Cloud vraagt om nieuwe vorm van escrow

Wat te doen als het Service Level van uw SaaS-partner plotsklaps 0,00% is?

Het gebruik van SaaS (Software as a Service) verandert het risicoprofiel van de organisatie. Traditionele software-escrow past niet bij de karakteristieken van SaaS. Broncode-depot is geen oplossing omdat je weinig aan de software hebt zonder de systemen waarop deze draait. En die staan ergens in de cloud. Een goede op SaaS gerichte escrow zorgt ervoor dat de gebruiker toegang krijgt tot de software, de systemen én de data.

Escrow is de regeling waarbij intellectueel eigendom (bijvoorbeeld de broncode van software) ter bescherming van de gebruiker wordt gedeponeerd bij een derde partij. Deze aanpak heeft in de ‘oude’ economie haar waarde duidelijk bewezen. Maar in de wereld van cloud services voldoet traditionele software-escrow niet meer. SaaS is wezenlijk anders dan software die on-premise bij de gebruiker draait.

Traditionele aanpak

Toen IT en software steeds belangrijker werden voor het voortbestaan van bedrijven, ontstond de behoefte om de risico’s af te dekken die voortkomen uit het mogelijk uitvallen van informatiesystemen. Business continuity werd een belangrijk onderwerp op de agenda van de CIO. Security, redundancy, SLA’s, hoge beschikbaarheid - het zijn net als escrow allemaal begrippen en concepten uit de wereld van business continuity.

Escrow beantwoordt de vraag hoe de organisatie zich kan indekken tegen het in het ongerede raken van de software­leverancier, bijvoorbeeld bij een faillissement. Doel van software(broncode)-escrow is het kunnen voortzetten van het onderhoud van de software die op de eigen servers (on-premise) draait en waar licenties voor zijn afgenomen. De softwareleverancier deponeert op gezette tijden zijn software-broncode bij de escrow-agent. Deze stelt de code onder vooraf afgesproken condities ter beschikking aan de gebruiker, zodat deze de software kan blijven onderhouden.

SaaS en cloud

Nu steeds meer bedrijven hun IT naar de cloud brengen en hun software bij voorkeur As a Service afnemen, is een nieuwe situatie ontstaan. Software-escrow heeft geen antwoord op die nieuwe situatie. Immers, wat heb je aan softwarecode als je geen toegang meer hebt tot je data? En je kunt als gebruiker wel back-ups hebben van je data of deze synchroniseren, maar data krijgen pas betekenis in de context die software aan ze geeft.

Die software is dus noodzakelijk. Zonder de systemen waar de software op draait, heb je er niets aan. Zelf knutselen is geen optie. Het opbouwen en in de lucht houden van een IT-omgeving voor bedrijfskritische SaaS-software is een tijdrovende uitdaging. En die tijd is er niet, de onderneming moet doordraaien. In de realtime business die elk bedrijf tegenwoordig is, kun je geen dag uit de lucht zijn en kun je niet werken met informatie die verouderd is.

SaaS-escrow

Om deze problematiek het hoofd te bieden, is SaaS-escrow in het leven geroepen. SaaS-escrow waarborgt niet alleen de beschikbaarheid van de functionaliteit, maar ook het gebruik van de software en de toegang tot de data. Dat lukt door de hosting- of housing-partij waar de software is ondergebracht, in de regeling op te nemen. Als de SaaS-leverancier in gebreke blijft, krijgt de klant toegang tot de systemen die bij de hosting provider staan opgesteld, inclusief de software en zijn data.

In tegenstelling tot de generieke software-Escrow is SaaS-escrow dus maatwerk. Elke situatie is immer anders. De hosting-partij moet bovendien meewerken. Dat kan een uitdaging zijn als deze zich in het buitenland bevindt of een public cloud provider is. De ene cloud provider is coöperatiever dan de andere.

Urgentie

Een ander groot verschil is de urgentie, die bij software-escrow minder is. De gebruiker kan blijven doorwerken, ook als de softwareleverancier in gebreke blijft.

De software draait immers on-premise. Alleen is onderhoud niet meer mogelijk zonder toegang tot de broncode. Dat probleem lost software-escrow recht-toe-recht-aan op door de broncode te verstrekken. De gebruiker kan dan zelf onderhoud (laten) doen en heeft daar ook de tijd voor.

Een derde verschil is de technische kant van de zaak. Bij SaaS-escrow krijgt de gebruiker geen broncode, maar een basisdocument met daarin informatie over de admin-rechten voor de servers en de software, welke IP-adressen whitelisted moeten zijn, de encryptiesleutels, de API’s, informatie over de precieze locatie in het datacenter, welke systemen daar staan, en hoe je erbij komt. Denk verder aan informatie over de architectuur, over remote onderhoud, over patching en wachtwoorden.

Deze basisinformatie heeft dezelfde vertrouwelijkheidsgraad als de broncode in het geval van software-escrow. De informa­tie moet doorlopend worden geactualiseerd. De escrow-agent ziet erop toe dat dit gebeurt en test regelmatig of alles klopt.

Universele aanpak SaaS-escrow

Omdat elke situatie anders is, is de huidige praktijk van SaaS-escrow dat iedereen zijn eigen benadering kiest. Dat maakt het voor alle betrokken partijen lastig om al die uiteenlopende benaderingen te valideren en eraan tegemoet te komen. Als de SaaS-leverancier voor de ene klant informatie op een bepaalde manier moet aanleveren en voor een andere op een geheel andere wijze, maakt dat het bewilligen in SaaS-escrow minder aantrekkelijk. De hosting-partijen hebben ook weinig zin om voor iedere gebruiker een andere afspraak te moeten maken.

Het is beter om maatwerk te leveren door standaardmodules te combineren tot een oplossing die voor een specifieke situatie werkbaar is. Dat kan, want de componenten zijn al ontwikkeld. De met hosting provi­ders te maken afspraken zijn bijvoorbeeld al geformaliseerd. Een belangrijk aspect van cloud en SaaS-delivery is standaardisatie van de diensten. Ook in SaaS-escrow moeten we toe naar standaardisatie. Gelukkig zien de serieuze escrow-aanbieders hier het belang van in.

Tips voor gebruikers

• Kijk bij de keuze van een SaaS-aanbieder naar de randvoorwaarden op het gebied van continuïteit van de klant, waaronder escrow. Dus niet alleen naar de SLA’s en de certificaten, maar ook of en zo ja welke escrow-regeling wordt geboden.
• Neem geen genoegen met software-depot. Toegang tot de data en het kunnen gebruiken van het systeem zijn minstens zo belangrijk. Periodieke overdracht leidt in een realtime omgeving tot achterhaalde data.
• Vermijd de papieren werkelijkheid van software-escrow. Een SaaS-omgeving opbouwen kost weken en is heel duur. Het is beter dat de boel door blijft draaien in de huidige omgeving.
• Vergelijk het met een kapotte auto. Je wilt snel een andere auto en niet een handleiding om de auto te repareren. Kies dus voor het voorkomen van fouten in plaats van achteraf te moeten herstellen.
• Gebruik het nuchtere verstand. Niet alle elementen van de SaaS hoeven in de escrow te worden opgenomen. Bijvoorbeeld API’s voor het checken van postcodes of KvK-data zijn niet noodzakelijk voor het voortbestaan van de onderneming.
• Kijk naar de kosten en baten ten opzichte van een redundante en gespiegelde omgeving, een veel gebruikte maatregel voor business continuity.
• Kijk verder dan het eigen belang. Een goede escrow-regeling houdt de belangen van de eindgebruiker, de SaaS-leverancier en de hosting provider in balans en houdt de escrow werkbaar.

Tips voor SaaS-leveranciers

• Het standaard voorzien in een goede regeling rond SaaS-escrow zal bedenkingen bij de klant over zijn business continuity in de cloud wegnemen.
• Het bieden van SaaS-escrow is een sterk verkoopargument. In sommige markten, bijvoorbeeld de gemeentemarkt, doe je zelfs niet mee als je geen escrow hebt.
• De verplichtingen die een escrow-regeling met zich brengt op het gebied van het vastleggen van informatie, is een krachtige impuls voor de algehele kwaliteit van de interne IT-processen van de SaaS-leverancier.
• Kijk goed naar de kwaliteit van de agent die SaaS-escrow mogelijk maakt. Is deze in staat om de financiële verplichtingen aan de hosting provider daadwerkelijk na te komen?
• Wie escrow wil aanbieden, moet het wel goed doen. Denk na over de optimale inrichting. Die hoeft niet te leiden tot hogere kosten.

Herman Kui, directeur van Escrow4All