Notities uit live cloud-, infrastructuur- en datacenterprogramma’s. Dezelfde berichten als op LinkedIn.
Dataresidentie
Uw data staat in Europa. Dan bent u AVG-compliant, toch?
Niet per se.
Bij internationale cloudimplementaties is de praktische vraag niet alleen waar de server staat.
De vraag is: waar kan de data naartoe, en wie kan erbij?
Neem een ogenschijnlijk eenvoudige cloudinrichting:
- Productieworkloads draaien in een Europees datacenter.
- Back-ups worden gerepliceerd naar een andere regio.
- Een disaster-recoveryomgeving staat ergens anders.
- Een internationaal supportteam heeft privileged access.
- Logs en monitoringdata gaan naar een centraal platform.
De primaire workload kan in Europa blijven, terwijl andere delen van de dienst extra vragen oproepen over privacy, beveiliging of doorgifte.
Daarom hoort dataresidentie over de hele dienstarchitectuur te worden bekeken, niet alleen over de primaire hostlocatie.
Tijdens de implementatie wil ik heldere antwoorden op vragen als:
- Waar staan productiedata, back-ups en replica’s?
- Wie kan erbij, ook op afstand?
- Waar worden logs, metadata en identity-diensten verwerkt?
- Welke leveranciers en subverwerkers zijn betrokken?
- Zijn de relevante doorgifte- en beveiligingseisen beoordeeld?
Dit zijn architectuur- en oplevervragen, net zo goed als compliancevragen.
Een cloudontwerp is niet af omdat de infrastructuur draait.
Het moet ook binnen de afgesproken grenzen voor gegevensbescherming en beveiliging werken.
Een datacenter bouwen wordt vaak neergezet als een infrastructuuropgave. Het is veel meer dan dat.
In mijn loopbaan was ik betrokken bij nieuwbouw, vernieuwing, uitrol, testen, klantmigratie en beheer van datacenters. Bij nieuwbouw had ik ook volledige BWSE-verantwoordelijkheid, inclusief Security.
Een van de grootste lessen: beveiliging kun je niet achteraf op het gebouw schroeven als het technisch ontwerp al klaar is. Fysieke beveiliging, netwerkbeveiliging, identity, toegang, monitoring, scheiding, weerbaarheid, operationele procedures en klanteisen moeten op elkaar aansluiten.
En het programma moet meenemen wat er na de bouw gebeurt:
• Hoe worden klanten onboarded?
• Hoe wordt toegang goedgekeurd?
• Hoe wordt apparatuur binnengebracht?
• Hoe worden kwetsbaarheden afgehandeld?
• Hoe worden wijzigingen beheerst?
• En uiteindelijk: hoe worden klanten en apparatuur veilig verwijderd?
De beste datacenterprogramma’s behandelen beveiliging daarom als een levenscyclus.
Ontwerp → bouw → test → beheer → wijziging → uitfasering.
Die houding verlaagt het risico en maakt de dienst daarna veel beter te besturen.
#DataCentre #SecurityByDesign #ISO27001 #ISO9001 #Infrastructure #ProgramManagement #Cloud
Grote cloudprogramma’s onder hoge druk leerden me dat succes komt uit strakke planning, gecombineerd met de bereidheid om elke week bij te sturen.
Een solide plan geeft een programma richting, structuur en duidelijke verantwoordelijkheid. In complexe cloudomgevingen loopt het zelden precies zoals bedacht. Prioriteiten schuiven, afhankelijkheden verplaatsen, capaciteit wordt krap, technische issues komen op en klantverwachtingen veranderen.
Het punt is niet om het plan dan los te laten — het punt is om het verstandig aan te passen.
Voor mij betekent dat: prioriteiten, afhankelijkheden, risico’s, mensen en mijlpalen blijven herzien, en het team gericht houden op de uitkomsten die ertoe doen.
Sterk programmamanagement is dus niet een plan blind volgen. Het is genoeg grip hebben om te zien wanneer je moet bijsturen — en genoeg leiderschap om mensen mee te nemen als je dat doet.
Plan met discipline, stuur bij met vertrouwen, lever met een doel.
ISO 27017 is vooral relevant voor wie cloudoplevering leidt, omdat het verder dwingt dan generieke informatiebeveiliging.
Cloud brengt gedeelde verantwoordelijkheid.
Wie beschermt de fysieke infrastructuur? Wie beheert de hypervisor of het platform? Wie beheert identiteiten? Wie is verantwoordelijk voor de workload? Wie is eigenaar van de data? Wie reageert als er iets misgaat?
Als die vragen onduidelijk zijn, redt een RACI-matrix het programma niet.
In mijn cloud- en datacenterloopbaan heb ik gezien dat onduidelijk eigenaarschap vertraging, uitzonderingen en operationeel risico oplevert.
Daarom moeten cloudprogramma’s beveiligingsprincipes vertalen naar concrete oplevercontroles:
• duidelijke grenzen in verantwoordelijkheid
• vastgelegde toegang en privileged access management
• vulnerability management
• logging en monitoring
• veilige configuratie
• incident- en changeprocessen
• bewijs en auditbaarheid
• gecontroleerde onboarding en offboarding
De waarde van ISO 27017 zit niet in het certificaat.
De waarde zit in een clouddienst waarvan de beveiligingsverantwoordelijkheden duidelijk zijn voordat de eerste klant live gaat.
#ISO27017 #ISO27001 #CloudSecurity #CloudManagement #ProgramManagement #SecurityByDesign
Security hoort geen werkstroom te zijn die halverwege een cloudprogramma opduikt.
De sterkste opleveringen die ik heb gezien beginnen met beveiligingsvragen voordat architectuur, contracten en implementatieplannen vastliggen.
Welke data hosten we? Waar staat die? Wie heeft toegang nodig? Hoe worden identiteiten beheerd? Welk bewijs hebben we later nodig? Wat gebeurt er als een klant wordt onboarded, gewijzigd of uitgefaseerd?
Daar komen programmamanagement en security governance samen.
ISO 27001 geeft de managementsysteemhouding. ISO 27017 voegt de cloudspecifieke beveiliging toe. NEN 7510 wordt relevant zodra zorginformatie in het spel is. ISO 9001 brengt een ander perspectief: beheerste, herhaalbare en meetbare processen.
Dat zijn geen pure auditonderwerpen.
Vroeg gebruikt helpen ze een programma betere ontwerpkeuzes te maken, verantwoordelijkheden vast te leggen, herwerk te beperken en soepeler over te dragen aan operations.
Security by design gaat niet over oplevering vertragen.
Het gaat erom te voorkomen dat security later de reden wordt dat de oplevering vertraagt.
#ProgramManagement #ProjectManagement #Cloud #CyberSecurity #ISO27001 #ISO27017 #NEN7510 #SecurityByDesign
Een risicoregister invullen is eenvoudig.
Het moeilijke deel is het eerlijke gesprek over wat er echt mis kan gaan.
Een register kan keurig worden bijgehouden, gekleurd en elke week besproken — en toch weinig opleveren als mensen de lastige punten niet durven noemen.
De waarde van risicomanagement begint wanneer teams hardop kunnen zeggen:
"Dit kan mislukken."
"We zijn minder ver dan we denken."
"Deze afhankelijkheid zet het programma op risico."
"We hebben geen plan B."
Daar wordt risicomanagement meer dan administratie.
Goed risicomanagement is geen lange lijst risico’s.
Het is de openheid en het vertrouwen om de risico’s die ertoe doen vroeg genoeg op tafel te krijgen — op tijd om er iets aan te doen.
#ProjectManagement #ProgramManagement #RiskManagement #Leadership #Transformation
Hoogpresterende delivery-teams ontstaan niet vanzelf.
De beste programmamanagers die ik ken besteden evenveel tijd aan het coachen van mensen als aan het sturen van plannen.
Want een geslaagde oplevering gaat zelden alleen over tijdlijnen, mijlpalen, budgetten en statusrapporten. Het gaat over mensen — vertrouwen bouwen, duidelijkheid geven, obstakels wegnemen, eigenaarschap aanmoedigen en teams het vertrouwen geven om besluiten te nemen.
Een sterke programmamanager vraagt niet alleen: “Liggen we op schema?”
Die vraagt:
“Heeft het team wat het nodig heeft om te slagen?”
Als mensen aligned, in staat gesteld en gesteund zijn, wordt het plan een stuk eenvoudiger om uit te voeren.
Sterke programma’s worden geleverd door sterke teams. En sterke teams worden gebouwd, niet alleen aangestuurd.