Redundant serverpark voor productiedata: veilig, geïsoleerd en altijd up-to-date

Hoe ons redundante serverpark is opgebouwd

Het serverpark draait op dedicated servers in een Europees datacenter in Duitsland. De opbouw is bewust eenvoudig te begrijpen: voor alles wat ertoe doet is er een tweede.

‍

Dat "derde stem"-principe verdient een korte uitleg. Met alleen twee servers ontstaat een probleem als de verbinding ertussen wegvalt: elke server denkt dat de ander is uitgevallen, en beide willen het overnemen. Een derde, onafhankelijke stem beslist dan wie de leiding heeft. Die derde stem draait bewust op een apart beheersysteem dat zelf geen klantwerk doet.

De voordelen van een redundant serverpark

Hoge beschikbaarheid. Een storing in één server hoeft niet te betekenen dat de vloer stilstaat. De tweede server neemt het werk over.

Onderhoud zonder stilstand. Omdat er twee servers zijn, kan er één worden onderhouden terwijl de ander draait. Het onderhoud hoeft niet 's nachts of in het weekend, met de vingers gekruist.

Bescherming tegen hardwarefouten. Schijven gaan kapot, dat is een kwestie van tijd. Door gespiegelde schijven merkt de operator daar niets van.

Snel herstel. Omdat de database continu wordt gekopieerd, hoeven we bij een uitval niet te beginnen met zoeken naar een kopie. Die staat al klaar.

We zijn daar ook eerlijk over: redundant betekent niet onverwoestbaar. De kern, de applicatie, de inlog en de database, is dubbel uitgevoerd. Enkele ondersteunende onderdelen draaien nu nog op één van de twee servers.

Waarom we productiedata niet in de publieke cloud opslaan

Eerst een precisering, want "de cloud" is een breed begrip. Wij slaan productiedata niet op in de publieke hyperscale-clouds van de grote Amerikaanse aanbieders. Onze servers zijn dedicated: hardware die alleen voor ons gereserveerd is, bij een Europese hostingprovider, in een Europees datacenter in Duitsland.

Waarom die keuze?

Een gecertificeerd datacenter. Het datacenter waar onze servers staan is ISO 27001-gecertificeerd, volgens de provider zelf. ISO 27001 is de internationale norm voor het managen van informatiebeveiliging. Dat certificaat is van het datacenter, niet van ons, maar het is het fundament waarop wij bouwen.

Europees van begin tot eind. De aanbieder, het datacenter en onze servers zitten in Europa, en vallen dus onder Europese wetgeving. In onze bouwlog over waar je productiedata staat leggen we uit waarom dat voor ons een principekwestie is.

Volledige controle. Wij bepalen welke software erop draait, wie erbij kan en waar de data staat. Er zit geen laag tussen van een aanbieder die dat voor ons invult.

Geen gedeelde hardware met andere bedrijven. Op dedicated servers staat alleen ons werk. Dat verkleint het aantal manieren waarop een probleem bij een ander kan overslaan op ons.

Een kleiner aanvalsoppervlak. Minder losse diensten en koppelingen betekent minder plekken waar iets mis kan gaan.

Dit is geen oordeel over de grote cloudproviders: hun beveiliging is op veel punten uitstekend. Het is een bewuste afweging. We kiezen voor controle en voorspelbaarheid, en nemen daarmee zelf de verantwoordelijkheid voor onderhoud en updates.

Eén tenant per klant: volledige isolatie binnen het serverpark

Redundantie zorgt dat het systeem blijft draaien. Isolatie zorgt dat klanten gescheiden blijven. Allebei zijn nodig.

Binnen het serverpark krijgt elke klant een eigen tenant: een eigen, afgesloten omgeving met een eigen database, bereikbaar via een eigen adres. Er is geen gedeelde tabel waarin klanten uit elkaar worden gehouden door een kolom met een klantnummer, en er is geen scherm of bestand waar de gegevens van twee bedrijven naast elkaar staan. Hoe dat er voor jou als klant uitziet, lees je in Wie kan er bij jouw gegevens?

Wat dat oplevert:

• Een fout of incident bij één klant blijft bij die klant
• Een verkeerde handeling bij beheer raakt niet de data van een ander
• Een klant die zijn omgeving liever op eigen servers draait, kan dezelfde omgeving meenemen

En omdat alle tenants in hetzelfde redundante serverpark draaien, profiteert elke klant van dezelfde beschikbaarheid.

Beheer alleen via een afgeschermde route

Beveiliging gaat niet alleen over wat klanten zien. De servers zijn niet vanaf het open internet te beheren. Medewerkers komen er alleen via een versleutelde VPN-verbinding naar een aparte beheeromgeving, en alleen vanuit die omgeving bij de servers zelf.

Het verkeer van managers en tablets komt binnen via een beveiligde, versleutelde verbinding (HTTPS) en een loadbalancer die het verdeelt over de twee servers. Daarmee is er één bewaakte voordeur voor gebruikers en een tweede, strak afgeschermde voor beheer.

Updates: waarom ze net zo cruciaal zijn als de hardware

Wie zelf servers beheert, is zelf verantwoordelijk voor de updates. Een serverpark dat nooit wordt bijgewerkt, is op termijn kwetsbaar, hoe goed de opzet ook is. Redundantie en isolatie helpen niet tegen een bekende kwetsbaarheid die al maanden openstaat.

Daarom werken we met drie afspraken:

1. Eerst testen, dan pas live. Nieuwe versies draaien eerst in een aparte testomgeving naast productie. Fouten vinden we daar, voordat een operator er last van heeft.
2. Eén bron voor elke wijziging. Alle wijzigingen worden centraal vastgelegd en vanuit één beheeromgeving naar beide servers uitgerold, niet met de hand per server. Zo blijven de twee servers identiek.
3. Eén server tegelijk. Doordat er twee servers zijn, kan één worden bijgewerkt terwijl de ander het werk draagt. Onderhoud hoeft geen stilstand op de vloer te betekenen.

Dit is ook waar de wetgeving naartoe beweegt. De Eerste Kamer keurde op 7 juli 2026 de Cyberbeveiligingswet goed, met inwerkingtreding op 15 augustus 2026. Binnen de zorgplicht staat expliciet beveiliging bij het onderhouden van systemen, inclusief het omgaan met kwetsbaarheden. Voor fabrieken die onder die wet vallen, geldt bovendien dat zij hun leveranciers daarop moeten kunnen beoordelen. Dat vinden wij een terechte vraag.

Redundantie is geen back-up

Een dubbel uitgevoerd systeem beschermt tegen het uitvallen van een server of schijf. Het beschermt niet tegen alles: een verkeerde handeling of een beschadigde dataset wordt netjes meegekopieerd naar de tweede server.

Daarom hoort er bovenop redundantie een aparte back-up: een kopie van de data op een andere locatie, los van de productieservers. Zo'n back-up heeft één taak die redundantie niet heeft: terugkijken in de tijd. Is er iets misgegaan, dan kun je terug naar een moment waarop alles nog klopte.

Een externe back-up is een vast onderdeel van ons ontwerp, op een aparte locatie, ook in Europa. Redundantie houdt het systeem draaiend, de back-up houdt je data terugdraaibaar. Je wilt allebei.

Wat dit betekent voor jouw fabriek

Je productiedata staat op servers die alleen voor ons zijn gereserveerd, in een gecertificeerd Europees datacenter. Er is voor alles wat ertoe doet een tweede. Jouw omgeving staat los van die van andere klanten. Het beheer loopt via een afgeschermde route. En updates zijn een vast onderdeel van het werk, niet iets wat er "ooit" van komt.

Vraag aan jou:

Als jullie productiesoftware morgenochtend een uur uitvalt: weet je dan wat er op de vloer gebeurt, en waar jullie data op dat moment staat?