De verborgen kosten van webservices is te lezen op Infoworld.

Webservices zijn hot. Ze bieden een goedkoop alternatief voor de ontsluiting en integratie van allerlei systemen. De grote softwareverkopers hebben de technologie collectief in de armen gesloten. De nieuwste applicaties van SAP, Microsoft en Sun zijn al volledig afhankelijk van webservices. Wat vaak vergeten wordt, is dat ieder voordeel zijn nadeel heeft.

Het is dus voor veel grote bedrijven verleidelijk zich ook op dit pad te begeven. Maar wat op het eerste gezicht goedkoop lijkt, kan duurder uitpakken dan verwacht. Webservices hebben namelijk verborgen kosten. Want wie denkt er na over dure rapportagetools, encryptie en beveiliging?

Stelt u zich eens voor: een verzekeringsmaatschappij heeft zowel een crm-toepassing als een betalingssysteem. In beide systemen staan dezelfde klantgegevens. Onderhoud is moeilijk en overzicht ontbreekt.

Gelukkig is de oplossing nabij: door middel van webservices worden beide systemen met elkaar verbonden zodat de klantinformatie nog maar op een plek staat. De kosten blijven ogenschijnlijk beperkt, de deadline is gehaald. Maar is er echt aan alles gedacht?

Na de implementatie begint de echte uitdaging pas. Hoewel webservices goedkope integratie mogelijk maken, is er namelijk een keerzijde aan de medaille. De hoeveelheid berichten die worden verstuurd als de oplossing in productie gaat, is enorm. Beveiliging, encryptie en vooral ook rapportage vergen veel capaciteit van het netwerk en de hardware. Dit kan leiden tot extra kosten die pas later komen bovendrijven.

Traagheid is troef

Messaging op basis van xml heeft heel veel voordelen, maar ook een groot nadeel. Er is een limiet aan de snelheid van het versturen van het bericht. De performance van een webservicetoepassing neemt enorm af als het aantal transacties toeneemt. Een transactie via xml aansturen is dus geen probleem, maar als de eerder genoemde verzekeraar 20.000 klanten heeft die er gebruik van maken, ontstaat er een heel andere situatie.

Totdat er een oplossing is gevonden om de snelheid van xml-berichtgeving op te vijzelen, moeten we hopen dat er niet al te veel parallelle connecties worden aangelegd.

Ook rapportage is een punt van zorg. Realtime zakendoen vereist dat er realtime rapportages kunnen worden gemaakt. Omdat er continu veel berichten heen en weer worden gestuurd, moet de verzekeringsmaatschappij een rapportagesysteem hebben dat het kaf van het koren weet te scheiden. Het moet ook in staat zijn wijzigingen in de data op ieder moment te verwerken en te laten zien. Zulke systemen zijn duur en vaak traag.

Trage systemen zijn op zich niet erg, hooguit vervelend. Een systeem dat zo lek is als een mandje is wel een serieus probleem. Webservices zijn nieuw, maar niet iedereen beseft dat ze ook kwetsbaar kunnen zijn. Extra kosten en traagheid van systemen zouden de verzekeraar wel eens kunnen verleiden tot een drastische bezuinigingsmaatregel ten opzichte van de beveiliging. Het zal niet de eerste keer zijn dat dit gebeurt.

De beveiliging van webservices

Webservices zijn gebaseerd op open standaarden, die het in principe mogelijk maken een aanval van buitenaf uit te voeren. Er zijn bijvoorbeeld bedrijven die er een openbaar toegankelijke wsdl-beschrijving van hun interne webservices op na houden. Webservices worden vaak gebruikt voor bedrijfskritische toepassingen. Hackers krijgen dan de toegang tot bijvoorbeeld uw bankgegevens op een presenteerblaadje.

Beveiliging van webservices is een kunst apart. Er zijn inmiddels firewalls verkrijgbaar die XML tegen kunnen houden door middel van XIP (XML Intrusion Prevention). SAML (Security Assertion Markup Language), XACML (Extensible Access Control Markup Language) en bijvoorbeeld initiatieven als de Liberty Alliance bieden middelen om identificatie en toegangscontrole op webservices te ondervangen.

In de nabije toekomst zorgt WSS (Web Service Security) voor een enorme stap vooruit. Deze standaard biedt ondersteuning voor data integriteit en encryptie. Ook XML Digital Signatures kunnen hier een rol in vervullen. Het gebruik van al deze middelen maakt een webservice veiliger en beter, maar ook meer complex. Complexiteit leidt tot hogere kosten. In feite is er geen ander alternatief dan deze investeringen maar te doen. Voor de verzekeringsmaatschappij is de ellende is namelijk niet te overzien als iemand er met de klantgegevens vandoor gaat.

Bezuinig niet waar het pijn doet

Wereldwijd worden er op dit moment aan de lopende band webservice oplossingen gebouwd. Dergelijke oplossingen bieden wel degelijk een goedkoop alternatief voor integratie en communicatie. De extra kosten moeten echter niet worden onderschat. Realtime rapportagesystemen en beveiliging van webservices vergen serieuze investeringen.

Onverwacht hoge kosten en traagheid van systemen kunnen bedrijven ertoe verleiden te bezuinigen op kritische functionaliteit. Dit kan leiden tot grote problemen. Dit keer zijn het niet alleen webapplicaties die kwetsbaar zijn, maar ook betalingssystemen en ERP toepassingen bij traditionele bedrijven. Dit keer doet het echt pijn als het mis gaat, dus bega geen vergissing door te bezuinigen op beveiliging.

Sander Nagtegaal
01 maart 2004