Toegang tot de source. Dan zal je eerst de sleutel moeten hebben

Toegang tot de source. Dan zal je eerst de sleutel moeten hebben. 🔑

De afgelopen jaren zijn we massaal overgestapt op SaaS. Alles moest en zou SaaS worden. Geen updates meer installeren, geen SQL-maintenance, geen onderhoud aan infrastructuur. En maatwerk was verleden tijd: “zo werkt dat niet in deze applicatie.”

Dat scheelde al het bovenstaande. Maar het betekende ook dat bedrijfsprocessen zich moesten aanpassen, en dat is een grotere verandering dan hij lijkt.

Vier keer heen en weer

Kijk eens naar de beweging van de afgelopen decennia. Die gaat op en neer, en we zitten nu in de vierde slag.

Fabriek. In den beginne werkten we met ICT zoals die uit de fabriek kwam. Het systeem bepaalde het proces. Zo was het, en niemand vond dat vreemd.

Maatwerk. Toen raakten we razendsnel gewend aan systemen naar onze hand zetten. We gingen van IT bepaalt ons proces naar ons proces bepaalt hoe IT moet werken. Elke organisatie kreeg haar eigen versie van hetzelfde pakket, en er kwam een hele beroepsgroep bij om dat te onderhouden.

Fabriek. Met de cloud (eerst private, toen public) en SaaS draaide het weer om. Zo’n applicatie bepaalt hoe jouw organisatie werkt. Je bedrijfsproces vormt zich naar de mogelijkheden van die ene leverancier. Natuurlijk zoek je een app die aansluit bij je proces, maar helemaal op maat wordt het nooit.

Maatwerk. En nu kan iedereen weer programmeren.

Programmeren doe je in een taal, en niemand spreekt meer talen dan een taalmodel. Jij vertelt wat je wilt weten; het model schrijft de code. Die code zie jij vervolgens op je scherm als een dashboard dat precies doet wat jij bedoelde. In je eigen huisstijl. Met reporting, met een alert per e-mail, met een analyse van de output erbij.

De maatwerk-apps vliegen je om de oren. Waanzinnig.

Waar de sleutel zit

En nee, we gaan niet meteen van SaaS af. Die eerdere voordelen zijn er nog steeds.

Maar als je IT platslaat, is het eigenlijk dit. Een SaaS-applicatie is niets meer dan een verzamelplaats van je data. Je kroonjuwelen. Hetzelfde als destijds die SQL-server. De applicatie is nu een website die je via elke browser kunt benaderen.

Die data is van jou. Die website niet.

Dat betekende jarenlang: geen maatwerk mogelijk. Je bent gebonden aan de dashboards die je krijgt, de rapportages die er zijn, en de plek waar de leverancier een veld heeft neergezet. Wilde je daarbuiten iets, dan huurde je een expert in, of je bleef bij Power BI en Excel.

Via een API. De sleutel tot jouw source.

Dat is het onderdeel dat in alle enthousiasme over vibe-coden wordt overgeslagen. Al die maatwerk-apps zijn niets zonder toegang tot de data, en die toegang is een sleutel die iemand moet afgeven. Zolang je die hebt, kan alles. Heb je hem niet, dan bouw je een prachtig dashboard boven een lege bron.

Dus we zijn terug in het maatwerk-tijdperk. IT is weer ondersteunend aan de business in plaats van andersom. Laat de AI je niet vertellen hoe je moet werken; vertel de AI hoe jij werkt.

En dan het ongemakkelijke deel

Er zit een keerzijde aan die vierde slag, en die is niet symmetrisch met de vorige drie.

In het eerste maatwerk-tijdperk had toegang tot de database een gezicht. Er was een DBA, er was een leverancier, er was iemand die je moest bellen. Toegang was iets wat je aanvroeg en wat werd toegekend, en er zat een mens tussen die kon zeggen: waarvoor dan?

Nu is het een API-sleutel in een omgevingsvariabele. Of erger: een agent die in de browsersessie van een medewerker naar binnen loopt, want dan heb je helemaal geen sleutel nodig. Je leent er een.

En daar kantelt het van handig naar riskant. Want in het eerste maatwerk-tijdperk was maatwerk duur en dus zeldzaam. Nu is het gratis en dus overal. Iedereen in je organisatie kan iets bouwen dat werkt, en iedereen die iets bouwt heeft toegang nodig, en niemand houdt bij hoeveel sleutels er inmiddels uit zijn.

Vraag jezelf eens af: hoeveel API-sleutels op jouw data zijn er de afgelopen twaalf maanden uitgegeven? Wie heeft ze? Zijn ze nog nodig? En wie zou het merken als er één gebruikt werd door iemand anders?

Ik ken het antwoord voor de meeste organisaties, en het is niet “dat weten we precies”.

De sleutel, niet de kluis

We hebben jaren aandacht besteed aan de kluis. Encryptie in rust, encryptie in transport, een datacenter met een certificering en een tourniquet bij de ingang.

Dat is allemaal terecht. Maar het is niet meer waar het misgaat.

Je kan je data in een 24/7 beschermde kluis bewaren. Maar als je niet zuinig bent op de sleutel, kan iedereen naar binnen.

Hier lijkt het maatwerk-tijdperk niet meer op het eerste. Toen was de vraag: kunnen we dit bouwen? Nu is de vraag: weten we nog wie er binnen is?