Inleiding

Voice-over-IP is een techniek die pas tien jaar bestaat. In een markt die zich meer en meer ontwikkelt naar IP (Internet Protocol)-datageschakelde netwerken is VoIP een steeds belangrijker wordende techniek om telefoongesprekken te transporteren. In de laatste jaren neemt VoIP in de consumenten- en zakelijke markt een steeds groter marktaandeel in. Uit een KPMG-onderzoek ([KPMG06]) blijkt dat 63% van de ondervraagde telecommanagers aangeeft VoIP als de belangrijkste groeibron te zien.

Er zijn verschillende vormen van VoIP te onderscheiden:

• Carrier Grade VoIP: in deze vorm wordt VoIP aangeboden door de netwerkoperator waarbij gebruik wordt gemaakt van hoge kwaliteit IP-gebaseerde telefonieswitches.
• Particuliere VoIP: spraakdiensten waarbij gebruik wordt gemaakt van applicaties zoals MSN of Skype om een telefoongesprek te voeren. Het gebruik van deze applicaties is onafhankelijk van het netwerk van de onderliggende ADSL- of kabel-internetprovider.
• Mobiele VoIP: VoIP-diensten via een mobiel netwerk zoals UMTS of WiFi.
• Zakelijke VoIP: zakelijke VoIP-oplossing waarbij de werkplekken binnen een bedrijf voorzien worden van een VoIP-telefoon. Door integratie van de telefooncentrale met overige bedrijfssystemen kunnen allerlei aanvullende diensten worden geleverd.

De overstap van vaste telefonie naar VoIP kan voordelen met zich meebrengen, zoals kostenbesparingen en het eenvoudiger kunnen leveren van aanvullende diensten. Vanuit leveranciers van VoIP en vanuit onderzoek is veel informatie beschikbaar over de voordelen van de introductie van VoIP. Over de risico’s en de beheersing van deze risico’s is naar verhouding weinig bekend. De risico’s liggen op het gebied van leverancierselectie, projectmanagement, beveiliging, kwaliteit en beschikbaarheid ([KPMG04]). In het eerder in Compact gepubliceerde artikel ‘Voice over Internet Protocol, een nieuw risico’ ([Moon05]) is een technische uitleg gegeven van VoIP en is een aantal zwakheden op het gebied van beveiliging beschreven. In dit artikel gaan wij in op de brede implementatie van VoIP en beschouwen wij de transitie naar VoIP als een sourcingproject waarin de juiste maatregelen getroffen moeten worden om de aangegeven risico’s te beheersen en de verwachte kostenbesparingen en voordelen te realiseren.

Eerst zal kort worden stilgestaan bij de voordelen die met VoIP kunnen worden behaald. Vervolgens worden de risico’s ten aanzien van een VoIP-implementatie nader belicht.

Business case voor VoIP-implementatie

Traditioneel maken bedrijven gebruik van vaste circuitgeschakelde telefoniediensten. Deze bedrijven hebben een interne telefoniecentrale (Private Automatic Branch eXchange, PABX) voor het intern doorverbinden van gesprekken. Het opzetten van een bedrijfstelefonienetwerk met een PABX en het onderhouden ervan brengt hoge kosten met zich mee. Daarnaast zijn bedrijven veelal sterk afhankelijk van een telecomoperator voor het leveren van relatief dure telefoniediensten.

In de laatste jaren zijn in veel bedrijven naast de telefonienetwerken ook datanetwerken aangelegd voor het leveren van datadiensten op de werkplekken. Hiermee wordt de mogelijkheid gecreëerd om VoIP op de werkplekken te introduceren.

Besparingen door de introductie van VoIP kunnen worden gerealiseerd door:

• het combineren van het telefonie- en datanetwerk;
• het verhogen van de efficiëntie van de bedrijfsvoering door de introductie van nieuwe diensten zoals ‘unified messaging’ en de integratie van VoIP met CRM-systemen;
• het uitfaseren van dure Public Switched Telephone Network (PSTN)-verbindingen;
• het reduceren van de kosten van onderhoud van het netwerk en van ondersteunende afdelingen.

Voor een succesvolle VoIP-business case moeten deze besparingen opwegen tegen de kosten voor:

• het vervangen en/of aanpassen van de datanetwerkinfrastructuur inclusief toestellen, switches, routers, servers en bekabeling;
• het voorzien in extra bandbreedte voor de LAN-verbinding tussen kantoren en met het internet;
• het onderhouden en managen van extra apparatuur in het netwerk zoals toestellen en servers.

Risico’s ten aanzien van VoIP-implementaties

Recente projecten hebben laten zien dat bedrijven niet altijd de kennis en ervaring in huis hebben om de implementatie van VoIP in de organisatie te laten slagen. VoIP is een relatief nieuwe techniek waardoor veel bedrijven de business case of de leverancierselectie onvoldoende kunnen onderbouwen. Zonder voldoende risicomanagement kunnen VoIP-projecten leiden tot negatieve impact op de dienstverlening, de bedrijfsvoering en in sommige gevallen zelfs tot reputatieschade. Daarnaast bestaat het risico dat de technische implementatie van VoIP niet aansluit bij de eisen en wensen vanuit de business.

De risico’s bij een VoIP-implementatietraject kunnen worden ingedeeld in de volgende categorieën: business case, leverancierselectie, projectmanagement, beveiliging, kwaliteit en beschikbaarheid.

Business case-risico’s

Zoals al eerder in dit artikel aangegeven bestaat een business case voor implementatie van een VoIP-netwerk niet alleen uit verlaagde kosten van onderhoud van het netwerk en ondersteunende afdelingen. Alhoewel er leveranciers zijn die VoIP als een technologie verkopen met een eigen business case, blijkt ook uit figuur 2 dat zonder een bedrijfsreden voor het vervangen en/of aanpassen van de huidige datanetwerkinfrastructuur, de hoge kosten het overschakelen naar een IP-netwerk onaanvaardbaar kunnen maken. Tegelijkertijd zijn andere bedrijfsvoordelen zoals verbeterd continuïteitsvermogen en het productiever maken van mensen door meer flexibiliteit te leveren, moeilijk aan te tonen.

Wanneer een bedrijf staat voor een keuze in verband met vervanging van de bestaande telefoniecentrales moeten deze investeringen worden gezien als een noodzakelijke investering. De additionele kosten voor de vervanging van de bestaande telefoniecentrales wegen hierbij vaak wel op tegen de besparingen.

Figuur 2. Overzicht van verschillende business cases voor een implementatie van VoIP in een bedrijfsnetwerk. [Klik hier voor grotere afbeelding]

Leverancierselectierisico’s

De transitie van een traditioneel naar een VoIP-communicatienetwerk is een complexe aangelegenheid die een forse inspanning vereist van organisaties. Omdat ieder bedrijf zijn eigen omgeving en verplichtingen heeft, is het uitermate belangrijk om een VoIP-leverancier te kiezen die in staat is de verwachte diensten en serviceniveaus te leveren. Om een uitloop in tijd en kosten en ontevredenheid met het eindresultaat te voorkomen, zullen bedrijven hun eisen en verwachtingen zorgvuldig moeten vastleggen, zodat deze als basis kunnen dienen voor de leverancierselectie. Figuur 3 geeft een beeld van een typische VoIP-implementatie waarbij de organisatie controle blijft houden over het IP-netwerk, maar waarin de organisatie een geheel VoIP-systeem aanschaft. Een dergelijke afweging is voor ieder bedrijf verschillend, en een duidelijk overzicht van het huidige netwerk en de gewenste situatie en raakvlakken vergroot dus de kans op het selecteren van de juiste leverancier.

Figuur 3. Overzicht van een typische VoIP-implementatiearchitectuur in een bedrijfsnetwerk.

Door middel van een diepgaande evaluatie van de capaciteiten van de verschillende leveranciers kan een effectieve implementatie worden gewaarborgd. De nadruk ligt hierbij op het uitvoeren van een zorgvuldig selectietraject waarin belangrijke onderwerpen zoals structuur, ontwerp, capaciteiten, contractevaluatie en samenwerkingsverbanden overeengekomen worden. KPMG heeft wereldwijde ervaring met VoIP-adviestrajecten met specialisten die kunnen putten uit een rijke bron van kennis en ervaring in de verschillende communicatiemarkten. Daaruit blijkt dat bedrijven veelal de kennis en de middelen niet hebben om een VoIP-implementatietraject uit te voeren.

Projectmanagementrisico’s

De implementatie van VoIP voor organisaties is een omvangrijk project waardoor vrijwel alle afdelingen worden geraakt en waardoor een aantal bedrijfsprocessen drastisch verandert. Voldoende draagvlak binnen het bedrijf, duidelijkheid over de impact van het project en voldoende resources (geld en personen) zijn daarom van groot belang bij de implementatie van VoIP.

Tabel 1 geeft een overzicht van de risico’s, gevolgen en maatregelen op het vlak van projectmanagement bij de implementatie van VoIP.

Tabel 1. Overzicht van risico’s en mogelijke beheersingsmaatregelen op het gebied van projectmanagement van de implementatie van VoIP-diensten.

Beveiligingsrisico’s

De introductie van VoIP betekent dat telefonie voortaan als data wordt getransporteerd over het geselecteerde operatornetwerk. Omdat de complexiteit van de diensten en het netwerk aanzienlijk toeneemt, zullen ook beveiligingsrisico’s worden geïntroduceerd. Zo zijn IP-gebaseerde diensten vatbaarder voor bedreigingen zoals virussen en Denial of Service (DoS)-aanvallen. De verwachting is dat het risico van aanvallen op eindpunten vele malen groter is dan het afluisteren van individuele gesprekken ([Moon05]). Iedere werkplek of aansluitpunt moet daarom in een VoIP-omgeving worden gezien als een potentiële ingang voor een aanval waardoor risicomanagement essentieel wordt.

In vergelijking met traditionele telefoniediensten zijn VoIP-diensten gevoeliger voor afluisteren van gesprekken en voor aanvallen doordat voor VoIP-diensten geen fysieke toegang tot het netwerk nodig is om de centrale te bereiken. Uiteindelijk willen bedrijven zekerheid dat alleen de gewenste ontvanger de boodschap of het gesprek ontvangt. Zij zullen daarom bij de overschakeling naar een VoIP-netwerk rekening moeten houden met de volgende risico’s van hacking en de juiste maatregelen moeten treffen om deze te vermijden:

• Afluisteren. Met behulp van IT-netwerktools kunnen gesprekken worden afgeluisterd of worden doorgestuurd, bijvoorbeeld door gebruik van een inactieve handset voor het afluisteren van belangrijke gesprekken, zoals bestuursvergaderingen.
• Doorschakeling. Alle gesprekken worden doorgeschakeld naar een premium (0900) nummer waardoor hoge kosten gemaakt worden voor deze gesprekken.
• Denial of Service-aanval. Een telefoon kan zodanig worden hergeprogrammeerd dat deze continu gesprekken opzet naar willekeurige telefoonnummers waardoor het netwerk wordt overbelast door nutteloze informatie.
• Invoegen van verkeer. Een aanvaller kan zich voordoen als een ander waardoor de integriteit van de informatie niet meer gewaarborgd is.

Het risico van het afluisteren of veranderen van het netwerk kan worden verminderd door de toepassing van versleuteling (encryptie). Verzender en ontvanger spreken een unieke encryptiesleutel af. De informatie wordt versleuteld met de encryptiesleutel door de verzender en weer ontcijferd door de ontvanger. Zonder deze sleutel is het erg moeilijk om het gesprek af te luisteren of verkeer toe te voegen.

Tabel 2 geeft een overzicht van de risico’s en typische maatregelen die kunnen worden getroffen om de beveiligingsrisico’s te voorkomen of te beperken.

Tabel 2. Overzicht van risico’s en mogelijke beheersingsmaatregelen op het gebied van beveiliging van VoIP-diensten.

Kwaliteits- en beschikbaarheidsrisico’s

Bij een VoIP-dienst wordt de spraakinformatie verstuurd als IP-pakketten over het datanetwerk. De pakketten reizen onafhankelijk van elkaar over het netwerk en hebben een geringe kans om verloren te gaan. Wanneer de pakketten te laat of niet aankomen, dan heeft dit directe gevolgen voor de kwaliteit van de geleverde diensten.

De kwaliteit (Quality of Service) en de beschikbaarheid van een dienst binnen een VoIP-netwerk hangen nauw met elkaar samen. Het verschil is de tijdsschaal waarop de kwaliteit van de dienst onvoldoende is. Een kortdurende Denial of Service-aanval zal de kwaliteit van de dienst verlagen. Wanneer de aanval echter langere tijd aanhoudt zal dit ook gevolgen hebben voor de beschikbaarheid van de diensten. Voordat wij echter verder ingaan op de beschikbaarheidsrisico’s binnen VoIP, geven we eerst een korte omschrijving hoe kwaliteit gemeten wordt binnen een VoIP-netwerk.

De tijd tussen het versturen van een pakket en het ontvangen ervan wordt de delay genoemd. Het verschil tussen de gemiddelde delay van alle pakketten en de delay van een individueel pakket wordt de jitter genoemd. Wanneer enkele pakketten vertraagd aankomen, zal de jitter groot zijn. In het datanetwerk bestaat de kans dat pakketten verloren gaan, wat packet loss wordt genoemd. Delay, jitter en packet loss samen bepalen de kwaliteit die de spraakverbinding kan leveren.

Er zijn verschillende VoIP-protocollen in gebruik die de invloed van delay, jitter en packet loss kunnen verkleinen. Zo kan elk pakket dubbel worden verstuurd (packet loss control) of alle pakketten worden vertraagd totdat het langzaamste pakket aankomt (jitter control). Daarnaast kunnen VoIP-pakketten prioriteit krijgen boven overige datapakketten waardoor de kwaliteit van de VoIP-dienst hoger wordt.

Ten slotte is de beschikbaarheid van de dienst een belangrijke parameter voor de kwaliteit van een VoIP-dienst. De beschikbaarheid is het percentage van de tijd dat een gebruiker een gesprek kan opzetten en voeren. De beschikbaarheid van een dienst kan worden verlaagd zowel door technisch falen (stroomstoring, uitval apparatuur, kabelbreuk) als door softwarematige storingen (onjuiste systeemconfiguratie of storingen als gevolg van een Denial of Service-aanval of virus).

Tabel 3 geeft een overzicht van de risico’s en mogelijke beheersingsmaatregelen.

Tabel 3. Overzicht van risico’s en mogelijke beheersingsmaatregelen op het gebied van kwaliteit en beschikbaarheid van VoIP-diensten.

Aanpak voor het beheersen van de risico’s

Het implementeren van een VoIP-netwerk kan worden gezien als een sourcingtraject. Voor het beheersen van de risico’s bij sourcingtrajecten heeft KPMG de integrale sourcingcyclus aangepast voor VoIP-implementaties. Deze aanpak bestaat uit vier fasen die parallel lopen met de levenscyclus van een sourcingtraject (zie figuur 4). Aan de hand van de fasen worden de typische beheersingsactiviteiten uitgelegd tijdens de implementatie van een VoIP-netwerk.

Figuur 4. KPMG-cyclus voor het beheersen van de risico’s van de implementatie van een VoIP-dienst in de zakelijke omgeving. [Klik hier voor grotere afbeelding]

Fase 1. VoIP-strategie

In deze fase wordt nagegaan of de VoIP-strategie aansluit bij de bedrijfsstrategie. Een VoIP-implementatietraject moet duidelijk aansluiten op de strategie van het bedrijf om effectieve besluitvorming in het project te garanderen. De aansluiting tussen het project en de bedrijfsstrategie zorgt er ook voor dat de maximale voordelen worden gehaald uit de implementatie van VoIP in het bedrijf en dat de risico’s op een effectieve manier worden beheerst.

Typische activiteiten in deze fase zijn de installatie van een projectmanagementorganisatie met een stuurgroep, het aanwijzen van businesseigenaren voor het project en het opstellen van een planning op hoog niveau. Vervolgens worden een sourcingstrategie en een concept-business case opgesteld voor de implementatie van VoIP. De business case bevat de onderbouwing voor het project, een overzicht van de risico’s en van de kosten en voordelen voor het project. Ten slotte worden kritische succesfactoren bepaald voor het project.

Op te leveren documenten in deze fase zijn:

• strategiedocument voor de VoIP-implementatie;
• beoordeling van interne VoIP-kennis en -expertise;
• business case met behalve voor kosten en besparingen ook aandacht voor de risico’s en consequenties voor personeel en financiën.

Fase 2. Planning en selectie

In de planning- en selectiefase wordt een gedetailleerde planning voor het VoIP-implementatietraject opgesteld en wordt de beste leverancier gekozen op basis van de eisen die zijn opgesteld in de vorige fase. De business case wordt samen met een gedetailleerde planning en een kostenanalyse goedgekeurd door het management. Een uitgebreide risicoanalyse identificeert de impact van de implementatie op bestaande processen en er worden maatregelen genomen om de risico’s te verkleinen. Typische activiteiten in deze fase zijn het opstellen en beoordelen van een Request for Information (RFI) en een Request for Proposal (RFP), het opstellen van contracten en de contractonderhandelingen.

Op te leveren documenten in deze fase zijn:

• gedetailleerde beschrijving en overzicht van de ‘IST’- en ‘SOLL’-telecomnetwerkomgeving;
• goedgekeurde business case;
• Request for Information (RFI);
• Request for Proposal (RFP) inclusief evaluatiecriteria;
• contracten en service level agreements.

Fase 3. Implementatie

In de implementatiefase valt de daadwerkelijke implementatie van de VoIP-dienst in de organisatie. De uitrol van VoIP zal invloed hebben op het vlak van mens, proces en techniek. In deze fase zal een transitiemanagementteam worden ingesteld dat verantwoordelijk is voor de planning, de migratieactiviteiten en de aansturing van het migratieproces. In het team zullen medewerkers van het bedrijf en de leverancier samenwerken.

Op te leveren documenten in deze fase zijn:

• migratieplan;
• plan van aanpak voor het bewaken van de kwaliteit, inclusief Key Performance Indicators (KPI’s);
• opzet voor het wijzigingsbeheerproces.

Fase 4. Uitvoering

Tijdens de uitvoeringsfase valt de continue levering van de dienst. De activiteiten in deze fase zijn sterk afhankelijk van de contractafspraken. Op een hoog niveau kunnen de volgende activiteiten worden onderscheiden: service level management, financieel management, capaciteitsmanagement, beschikbaarheidmanagement, probleemmanagement en wijzigingsbeheer.

Op te leveren documenten in deze fase zijn:

• statusoverzichten;
• kwaliteitsrapporten;
• analyse van de kostenstructuur.

Conclusie

Zoals met tal van nieuwe technologieën worden de voordelen in grote mate beschreven, maar worden de risico’s vaak achterwege gelaten. Wij hebben in dit artikel de risico’s en maatregelen van VoIP-implementaties beschreven die de nodige aandacht en maatregelen vergen om een succesvolle overgang naar VoIP te waarborgen.

VoIP biedt kansen voor het verlagen van de kostenstructuur en het aanbieden van nieuwe diensten, dan wel het integreren van spraakdiensten met data- en businessapplicaties. Ook zijn vergeleken met een aantal jaren geleden de kwaliteit en betrouwbaarheid van VoIP-diensten sterk verbeterd. De transitie naar een VoIP-netwerk blijft echter een uitdagend project dat ook risico’s met zich meebrengt op het vlak van sourcing, beveiliging, kwaliteit en beschikbaarheid zoals beperkte onderbouwing voor de business case en de leverancierselectie, en projectplanningen die niet worden gehaald.

Er zijn vandaag de dag talrijke opties, leveranciers en adviseurs die VoIP-gerelateerde diensten aanbieden en naarmate dit aanbod groter wordt, wordt de selectieprocedure om de leverancier te kiezen met de beste aansluiting op de specifieke bedrijfsomgeving des te complexer. Observaties in het kader van onze advieswerkzaamheden laten zien dat het juiste niveau van leverancierselectie en projectmanagement voor VoIP-implementaties vaak ontbreekt en dat daardoor de verwachte resultaten en serviceniveaus vaak niet worden gerealiseerd. Daarom is het van groot belang dat er maatregelen worden getroffen om te garanderen dat niet alleen de gepaste oplossing gekozen wordt, maar de gemaakte afspraken ook nageleefd kunnen worden (SLA). In dit artikel hebben we een cyclus beschreven waarmee de risico’s van een VoIP-implementatie in de zakelijke omgeving adequaat kunnen worden beheerst en hebben we aangetoond dat met de juiste planning, maatregelen en management de meeste toegevoegde waarde en kostenbesparingen kunnen worden behaald.