kan je stellen dat big-tech ons geheel in de tang hebben en dat is precies wat @IOS Ries bedoelt.
En met de geopolitieke verschuivingen, ook @IOS Ries , en de toenemende Russische hack-activiteiten is het wachten op een ramp voor commerciële bedrijven en overheden.

Edit: Typo.

[Reactie gewijzigd door schrikbeeld op 16 januari 2025 17:46]

[Division]

De komende vier jaar gaan ons leren over hoe verstandig het is om alles op servers van US-based cloud leveranciers te houden.

[MrMonkE]

Ja we zijn nu aan het De-decentraliseren!

[tendmex]

Dat denk ik niet. Al is het maar omdat Microsoft alles zal blijven pushen naar 'de cloud' want daar hebben zij de macht, en komt het geld bij hen binnen...

[sOid]

@arnoudwokke Ik zou het erg prettig vinden als in artikelen meer wordt benadrukt om wélke overheidsdienst(en) het gaat. In dit geval gaat het om de Rijksoverheid, maar dat staat er niet duidelijk in.

Nederlandse overheidsorganisaties hebben beperkt zicht op welke clouddiensten ze zelf gebruiken.

Een zin als dit gaat dus helemaal niet over lokale/uitvoerende overheden, maar zo kan je dat wel interpreteren.

[Lisadr]

Het gaat om 'Het Rijk', rijksoverheid ofwel centrale overheid.

[sOid]

Ja. Maar dat staat pas in de laatste alinea.

[Transportman]

Ik werk bij een overheidsorganisatie en herken dit beeld (helaas). Op hoog niveau worden er eigenlijk geen keuzes gemaakt en zelfs enorm gezwabberd, van "hoe krijgen we de belangrijke processen zo snel mogelijk in de cloud" naar "de cloud is slecht". En we hebben ook wel een intern Kubernetes cluster draaien, maar als je daarop zit, heb je eigenlijk geen van de voordelen maar wel diverse nadelen, en dat ligt voor zover ik kan zien echt niet aan het team dat het heeft opgezet en er verantwoordelijk voor is, maar aan de keuzes (of het gebrek daaraan) van hoger niveau.

[Reactie gewijzigd door Transportman op 15 januari 2025 21:31]

[Orian0k]

Ik zit in dezelfde situatie en kan me aansluiten bij je inzicht.

[Division]

Gewerkt in een team waar we meededen aan de bids voor projecten, en het was vaak nodig dat het allemaal in een public cloud moest komen te hangen. Niet per se vanuit de spec, maar meer vanuit het feit dat er onvoldoende budget/mankracht was om het zonder PaaS te doen. Zelf docker containers opspinnen en onderhouden? "Heel leuk maar wie gaat dat bijhouden?"

Centraal staat het probleem dat elk ministerie hun eigen ding doet, met eigen leveranciers en die leveranciers zijn na oplevering minder betrokken.

[evers97]

Kan gemakkelijk in private cloud omgevingen in Nederland. Aanbieders zat.

[jumbos7]

Je zou toch mogen verwachten dat de overheid op zijn minst voor de meest gevoelige data strenge regels heeft voor het gebruik van clouddiensten en de documentatie daarover en naleving daarvan ook af weet te dwingen.

[Henk1827]

Het is toch onbegrijpelijk dat er persoonlijke, financiële en andere gevoelige gegevens van Nederlanders en Europeanen in de cloud zitten van een US bigtech cloud bedrijf.

Bigtech cloud belooft de data niet te gebruiken, maar dat is onmogelijk te controleren. Onbegrijpelijk wat een vertrouwen er is in deze bedrijven die aan de lopende band de regels overtreden en daar ook boetes voor krijgen.

Met Trump en zijn oligargen aan de macht zijn we toch knettergek dat we dit toelaten.

Ga Europees, er zijn hele goed alternatieven:

https://european-alternat...cloud-computing-platforms

[Ruthhl3ss]

Er is eigenlijk geen echt alternatief voor Microsoft 365. Alle services die hier ondervallen worden door geen enkel bedrijf geevenaart.

De Europese unie heeft de afgelopen jaren geslapen als het gaat om het aanbieden van een dergelijk vergelijkbare microsoft 365 dienst.

Voor Azure zijn er prima alternatieven.

[Henk1827]

Eens dat de Europese alternatieven niet altijd dezelfde features bieden als de US variant. Maar je kan heel ver komen met EU tech. Daarnaast betaal je met US services ook in de vorm mindere autonomie en privacy.

[Ruthhl3ss]

Ben ik met je eens maar ik ben bang dat deze boot de haven al verlaten heeft.

Ik zou ook graag zien dat er een echt Europees Microsoft 365 alternatief zou zijn. Helaas is er meer innovatie mogelijk in the US en zwaait big tech daar met scepter.

[Henk1827]

Dat de boot de haven heeft verlaten betekent niet dat je niets kan doen, en moet opgeven. Als MKB heb je ruim voldoende aan EU tech.

[Ruthhl3ss]

Ik denk niet dat dit klopt. Als MKB heb je juist alles in de Microsoft 365 suite die overal is voorziet. In Enterprises zou je gemakkelijker eigen infra kunnen hebben.

[Henk1827]

MS voorziet in hele hoop, maar ook niet alles. Kijk eens op https://european-alternatives.eu/categories en je zal versteld staat hoeveel er in Europa te krijgen is. Het zal best kloppen dat de Europese alternatieven minder features hebben en minder geintegreerd zijn. Maar zoals gezegd betaal je door autonomie en privacy weg te geven. Ook moet je als bedrijf goed beseffen wat je in huis haalt, US bigtech bedrijven zijn altijd opzoek naar een lock-in zodat je ze kunnen uitmelken. In dat opzicht hebben Europese bedrijven nog enigzins een moreel kompas (Wat wss een van de redenen is waarom ze minder succesvol zijn).

[Ruthhl3ss]

Ik ben het zeker met je eens dat je je ziel verkoopt als je de Microsoft 365 Suite gebruikt. Ik heb de alternatieven bekeken maar dat zal waarschijnlijk betekenen dat je 10 providers nodig hebt voor vergeljkbare diensten. Je kunt niet van MKB bedrijven verwachten dat zij dit uit gaan pluizen. De integratie in Europa moet beter zoals je zegt ook al zegt. Anders denk ik niet dat dit zal veranderen. Hoe zie jij dat?

[Henk1827]

Als voorbeeld gebruiken wij bij de klant Office 365, en dan specifiek mail, calendar, Teams en office. Voor ons eigen bedrijf zitten we voor mail en calendar op Proton, Mattermost/Rocketchat voor chat/bellen, en voor office hebben we een andere tool. Dan kom je met drie diensten al aardig in de buurt van features die MS biedt. Daarbij gezegd dat de experience misschien wat minder soepel is.

Als je het uit de ogen van een gemiddelde MKB bekijkt dan is de keuze denk ik snel voor MS365 gemaakt. Maar als je een beginnend EU tech bedrijf bent, en je weet dat je in lock-in fuik van US bigtech loopt, en je hebt een beetje grit om dingen beter te maken, dan kan je een heel eind komen door Europa tech te gebruiken. Wij hebben het gedaan (heel klein bedrijf), en het bevalt ons heel goed.

Ik denk dat een grote factor ook de marketing van US tech is. Als een paar managers bijelkaar gaan zitten en zich gaan afvragen welke cloud ze moeten gaan gebruiken, zal Exoscale waarschijnlijk niet genoemd worden. Maar wel Azure, AWS, GCP. Dat is jammer want er is echt genoeg aanbod.

P.s. Voor cloud gebruiken we Scaleway en dat werkt super. De UI vind ik zelfs beter dan Azure en AWS. Niet hyperscalable, maar dikke machines zijn beschikbaar.

[Reactie gewijzigd door Henk1827 op 17 januari 2025 13:05]

[Ruthhl3ss]

Interessant! Dank voor de open discussie. Ik zal mijn ogen en oren open houden bij de volgende keuze voor een cloud product. Ik vind het ook zeer belangrijk dat de Europese cloud positie versterkt wordt.

[beerse]

To cloud or not to cloud....

Begin deze eeuw werkte ik bij een bedrijf dat in haar rekencentrum computers van hun klanten had staan. Die draaide daar live of schaduw voor het geval dat. Dit was al sinds de jaren '80 zo en werkte best goed. In het begin van deze eeuw kwam de term CLOUD steeds vaker overal langs. We hebben dat op een bordje geschreven en op de deur gehangen. Vanaf die tijd waren onze klanten in de cloud. Verder was er niet veel veranderd.

Aan de andere kant: In mijn opleidingen maakten we vaak tekeningen voor het netwerk overzicht en dergelijke. De delen die voor dat overzicht niet in detail uitgetekend hoefde worden werd als een wolkje neergezet. Computertje hier, wolkje er tussen en een computertje daar. Op die manier dus eigenlijk. Met die gedachte is "De cloud" dus dat de details je niet kan schelen. Dat het dus bij om het even welke leverancier vandaan kan komen. En met die gedachte zou ik zeggen: Je zit pas echt in de cloud als je betrekkelijk snel kan wisselen van cloud provider. Daarmee zijn de meeste klanten van microsoft en google dus NIET in de cloud. Met name die bij microsoft zitten kunnen in de regel niet simpel naar een andere leverancier. Die zitten dus niet in de cloud, die zitten in azure... In het zuur dus eigenlijk.

[david-v]

Je geeft zelf een definitie voor cloud en vervolgens noem je de cloud providers niet echt de cloud, omdat ze niet aan je definitie voldoen. Tja, iedereen kan zo wel zijn eigen waarheid maken.

Hier heb je dan de "waarheid" maar dan volgens Azure

The cloud is a vast online storage space where people and businesses store their files and applications, accessible from anywhere with an internet connection. The cloud also offers services, such as computing power, databases, networking, and software applications.

The main purpose of the cloud is to provide on-demand access to computing resources and services over the internet. This includes a wide range of services such as servers, storage, databases, networking, software, analytics, and intelligence. The cloud empowers people and organizations to use these resources without having to manage physical servers or run software applications on their own computers.

Welk woord van deze hele definitie is hier vooral belangrijk?

On-demand, of dat nou IAAS, PAAS of SAAS zijn.

[beerse]

Dat bedoel ik dus: De cloud heeft vele definities. In veel gevallen waar het door klanten of gebruikers wordt gevraagd hebben ze al lang gekozen voor een bepaalde leverancier. In veel gevallen prik ik daar betrekkelijk snel door heen en vul ik in gedachte hun keuze in, of voor de sport bewust een andere.

Daarbij zou het mooi zijn als grote gebruikers bewust voor 'cloud' kiezen met daarbij de eis dat verschillende leveranciers samen werken. Dat er minimaal betrekkelijk eenvoudig kan worden gewisseld en het liefst automatisch en direct: Dat de gebruikers kunnen kiezen op het moment dat ze aan de slag gaan. Met gebruikers bedoel ik dan zowel het eigen personeel als ook de klanten voor zover het relevant is.

[SpaceKees_]

haha
Well zuur, daar zijn we nog wel even zoet mee...
om dat terug te verhuizen uit de Amerikaanse 'cloud'.

[Roel1966]

Eigenlijk zou het toch zo moeten zijn dat de staat een eigen cloud heeft die ook dan volledig in beheer is van de staat. Maar ja dit is ook weer zo'n typisch voorbeeld van al dat privatiseren en alles maar door externe bedrijven gedaan word. Niemand weet dan meer wie nou wat doet en controle vaak ver te zoeken valt en soms zelfs onmogelijk is gemaakt.

Pak b.v. hier binnen de gemeente als er iets in de straat moet gebeuren, eerst gooit een bedrijf de stoep dan open. Daarna weer een ander bedrijf wat een gat graaft en vervolgens weer een ander bedrijf voor dan b.v. loodgieterswerk of elektra werk. Dan weer een ander bedrijf wat het gat dicht gooit, dan weer een bedrijf wat de tegels legt en ga zo maar door. Vroeger had je gemeentewerken die met een paar man kwamen en dezelfde klus binnen een paar uurtjes klaar was.

[Rhinosaur]

Het is echt een ongelofelijke bende op de plek die het binnen de overheid bij elkaar moet houden. Ik ben daar weggegaan en ik kom er nooit meer terug. De meest incompetente managers/hoofden en extreem vervelende omgangsvormen lijken daar de norm te zijn.

[Bender]

Je wordt gemind, maar ik vraag me af waarom.

Wat je stelt herken ik in de verhalen die ik ook hoor, van zowel de IT als mensen die nieuw bij de overheid zijn gaan werken van uit een corporate (en dus beide kanten kennen).
Hoe meer verhalen ik hoor, hoe meer ik me zorgen maak.

[AceAceAce]

En welke club is dat dan?

[Rhinosaur]

Als je het algemene rekenkamer rapport erbij pakt zie je de opdrachtgever.

[AceAceAce]

Daar staan 3 clubs die geaudit zijn, sscict, knmi en een derde.

[lostboy_0234]

Mensen die weinig competentie hebben, kijken vaak alleen naar hun eigen wensen: veel verdienen, weinig risico, en vooral zekerheid. Opvallend genoeg zoeken ze dat vaak bij de overheid – een plek waar ze opgaan in de massa en niet snel afgerekend worden op prestaties.

Dit soort mensen wil vooral zelfverrijking zonder verantwoordelijkheid te nemen. Ze voegen weinig waarde toe en richten zich op wat ze kunnen halen in plaats van brengen. Het gevolg? Een cultuur van middelmatigheid waar verandering wordt geblokkeerd, omdat het hen goed uitkomt om in een veilig systeem te blijven zitten.

[GameNympho]

Lol, nu weet je eindelijk hoe de politiek én het koningshuis werken en dat voor een aardig dik salaris.
Dit is al eerder aangegeven, dat de ambtenaren niets van regels/structuur kennen van een andere afdeling of ministerie. Van samenwerking is er weinig en nu duurt het samen koppelen via systemen, al jaren, zo niet decennia.

Ook ik heb het mee gemaakt, voor mij 10 anderen kreeg ik te horen na iets aanwijzen tegen de chef wat hij verkeerd had gedaan/geregeld top. Kantonrechter gaf mij gelijk, dus men kon dokken, maar was wel ondanks mijn gelijk, mijn baan kwijt en niet diegene.
Er ooit nog voor werken, never nooit meer en vertrouwen hebben, ja in de goede mensen, maar niet in de zakkenvullers en graaiers die graag hoog van de toren blazen.

@Morgoth Ik kom nog uit de oude tijd met echte familie bedrijven en het personeel mee belonen, als je nu kijkt dat alles maar draait om wie het meest kan bezuinigen, voor de CEO of aandeelhouders, dan wil ik niet voor zo bedrijf werken, men gunt het werkende personeel niets, het werkende personeel is wel het echte visitekaartje.
Sorry, maar NL is knap verhard en hypocriet met hun cultuur en zeker de politiek.
Kijk naar de grootste, Rutte, zou na zijn periode opstappen en terug naar het schoolbord gaan en never nooit naar de EU of NAVO. O wacht, toch weer anders. Geloofwaardig? Nooit begrepen dat men voor zo`n iemand wil werken.
Iets met normale normen en waarden kuch kuch

[Reactie gewijzigd door GameNympho op 15 januari 2025 20:30]

[Morgoth]

Gelukkig heb je in het bedrijfsleven geen zakkenvullers! (*kuch* musk *kuch* trump *kuch*)

[NMN1665]

Helaas is dit, met bepaalde uitzondering, ook mijn ervaring. Mja ik kan een ander ook niet aanrekenen dat ze veiligheid en stabiliteit zoeken en niet 100-% d efocus op werk leggen.