Bedrijfsnetwerken: de laag waar niemand aandacht aan besteedt, totdat er iets misgaat

Netwerken vormen de laag die in discussies over soevereiniteit meestal over het hoofd wordt gezien. De applicaties worden beoordeeld, de dataplatforms worden beoordeeld, en het netwerk wordt behandeld als een soort leidingsysteem. De Commissie Cloud

Sovereignty Framework weigert dit over te slaan, en daar is een goede reden voor. In de infrastructuur is namelijk waar de pakketten jurisdictiegrenzen overschrijden, waar de firmware wordt ondertekend en waar het beheerplatform stilletjes je operationele telemetrie-gegevens naar een buitenlandse cloud exporteert.

De huidige stand van zaken op het gebied van bedrijfsnetwerken

Er zijn twee patronen die de boventoon voeren.

• Een grote Europese onderneming die SD-WAN en SASE inzet van een van de toonaangevende Amerikaanse leveranciers, met via de cloud beheerde controllers die in de VS of in een Europese regio met hoofdkantoor in de VS worden gehost. Dit netwerk scoort doorgaans SEAL-1 op SOV-5 en SOV-7, ongeacht waar de apparaten zich fysiek bevinden.
• Een Europese onderneming die gebruikmaakt van campus- en datacenternetwerken van een Europese leverancier, met lokaal beheer, maar waarbij de onderliggende chips zijn uitgerust met firmware van buiten de EU. Dit netwerk kan op het gebied van operationele doelstellingen het niveau SEAL-2 bereiken, maar blijft steken op SOV-5 vanwege de chiplaag.

De SOV-doelstellingen die bepalend zijn voor het opbouwen van netwerken

SOV-5, toeleveringsketen

Dit is de doelstelling die netwerkteams het meest onderschatten. Het raamwerk vraagt waar de hardware wordt geproduceerd, waar de firmware wordt ondertekend en bijgewerkt, en in hoeverre de keten van onderleveranciers inzichtelijk is.

Bij de meeste bedrijfsnetwerken zijn firmware-updates afkomstig van buiten de EU en ondertekend met sleutels van buiten de EU. Dat vormt een SOV-5-risico, ongeacht of de pakketten het land ooit verlaten of niet.

SOV-7, beveiliging en naleving

De vraag waar het Network Operations Center (NOC) en het Security Operations Center (SOC) moeten worden gevestigd, speelt in de netwerkwereld een grotere rol dan waar dan ook, omdat de operationele telemetrie die het NOC ontvangt – zoals flow-gegevens, configuratiewijzigingen en topologiegegevens – op zichzelf al gevoelig is.

Als het NOC zich in een rechtsgebied buiten de EU bevindt, bevinden die telemetriegegevens zich daar ook, en het kader beschouwt deze als gegevens die de grens overschrijden.

SOV-6, technologie

Open standaarden versus propriëtaire standaarden.

Een netwerk dat is gebaseerd op gedocumenteerde protocollen en open API's is overdraagbaar.

Een netwerk dat is gebaseerd op een eigen controller met eigen telemetrieformaten is dat niet. Het raamwerk beloont het eerste en bestraft het tweede.

Het probleem met het beheer-vlak

Netwerken die via de cloud worden beheerd, vormen momenteel voor de meeste ondernemingen het grootste probleem op het gebied van soevereiniteit, en het probleem dat het vaakst over het hoofd wordt gezien.

Wanneer een netwerkleverancier zijn controller naar de cloud verplaatst, gebeuren er drie dingen tegelijk.

• Configuratiegegevens verlaten het bedrijfsterrein van de klant.
• De telemetriegegevens verlaten het pand van de klant.
• De eindpunten van de Control API vallen voortaan onder de bevoegdheid van de leverancier.

Het raamwerk houdt geen rekening met het feit dat dit handig is. Het beoordeelt de juridische blootstelling. Een via de cloud beheerd SD-WAN-netwerk met een in de VS gehoste controller voldoet niet aan SEAL-2, wat er ook in de presentatie staat.

Er zijn drie verdedigbare standpunten:

1. Verplaats de controller naar een in de EU gehoste instantie, met ondersteuning vanuit de EU en sleutelbeheer in de EU. Sommige leveranciers bieden dit aan, andere niet.
2. Stap over naar een EU-leverancier waarvan de gegevensverwerker standaard in de EU is gevestigd. Dit is vaak een omvangrijker onderwerp dan de organisatie in één cyclus aankan.
3. Overstappen naar een model met een zelfgehoste controller op EU-infrastructuur, waarbij de operationele kosten worden geaccepteerd. Dit is vaak de enige weg naar SEAL-3.

De kwestie rond firmware en ondertekening

Op het gebied van firmware worden de discussies over soevereiniteit net wat lastig, omdat er op de reguliere markt voor bedrijfsnetwerken vrijwel geen Europese halfgeleiders te vinden zijn.

Het kader houdt hier rekening mee en eist niet dat elke laag uit Europese silicium bestaat. Wat het wel eist, is transparantie, auditrechten en zeggenschap over het updateproces.

Praktische functies die goed scoren:

• Een door de EU gehoste opslagplaats voor software-updates, beheerd door de klant of door een EU-integrator, met ondertekende firmware-images die lokaal worden geverifieerd.
• Een gedocumenteerde lijst van onderleveranciers met auditrechten, inclusief de geografische locatie van de ondertekeningssleutels.
• Een contractbepaling waarin wordt bepaald dat elke wijziging in het land waar de firmware wordt ontwikkeld of ondertekend, moet worden gemeld.

Acht netwerkvragen voor je volgende vernieuwing

1. Waar wordt het beheerplatform gehost en onder wiens bevoegdheid valt het?
2. Waar wordt operationele telemetrie opgeslagen, en hoe lang wordt deze bewaard?
3. Welk land ondertekent de firmware voor elke hardwarelijn, en wie beschikt over de ondertekeningssleutels?
4. Hoe ziet de geografische dekking van het NOC eruit, en kunnen we een contract afsluiten voor een NOC dat uitsluitend de EU bestrijkt?
5. Welke besturings-API’s zijn gedocumenteerd en openbaar, en welke zijn eigendom van een bepaalde partij?
6. Wat is onze uitstappositie als de leverancier halverwege de looptijd van het contract van rechtsgebied voor de hosting van de controller verandert?
7. Welke onderleveranciers maken deel uit van de toeleveringsketen, en welke controlerechten hebben wij ten aanzien van hen?
8. Wat is de SEAL-score die we vandaag aan een toezichthouder zouden voorleggen, op basis van de criteria die de Commissie daadwerkelijk hanteert?

Wat dit voor kopers betekent

Het netwerk presteert slechter dan de meeste CIO’s denken, en de oplossingen zijn minder ingrijpend dan een volledige leverancierswissel.

Begin met het beheerplatform en het updatepad voor de firmware. Deze twee wijzigingen zorgen er doorgaans voor dat een omgeving één volledig SEAL-niveau stijgt.

In dit bericht wordt de calculator van de Commissie aan de hand van een klein, realistisch voorbeeld uitgelegd, zodat u uw eigen vastgoedportefeuille kunt beoordelen nog voordat uw volgende aanbesteding wordt uitgeschreven.