Groeiende behoefte aan certificering

Wanneer ik datacenter operators in Nederland vraag hoe zij tegen certificering aankijken, geven ze meestal aan dat ze graag certificeren wanneer hun klant er expliciet om vraagt. Wanneer niemand erom vraagt heeft het ook weinig zin. “Voor wie zouden we het dan doen?”. Er zijn al behoorlijk wat certificaten in omloop die in het datacenter wereldje worden gebruikt, waarom heeft de Data Centre Alliance dan een nieuwe geïntroduceerd? Daar is een reden voor.

Certificering geeft geen garanties aan klanten maar biedt wel een houvast en een kwaliteitsniveau weer.

Er zijn certificeringen zijn er die iets roepen over

• de verwachte weerbaarheid van een datacenter tegen allerlei soorten invloeden die de continuïteit van het datacenter kunnen beïnvloeden
• informatie en fysieke beveiliging, robuustheid/redundantie van de technische infrastructuur, de gehanteerde gezondheidsnormen, energie efficiëntie, kwaliteit en energiezuinigheid van het gebouw
• de gehanteerde processen
• de wijze waarop de operatie wordt uitgevoerd en gemonitord.

Certificaten certificeren?

De kwaliteit van het certificaat zélf staat natuurlijk ook ter discussie. Uiteindelijk is een certificaat een momentopname en dient een organisatie zich het gedachtengoed achter een certificaat dagelijks te doorleven. Dat niet na het behalen van een certificaat de klad er in komt. Ook vergeet men wel eens het verschil tussen een certificaat en het afgeven van commitment om zaken te willen veranderen. Zo vernam ik tijdens het laatste DCD congres in Amsterdam, dat een datacenter zichzelf trots “gecertificeerd door de European Code of Conduct for Data Centres” noemde. Dat bekt commercieel gezien heel aardig, maar een dergelijk certificaat bestaat niet. De kwaliteit van de certificering hangt af van:

Wie certificeert?

Ik vind een certificering die aan de hand van een vragenlijst die door de eigenaren/operators van de te certificeren datacenters zelf kan worden ingevuld, eigenlijk per definitie niks waard. Althans, ik zou daar als afnemer van datacenterdiensten niet warm of koud van worden. Het is een typisch ‘slager die zijn eigen vlees keurt’ verhaal. Uiteraard is iedereen altijd eerlijk en oprecht maar soms komen we er toch achter dat daar uitzonderingen op te vinden zijn. Misschien niet meteen frauduleus, maar het gevaar is dat men de ‘invuloefening’ niet op alle onderdelen even goed begrijpt, of anders interpreteert. Wat heeft een klant dan aan een certificaat als de check op de juistheid van de certificering ontbreekt?

Een aantal certificeer instanties werken met geaccrediteerde certificeer organisaties. Enig napluizen wie de certificering heeft afgegeven biedt al gauw meer inzicht in de kwaliteit en daarmee de waarde van het certificaat.

Wat te bereiken met certificeren?

Wanneer Amerikaanse klanten in Europa over de streep moeten worden gehaald om in een datacenter te gaan, is het vrijwel noodzakelijk om een certificering van het Uptime Institute te overleggen. Ik heb wel met een datacenter gesproken die om die reden de datavloer dermate had verhoogd, dat men richting Amerikaanse klanten kon vertellen dat ‘alles boven NAP’ stond. Amerikanen vinden het feit dat het merendeel van Nederland onder de zeespiegel staat wel heel erg spannend. De meeste datacenters richten de boel zo in, dat aan dergelijke eisen, hoe on-Nederlands ook, gewoon gehoor kan worden gegeven; je wilt natuurlijk geen klanten op voorhand uitsluiten.

Het lijkt er dus inderdaad op dat de klant bepaalt welke certificering een datacenter moet hebben. Dat is normaal, dat is zoals het hoort. Een datacenter, het management ervan, kan bovendien van een certificeringsproces leren en input krijgen voor een verbeterplan. De enorme bedragen die vervolgens door sommige certificeer instituten worden gevraagd lijkt het doel om als datacenter iets te leren wat naar de achtergrond te drukken. De certificeringskosten zijn alleen dan te rechtvaardigen vanuit commercie, wanneer een klant dat verwacht of eist. Deze prijzen geven wel aan dat er momenteel wat monopolie voordelen worden gerealiseerd. Dat datacenters eigenlijk niet om dergelijke certificeringsinstituten heen kunnen, er weinig vergelijkbare alternatieven zijn en bovenal… soms helemaal niet bereikt wat de klant en datacenter hiermee hoopt te krijgen; waardevol inzicht in de onafhankelijk beoordeelde kwaliteit van het datacenter (of het ontwerp ervan).

En als het op enig moment goed was, wat zegt dat dan over hoe het volgend jaar erbij staat?

Eén goede oplossing is: iemand anders keurt en certificeert en deze exercitie wordt met enige regelmaat herhaald.

http://www.data-central.org/?page=Certifications

De DCA certificering

Als lid van de Board of Governors van het DCA (www.datacentrealliance.org), waarin ik de Nederlandse belangen en inzichten in het overleg representeer en als directeur van Cerios Green BV, welke één van de nu vier Approved DCA Auditors is, ben ik zeker niet neutraal in het beoordelen van de waarde van de DCA Certificering.

Het doel van de DCA Certificering is om een onafhankelijke certificering te hebben voor en door de datacenter industrie zelf. Slechts de geaccrediteerde auditors mogen de accreditatie voorbereiden en dit gebeurt in de datacenters zelf, en is niet slechts op papier (m.u.v. de audit op het ontwerp van een datacenter).

Het proces start met de strategie van een datacenter, kijkt naar

1. de robuustheid van het datacenter
2. de fysieke toegangsbeveiliging
3. de energie efficiëntie en
4. hoe professioneel in het datacenter wordt gewerkt.

Afbeelding 2 DCA Certificeringsproces

Deze DCA certificering vervangt niet de certificering van het gebouw, veiligheids-, milieu- en bouwvoorschriften of ISO standaarden. Het biedt inzicht aan datacenter en datacenter klanten over de kwaliteit van het datacenter op de bovengenoemde 4 pilaren.

Om een certificaat te houden is het nodig om een certificaat te vernieuwen en jaarlijks worden er surveillance checks uitgevoerd. ‘Last but not least’ het is te realiseren voor een zeer schappelijke prijs; dit in schril contrast met alternatieve certificeringen.

Het certificaat geeft het datacenter en de klant van het datacenter inzicht in de kwaliteit van de operatie, beheer en onderhoud, energie efficiëntie en toegangsbeveiliging. Op deze wijze kan een klant het risicoprofiel, in relatie met de kosten van de geboden diensten in het datacenter, goed beoordelen. Bovendien kan de klant volgen op welke wijze het datacenter de uptime doelstelling denkt te realiseren.

Nog even de voordelen op een rij:

Onafhankelijkheid. De geaccrediteerde auditors zijn onafhankelijk en de datacenters kunnen zelf bepalen welke geaccrediteerde auditor wordt aangezocht om de audit uit te voeren.

Transparantie. Het certificeringsproces kent vier lagen van accordering en ondertekening. Daarmee wordt zo goed als mogelijk gegarandeerd dat auditors een vergelijkbare aanpak en tot een vergelijkbare conclusie komen, in het certificeringsproces.

Betaalbaar. Het DCA is een non-profit Industry Association en berekent een vergoeding voor de kosten die de administratie van de certificering met zich meebrengen. Verder is het aan de geaccrediteerde auditor en de te certificeren klant, om voor het certificeringsproces zelf een vergoeding af te spreken.

Frank Verhagen is directeur van Cerios Green.  Hij maakt tevens deel uit van het bestuur van de Data Centre Alliance en is vanuit die rol nauw betrokken bij PEDCA. Cerios Green is een van de deelnemers aan PEDCA