SBB Digitale Werkplek (DWP)

IST

De Digitale Werkplek (DWP) wordt in de IST gerealiseerd op basis van een Microsoft 365 Cloud werkplek. De applicatie instellingen en persoonlijke bestanden worden opgeslagen in Onedrive for Business. De Microsoft Teams/SharePoint Online samenwerkvoorziening die hier bij hoort is technisch voorbereid en deels in gebruik, maar niet generiek ter beschikking gesteld. De DWP is uitgerold voor de interne RWS gebruikers als vervanging van de nBIW gebaseerde Windows 10 werkplek. De overige  gebruikers met een RWS account (grotendeels externe medewerkers) zijn afhankelijk van de nBIW gebaseerde Citrix gedeelde omgeving (inclusief Ivanti Workspace). Het gebruik van Ivanti is per eind 2026 end of Service.

Korte termijn visie

De DWP (Microsoft Windows 11 cloud werkplek) is op korte termijn de werkplek om naar te standaardiseren. Er zijn nog zo'n 7000 gebruikers die hier niet over kunnen beschikken en nog primair afhankelijk zijn van de gedeelde centrale Citrix werkomgeving (nBIW). Verder wordt deze omgeving ook nog ingezet als achtervang voor de DWP (b.v. voor thuiswerken) als binnen het primair proces (b.v. de Waterkamer in Lelystad). De centrale Citrix omgeving omgeving heeft groot onderhoud nodig:

• De hardware waarop het platform draait is aan vervanging toe.
• De gebruikte software component voor profiel synchronisatie (Ivanti Workspace) is end of support eind 2026 moet voor de tijd worden vervangen.

Uitfaseren van de centrale Citrix werkomgeving en Ivanti Workspace voor het einde van 2026 is niet realistisch omdat:

• Er nog onvoldoende opties en afspraken zijn om onafhankelijk te kunnen worden.
• Er medewerkers zijn die thuis nog met Cirtix werken, terwijl zij over een DWP beschikken.
• Er nog steeds applicaties zijn die niet beschikbaar zijn op de DWP maar wel via Citrix.
• Er onvoldoende zicht is op het IV gebruik waarbij er een afhankelijkheid is met de centrale Citrix werkomgeving.
• Er wordt ook gebruik gemaakt van de Ivanti productlijn voor het beveiligen van netwerkverkeer voor de Windows Stepping stones.

Met het plan om de gedeelde centrale Citrix omgeving uit te faseren, en de gebruikers te migreren naar een vervangende dienst op basis, zijn er vervangende opties noodzakelijk voor de digitale werkplek:

• Migreren naar de Windows 11 DWP werkplek (kosten € 1000,- per gebruiker per 5 jaar).
• Migreren naar een DWP Persistent VDI. Deze VDI kan worden gebaseerd op basis van bestaande technologie (Citrix + VMware). Met het afbouwen van de Citrix omgeving kan naar schatting voor ca. 2000 gebruikers een DWP VDI worden aangeboden (op de bestaande hardware en omgeving). Een meer structurele optie is om VDI via OpenShift aan te bieden, maar die optie moet eerst worden ontwikkeld.
• BYOD dienstverlening i.c.m. Intune voor conditional access (opt-in van gebruiker noodzakelijk) en Blackberry UEM (ca. € 100 per gebruiker per jaar) of Citrix Netscaler (reverse proxy per website) (nog nader uit te werken). Optioneel Citrix SPA (Secure Browser) voor Intranet toegang inzetten. Al deze componenten zijn bestaand en worden nu ingezet op de DWP en/of RWS Smartphone. Deze optie is alleen geschikt voor gebruikers die voldoende hebben aan MS Office, webapplicaties, Intranet en Email.
• Vervangende opties voor overige use cases, b.v. een fysieke multi-user werkplek of laptop.

Noodzakelijke acties op de korte termijn

• Opdrachtverstrekking om de continuering te borgen van de centrale Citrix omgeving (inclusief Citrix WEM als opvolger voor Ivanti-Workspace). Hoewel deze omgeving wordt uitgefaseerd, zijn de vervangende opties niet op tijd gereed.
• Opdrachtverstrekking om de continuering te borgen van de Windows steppingstone, die nog een afhankelijkheid heeft met Ivanti Workspace.
• Besluit over het inzetten inzetten van managed RWS laptops (DWP) voor ingehuurde medewerkers als kosten besparende maatregel. Hoewel het inzetten van een DWP persistent VDI een optie is, is deze een stuk duurder ivm de extra beheer en exploitatiekosten.
• Opdracht om de DWP Persistent VDI optie via OpenShift te ontwikkelen zodat deze onafhankelijk van Citrix en VMware wordt.
• Besluit en opdracht om de bestaande technologie van Blackberry en Microsoft (Intune en mogelijk op termijn MS GSA) in te zetten voor BYOD gebruikers die voldoende hebben aan MS Office, webapplicaties, Intranet en Email. Hiervoor moeten aanvullende licenties worden aangeschaft (rechtmatigheid moet worden onderzocht).

Visie middellange termijn

Op de middellange termijn is het nodig om in te zetten op verdere rationalisatie, het rechtmatig inzetten van software en het verkleinen van de complexiteit en vendor lock-in.

Daarom de volgende ontwikkelingen nodig:

• Starten van aanbesteding van (op korte termijn) onrechtrechtmatig ingezette generiek ingezette producten. Hierbij is een multi-vendor aanbod sterk aanbevolen, zodat de vendor lock-in risico's worden verminderd. Dit is o.a. van toepassing voor:

• • Microsoft Office en GSA (Zero Trust Network Access) (DWP). Zorg hierbij voor een minimale Internet afhankelijkheid, b.v. door het inzetten van een directe netwerk route (b.v. een Express Route), voor een optimale kwaliteit en beschikbaarheid van de verbinding.
  • Blackberry UEM (Smartphones en BYOD)
  • Citrix applicatie virtualisatie
• Door het verder rationaliseren van onze werkplek opties en die onafhankelijk te maken van Citrix, kosten besparen op infrastructuur en ondersteuning.
• Voorzien in een alternatief voor OneDrive voor het opslaan en delen van persoonlijke documenten (op DWP) om soevereine dataopslag mogelijk te maken.
• Het starten van de ontwikkeling van een werkplek voor ontwikkelaars en data scientists (voorstel is om te onderzoeken of hiervoor een Linux gebaseerde werkplek ingezet kan worden).

Kansen op middellange termijn

• Bespaar op de kosten en vergroot de veiligheid van onze email voorziening. Legitimeren van het gebruik van Microsoft Exchange on-prem voor onze Email voorziening is op langere termijn onhoudbaar:
  • Er worden geen back-ups gemaakt van onze e-mail voorziening, waardoor er een significant risico is dat we data kwijtraken.
  • De bestaande oplossing werkt het lekken van gevoelige bedrijfsinformatie in de hand door het ontbreken van functionaliteit die wel in de cloud ter beschikking staat.
  • Gebruikers met een BYOD kunnen niet zonder Citrix gebruik maken van de RWS mail voorziening.
  • Met bestaande licenties kunnen we nu al gebruik maken van de cloud voorziening van Microsoft en de beveiliging en privacy vergroten. We besparen op beheer, en life-cycle management en winnen op productiviteit. Dit maakt ruimte voor de ontwikkeling van soevereine opties.
• Maak gebruik van SharePoint online en Teams voor samenwerken zodat BYOD gebruikers hiervan gebruik kunnen maken zonder Citrix.

Visie lange termijn

Op de lange termijn is doel om te werken aan een opensource variant van de DWP. Hierbij is het van belang dat het applicatieportfolio vendor-onafhankelijk wordt gemaakt. Veel van onze bestaande applicaties zijn niet web-gebaseerd of vereisen Microsoft Windows als Operating System. Deze afhankelijkheid bindt ons aan Microsoft voor de toegang tot onze applicaties en werkomgeving. De toegang en autorisatie (IAM) en het toebedelen van rollen (IGA) moet onafhankelijk worden gemaakt van Microsoft, zodat ook met andere vendoren zoals Google en Apple, en op basis van Open Source oplossingen ontwikkeld kunnen worden die toegang geven tot ons applicatie portfolio.

Verminderen van vendor lock-in Microsoft

Een vervangende virtualisatie oplossing (is nu Citrix) is nodig om bestaande legacy Windows applicaties blijvend te kunnen ondersteunen en tegelijk de werkplek voor de eindgebruiker onafhankelijk te kunnen maken van Microsoft Windows.

De bestaande Zero Trust Network Access (ZTNA) oplossing van Microsoft voor toegang tot Intranet en Email, Global Secure Access (GSA), is erg complex, in gebruik en beheer. Het is van belang om de afhankelijkheid van dergelijk producten te beperken door onze on-prem voorzieningen cloud-native neer te zetten en afscheid te nemen van verouderde technologie (denk aan het gebruik file-shares, SharePoint en Exchange on-prem, die afhankelijk zijn van Microsoft Active Directory).

Applicaties op de DWP

Applicaties op de DWP worden beheerd via de bedrijfsportaal app van Microsoft (Intune). Hiermee kunnen applicaties of applicatie fixes worden gepushed, of worden aangeboden richting de gebruiker.

A-applicaties: Applicaties die elke RWS gebruiker ter beschikking heeft. Deze applicaties zijn voor een deel vooraf geïnstalleerd, andere A-applicaties kan de gebruiker zelf installeren via het bedrijfsportaal.

B-applicaties: Deze applicaties kan iedere RWS gebruiker aanvragen (TOPdesk), waarna ze beschikbaar komen in het bedrijfsportaal.

C-applicaties: Dit zijn specifieke applicaties, voor specifieke doelgroepen. De functioneel beheerder bepaald wie deze applicaties ter beschikking krijgt en bepaald ook het aanvraagproces.

D-applicaties: Dit zijn applicaties die de gebruiker zelf kan installeren, maar die niet door een RWS applicatiebeheerder worden beheerd.
Niet door RWS beheerde applicaties op de DWP moeten zijn Applicatie Whitelisting/Applocker DWP (D applicaties) om door de gebruiker zelf geïnstalleerd te mogen worden.

Uitvoeringen

De DWP is er in de volgende uitvoeringen:

1. SBB Digitale Werkplek voor de Kenniswerker (persoonlijk) (persoonlijk)  op basis van ABB 1.6.3 Mobile.
2. SBB Multiuser Digitale Werkplek op basis van ABB 1.6.1 Desktop.
3. Centrale werkomgeving (verouderd): gebruik van shared VDI met Citrix op basis van ABB 1.6.2 VDI.

Gepland:

1. SBB Digitale Werkplek voor BYOD gebruikers op basis van ABB 1.6.6 Desktop as a Service, bedoelt voor contractors (inhuur) en gebruikers die (tijdelijk) een vervangende werkplek nodig hebben.

Variaties van DWP voor andere Persona's buiten scope:

1. VOW o.a. voor applicatiebeheerders met verhoogde rechten, op basis van ABB 1.6.2 VDI.

1. VPW (+GPU) met beheer van applicaties bij de klant, op basis van ABB 1.6.2 VDI.