De belangrijkste Citrix-les: wed niet op één paard

Ik zou daarom graag nog één term aan het Citrix-woordenboek toe willen voegen: Citrix-lessen. Want er viel uit deze gebeurtenissen genoeg te leren.

Over de vraag of Citrix in deze situatie juist gehandeld heeft, is al veelvuldig gediscussieerd. In een crisissituatie (ziekenhuizen die EPD’s niet meer in kunnen zien, hogescholen die tentamens af moeten zeggen) wordt altijd als eerste gezocht naar een schuldige. Wie moet hiervoor verantwoording afleggen? Zoals zo vaak bij cyberincidenten vertonen veel bedrijven daarbij een verbazingwekkend gebrek aan introspectie: hoe had deze situatie voorkomen kunnen worden? Iedere softwareomgeving is in potentie vatbaar voor aanvallen, maar dat risico kan ernstig verkleind worden door updates en patches altijd direct uit te laten voeren. Dit proces kan tegenwoordig prima geautomatiseerd worden, zodat IT-beheerders zich niet continu bezig hoeven te houden met deze basishygiëne van hun infrastructuur. Dat neemt niet weg dat er altijd een risico op incidenten bestaat, bijvoorbeeld bij zero-days. Juist voor die gevallen is het belangrijk ook een fall-back scenario te hebben.

Fall-back scenario

Een situatie als deze laat namelijk ook zien hoe afhankelijk we zijn van onze betrouwbare, niet-sexy IT-systemen. Als een bepaald onderdeel van je infrastructuur door en door betrouwbaar is, goed aangeschreven staat en het altijd ‘gewoon doet’, ben je als bedrijf minder geneigd daar een fall-back scenario voor achter de hand te hebben. Terwijl iets ‘saais’ als een remote workspace zich wel, zonder dat je daar al te veel bij stilstaat, in het hart van je organisatie bevindt. Het verbetert prestaties en efficiëntie van je werknemers en vergroot vaak ook hun tevredenheid: ze kunnen immers werken op de manier die ze willen, op het apparaat van hun keuze. Duik dus eens goed in je infrastructuur, en kijk daarbij ook naar onderdelen die essentieel zijn. Wat doe je als de Windows-servers niet draaien en iedereen binnen je organisatie werkt met Office365? Hoe garandeer je dan de bedrijfscontinuïteit?

Het paraat hebben van zo’n fall-back is belangrijk, maar roept vaak financiële vragen op. Natuurlijk hoef je niet overal twee diensten naast elkaar af te nemen, gewoon ‘voor het geval dat’. Maar net als bij een weddenschap kun je vaak je inzet ook spreiden. In het geval van Citrix had dat gekund door te investeren in een extern platform, waarop Citrix is aangesloten. Als de systeembeheerder besluit Citrix uit te schakelen, kan de eindgebruiker nog steeds met hetzelfde icoon zijn applicaties opstarten, alleen dan via een andere technologie, bijvoorbeeld middels Remote Desktop Services of AppV. Juist de betrouwbaarheid van een leverancier als Citrix zorgt er vaak voor dat we ons geen zorgen maken over een rampscenario. Maar zelfs als je kerngezond bent, sluit je bij het kopen van een huis toch een levensverzekering af, om je familieleden, mocht je tóch overlijden, niet met de rotzooi achter te laten. Dat is voor je IT-infrastructuur niet anders. Wed niet op één paard, stop niet al je eieren in één mandje, laat je niet verrassen - hoe je het ook noemt: zorg dat je ook voorbereid bent op de meest onverwachte scenario’s, zodat anderen niet met de rotzooi blijven zitten.