Cloud of eigen server: wat is voordeliger?

Welke kosten blijven lopen bij een afgeschreven server?

Afgeschreven wil zeggen dat de aanschafprijs in je boekhouding is verwerkt (hoe dat bij jou precies zit, bepaalt je accountant). De server gebruikt daarna nog steeds stroom en ruimte, en iemand moet hem bijhouden. Voor een eerlijke vergelijking tel je in elk geval mee:

• Stroom, koeling en ruimte op kantoor.
• Licenties voor het besturingssysteem en de software erop.
• Updates en beveiliging.
• Back-up op een andere plek, plus een test of terugzetten lukt.
• Beheeruren, intern of extern.
• Vervanging van de hardware aan het einde van de levensduur.
• Uitval door een defect, brand of diefstal, waarbij iedereen stilzit die van de server afhangt.

In zijn uitleg over gedeelde verantwoordelijkheid schrijft Microsoft dat in traditionele eigen omgevingen (on-premises) vaak taken blijven liggen. Het noemt als voorbeelden: updates die te laat komen, te weinig fysieke beveiliging van de serverruimte, geen zicht op afwijkend netwerkverkeer, oude hardware die geen updates meer krijgt, en back-ups die zelden, ongetest of alleen op locatie worden gemaakt. Omdat Microsoft zelf clouddiensten verkoopt, kun je dit lezen als checklist voor je eigen server. Over de uitkomst van jouw vergelijking zegt het niets.

Tot wanneer krijgt je serversoftware beveiligingsupdates?

Microsoft legt bij veel producten al bij het uitbrengen vaste ondersteuningsdata vast (het Fixed Lifecycle Policy). Voor die producten geldt minimaal vijf jaar reguliere ondersteuning (mainstream support), bij sommige gevolgd door uitgebreide ondersteuning (extended support). In die tweede periode zijn er nog wel beveiligingsupdates, maar geen nieuwe functies. Na de einddatum zijn beveiligingsupdates volgens het beleid alleen nog beschikbaar via het Extended Security Update-programma (ESU), en Microsoft waarschuwt dat het voor oudere producten mogelijk geen beveiligingsupdates meer kan leveren. Het einde van de uitgebreide ondersteuning staat volgens Microsoft Lifecycle op:

• Windows Server 2012 R2: oktober 2023 (verlopen).
• Exchange Server 2019, een mailserver op kantoor: oktober 2025 (verlopen).
• Windows Server 2016: januari 2027.
• Windows Server 2019: januari 2029.

Kijk welke versie op jouw server draait en wanneer de ondersteuning stopt, zodat je de vervanging of verhuizing kunt plannen. Controleer de actuele datum voor jouw versie op de lifecyclepagina van Microsoft.

Wat neemt de cloud over en wat blijft van jou?

Dat hangt af van het type clouddienst. Microsoft onderscheidt onder meer deze twee:

• Kant-en-klare toepassingen (SaaS), zoals Microsoft 365. Microsoft beheert de servers, het besturingssysteem en de datacenters.
• Een virtuele server (IaaS), bijvoorbeeld in Azure. Microsoft beheert de fysieke servers, het fysieke netwerk en het datacenter. Jij of je IT-partner beheert het besturingssysteem en de software erop.

Bij beide blijven je gegevens, je accounts, het toegangsbeheer (waaronder meervoudige verificatie) en de beveiliging van de apparaten waarmee je erbij komt van jou. Een server naar Azure verhuizen haalt dus vooral de hardware weg; updates van het besturingssysteem blijven werk.

Dat geldt ook voor back-up. De leverancier maakt meestal zelf ook back-ups, maar volgens de KVK vervangt dat je eigen back-ups niet: een leverancier kan failliet gaan of het slachtoffer worden van een cyberaanval. Het NCSC wijst erop dat een verstoring van de clouddienst of van je internetverbinding je werk tijdelijk kan stilleggen, en adviseert duidelijke afspraken met de leverancier om storingen te voorkomen en snel te verhelpen.

Lees een uptimegarantie (SLA) daarom goed. Volgens Microsoft Learn is een SLA een contract met definities en uitzonderingen, en betekent 99,9 procent niet dat je slechts zo’n 8,7 uur uitval per jaar mag verwachten. De compensatie bestaat meestal uit servicetegoed, en dat dekt geen gemiste omzet.

Zo reken je de kosten uit

Dit zijn rekenstappen. De bedragen haal je uit je eigen administratie en uit offertes.

1. Eigen server, vaste kosten per jaar: de prijs van de vervangende server gedeeld door het aantal jaren dat hij meegaat, plus licenties en onderhoudscontracten. Je rekent met de vervanger, omdat de huidige server uiteindelijk vervangen moet worden.
2. Eigen server, lopende kosten per jaar: stroom, opslag voor de back-up op een andere plek en beheeruren maal je uurtarief. Voor stroom reken je vermogen in watt × 8.760 uur ÷ 1.000 = kWh per jaar, en dat maal het tarief op je energienota. Stel dat de server gemiddeld 200 watt gebruikt (een rekenvoorbeeld, geen meetwaarde: meet het echte verbruik), dan is dat 1.752 kWh per jaar.
3. Uitval: schat de schade per dag stilstand, als omzet die je misloopt of als loonkosten van medewerkers die niet kunnen werken (kies één van de twee). Vermenigvuldig met het aantal dagen per storing en het aantal storingen dat je in vijf jaar verwacht. Dit is een eigen inschatting; bespreek hem met je IT-partner.
4. Cloud, kosten per jaar: aantal licenties × prijs per licentie uit je offerte, omgerekend naar een jaarbedrag. Tel erbij op wat je zelf extra regelt of inkoopt, zoals een eigen back-up van je Microsoft 365-gegevens, extra beveiliging en een betrouwbare internetverbinding, plus de eenmalige kosten van de migratie.
5. Reken beide uitkomsten door over vijf jaar (eenmalige kosten tel je één keer mee) en zet ze naast elkaar. Vijf jaar is hier een voorbeeld; pas de termijn aan op de verwachte levensduur van je server. Weeg mee wat niet in euro’s zit, zoals thuiswerken, beveiliging, groei en de afhankelijkheid van één leverancier of één beheerder.

Draait er een server in Azure, reken dan met aparte posten voor rekenkracht, Windows-software, opslag en netwerk. Een reservering voor één of drie jaar kan de kosten van een virtuele server verlagen: Microsoft noemt een korting van maximaal 72 procent ten opzichte van betalen naar gebruik. Zo’n reservering dekt alleen de rekenkracht van de virtuele machine; Windows-software, netwerk en opslag vallen erbuiten. Heb je al Windows Server-licenties met Software Assurance of kwalificerende abonnementslicenties, dan kun je die onder voorwaarden meenemen (Azure Hybrid Benefit). De voorwaarden van jouw licentieprogramma gaan voor, dus controleer ze bij je licentieleverancier.

Wat moet in beide gevallen op orde zijn?

De KVK adviseert liefst dagelijks een back-up te maken, de back-up zowel digitaal als fysiek op te slaan (de fysieke kopie buiten het bedrijf) en regelmatig te testen of terugzetten lukt. Het NCSC adviseert back-ups los te koppelen van je productienetwerk en het herstellen te oefenen. Dat is belangrijk, want geavanceerde soorten ransomware kunnen volgens het NCSC ook back-ups en gegevens in de cloud versleutelen.

Meer over de opzet lees je in de 3-2-1 back-upregel en over het beveiligen van accounts in meervoudige verificatie (MFA).

Wanneer past de cloud en wanneer een eigen server?

Er is geen vaste regel. Het hangt af van je software, je werkwijze en je eisen. Onderstaande indeling is een richting van HAN-IT en komt niet uit de genoemde bronnen.

De cloud past vaak als

• Je team ook thuis of onderweg werkt.
• Je groeit, krimpt of seizoensdrukte hebt, waardoor het aantal gebruikers wisselt.
• Je niemand in huis hebt die updates en back-up bijhoudt.
• Mail en bestanden de kern zijn. Een Microsoft 365-licentie geeft, afhankelijk van het abonnement, onder meer een mailbox in Exchange Online en toegang tot SharePoint en Teams.

Een eigen server past vaak als

• Je branchesoftware of een koppeling niet in de cloud draait. Vraag eerst aan de softwareleverancier of een virtuele server in Azure wordt ondersteund.
• Je grote bestanden lokaal razendsnel bewerkt en je internetverbinding dat niet bijhoudt.
• Een klant, brancheregel of contract een bepaalde inrichting of locatie voorschrijft.
• Je beheer, back-up en beveiliging aantoonbaar op orde hebt en houdt.

Bij Azure kies je een regio voor je servers; Microsoft noemt Nederland als fysieke locatie van de regio West Europe. Of een regio voldoet aan je eisen voor de plaats van je gegevens, en wat de AVG van je vraagt als een leverancier persoonsgegevens voor je verwerkt, bespreek je met een jurist of je functionaris voor gegevensbescherming. Dit artikel is geen juridisch advies.