Статьи

У Москвы весьма обширное ИТ-хозяйство, в столичном центре обработки данных сосредоточено более 300 информационных систем. Многие из них критически важны для функционирования городской инфраструктуры, а значит, требуют повышенной защиты. Техническую политику, основные принципы создания ИТ-ландшафта и информационных систем, в том числе и политику безопасности, определяет государственная программа Москвы «Информационный город». О том, как устроена работа по защите городских информационных ресурсов, с какими вызовами приходится сталкиваться и чем опыт столицы может быть полезен бизнесу, рассказал заместитель руководителя столичного Департамента информационных технологий (ДИТ) Александр Горбатько.

Какие ключевые задачи в области информационной безопасности стоят перед ДИТ и с какими основными проблемами приходится сталкиваться при их решении?

Москва – это крупная корпорация. Одна из основных задач ДИТ – безотказная и непрерывная работа информационных систем 24 часа в сутки 365 дней в году, обеспечение конфиденциальности и целостности персональных данных граждан. В этом и заключается для нас понятие безопасности.

Сложные высоконагруженные системы, как дома, строятся по определенным принципам. Все инфосистемы города сконцентрированы в Общегородском центре обработки данных, размещенном на трех географически разнесенных площадках.

Ежедневно в информационные системы столицы заходят около тысячи системных администраторов. В ЦОДе большое количество систем, и всегда существует «человеческий фактор», поэтому доступ к ним осуществляется по определенным правилам, которые постоянно развиваются. Есть даже отдельная система, контролирующая действия администраторов внутри городского ЦОДа.

Наши технические задачи – построение и совершенствование имеющегося ИТ-ландшафта, соблюдение политики разделения защищенных систем от нулевого до десятого уровня отказоустойчивости. Особо критичные системы должны работать всегда – следовательно, затраты на их разработку и защиту более высоки. В других системах могут быть перерывы в работе – например, в ночное время или в праздники. С учетом этого информационные системы категоризируются по уровню защиты и финансовым затратам.

Основная организационная задача – доведение информации до наших сотрудников, подрядчиков, инженеров. Последние вирусные эпидемии нас почти не затронули, так как мы знали о них заранее и проводили профилактические мероприятия, информируя органы власти Москвы и пользователей, что нужно делать, а чего, наоборот, стоит избегать. Аналогичная работа идет постоянно, так как подобные угрозы возникают очень часто. Блок ИБ взаимодействует с федеральными структурами – регуляторами отрасли (ФСТЭК, ФСБ и ФСО) и видит все тенденции данной сферы. Более того, мы постоянно сотрудничаем с государственными центрами мониторинга: FinCERT – Центром мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере Центробанка, ГосСОПКА – Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак, – потому что нам важно иметь больше источников информации о происходящем в мире в области ИБ.

Даже элементарное обновление операционных систем – важный элемент в общей совокупности мер по обеспечению безопасности информационной среды. Червь WannaCry, используя машинные протоколы инфообмена, проникал в системы, которые вовремя не были обновлены.

Человеческий фактор – вторая по распространенности причина происшествий в области ИБ после вредоносных программ. Что делает ДИТ для повышения грамотности пользователей с точки зрения кибербезопасности?

Многое. Практически в течение всего мая текущего года мы совместно с Роскомнадзором и Департаментом образования города Москвы проводили лекции в московских школах по грамотной работе в Интернете. Важно отметить, что нашей аудиторией стали не только школьники, но и учителя. Считаю, что именно через электронное образование можно повысить уровень восприятия ИТ-отрасли. Мы стараемся воспитать квалифицированных пользователей или даже администраторов – будущих создателей новых информационных систем.

Мы занимаемся повышением грамотности как населения, так и самих работников ДИТ. Для коллег используется система дистанционного обучения для прохождения электронных учебных интерактивных курсов, разработанных при участии наших экспертов по ИБ. В курсах в том числе затронут актуальный вопрос защиты от методов социальной инженерии. Кроме того, сотрудники могут пройти очное обучение в специализированных аккредитованных учебных заведениях.

Для самообразования работниками ДИТ используются электронная библиотека, телеграм-канал «ЭруДИТ», база знаний на портале in.mos.ru. Проходят мероприятия по обмену опытом «ДИТ говорит» и кросс-продуктовые проекты. На постоянной основе по корпоративной электронной почте осуществляется информационная рассылка по вопросам обеспечения ИБ – например, о защите от актуального в настоящее время вредоносного ПО.

Как организована защита городских инфоресурсов?

Централизованный блок ИБ вырабатывает принципы взаимодействия с регуляторами и правила оперативного информирования. Кроме того, есть локальные ИБ-блоки, которые приближены к разработчикам и погружены в отрасль. Например, в образовании есть свой блок ИБ, который хорошо знает отраслевую задачу. Но при этом он должен выполнять правила, исходящие от централизованного блока, который и контролирует их исполнение. Он же имеет возможность проверять надежность систем, привлекая компании, которые пытаются проникнуть в них и сломать до того, как это попытается сделать реальный злоумышленник. Мы работаем на опережение: регулярно проводим аудиты и своеобразные тесты, привлекаем, как бы парадоксально это ни звучало, специально обученных хакеров – они испытывают наши системы на прочность, пробуют их взломать, тем самым выявляя слабые места и подсказывая, что нам стоит доработать.

Информационная гигиена Не стоит относиться к информационной безопасности как к чему-то необъятному и непонятному, считает Александр Горбатько. Это совершенно простые правила, которые надо знать и соблюдать ежедневно: не разбрасывать логины и пароли, регулярно их менять, не открывать ненужные письма, использовать достоверные источники информации, не заходить на фишинговые сайты, пользоваться антивирусом, вовремя обновлять информационные системы. «Это азбука, но все начинается с малого», – подчеркнул он.

Какие современные сложные задачи есть в вашей работе?

Такие задачи все время возникают. Мы активно участвуем во всех интернет-сообществах по ИБ, работаем с регуляторами и видим тенденции. Создаются системы с искусственным интеллектом, повышается мощность вычислительной среды. Это требует совершенно другого класса противодействия атакам, потому что данные технологии позволяют вскрыть любую существующую защиту. Борьба «щита и меча» всегда была, есть и будет. Как только мы научимся применять при аутентификации распознавание лиц и биометрию, тут же появятся средства, которые начнут использовать эти же технологии для взлома информационных систем.

Обратная сторона распределенных вычислений и дата-майнинга – это объединенные для попытки проникновения вычислительные мощности. Последние атаки показали, что можно объединить большое количество машин и использовать для взлома значительные мощности даже без участия человека. А при добавлении искусственного интеллекта получается орудие, способное пробить любую защиту. Это надо просто учитывать и применять в нашей работе.

Вы к этому готовы?

Мы обязательно будем готовы. Пока этого еще нет, есть только тенденции, и мы их знаем.

Согласны ли вы с тем, что самое эффективное средство защиты – профилактика и вкладывать в устойчивую ИТ-инфраструктуру гораздо эффективнее, чем тратиться на средства защиты, накладываемые на уже построенные системы? И можно ли назвать архитектуру ИТ-систем Москвы зрелой с точки зрения ИБ?

Да, однозначно. Каждые 30 секунд кто-то пытается проникнуть в городские системы. Хорошо, что в 95% случаев это просто интерес обычных горожан, прочитавших инструкцию об использовании «дырок» в операционных системах. Сейчас несложно стать «бытовым хакером» – в Интернете огромное множество инструментов, которые позволяют это сделать. Но 5% – это серьезные атаки, от них приходится защищаться, в том числе прибегать к внешним компаниям и просить помощи у регулятора.

Мы сейчас пытаемся решить важную задачу – не только предотвратить атаку, но и наказать нападающего. С нашими техническими возможностями логирования и аналитики мы можем найти любого, кто пытается проникнуть в городские системы. Но, по закону, дальше действовать вправе только правоохранительные органы.

Наша задача – работать на упреждение. Когда систему уже взломали, можно сделать хороший пиар о ее спасении, но это значит, что техническая служба и отдел безопасности плохо сработали, не предусмотрели необходимого заранее.

Истории с WannaCry – это недостаток профилактической работы и качественного построения как самих систем, так и их защиты. Безопасность не может «стоять в сторонке» при разработке информационной сиситемы и создании ИТ-ландшафта. Безопасность строится вместе с администраторами и разработчиками.

В последнее время Москва очень быстро запускает новое программное обеспечение, и мы дорожим умением выпускать качественные и востребованные сервисы. Но при этом всегда приходится искать компромисс – как внедрить сервис быстро и в то же время отладить ИБ.

Изначально уязвимые и вынужденные заниматься ИБ, «умные» города последние несколько лет пытаются превратить недостаток в преимущество, становясь поставщиками не только ИТ-услуг, но и услуг ИБ. Не намерен ли ДИТ предоставлять услуги ИБ для своих подрядчиков, тем самым повышая и уровень защиты городских систем?

Компетенции у нас высокие, но работать на рынок мы не планируем. С точки зрения методологии и опыта мы всегда открыты, участвуем во всех семинарах и конференциях, готовы рассказывать, что нужно делать, и показывать, как это реализовано практически.

А есть необходимость раскрывать «зонтик» над теми подрядчиками, где уровень ИБ ниже?

Для этого у нас есть регламенты и контроль подрядчиков, в этом состоит наша воспитательная роль: мы рассказываем, на что нужно обратить внимание. Но «построить» коммерческую организацию – не в нашей компетенции. Если подрядчик работает с нашей системой, мы требуем обеспечить безопасность такой работы.

Но ведь современные архитектуры устаревают?

Они все время видоизменяются, это живой организм. Сейчас мы подключаем российский сегмент Интернета (RSNet), появляются новые международные и отечественные решения, их добавляем в ИТ-ландшафт. Например, для усиления защиты переходим к модели ZeroTrust для разделения системы внутри защищенного сегмента ЦОДа. Множество систем и администраторов иногда начинают мешать друг другу, технологическая модерация позволяет отделить проблемы одной системы от другой. Мы стараемся свести к минимуму человеческий фактор, совершенствуем технический ландшафт, чтобы недобросовестных исполнителей отделить от добросовестных. Проект пилотируется полгода, и ряд систем уже перешли на эту модель защиты.

Это небыстрый процесс, но даже один межсетевой экран на другой сразу сменить невозможно. Надо учитывать, что это высоконагруженное устройство: у нас почти нет «окон», когда можно все выключить и что-то починить. Мы всегда должны исправлять и совершенствовать работающий механизм. И это, наверное, самая большая трудность – как сделать его совершеннее, не нарушив принципов бесперебойного функционирования. Все работы проводятся только в ночное время и в праздничные дни.

На программу «Информационный город» в 2016 году было потрачено около 40 млрд руб., на ИБ – 500 млн руб. Это обычная пропорция в стоимости защиты и защищаемых объектов. Но в «умном» городе, где речь идет в том числе о физической безопасности жителей, об экологии, разве расходы на ИБ не должны быть выше?

Затраты на ИБ варьируются в зависимости от задач. Если у нас появляется более высоконагруженная система, критичная с точки зрения доступности для пользователей, то мы выделяем больше средств на ее защиту.

Базис, централизованная защита – общегородской ЦОД, система ZeroTrust, ПО для логирования действий администраторов в ЦОДе. Эти расходы довольно просто посчитать. Дальше в каждом направлении есть свои особенности.

Что из опыта столицы в области кибербезопасности может быть полезным для защиты корпоративных инфоресурсов?

Здесь две составляющие: организационная и техническая. У нас довольно обширная библиотека методик, регламентов взаимодействия. Есть большая лаборатория, там мы тестируем все без исключения решения. Все, что закупается для нужд города, тестируется на подтверждение технических характеристик и на совместимость. Информация о результатах отладки как ПО, так и оборудования открыта, мы можем точно сказать, что работает, а что – нет.

К сожалению, все высокопроизводительное «железо» не российское. Мы полностью перешли на отечественный антивирус, но уйти от некоторых зарубежных разработок не можем, как бы мы ни хотели заниматься импортозамещением. В городские системы ежедневно заходят почти 2 млн пользователей. Обеспечить такую мощность и обновить ПО до того, как появятся атаки, наши производители пока не могут.

Думаю, это экономическая проблема: чтобы разрабатывать и обновлять продукт такого уровня, нужен рынок, одна Москва не может обеспечить достаточный финансовый поток. Но подобных корпоративных клиентов, потребляющих тяжелое оборудование с похожими нагрузками, очень мало. Чтобы иметь постоянную финансовую подпитку и совершенствоваться, аналогичный продукт должен продаваться на мировом рынке.

Искусственный интеллект применяется уже несколько десятков лет. Первоначально он работал на основе набора заранее заданных правил. В 70-х годах широкое распространение получили технологии на основе нейронных сетей, которые посредством использования самообучающихся моделей определяли, какие данные являются нормальными, а какие – не укладывающимися в стандартную модель поведения информационной системы. В начале 2000-x годов началось активное развитие ИИ для решения практических задач: алгоритмы научились обрабатывать изображения, видео и голос. «Развитие ИИ в сфере информационной безопасности началось в 2005-2008 годах и было направлено в первую очередь на защиту наиболее атакуемых ресурсов – веб-серверов, но вскоре нейронные сети стали использовать и в других решениях, например при разработке эвристических модулей антивирусов», – говорит Андрей Заикин, руководитель направления информационной безопасности «Крок».

Камиль Газизов, генеральный директор «РТ-Информ» (Центр компетенции ИТ и ИБ «Ростеха»): «Одной из главных проблем в сфере ИИ на сегодня является создание автономной интеллектуальной системы, способной к принятию самостоятельных решений в зависимости от ситуации»

Сегодня искусственный интеллект вышел из ИТ-лабораторий в бизнес-среду, где не только стал модной тенденцией, но и нашел вполне практическое применение: для снижения издержек и оптимизации внутренних процессов. И в ближайшие десять лет технологии ИИ повлияют практически на все сферы бизнеса. По прогнозам международной исследовательской компании Markets and Markets, к 2020 году рынок ИИ вырастет до 5 млрд долл. Как объясняет Камиль Газизов, генеральный директор «РТ-Информ» (Центр компетенции ИТ и ИБ «Ростеха»), традиционно под ИИ подразумевают систему, предназначенную для автоматизации решения интеллектуальных задач. Одной из главных проблем в сфере ИИ на сегодня является создание автономной интеллектуальной системы, способной к принятию самостоятельных решений. Пока эта система использует уже заложенные в нее правила или алгоритмы. Внедрение ИИ открывает новые возможности перед специалистами по безопасности, но не отменяет их ведущей роли. Человеческий разум по-прежнему значим и необходим. Все процессы остаются под контролем специалистов по безопасности. Тем не менее попытки приблизиться к созданию автономного ИИ будут предприниматься и, возможно, со временем увенчаются успехом.

Что касается кибербезопасности, то искусственный интеллект поможет эффективнее решать задачи, которые ранее решались традиционными способами. В частности, по словам Газизова, благодаря использованию ИИ повысится уровень обнаружения угроз, сократится время реакции и усовершенствуются способы определения реальных попыток нарушения периметра безопасности. Кроме того, ИИ может устранить существующие бреши в сфере ИБ, которые появляются вследствие стремительного развития современных технологий, включая Интернет вещей.

По словам Рустэма Хайретдинова, генерального директора «Атак Киллер», как и в любой другой области, в кибербезопасности ИИ помогает оперативно анализировать большие объемы данных, освобождать операторов от рутинной и часто монотонной работы. Улучшение качества аналитики и исключение человеческого фактора позволяют эффективнее обнаруживать и отражать новые атаки.

Перспективы применения ИИ в кибербезопасности

Тимур Аитов, заместитель генерального директора группы компаний «Программный Продукт»: «Искусственный интеллект можно сравнить с ковшом экскаватора, который удесятеряет силы землекопа и позволяет перелопатить огромные объемы информации там, где появляются большие данные»

Тимур Аитов, заместитель генерального директора группы компаний «Программный Продукт», считает, что в целом перспективы применения ИИ в кибербезопасности обширны и без технологий ИИ обойтись в среднесрочной перспективе будет невозможно. С ним согласен и Заикин: «Современный ИИ – это система, способная выискивать аномалии, которые невозможно описать определенными правилами. В этом его главное преимущество по сравнению с классическими системами информационной безопасности, работающими на основе свода правил, задаваемых человеком».

Любое событие, в том числе событие информационной безопасности, всегда оставляет информационные следы, продолжает Аитов. Если стоит задача разобраться в том, что случилось, оценить вероятность повторения, дать прогноз, то информационный след должен быть максимально полным. Приходится собирать и анализировать огромное количество информации, поступающей из самых разнообразных первичных источников. При этом перерабатываются горы пустой информационной «руды», и всё для того, чтобы выявить крупицы знаний – основных взаимосвязей, позволяющих понять, что собственно случилось и почему. Здесь на помощь приходит ИИ, способный оперативно переработать и выявить эти закономерности и факты для дальнейшей оценки и принятия решений человеком. Искусственный интеллект играет роль помощника в тандеме человек-машина. Возможно, роль человека постепенно станет уменьшаться, а машины будут становиться все более самостоятельными. Но сегодня без участия оператора тандем пока работать не может. Что касается эффективности, то к каким-то радикальным изменениям в борьбе с преступниками технологии ИИ пока не приводят, но в среднесрочной и долгосрочной перспективе прогресс пойдет именно по этому пути – следить за ИТ-системами будут ИТ-системы. В выигрыше окажутся те структуры, те организации, те страны, которые первыми начали использовать эти подходы.

Влияние ИИ на информационную безопасность

Новые системы класса SIEM (security information and event management) обойтись без технологий машинного обучения и ИИ уже не могут, говорит Аитов. Системы передают предупреждения и объявляют тревогу, вычисляют типовые (средние) состояния работы систем, ищут отклонения от этих средних (или аномалии) – все это даже теоретически выполнить человеку невозможно. Искусственный интеллект используют не только SIEM, но и системы обнаружения (IDS), системы предотвращения вторжений (IPS), системы управления идентификацией и доступом (IAM), вся аналитика BI и системы продвинутой антивирусной защиты.

По словам Заикина, наибольшему влиянию со стороны ИИ подвергаются системы сетевой безопасности, проактивного обнаружения скомпрометированных узлов сети и системы сбора и анализа событий ИБ. Кроме того, имеются решения, использующие алгоритмы машинного обучения для решения таких задач, как обнаружение аномалий в работе с файловыми ресурсами, базами данных, бизнес-системами, а также предназначенные для выявления мошеннических действий со стороны сотрудников компании.

Наибольшую выгоду от применения ИИ получат те сегменты, где человек справляется хуже машины как по точности определения инцидентов, так и по скорости реакции. «Это противодействие мошенничеству (anti-fraud), анализ трафика на выявление атак, анализ аномального поведения на основе корреляции событий в информационной системе и другие области, где точность и скорость реакции являются критическими для защиты», – перечисляет Хайретдинов.

Барьеры и проблемы, осложняющие использование ИИ в информационной безопасности

В области информационной безопасности обучение на старых данных особого смысла не имеет, в то время как в традиционных для ИИ областях (распознавание лиц и голоса, машинный перевод с одного языка на другой, управление запасами, автопилоты) такой алгоритм – базовая практика. «Старые, уже известные атаки отражаются без всякого ИИ, на уровне сигнатур, и, обучаясь на них, мы можем уподобиться старым генералам, которые готовятся к прошедшей войне. Опасными являются только новые атаки, а над их созданием трудятся лучшие умы киберпреступного мира, и предугадать их идеи машине пока сложно. Поэтому ИИ в кибербезопасности использует другие алгоритмы, менее отлаженные», – считает Хайретдинов.

Аитов особых барьеров для внедрения ИИ не видит, а проблемы могут быть связаны с распределением зон ответственности: в какой мере можно делегировать системам ИИ принятие важнейших решений, кто именно будет нести ответственность за принимаемые системой решения. Проблема может быть легко устранена, если система всегда будет работать в связке с оператором, который примет важнейшие решения. Тогда и вся ответственность за решения и использование этого инструмента ляжет на него. Те же, кто будут делегировать ответственность роботам, столкнутся с проблемами. Придется аккуратно отслеживать и правовые аспекты действия систем ИИ, и подсчитывать возможные убытки – кто их будет компенсировать, если срабатывание было ложным? Пока в этой части полностью доверять машинам мы не можем.

Андрей Заикин, руководитель направления информационной безопасности «Крок»: «Искусственный интеллект – не панацея от всех проблем сетевой безопасности, а дополнительное средство, которое позволяет обнаруживать атаки и реагировать на них. При этом классические системы ИБ по-прежнему необходимы и востребованы»

Барьером, осложняющим использование ИИ, могут стать затруднения в интерпретации результатов работы алгоритмов, считает Заикин. Те системы ИИ, которые придерживались нисходящей парадигмы, ориентировались на четкие правила и могли «объяснить», почему та или иная активность является аномальной. Результат работы систем на основе нейронных сетей, придерживающихся восходящей парадигмы, не всегда так просто интерпретировать. Зачастую аналитику требуется немало времени, чтобы понять, действительно ли активность связана с вредоносными действиями злоумышленника или, допустим, в компании появился новый сотрудник, которого активно привлекают к проектам. Однако сейчас уже есть решения, которые объединяют эти два подхода, благодаря чему интерпретируемость результатов значительно повышается, а значит, сокращается время на расследование инцидента и снижается нагрузка на эксплуатационный персонал.

Еще одна сложность заключается в том, что современные системы ИИ могут обучиться совсем не тому, чему их изначально планировали научить разработчики, продолжает Заикин. Качество работы таких систем в большинстве случаев зависит от того, на каких данных они обучаются. Если в этих данных изначально присутствует аномальная активность, то ИИ будет в дальнейшем квалифицировать ее как нормальную и, следовательно, не обнаружит. Безусловно, систему можно дообучить в процессе эксплуатации, но такие сложности нельзя оставлять без внимания.

Нападение и защита: ИИ меняет соотношение сил

Хайретдинов считает: с использованием ИИ время реакции на новые угрозы может сократиться до такого минимума, что отражать новые атаки можно будет в реальном времени.

Заикин не прогнозирует кардинальных изменений в соотношении сил: «Хакеры придумывают новые способы взлома информационных систем, защитники разрабатывают новые средства и технологии защиты. Решения на основе ИИ сегодня способны распознавать уже существующие и многие новые виды атак. Но ведь и злоумышленники не стоят на месте и тоже могут использовать ИИ для достижения своих целей».

Аитов считает, что защита , как правило, всегда опережает, особенно при использовании ИИ, – на какую-то небольшую долю, скажем на 10%. Этого небольшого перевеса мы просто не видим. Защита должна соответствовать ценности того актива, который защищает. Можно сделать защиту абсолютно надежной. Но такая защита нецелесообразна – бизнес не сможет функционировать. Всегда приходится балансировать между разумным, удобным и достаточным. Это так называемый риск-ориентированный подход, который обязывает какой-то гол в свои ворота пропускать. Счет идет на уровне 1:1, и явного перевеса в чью-то сторону нет. Но соотношение сил и меры противодействия всегда будет определять защита – у нее возможностей больше.

Экономия благодаря ИИ

Киберпреступность – большой бизнес, который готов инвестировать значительные средства в разработку своих инструментов. Так возможно ли благодаря использованию ИИ избавиться от пропорционального роста инвестиций, необходимых для модернизации средств защиты?

Рустэм Хайретдинов, генеральный директор «Атак Киллер»: «Старые, уже известные атаки отражаются без всякого ИИ, на уровне сигнатур, и, обучаясь на них, мы можем уподобиться старым генералам, которые готовятся к прошедшей войне»

Безусловно, ИИ облегчает усилия защиты, растут ее качественные показатели. «ИИ решает и кадровые вопросы. Эксперты – высокооплачиваемая категория сотрудников, их может не хватать. Если же под началом специалиста по информационной безопасности работают системы ИИ, то его возможности удесятеряются, он становится более производительным, и таких сотрудников нужно уже меньше», – говорит Аитов. Что касается инвестиций в инструменты со стороны самих преступников, то успех киберпреступлений во многом зависит от мастерства злоумышленников. У киберпреступников есть свой инструментарий – пакеты, утилиты, социальная инженерия. Сделав вредоносную программу, они ее рассылают, а эффект связан с легким тиражированием ПО.

Хайретдинов же полагает, что вряд ли только посредством обучения систем защиты удастся сократить рост инвестиций в защиту. Скорее, появятся самозащищающиеся информационные системы с невозможностью выполнения команд, кроме заранее определенных. Такие системы распространены в критических отраслях (атомной, космической) и в армии, но бизнес ради удобства выбрал «системы для домохозяек» и теперь, навешивая на них дополнительные средства, пытается сделать их безопасными. Так что успех зависит больше от объединения сил разработчиков ИТ-систем и безопасников, чем от обучения «навесных» систем защиты.

Противостояние машин

Развитие и использование ИИ – это палка о двух концах, предупреждает Газизов. Безусловно, эту технологию активно осваивают и злоумышленники. Первоначальные атаки направлены на то, чтобы объект «засветил» методы защиты. И после обработки полученной информации идет целенаправленный удар по системам.

Применение ИИ атакующими – это свершившийся факт, не сомневается Хайретдинов. Атакующие обучают свои системы ИИ на атаках на системы защиты, обладают полной информацией об особенностях работы конкретных брендов и подстраивают способы атаки, во время ложных атак «засвечивая», чем именно защищается атакуемая цель. Массовые DDoS-атаки с помощью автоматического заражения или подбора паролей большого количества объектов автоматизации, автоматизированный подбор капчи, имитация поведения человека на веб-сайте – это уже реалии сегодняшнего дня. Противоборство машин уже происходит, и противостоять атакующим роботам могут только роботы-защитники.

Кибервойны уже идут, и преступники все активнее используют ИИ, уверен Аитов. А вот кто кого победит – это вопрос качества разработки. Здесь многое будет зависеть как от быстродействия машин, так и от изощренности и качества алгоритмов.

Киберпреступность – это целая отрасль, в ней задействовано множество людей по всему миру. Им доступны все те современные технологии, которые есть на ИТ-рынке. Например, активно развивается сервисный подход. Существуют сервисы, которые позволяют «прогнать» вредонос и выяснить, обнаруживается ли он антивирусными движками или «песочницами». На рынке есть алгоритмы машинного обучения, которые используют одновременно две машины. Одна из них перепроверяет действия другой, и таким образом осуществляется обучение обоих алгоритмов. Однако подобный сценарий взаимодействия используется для очень ограниченного круга задач. Между тем способов проникновения в ИТ-инфраструктуру – тысячи, и у каждого есть свои особенности и модели обнаружения аномальной активности. Поэтому на данном этапе развития технологий столкновение двух ИИ – злоумышленника и защитника – маловероятно, считает Заикин.

***

Внедрение технологий всегда создает «гонку вооружений» за миллионной прибылью, говорит Газизов. Несомненно, те, кто занимается защитой информации, столкнутся с новыми вызовами. Будь проактивным либо умри – закон новой реальности. Однако в погоне за новшествами не стоит забывать о базисе. Согласно последним исследованиям PwC, 40% российских компаний не имеют стратегии информационной безопасности. Необходимо вести работу и в этом направлении, не забывая о внедрении новых технологий, повышении квалификации сотрудников, взаимодействии и обмене опытом между ИБ-подразделениями предприятий и холдингов.

Будущее информационной безопасности – за интеллектуальными системами, способными обеспечить глубокую аналитику, прогнозирование всего спектра рисков и угроз. Внедрение таких систем создаст необходимость перестройки бизнес-процессов предприятий с учетом использования современных ИТ.

Цифровизация окружающего мира влечет изменения во всех сферах человеческой деятельности. Трансформируются сознание людей, их восприятие окружающей среды и методы потребления информации. Как должна измениться сфера управления персоналом в эпоху технологической революции, стало главной темой конференции «Smart HR: цифровые технологии в управлении персоналом», организованной «Ведомостями».

Данных не хватает даже в Mail.Ru

Что такое цифровизация HR? Это не просто ситуация, когда появляется много данных. Самое главное – появляются способы их обработки. Следовательно, меняются процессы и способы принятия решений на основе этих данных.

Ольга Филатова, вице-президент по персоналу Mail.Ru Group: «Методика подбора персонала с помощью искусственного интеллекта уже доказала свою эффективность: в четыре раза снижается стоимость подбора, вдвое – время закрытия вакансии»

«У нас нет отдельного ИТ-департамента, практически все сотрудники так или иначе связаны с ИТ. Было бы странно, если бы мы не экспериментировали с технологиями в области управления персоналом», – говорит Ольга Филатова, вице-президент по персоналу Mail.Ru Group. В компании много математиков, работающих с искусственным интеллектом и обрабатывающих персональные данные. Некоторые клиенты обращаются к этим специалистам и просят сделать продукты для HR – например, прогнозную аналитику по уходу сотрудников, по соответствию сотрудников корпоративной культуре, просчитать вероятность прохождения ими испытательного срока. Все такие модели сначала испытываются «на себе», и это позволяет HR-службе быть на передовой технологий.

Уже зарекомендовала себя методика подбора персонала с помощью искусственного интеллекта, в Mail.Ru ею активно пользуются. Этот подход уже доказал свою эффективность: в четыре раза снижается стоимость подбора, вдвое – время закрытия вакансии.

Тем не менее пока не хватает данных для оценки кандидата без участия рекрутера. Недавно производитель товаров питания и продуктов для дома Unilever объявил о внедрении решения для анализа видеорезюме HireVue применительно к одной из массовых вакансий. Все данные о кандидате анализирует система, рекрутер-человек включается только на стадии финального интервью. В ходе этого проекта показаны неплохие результаты. Российские компании – Skillaz и VisionLabs – пытаются строить аналогичные модели на российском рынке. Технологии отработаны, не хватает лишь данных: нужны данные о сотнях тысяч людей, которые уже успешно прошли собеседование по этой вакансии (и, наоборот, провалили его).

«Уже есть технологии, методы и первые проекты. Но пока качество моделей не слишком хорошее из-за того, что данных либо не хватает, либо они непригодны для анализа. А значит, надо всерьез заниматься сбором данных и следить за их качеством», – считает Филатова.

Цифровой след сотрудника

«Мы не бросаемся в омут с головой после выхода очередной модной книжки. Однако тема цифровой трансформации все-таки серьезна, несмотря на все признаки классического пузыря», – уверен Станислав Цырлин, вице-президент по кадрам и системе управления Новолипецкого металлургического комбината. Ближайший год в компании пройдет под знаком внедрения платформы SuccessFactors. Ничего нового в этом решении нет: традиционные модули, объединенные в единую систему управления персоналом. Элементом ноу-хау должна стать единая база данных персонала. Задумка руководства в том, чтобы не просто собрать досье, а создать единую, сквозную «умную» базу данных, дающую максимальное представление о том, чем человек уже занимался, что он умеет и к чему питает склонность. Это должно сильно помочь в формировании кросс-функциональных и кросс-площадочных групп и нестандартном карьерном планировании. В итоге HR-служба рассчитывает получить «цифровой профессиональный след» всех сотрудников, чтобы принимать осознанные долгосрочные карьерные решения.

Кроме того, компания продолжает внедрять корпоративный портал, насыщать его кадровыми сервисами. Сейчас там есть заказ справок, оформление отпусков и командировок. Системы самообслуживания сотрудников будут развиваться, и вскоре сервисы должны стать мобильными.

Что касается роботизации, то во многом ее актуальность в HR определяется стоимостью ресурсов. Стоимость административного персонала у нас пока несравнима со стоимостью на Западе. Мотивация роботизировать бизнес-процессы усиленными темпами невелика, особенно на фоне огромной организационной трансформации. Тем не менее исследование кадровых процессов, проведенное в НЛМК аналитиками Ernst &Young, выявило участки, уже готовые к роботизации, и даже посчитан экономический эффект. На ближайшие два года руководство компании оставило три направления, в которых будет вестись работа: персональная рассылка извещений о транзакциях; уход от бумаги – обработка отсканированных документов и их индексация; роботизация контакт-центра – автоматическая подготовка как письменных, так и устных ответов.

«Роботы не ошибаются, они трудятся круглосуточно и гораздо быстрее человека. А высвободившихся людей можно будет загрузить более творческой и интересной работой», – констатирует Цырлин.

Сервисы вместо HR-специалистов

Вера Соломатина, директор по персоналу SAP CНГ: «Мы фокусируемся на упрощении HR-организации, и одним из столпов является стандартизация процессов»

«Мы фокусируемся на упрощении HR-организации, и одним из столпов является стандартизация процессов», – говорит Вера Соломатина, директор по персоналу SAP CНГ. До того как руководство затеяло трансформацию кадровой функции, в каждом представительстве компании были внедрены свои решения, и локальный HR-отдел занимался и подбором, и развитием персонала, и кадровым делопроизводством.

Когда было принято решение о цифровой трансформации, концепция изменилась. В структуре централизованного кадрового департамента появились HR-бизнес-партнеры (они отвечают за развитие персонала и кадровую стратегию во вверенном подразделении), сервисные службы и центры экспертизы.

Например, чтобы сотрудник мог получить какой-либо документ, ему надо создать электронное обращение (тикет) в HR или зайти на корпоративный портал и получить документ автоматически. Этими сервисами покрывается огромное число локаций, где физически нет HR-сотрудников.

Было внедрено достаточно много мобильных приложений, дающих возможность удобно получать информацию и обмениваться ею со своими коллегами. Произошла трансформация сервисов от «Мы принимаем ваш запрос» к «Мы предлагаем решение».

В рамках всей компании работает когнитивная аналитика на основе больших данных. Для направления HR есть несколько ключевых решений.

Приложение Resume Matching позволяет, введя в систему неформализованное описание вакансии, найти в базе резюме наиболее подходящих кандидатов; Job Standardization дает возможность ввести в систему описание вакансии и после этого категоризировать ее, то есть определить, что это на самом деле уже существующая вакансия с определенным названием, должностной инструкцией, зарплатой и правилами найма; Employee Flight Risk Prediction прогнозирует риск оттока наиболее ценных сотрудников; Conversational AI Platform является основой для чатботов и прочих автоматизированных помощников по всем линиям бизнеса; Bias Language Checker приводит вакансии к нейтральному виду, чтобы удалить из их описания параметры, которые могут быть отнесены к дискриминации по какому-либо признаку. Последнее из перечисленных приложений для России пока неактуально, но есть страны, где оно активно используется.

Борьба за таланты

Во многих компаниях сейчас остро стоит вопрос, как привлечь наиболее ценных сотрудников, как их удержать и мотивировать. Причем речь идет не только о вовлеченности, но и об опыте работы в компании – так называемом employee experience.

«Все активнее идет борьба за таланты. Если раньше мы думали, к кому из конкурентов уйдут сотрудники – Microsoft, SAP или Oracle, то теперь новыми работодателями вполне могут стать, например, Сбербанк или любая крупная производственная компания», – признает Ксения Шумакова, директор по работе с персоналом IBM в России и СНГ. Кросс-индустриальность обострила ситуацию. Приходится держать ухо востро и искать те конкурентные преимущества, которые позволяют работодателю быть интересным сотрудникам.

Вовлеченность тоже влияет на эффективность сотрудников. Среди персонала все больше миллениумов, через десять лет их будет около 70%. У этого поколения свои специфические требования: слово «надо» для них значит мало, им важнее «хочу», они воспринимают рабочее пространство как потребители, ожидая от компании хороших сервисов – не хуже тех, что доступны в повседневной жизни.

Приходится учитывать, что неудовлетворенный сотрудник понесет свою неудовлетворенность дальше – к клиенту. А значит, мотивированность сотрудников непосредственно влияет на результаты компании.

В IBM выделяют «пять П» – направлений для создания «лучшего опыта» сотрудника.

Первым является персонализация. Сотрудник не хочет быть одним из многих, он хочет ощущать свою индивидуальность, иметь свой профиль, влиять на рабочее пространство. В прошлом году в компании организовали специальную группу по изменению рабочего пространства и учли пожелания персонала компании.

Второе направление – прозрачность. Стратегия компании должна быть понятной для сотрудников. Сюда же можно отнести политику открытых дверей, когда любой сотрудник может обратиться к первому лицу компании.

Третьим является простота. Сотрудник не должен задумываться, какую кнопку нажать, чтобы найти информацию, – все должно быть легко и удобно. Тогда он сможет сконцентрироваться на своих трудовых обязанностях.

Четвертый принцип – подлинность. Часто слоганы, которые мы слышим, расходятся с реальным положением дел. Надо быть честным со своими сотрудниками. Кроме того, культура компании должна совпадать с внутренними потребностями специалиста.

Наконец, переговоры. У персонала должно быть право голоса, и голос каждого должен быть услышан. Более того, сотрудники, особенно молодые, хотят получать обратную связь, причем регулярно.

«В прошлом году мы провели реорганизацию системы управления эффективностью, перешли на систему непрерывной обратной связи – continuous feedback», – рассказывает Шумакова. Как говорится, сотрудники приходят в компанию, а уходят от менеджера. Специалисту крайне важно получать персонифицированную обратную связь – знать, что у него хорошо, а что – не очень. Причем во втором случае отзыв должен быть не негативным, а конструктивным.

«Маленькие удобства» для сотрудников

Полина Хабарова, HR-директор «Крок»: «Самые интересные примеры цифровизации HR в последнее время связаны с роботизацией функций – например, использование чат-ботов»

По мнению Полины Хабаровой, HR-директора компании «Крок», HR-департамент должен сам влиять на процессы цифровой трансформации. И внутри компании, и вовне можно подметить тенденции, которые влияют на развитие функции HR и процессы цифровизации в целом.

«Конечно, мы автоматизировали все кадровые процессы. Уже никому в голову не придет прийти в кадровую службу за справкой», – подчеркивает Хабарова. Сотрудник нажимает в личном кабинете нужную кнопку, и документ появляется на принтере у финансиста, тот сразу ставит на него печать. Однако это автоматизация, а цифровизация заключается в соединении живого и неживого с помощью цифрового инструмента.

Самые интересные примеры в последнее время связаны с роботизацией каких-либо функций – например, использование чат-ботов. Во время сессии по дизайн-мышлению, в которой участвовала часть HR-команды, удалось собрать неплохие идеи, касающиеся роботизации. Были выделены процессы, которые приносят мало ценности, но на которые тратится много времени.

Например, в компании существовал автоматизированный процесс заказа и управления обучением, и его обработка занимала 8 часов. Выяснилось, что при помощи платформы управления бизнес-процессами и роботов все можно сделать за 15 минут. Кроме того, в чат-боты был переложен процесс онбординга – адаптации новых сотрудников. Полная их адаптация проходит за год, и весь этот период должен отслеживаться и контролироваться, в том числе с помощью инструментов геймификации.

Заказ командировок также был автоматизирован, но все равно требовал времени, к тому же для удобного их оформления был желателен доступ к ноутбуку. Сейчас с помощью бота в Telegram (этот канал коммуникаций был признан наиболее удобным для сотрудников) все делается быстро и удобно на смартфоне. Но самый удобный и очень простой сервис – гостевой Wi-Fi в офисе, реализованный в целях безопасности. Раньше приходилось узнавать пароль у секретаря и пытаться его правильно ввести. Сейчас сотрудник пишет боту «Wi-Fi», в ответ получает пароль, затем копирует его и отправляет своему гостю.

«Преимущество времени, в котором мы живем, заключается в том, что для получения самой современной системы не нужно ничего самому создавать. Необходимо уходить в облака, отказываясь от тяжелых решений. И HR может служить в этом примером», – резюмирует Хабарова.

***

Нынешнее поколение сотрудников ждет от компании такого же уровня сервисов, какой они привыкли получать «снаружи» в качестве клиента. Инструменты цифровизации, применяемые в HR, хорошо взаимодействуют с информационными системами, собирая всю информацию в единой точке. И эти «маленькие удобства» помогают делать жизнь сотрудников приятнее.

Выступление Антона Исанина, руководителя центра качества «Альфа-Банка», набрало максимальное число позитивных отзывов участников конференции «Agile, DevOps и ITIL – инструменты цифровизации», проведенной издательством «Открытые системы». Сокращение вывода новых продуктов на рынок до пяти дней с помощью подходов DevOps – результат, заслуживающий уважения.

Основная проблема водопадной модели заключается в том, что процессы проходят ужасно медленно. Между участниками команд порождается множество недопониманий, и конечный результат ухудшается. В случае Agile изменения происходят по-прежнему медленно – они занимают пусть и не месяцы, но все равно десятки дней. А главное – команда по-прежнему не чувствует рынка, остаются «стены» между владельцем продукта и разработчиками. Сочетание подходов Agile и DevOps позволяет обеспечить максимальную чувствительность к рынку и минимизировать длительность пути к удовлетворению потребностей клиента в некоторых случаях до пяти дней.

По мнению Исанина, DevOps дает ответы на вопросы, о которых молчит ITSM: как быстро давать клиенту то, что он хочет, и как понять, за что клиент готов платить. «DevOps позволяет быть ближе к клиенту, а если мы понимаем клиента, то понимаем, как заработать деньги, и это уже половина успеха. Вторая половина успеха – максимально быстро удовлетворить эти потребности», – подчеркнул он в ходе конференции.

Успеть за возможностями

С точки зрения бизнеса все просто: DevOps нужен для того, чтобы максимально приблизиться к клиенту и его потребностям. В традиционном водопаде расстояние от клиента до команды разработчиков велико, и ИТ-специалисты, занимающиеся разработкой, не имеют тесной связи с рынком. Когда продуктологи осознают необходимость вывода на рынок нового продукта, они долго это обсуждают, выделяют менеджера продукта, менеджера проекта из ИТ-службы. Между ними есть непонимание, они говорят на разных языках, и это порождает дефекты – отклонения системы от реальных потребностей клиентов и пожеланий бизнес-заказчиков. Менеджер проекта набирает для разработки решения аналитиков, разработчиков, тестировщиков. Взаимодействие между ними тоже не идеально, на каждом этапе добавляются дефекты. В итоге продукт выводится в эксплуатацию в лучшем случае спустя год и получается далеким от первоначальной задумки.

Российский финансовый рынок не очень развит, масса ниш на нем не заняты, и возможностей для развития бизнеса чрезвычайно много, главное – быстро эти возможности реализовать, пока не появились конкуренты или не изменились потребности клиентов. На это и нацелена модель гибкого бизнеса (business-agility), и не проходит и дня, чтобы очередной бизнес-гигант не признался в любви к ней.

Антон Исанин, руководитель центра качества «Альфа-Банка»: «DevOps позволяет быть ближе к клиенту, а если мы понимаем клиента, то понимаем, как заработать деньги, и это уже половина успеха. Вторая половина успеха – максимально быстро удовлетворить эти потребности»

«Если мы хотим не просто удержаться на плаву, но и развиваться, отвечать требованиям акционеров, нам тоже приходится меняться», – говорит Исанин.

Первым шагом в эволюции «Альфа-Банка» стала попытка добавить процессам оперативности путем итеративного подхода, для этого были применены гибкие методики. Часто проблема заключается именно в том, что, зная о длительности водопадного проекта, на начальных этапах в продукт пытаются впихнуть максимальную функциональность – в дальнейшем такой возможности уже не будет. И объем работы, взваливаемый на разработчиков, сильно растет. Решение получается монолитным, в других системах приходится делать доработки. Кроме того, мало кто может угадать, что будет реально нужно клиенту через год, когда продукт будет выведен на рынок.

Подход Agile отличается тем, что вся команда находится территориально в одном месте и сфокусирована на создании продукта. Появляется итеративность, и ежедневно проходит планерка, а люди набирают ровно тот объем функций, который могут реализовать в системе за две недели, эффективно планируя свое время. В конце спринта они должны быть готовы внедрить продукт.

«Есть нюанс: при таком подходе команда готова оперативно внедрять решения, но между ней и отделом продаж по-прежнему стена», – констатирует Исанин. Люди уже готовы к изменениям согласно agile-манифесту, который говорит, что изменения приветствуются, что они важнее следования изначальному плану. Тем не менее расстояние до рынка все равно остается существенным, между владельцем продукта и скрам-командой есть непонимание. Отдельно следует отметить отношения со службой сопровождения, с которой возникают трения относительно архитектурных вопросов и ответственности за надежность.

Разрушение стен и объединение людей в рамках единой команды – необходимый шаг для перехода к DevOps. Такая конфигурация хороша тем, что расстояние от команды разработчиков до клиента заметно сокращается. Чем больше посредников между разработчиками и клиентом, тем сложнее понять, что ему нужно, на каждом этапе возникает эффект испорченного телефона. Гораздо лучше дать возможность всей команде «слушать» рынок и думать, как принести клиенту пользу.

«Команда должна быть целиком сфокусирована на рынке. Чем больше барьеров мы устраним между рынком и командой, тем больше вероятность коммерческой состоятельности банка», – говорит Исанин.

ITSM дает ответ на вопросы, как стать надежным партнером клиенту, обеспечить доступность и непрерывность сервисов, быть экономически эффективным и прозрачным. Но при работе на динамичном розничном рынке банку нужно другое: понимать, за что клиент готов платить, быстро давать ему то, что он хочет, а в случае ошибок – уметь быстро менять свои предложения. Кстати, DevOps органично вписывается в практику разработки продуктов дизайн-мышления. Это хороший подход, позволяющий создавать действительно инновационные сервисы, и первым его пунктом является эмпатия по отношению к клиенту.

«Мы минимизируем путь к удовлетворению клиента, меняемся быстро – за дни. В случае agile-команд время создания продукта сокращается до 20 дней. Подход DevOps сокращает цикл разработки до 5 дней», – подчеркивает Исанин. Когда все необходимые действия зависят от единой команды, заинтересованной в результате, удается избежать потери времени на самых разных этапах проекта.

Необходимо создать цельные независимые продуктовые команды с полноценным сопровождением. Это важный вопрос: DevOps подразумевает не только совместную работу различных администраторов в agile-командах; вместе со специалистом в команду «переезжает» и ответственность, а за стабильность продукта отвечает его владелец. Кроме того, в команду уходят второй и третий уровни поддержки.

Мельче, но быстрее

«Чтобы быстро выпустить продукт на рынок, задачу надо раздробить. Есть простая связь: чем лучше удается дробить ценность, доставляемую клиенту, тем ощутимее эффект. И чем мельче получаются кусочки, тем лучше работает автоматизация», – уверен Исанин. DevOps превращается в непрерывный поток маленьких кусочков продуктов, которые едут по автоматическому конвейеру.

При этом команда работает максимально быстро. Разумеется, за три дня она не сделает чего-то грандиозного. Никто не говорит, например, о полнофункциональной кредитной системе. Речь может идти о выдаче какого-либо вида кредитов, но зато процесс будет запущен за несколько дней. В дальнейшем функциональность продуктов развивается.

В «Альфа-Банке» автоматизация процессов разработки была начата с процессов тестирования.

«Многие возмущались, говорили что это невозможно, что существует слишком много настроек и параметров, что это должен контролировать человек. Однако мы знаем, что чем больше параметров, тем лучше работает автомат», – говорит Исанин. Как выяснилось, машина безоговорочно выигрывает у человека, эффект был очень заметен. И, увидев этот эффект, люди в отделе эксплуатации сами перестроились, сделали портал самообслуживания, вынеся туда все свои сервисы. Удалось полностью уйти от заявок, все работы с тестовыми средами прекрасно автоматизируются и решаются буквально одной кнопкой.

Дальше произошла революция, на которую изначально не слишком надеялись: часть наиболее успешных команд, пусть и с некоторым нажимом извне, освоили автоматический запуск решений в эксплуатацию.

Важно отметить, что менее успешные команды не совсем удачно дробили поставки систем, и в их случаях автоматизация процессов не дала практически никакого эффекта. К счастью, владельцев соответствующих продуктов удалось убедить в пользе тех практик, которые использовались их соседями.

Ритм поставок продуктов, достигший пяти дней, заставил бизнес пересмотреть взгляды на свои возможности. В банке началась реальная DevOps-трансформация. Пример ИТ-гигантов показывает: именно компании, исповедующие DevOps, добиваются успеха, растут и захватывают рынок.

Если вы полагаете, что 2017 год был весьма неблагоприятным с точки зрения появления брешей в системах защиты данных, дождитесь наступления 2018-го. Information Security Forum (ISF), глобальная независимая ассоциация информационной безопасности, нацеленная на обеспечение кибербезопасности и управление информационными рисками, прогнозирует увеличение числа таких брешей. И связано это будет главным образом с пятью глобальными угрозами системам безопасности, с которыми организациям предстоит столкнуться в 2018 году.

В ISF отмечают, что масштабы и темпы распространения угроз информационной безопасности порождают риски для репутации даже самых устойчивых организаций. В 2018 году мы увидим более изощренные атаки, носящие персональный и изменчивый характер, атаки будут направлены на слабые места жертв и учитывать уже предпринятые защитные меры.

Рост числа брешей в системе защиты данных прямо пропорционален объемам скомпрометированных записей. Поэтому в следующем году атаки обойдутся значительно дороже организациям любой величины. Затраты эти будут обусловлены как традиционной очисткой сетей и направлением уведомлений клиентам, так и судебными тяжбами, в которые окажется вовлечен самый широкий круг сторон. Согласно прогнозам ISF, разгневанные клиенты будут оказывать давление на правительства, требуя ужесточения законодательства о защите данных, а это, в свою очередь, повлечет за собой дополнительные расходы.

Усиление наметившихся тенденций будет сопровождаться ростом пяти основных глобальных угроз системам безопасности, с которыми компаниям предстоит столкнуться в 2018 году:

• преступления, предлагаемые в качестве сервиса (crime-as-a-service, CaaS), расширят набор доступных криминалу инструментов и сервисов;
• Интернет вещей добавит неуправляемые риски;
• цепочки поставок останутся слабейшим местом в управлении рисками;
• дополнительное регулирование усложнит управление критически важными активами;
• неоправдавшиеся ожидания руководства будут подкрепляться многочисленными инцидентами.

Преступление как сервис

В прошлом году в ISF предсказывали, что концепция CaaS совершит качественный скачок. В преступных синдикатах, как и в крупных организациях частного сектора, формируются сложная иерархия, партнерские отношения и система взаимодействия.

Прогноз сбылся: в 2017 году наблюдался существенный рост киберпреступности, особенно преступлений, предлагаемых в качестве сервиса, подчеркивают в ISF. В 2018 году этот процесс продолжится. Преступные организации будут диверсифицировать свою деятельность, охватывая новые рынки, и стандартизировать ее на глобальном уровне. Некоторые организации установят связи с существующими криминальными структурами, другие же сосредоточатся исключительно на киберпреступности.

В чем главное отличие от того, что происходит уже сейчас? В 2018 году «начинающие» киберпреступники, не обладающие глубокими техническими знаниями, будут иметь возможность покупать инструменты и сервисы, помогающие проводить атаки, которые при других условиях им бы осуществить не удалось.

Возьмем, к примеру, вирусы-шифровальщики – наиболее популярную сегодня категорию вредоносных программ. В прошлом киберпреступники использовали вирусы-вымогатели, основываясь на некой форме извращенного доверия: они блокировали компьютер, жертва выплачивала выкуп, после чего компьютер разблокировался. Но вхождение в эту сферу начинающих киберпреступников приводит к разрушению «доверия». Даже если жертва выплатит выкуп, она все равно не получит ключ для разблокирования своей собственности или же киберпреступник будет возвращаться снова и снова.

Киберпреступники становятся все более изобретательными при использовании социальной инженерии. И хотя их целями чаще всего являются индивидуальные пользователи, а не предприятия, атаки такого рода представляют угрозу и для организаций.

Интернет вещей

Применение организациями устройств Интернета вещей расширяется, но большинство таких устройств не отвечают требованиям безопасности. ISF предупреждает об отсутствии прозрачности в быстро развивающейся экосистеме Интернета вещей – возникают условия, при которых организации могут использовать персональные данные нежелательным для клиентов образом. В корпоративной среде организациям будет сложно узнать о том, что информация вышла за пределы их сети, а данные тайно захватываются и передаются на различные устройства, например на смартфоны и умные телевизоры.

При возникновении брешей в системе защиты данных или при нарушении прозрачности организации, скорее всего, будут нести ответственность перед регуляторами и клиентами. Компрометация устройств Интернета вещей в промышленных системах управления может привести к физическим повреждениям и даже гибели людей.

«Очень важно, чтобы производители знали сценарии использования, тогда они смогут лучше понять конкретные ситуации, – подчеркивают в ISF. – Но в любом случае Интернет вещей порождает гораздо больше рисков, чем имелось ранее. Как обеспечить безопасность таким образом, чтобы не только устройства, но и мы находились под контролем? Необходимо повышать уровень знаний в этой области».

Цепочки поставок

Вопросы уязвимости цепочек поставок поднимаются много лет. Организации довольно часто делятся с поставщиками весьма ценной и конфиденциальной информацией. При передаче этих сведений возникает опасность их утечки. Возрастают риски конфиденциальности, целостности и доступности информации.

В прошедшем году многие производственные организации теряли производственные возможности, когда их блокировали, затрагивая в том числе и систему поставок. Неважно, чем конкретно занимается компания. Цепочки поставок есть у всех. Вопрос заключается лишь в том, чтобы узнать, где находится информация на каждом этапе производственного цикла.

В 2018 году организациям нужно будет направить максимум внимания на самые слабые места в цепочках поставок. Необходимо действовать на упреждение. ISF рекомендует использовать надежные, масштабируемые и повторяющиеся процессы. Организации необходимо интегрировать управление информационными рисками цепочек поставок в существующие процедуры снабжения и взаимодействия с поставщиками.

Регулирование

Регулирование добавляет сложностей, и принятие Европейским союзом в начале 2018 года закона о защите данных General Data Protection Regulation (GDPR) приведет к появлению еще одного уровня сложности в управлении критически важными активами.

Речь идет не только о соблюдении нормативных требований, но и о том, чтобы иметь возможность в любое время получить доступ к любым персональным данным в масштабах предприятия и цепочек поставок и понять, каким образом осуществляются управление ими и их защита. Это нужно продемонстрировать в любой момент, причем не только регулятору, но и любому их владельцу. И если мы хотим, чтобы все было реализовано правильно, нужно менять порядок ведения дел.

ISF указывает, что выделение необходимых дополнительных ресурсов на выполнение требований GDPR приведет к увеличению сложности и стоимости управления данными, отвлекая внимание и инвестиции от других видов деятельности.

Неоправдавшиеся ожидания руководства

Расхождения между ожиданиями руководства и реальными возможностями системы информационной безопасности будут представлять в 2018 году серьезную угрозу.

Руководство компаний, как правило, не в полной мере осознает последствия работы предприятия в киберпространстве. Оно считает, что директор по информационной безопасности держит все под контролем. Зачастую руководство даже не знает, как правильно сформулировать вопросы. А директор по информационной безопасности не понимает, как разговаривать на эту тему с руководством и представителями основного бизнеса.

Руководство ждет, что одобрение увеличения бюджетов на информационную безопасность в прошлые годы даст немедленные результаты. Но полностью безопасная организация – это недостижимая цель. И даже если руководство это понимает, оно во многих случаях не понимает того, что существенное укрепление информационной безопасности требует времени.

При возникновении серьезного инцидента последствия ощутит не только организация; весьма вероятно, что они самым негативным образом отразятся на репутации членов руководства, как индивидуальной, так и коллективной.

По этой самой причине роль директора по информационной безопасности требует постоянного развития. Он должен предвидеть, каким образом появляющиеся вызовы отражаются на бизнесе, и объяснить это руководству. Хороший директор по информационной безопасности должен быть и продавцом, и консультантом.

– Thor Olavsrud. 5 information security threats that will dominate 2018. CIO. NOV 20, 2017

Над тучами всегда сияет солнце, говорят оптимисты. Но ниже могут быть ураганы, ливни, молнии, град. То же относится и к облачным вычислениям. В вышине, на «солнечной» стороне – многочисленные преимущества, например повышение надежности, гибкости, управляемости и масштабируемости. А внизу – «темная» сторона, где одна-единственная ошибка, недосмотр, просчет могут обернуться настоящей катастрофой.

Если хотите, чтобы переход в облако принес вашему предприятию действительно много преимуществ, а не убытки и иски, не совершайте перечисленных ниже ошибок.

1. Переход в облако при отсутствии стратегии руководства и планирования

Готовить к работе инфраструктурные ресурсы в облаке предельно просто, но не менее легко проглядеть неочевидные расходы и ошибки в политиках и настройках безопасности. Чтобы такого не произошло, нужно не забывать о руководстве и планировании.

Помните: соответствующие процессы – не разовые. Осуществлять их следует поэтапно при поддержке автоматизации. Необходимо уделить должное внимание всем основным областям руководства – мониторингу, администрированию, безопасности и финансам, тогда можно будет оперативно выявлять и устранять проблемы.

Названный просчет происходит из-за отсутствия полного понимания того, кто в организации отвечает за конкретные задачи, касающиеся облака, – например, за обеспечение безопасности, резервное копирование данных и непрерывность бизнеса.

Когда что-то пошло не так, а руководство и планирование не организованы, предприятию может серьезно не поздоровиться.

2. Вера в то, что в облако можно перенести любые системы

Несмотря на значительный прогресс облачных технологий, многие приложения по-прежнему не подходят для облачного развертывания. Можно сильно ухудшить производительность приложения, удобство работы и желание пользоваться им, а вследствие этого – результативность бизнеса, если перенести в облако что-то неподготовленное или требующее сложных процедур интеграции с унаследованными системами.

Определитесь, чего вы хотите добиться переносом тех или иных систем в облако, и оцените, реально ли это.

3. Отношение к облаку как к своему центру обработки данных

Это дорогостоящая ошибка, которую совершают многие. Такой подход способен привести к тому, что в компании могут приниматься неверные решения по результатам анализа общей стоимости владения. Хотя облачные сервисы способны дать ощутимую экономию затрат, они также требуют совершенно иного процесса управления ресурсами. Если не внести нужные изменения, можно столкнуться с дополнительными затратами.

Пример – перенос сервера, обслуживающего какое-то одно приложение, из ЦОДа в облако. При анализе совокупной стоимости владения необходимо принять во внимание, сколько часов в день данный сервер используется. Скажем, он бывает активен только в рабочие часы. Если вы держите сервер круглосуточно включенным в ЦОДе, вы совсем ненамного увеличиваете счет за электричество. Но в облаке обычно почасовой принцип оплаты, и если не предусмотреть процедур отключения облачных серверов в часы отсутствия активности, то можно получить неприятный сюрприз в виде троекратно возросших затрат.

4. Уверенность в том, что весь груз ответственности лежит на провайдере

Лучшие провайдеры облачных сервисов предоставляют всем клиентам эксплуатационное обслуживание на уровне ИТ-отделов компаний из рейтинга Fortune 50. Однако при этом действует модель разделения ответственности, в соответствии с которой провайдер отвечает лишь за то, что он может контролировать, то есть прежде всего за инфраструктурные компоненты сервиса. Многие задачи, в том числе связанные с развертыванием, сопровождением ресурсов и использованием функций безопасности, должен выполнять сам клиент.

Заранее ознакомьтесь с рекомендациями по облаку, которым вы будете пользоваться, выясните его устройство и уточните ваши обязанности. Не рассчитывайте на то, что обо всем будет заботиться ваш сервис-провайдер.

5. Уверенность, что любые приложения можно перенести в облако без изменений

Если вы сделаете выбор, неверный со стратегической или архитектурной точки зрения, экономические преимущества, обеспечиваемые облаком, могут сойти на нет. Загрузка виртуализованных образов существующих локальных систем в инфраструктуру облачного провайдера – путь относительно простой, но чреватый в долгосрочной перспективе лишними тратами и рисками.

Перенос без изменений влечет за собой отказ от использования предоставляемых облаком возможностей эластичного масштабирования по требованию. Системы, которые можно перенести в облако как точную копию, существуют, однако копирование всей корпоративной инфраструктуры в облако будет делом дорогостоящим и малопродуктивным. Чтобы получить максимум преимуществ, предварительно необходимо потратить время на оптимизацию вашей архитектуры для облака.

6. Отказ от мониторинга производительности сервисов

Если не озаботиться регулярной оценкой реального обслуживания в сравнении с расчетным, вы быстро начнете терять деньги и подорвете бизнес.

Необходимо периодически контролировать выполнение ключевых показателей эффективности и принимать меры в случае уже произошедших и возможных отклонений от плановых результатов.

7. Предположение, что персонал ИТ-службы легко справится с переходом в облако

Azure, AWS и остальные облачные платформы кардинально отличаются от традиционных внутренних инфраструктур. Если у вас нет возможности нанять специалиста по администрированию облачных сервисов, необходимо провести обучение имеющегося персонала, прежде чем переводить любые корпоративные системы в облако.

Незнание особенностей облака может легко привести к катастрофе с точки зрения безопасности.

Избежать потенциальных катастроф можно, если нанять специалистов соответствующего профиля или обучить имеющихся сотрудников ИТ-департамента.

8. Слепое доверие скриптам автоматизации

Одно из главных преимуществ, которое дает переход на облачную среду, – автоматизация подготовки и вывода из эксплуатации ИТ-ресурсов.

Разумеется, любая автоматизация будет полезной. Однако автоматизированные процессы, неумело реализованные, чересчур сложные или плохо задокументированные, могут стать причиной продолжительных непроизводительных простоев, которые сильно ударят по ключевым механизмам бизнеса.

Снизить соответствующие риски помогут автоматизированное тестирование скриптов в контролируемой среде и обучение персонала навыкам устранения дефектов в средствах автоматизации.

9. Вера в то, что безопасность – больше не ваша проблема

Облачные сервисы в целом превосходно обеспечивают безопасность. Работая с огромным множеством разных клиентов, провайдеры облаков устраняют даже такие проблемы, с которыми ваша компания может и не столкнуться.

Тем не менее провайдер, как правило, ничего не сможет сделать с несовершенством ваших собственных практик системного администрирования, разработки ПО или обеспечения безопасности. Это по-прежнему ваша сфера ответственности.

10. Пренебрежение планированием обеспечения непрерывности бизнеса и аварийного восстановления

Все, что перенесено в облако, надежно на 100%, не так ли? Не совсем. Показатели безотказной работы инфраструктуры и сервисов у крупных облачных провайдеров значительно выше, чем у среднестатистических предприятий, однако это не значит, что они полностью защищены от системных аварий и ошибок человека.

Если какие-то ваши критически важные процессы работают в облаке, нужно подстраховаться на случай простоев. Даже крупнейшие облака не защищены от капитальных сбоев. Например, в феврале 2017 года в Amazon S3 произошел масштабный отказ, вызванный элементарной опечаткой при наборе команды. Из-за сбоя сервиса облачного хранения данных произошел отказ других сервисов Amazon, и у сторонних провайдеров, которые пользовались услугами AWS, возникли проблемы.

***

Многие облачные сервисы предоставляют автоматизированное резервное копирование и восстановление данных. Но не воспринимайте это как панацею – представьте, что произойдет, если злоумышленник или недовольный работодателем инсайдер уничтожит критически важные данные. Чтобы иметь возможность восстановить их, нужны альтернативные механизмы резервного копирования. Все меры предосторожности, применимые для локальных систем, обязательны и для облачных.

– John Edwards. 10 cloud mistakes that can sink your business. CIO. NOV 14, 2017

Последние достижения в таких сферах, как разработка искусственного интеллекта, активно используются киберпреступниками для организации более эффективных атак. Согласно аналитическим прогнозам, в 2018 году такая ситуация усугубится: технология искусственного интеллекта открывает новые возможности для нанесения ударов по виртуальной экономике. А по недавнему прогнозу Fortinet, также киберпреступники начнут сочетать эту технологию с атаками, ориентированными на поиск, выявление и использование уязвимостей сред поставщиков облачных услуг по всем направлениям.

А как обстоят дела по другую сторону баррикад? О тенденциях применения искусственного интеллекта в сфере информационной безопасности рассказывает Илья Медведовский, генеральный директор Digital Security.

– Каковы в целом перспективы применения искусственного интеллекта в кибербезопасности? Какие направления информационной безопасности могут больше всего оказаться под прицелом и почему? Где может быть наибольшая выгода?

На сегодняшний день серебряной пули под названием «искусственный интеллект» в сфере информационной безопасности нет и в ближайшее время точно не будет. Существующие технологии ИИ напрямую очень плохо вписываются в большинство задач информационной безопасности.

Однако есть класс задач, где использование ИИ может дать и уже дает на практике впечатляющие результаты. Например, обнаружение уязвимостей определенных классов, а также поведенческих аномалий пользователей и других возможных аномалий. Здесь мы ждем прорыва, и частично он уже произошел – результаты работы таких систем впечатляют. В частности, мы после двух лет работы в этой области реализовали ИИ на практике в наших системах и сегодня можем точно сказать, что это реально работает и полученные результаты вселяют оптимизм. Другое дело, что все это – лишь небольшая часть сферы безопасности, поэтому, повторюсь, сегодня пока говорить о каком-то прорыве в использовании искусственного интеллекта в информационной безопасности точно не приходится.

– В чем вы видите наиболее критичные проблемы? Что может стать барьерами для использования ИИ в безопасности?

О чем сегодня точно стоит задуматься, так это о том, что ИИ на данный момент может быть крайне полезен именно для нападения. Искусственный интеллект практически идеально может быть применен злоумышленниками при использовании социальной инженерии. Когда дело касается информационной безопасности, никого не устроит точность обнаружения в 50% или даже 60%. А вот в социальной инженерии поднять вероятность успеха на несколько процентов – это прекрасный результат. Другое дело, что ИИ здесь имеет смысл применять только на «больших числах» – то есть не при целевых, а при массовых атаках, а значит, компании могут спать относительно спокойно.

– Сфера информационной безопасности всегда была характерна тем, что защита отстает от нападения. Может ли применение ИИ изменить соотношение сил?

В целом на сегодняшний день ИИ в этой сфере делает только первые шаги, но я полагаю, что мы еще услышим много всего интересного и ждать осталось не так долго. Еще год назад я сам был скептиком – считал, что вряд ли ИИ сможет меня приятно удивить в случае обнаружения уязвимостей, но результаты нашей лаборатории перспективных исследований, а затем перенос всех ее разработок в релиз наглядно показали, что я зря сомневался – у практиков ИИ реально работает. Однако это справедливо далеко не для всех и не всегда.

Прежде чем нырять с головой в омут новых технологий, пытаясь решать плохо сформулированную задачу, компаниям нужно прояснить, какие цели они ставят перед собой и что значит цифровая трансформация для их бизнеса. Сосредоточившись на конкурентоспособности и инновациях и делая основной упор на технологии, они рискуют упустить открывающиеся перед ними возможности.

Значительному числу организаций не удается провести преобразования правильно из-за фундаментального непонимания того, что на самом деле представляет собой цифровая трансформация.

В докладе Altimeter «Состояние цифровой трансформации в 2017 году» говорится, что организации, несмотря на немалые деньги, вкладываемые ими в цифровые технологии, просто не поспевают за изменением ожиданий клиентов и не в состоянии удовлетворить их из-за «слабой цифровой грамотности». Отмечается также, что во многих компаниях уже сформировалась определенная культура, а «главными препятствиями, мешающими осуществлять изменения, ожидаемые цифровыми потребителями, становятся политические интриги, самомнение и страх».

«Ставя во главу угла технический подход, компании упускают то главное, что на самом деле скрывается за цифровой трансформацией, – указал главный аналитик компании Altimeter Брайан Солис. – Организации в целом и руководители их ИТ-служб в частности попадают в так называемую технологическую ловушку. По сути они пытаются возвести новую постройку на старом фундаменте».

А чтобы не совершать ошибок, имеет смысл придерживаться семи принципов, присущих высокоэффективным цифровым преобразованиям.

1. Цифровая трансформация – это на самом деле трансформация человека

Когда несколько лет назад Шамим Мохаммед стал директором ИТ-службы в компании-ретейлере CarMax, торгующей подержанными автомобилями, он думал прежде всего «не о трансформирующих технологиях, а о том, как надо будет проводить преобразования … с тем чтобы все двигались в правильном направлении и с нужной скоростью».

Эти же самые мысли были и у директора ИТ-службы компании TGen Джеймса Лоуи, который одной из главных задач трансформации бизнеса считает своевременное приобретение и укрепление работниками навыков, необходимых для проведения соответствующих изменений. «Зачастую темпы технологических изменений вступают в конфликт с уровнем профессиональной подготовки сотрудников, – заметил он. – Залогом истинной цифровой трансформации являются увлеченные, любознательные и мотивированные люди».

Несколько лет назад в компании Pitney Bowes решили повнимательнее присмотреться к ведущим технологиям, используемым в десяти функциональных областях, включая мобильную сферу, данные, аналитику, машинное обучение, API, SaaS и формирование пользовательского восприятия. «Для успешного продвижения вперед нашей организации наряду с четкой технической стратегией нужна была еще и стратегия в отношении людей», – вспоминает старший вице-президент Pitney Bowes по вопросам технологий и электронной коммерции Джеймс Фейруэзер.

Учеба была организована по всем десяти направлениям, и каждый сотрудник организации, а в ней работало 1200 человек, должен был выбрать одно из этих десяти направлений и изучить его в течение года. Организация же брала на себя обязательство расширить профессиональные навыки сотрудников и повысить их персональную ценность.

Этот сдвиг мышления помог компании совершить рывок вперед. «За прошедшие 10 лет мы сделали 80 приобретений, смогли укрепить связи, сформировать новые взаимоотношения и добиться того, чтобы сотрудники получше узнали друг друга», – отметил Фейруэзер.

2. Придерживайтесь ориентированного на клиентов подхода

Хотя бизнес и называет «эволюционирующее поведение клиентов и их предпочтения» одним из главных стимулов цифровой трансформации, на деле обстоит так, что менее половины компаний инвестируют в изучение нужд своих цифровых клиентов.

«Те немногие, что выбирают правильный курс, оценивают всё происходящее вовне и приспосабливают это к своим внутренним процессам, стараясь увязать выбранные нововведения с окупаемостью и ключевыми показателями эффективности, – указал Солис. – И в результате добиваются прогресса и успехов».

Прежде всего они ориентируются на клиентское восприятие.

Однако не всегда удается достичь того, чего хотят клиенты. Хотя сайт CarMax и ориентирован на клиентов, внедрение новой функции занимает несколько недель или даже месяцев, поскольку работа команды организована неправильно. Нет структуры, которая позволяла бы решать все оперативно.

3. Формируйте новые команды

В CarMax знали, что клиенты хотят улучшения процедуры покупки автомобиля на сайте. Чтобы воплотить эти пожелания в жизнь, все сотрудники были объединены в группы, занимавшиеся конкретными продуктами. В каждой группе были: менеджер по продуктам, ведущий разработчик/инженер и специалист, отвечающий за пользовательское восприятие. Их дополняли другие разработчики, специалисты по контролю качества, финансисты и операционисты, которых насчитывалось от семи до девяти человек.

Предлагалось опробовать идею доставки автомобиля прямо на дом. Одна из команд разработала мобильное приложение и встроенные функции для оформления клиентом заказа прямо с мобильного устройства и последующей доставки автомобиля к дому в течение пары недель. Разработчики не рассчитывали сразу создать идеальное решение. Они постепенно улучшали имеющиеся функции.

Первый автомобиль был доставлен в город Шарлотт – на единственный рынок, поддерживавший такую возможность. Все команды в течение двух недель проводили «дни открытых дверей», обеспечивая внутреннюю прозрачность и готовя обновления, отвечающие целям бизнеса и потребностям клиентов.

Сейчас, когда все команды сформированы, цель состоит в том, чтобы реализовать отличную идею за несколько часов; опробовать ее, посмотреть, как все работает, и сделать еще лучше.

Аналогичного подхода придерживаются и в компании – поставщике сельскохозяйственного оборудования John Deere, где руководство составило план реализации перспективного проекта умного подключенного предприятия. На одной из фабрик компании было организовано пространство Foundry площадью 650 квадратных метров с более низкими, чем обычно, столами, с тем чтобы людям удобнее было общаться. Там предполагалось собирать новые команды и изучать agile-методологии при содействии экспертов, которые проводили бы сотрудников через полный цикл разработки.

«Мы решили взять на вооружение гибкую разработку, потому что поняли: она помогает формировать культуру обучения, – сообщил Ганеш Джаярам, вице-президент по ИТ в John Deere. – Теперь в рамках циклов спринтов мы выпускаем готовый продукт каждые два месяца. С портфелем проектов мы распрощались и пытаемся делать всё в двухмесячный срок. После чего смотрим, удовлетворили ли мы ожидания клиентов. Мы больше не ждем долгие месяцы или даже годы появления прототипа нового решения».

Следующим шагом должно стать формирование команд сотрудников, которым за несколько семинаров разъяснят, в чем заключается конечная цель. Возникает совершенно иное отношение к работе. Постепенно укореняется подход, при котором приложения, инфраструктура и бизнес-подразделения работают как единое целое.

Информирование о стратегии в подключенных цифровых предприятиях осуществлялось с помощью внешних эталонных тестов и внутренних интервью, с тем чтобы сотрудники ИТ-службы понимали, чего генеральный директор и коллеги Джаярама из других функциональных подразделений ждут от ИТ-службы.

«В прошлом нас считали центром затрат, – указал Джаярам. – Теперь же нам отводится роль пробивного тарана. Впервые в истории John Deere мы возглавили процесс. Мы приняли врученный нам мандат».

4. В процессе внедрения технологий укрепляйте взаимодействие

В то время когда Pitney Bowes проектировала учебные программы в целевых технологических областях, в компании была сформирована группа технической стратегии и стали проводиться круглые столы на тему глобальных инноваций. «Все команды делились опытом непрерывной интеграции и доставки, благодаря чему перемещение приложений в облако приносило выгоду, – указал Фейруэзер. – С помощью «новаторских команд»компания разработала стандартную цепочку инструментов и стандартный набор практик, который в дальнейшем использовался при создании сообщества DevOps».

Руководство компании считает, что живое общение имеет очень важное значение и всячески поощряет встречи лицом к лицу в географически распределенных коллективах.

Усилия, направленные на укрепление взаимодействия, окупают себя. «Делясь практическим опытом, мы выявили типичные сбои, возникавшие в процессе операционной деятельности, – отметил Фейруэзер. – Нам удалось распространить свою практику на все команды, улучшив и скорректировав их совместную работу».

Руководство провело также обследование своей стратегической фундаментальной технологической программы. Один из комментариев сотрудников Фейруэзера звучал так: «Раньше мне отводилась роль винтика, теперь же, располагая полученной информацией, я буду вносить свой весомый вклад в общее дело. Научиться у коллег возможно, только если с ними налажены контакты. В рамках глобальной организации мы уже объединены в десяти областях, для этого всё сделано».

5. Когда дело касается изменений, будьте непримиримы

Когда промышленный гигант GE со штатом в 25 тыс. сотрудников приступил к внедрению цифровых технологий в операции глобальных продаж, противодействие казалось неминуемым. И действительно, сопротивление ощущалось повсюду. Многим трудно было изменить привычные способы продажи, которым они следовали на протяжении 20 лет.

«Конечно, у нас были скептики, – заметила вице-президент GE Commercial и подключенной цифровой экосистемы digitalTHREAD Кейт Гутовски. – Но, если мы нацелились провести какие-то преобразования, равняться на таких людей не стоит».

Гутовски говорит, что именно нужно делать: «Постепенно продвигаясь вперед, вы собираете вокруг себя группу первопроходцев и инноваторов. Заручившись поддержкой этой группы, вы сможете расширить влияние и проводить изменения любого рода».

Гутовски признает, что управлять трансформацией людей – занятие не для слабонервных. Оно сродни хождению по битому стеклу.

«Сначала вам придется проводить изменения твердой рукой, привыкая к ощущению постоянного дискомфорта, – подчеркнула она. – Дополнительные полномочия, предоставленные мне со стороны руководства GE, естественно, оказались крайне необходимы. Я стала привлекать профессионалов, занималась краудсорсингом и выслушивала представителей продающих организаций, когда те рассказывали о пожеланиях клиентов».

6. Вырабатывайте менталитет стартапа

В 2014 году к купленному AT&T оператору добавилась вновь приобретенная компания Cricket Wireless. Две конкурировавшие друг с другом организации требовалось преобразовать в единого крупного игрока национального масштаба.

Подобно John Deere и CarMax, Cricket Wireless взяла на вооружение модель Agile. Все силы были приложены к тому, чтобы действовать быстро и добросовестно.

«По мере укрупнения организаций в них выделяются различные группы, что приводит к информационной разобщенности, – отметил вице-президент и ИТ-директор Cricket Wireless Дарин Морроу. – Разрушать вырастающие стены помогают менталитет стартапа и укрепление взаимодействия между отдельными командами».

Для Cricket Wireless, к примеру, важное значение имела быстрая доставка различными группами небольших порций функционала. Работа на месте в тесном личном контакте помогает устранить множество проблем, возникающих в процессе взаимодействия. В результате решения вырабатываются и принимаются быстрее.

7. Добивайтесь от руководства дополнительных полномочий

Проведенный Altimeter опрос показал, что только 40% компаний создают наделенный необходимыми полномочиями управляющий комитет, ответственный за организационную трансформацию.

Выработкой стратегии ведения бизнеса обычно занимается высшее руководство, оно и информирует всех остальных о принятых решениях. Джаярам попытался изменить сложившийся порядок. «Я решил перевернуть традиционный подход с ног на голову и собрал 40 человек, находившихся на разных уровнях иерархии, чтобы сформировать новую ИТ-стратегию и трансформировать компанию в цифровое предприятие. Мы полностью проработали все процессы, прежде чем выносить их на уровень высшего руководства. Некоторые из тех, кто вносил предложения, были новичками в компании, но зато имели большой опыт в части формирования восприятия пользователей и организации гибкой разработки. По мере выработки стратегии мы опросили почти 170 коллег, поинтересовались, есть ли во всем этом смысл, и получили ответ, что идем в правильном направлении».

После этого Джаярам пошел к руководству и представил план интеллектуального подключения и agile-методологии.

«Мы знали, что люди считают эту стратегию жизненно важной, понимая, что она трансформирует компанию, – указал он. – Нам удалось склонить в свою сторону и руководство, которое лично убедилось в том, что мы способны кардинально изменить ситуацию».

– Esther Shein. 7 habits of highly effective digital transformations. CIO. November 6, 2017

Со времени появления концепции DevOps по поводу нее в ИТ-кругах идут ожесточенные споры. Некоторые считают ее маркетинговым увлечением, другие убеждены в том, что она совершит революцию в ИТ-операциях. Из года в год аналитики предрекают ее стремительное распространение, но, несмотря на то что действительно наблюдается устойчивый рост числа сторонников DevOps, стать массовым явлением этой концепции пока так и не удалось. Вина в этом во многом лежит на предприятиях, руководство которых так и не смогло понять сути DevOps и того выигрыша, который она способна принести в процессе операционной деятельности.

Из методологии, объединяющей разработчиков и операционные группы, DevOps превратилась в стратегию трансформации всего бизнеса в единый операционный центр. Упрощая общение, взаимодействие и интеграцию внутри организации, DevOps способствует более оперативной доставке ИТ-сервисов и упрощает управление ИТ, одновременно происходит и оптимизация затрат.

Что представляет собой DevOps?

DevOps – это ИТ-философия и практика, которая позволяет объединить персонал, занимающийся разработкой, операционной деятельностью и тестированием, в межфункциональные группы, полностью отвечающие за весь жизненный цикл программного продукта или сервиса. Повышая эффективность взаимодействия различных групп в рамках всей организации, DevOps формирует устойчивую операционную среду, помогающую ускорить вывод программного продукта на рынок, уменьшить число человеческих ошибок и недочетов, расширить возможности управления версиями и оптимизировать затраты – все это в совокупности способствует лучшему управлению ресурсами.

Путь к DevOps

Путь к DevOps начинается с изучения существующих бизнес-процедур и каналов предоставления сервисов, а также с четкого определения целей, которых вы хотите достичь с помощью стратегии DevOps. Предстоит решить, будете ли вы строить с нуля или займетесь перестройкой. Строительство с нуля упрощает реализацию, но риск отказов возрастает, поскольку при развертывании сервисов используется новая методология. При перестройке процент отказов ниже, но реализация сложнее из-за использования методологий параллельного развертывания.

Что бы вы ни выбрали, первым делом лучше опробовать все на экспериментальном проекте. К примеру, если цель заключается в ускорении выхода на рынок, можно поставить задачу запустить продукт с помощью итерационной модели DevOps в самые сжатые сроки и посмотреть, во что все это выльется.

После того как замысел проекта определен, важное значение для успеха DevOps будет иметь выполнение следующих шести условий.

1. Подготовка к культурным переменам

DevOps объединяет людей, процессы и инструменты для трансформации организации в единое целое. Культурный сдвиг составляет основу DevOps, и изменение культуры компании будет одной из самых сложных проблем, с которой ей придется столкнуться. Простое введение новых политик и процедур – возможно, поначалу и успешное – обернется неудачами в долгосрочной перспективе, если не изменится культура, лежащая в основе работы организации.

Успешный переход на DevOps представляет собой движение в масштабах всей компании, начинающееся с управления верхнего уровня и спускающееся к персоналу нижнего звена. Придется отделить названия от функций и убедиться в том, что разработчики и операционный персонал осведомлены о тех преимуществах, которые обретет организация при их объединении в межфункциональные группы.

Чтобы облегчить культурный сдвиг, нужно менять и стимулы. Наиболее эффективная модель стимулирования — поощрять межфункциональные команды за улучшение клиентского восприятия, одновременно сводя потери от неудач для организации к минимуму. В некоторых организациях разработчиков просят откликаться на звонки, с тем чтобы они могли лучше понять операционные задачи. В некоторых культурный сдвиг пытаются ускорить, выделяя среди разработчиков и операционного персонала «звезд», мотивирующих остальных членов группы. В остальных находят низовых лидеров, которые помогают сгладить переход к DevOps.

2. Формирование процесса непрерывной интеграции, платформы непрерывного предоставления

После того как вся организация охвачена преобразованиями, следует сконцентрироваться на самой команде DevOps. Главный вопрос – предоставить разработчикам точную и своевременную информацию о состоянии производственной среды, с тем чтобы они могли точно планировать развертывание. При скоординированном подходе «сборки и запуска» разработчик, занимающийся созданием продукта или сервиса, будет считаться его «владельцем» в рамках производственного цикла. Такое «владение» может распространяться на определенный срок, требуемый для устранения основных ошибок, или на весь жизненный цикл продукта или сервиса. Оба указанных подхода работают, идея же состоит в том, чтобы операционный персонал, инициируя обратную связь, не нес ответственности за решение возникающих вопросов.

Группа DevOps проходит через все этапы жизненного цикла сервиса, начиная от определения требований и заканчивая последующим планированием, разработкой и поддержкой. Эта команда, обладающая глубокими знаниями платформы и инфраструктуры, будет заниматься также отладкой и устранением проблем, выполняя функцию, которая традиционно отводится специалистам, занимающимся сопровождением. Здесь задача заключается в создании конвейера автоматизированного развертывания, благодаря которому запуск полностью автоматического сценария в любой среде происходит в течение нескольких минут. В рамках конвейера развертывания непрерывная интеграция, непрерывная разработка, непрерывное тестирование и непрерывное развертывание должны сливаться в единое целое.

Вот как это работает:

• при изменении кода система управления версиями запускает нужный процесс на сервере сборки;
• этот процесс компилирует код, объединяя все необходимые для развертывания ресурсы в пакеты;
• полученные пакеты автоматически тестируются для гарантии качества кода и его выполнения в соответствии с ожиданиями;
• если этап фиксации завершился успешно, приложение развертывается в тестовой среде, где изучается группой контроля качества;
• наконец, когда приложение будет одобрено, релиз направляется непосредственно в производство.

3. Создание среды непрерывного тестирования

Чем быстрее вы получите по обратной связи информацию о реакции на изменения, тем выше окажется качество программного обеспечения. При традиционной методологии водопада весь написанный код передается на тестирование и в случае успешного прохождения тестов направляется в производство. В противном случае код возвращается на доработку. Все это отнимает много времени и снижает надежность.

При использовании DevOps тестирование является составной частью разработки, а специалисты по контролю качества входят в межфункциональную группу DevOps. Тестирование, выполняемое вручную или автоматически, идет непрерывно на всем протяжении конвейера доставки. Любое изменение рассматривается как потенциальный кандидат в релизы, а цель заключается в том, чтобы сократить время между началом тестирования и выпуском релиза до минимума. Для безопасности формируется костяк доставки с одним поблочным и одним приемочным тестом, которые интегрируются в сценарий автоматического развертывания. По мере продвижения вперед можно увеличивать количество тестов и распространять их на весь конвейер доставки.

К непрерывному тестированию применимы следующие рекомендации:

• автоматизируйте процедуры и этапы тестирования в максимально возможной степени (тестирование вручную необходимо лишь при проверке удобства использования и пробных испытаниях);
• выделяйте наборы тестов для простых и быстрых процедур (разработчики могут быстро выполнять поблочные тесты перед фиксацией, а интеграционные тесты можно выполнять на серверах сборки);
• ведите расширенные журналы;
• начинайте тестирование раньше и проводите его чаще;
• убедитесь в том, что вы используете достаточное число методов контроля качества.

4. Внедрение системы непрерывного развертывания

Непрерывное развертывание расширяет возможности непрерывной доставки. Каждая сборка, успешно прошедшая полный цикл тестирования, передается на вход процедуры автоматического развертывания. Тем самым исключается необходимость человеческого вмешательства для определения того, что и когда следует развертывать. Благодаря непрерывному развертыванию организации могут быстро доставлять новые функции и обновления, заранее внося в продукт необходимые изменения.

Поскольку проверка вручную перед развертыванием кода не выполняется, непрерывное развертывание выглядит несколько пугающе. Но если у вас налажена хорошая система доставки, беспокоиться о потере контроля над кодом в процессе производства не стоит. DevOps дает возможность более полно контролировать функциональность каждого отдельно взятого сервиса, делая сборки доступными лишь избранным пользователям. А автоматический выпуск функциональных релизов осуществляется в заранее определенное время.

Разработчики должны хорошо продумывать свой код, а специалистам по контролю качества следует подготовить актуальные наборы тестов. При правильно организованном конвейере доставки система автоматически решает, что и когда фиксировать в репозитории, что и когда запускать в производство и т. д.

Непрерывное развертывание необходимо дополнить непрерывным мониторингом и обратной связью. При своевременной обратной связи разработчики знают, какие функции востребованы конечными пользователями. Это помогает им сосредоточиться на наиболее важных функциях, экономя тем самым время и силы.

5. Использование нового и старого развертывания

Для сокращения простоев и минимизации рисков организации могут использовать так называемое новое/старое развертывание. При внесении изменений запускается процесс нового развертывания, и оно выполняется параллельно со старым. Оба вида развертывания осуществляются фактически одновременно. Поначалу новому развертыванию выделяется небольшая часть трафика. В случае успеха в его пользу постепенно добавляется все больше трафика, а старое развертывание замедляется. В случае сбоя трафик перераспределяется от нового развертывания к старому. Это позволяет осуществлять переключение между средами развертывания без простоев и отказов систем. Таким образом новые функции внедряются, например, на сайтах Facebook и Twitter, которые не могут позволить себе останавливать сервисы в произвольный момент времени.

6. Непрерывный мониторинг производительности

В автоматической среде мониторингу производительности отводится ключевая роль, и в этом поможет ряд специализированных инструментов. Перед тем как выбрать инструменты, необходимо определить основные параметры мониторинга. С учетом того, что в вашей системе выполняются сотни сервисов и процедур, отслеживать абсолютно все нет никакой возможности. Сосредоточиться следует на пяти наиболее важных категориях.

1. Циклы разработки. Чтобы иметь представление о функционировании конвейера автоматического развертывания, следите за тем, как часто в код вносятся изменения, сколько новых функций реализовано, какое количество ошибок обнаружено и исправлено и т. д.
2. Развертывание. Если процедура автоматического развертывания завершается неудачей, нужен инструмент, который предупредит об этом соответствующих специалистов. Большинство серверов непрерывной интеграции автоматически пересылают сообщения на серверы чатов в случае сбоя процедур развертывания или сборки.
3. Уязвимости. После передачи кода в производство управление уязвимостями следует осуществлять автоматически. Неважно, идет ли речь об известных уязвимостях (присутствующих в National Vulnerability Database) или неизвестных (возникших в результате небезопасных действий), в любом случае система обязана их обнаруживать и минимизировать последствия.
4. Состояние серверов. Мониторинг серверов имеет важное значение практически для любого типа инфраструктуры, не только при использовании DevOps. Производительность и соглашения об уровне обслуживания (service-level agreements, SLA) системы зависят от состояния сервера. Есть несколько инструментов, помогающих решать эту задачу. Следует также осуществлять мониторинг инфраструктуры.
5. Производительность приложений. Для определения ключевых моментов производительности и регресса приложений необходимо следить за их функционированием и своевременно принимать необходимые решения. Поможет вам в этом целый ряд инструментов, в том числе AppDynamics и New Relic. Инструменты мониторинга производительности приложений (application performance monitoring, APM) предоставляют дополнительную информацию о характере использования приложений и их производительности.

Необходимо анализировать журналы приложений. Инструменты мониторинга журналов собирают большие объемы данных из различных источников и размещают их в централизованной базе данных. Важная роль отводится мониторингу пользовательской активности. Анализируя использование ресурсов и поведенческие шаблоны, вы можете своевременно масштабировать инфраструктуру при внедрении новых функций, добиваясь увеличения производительности.

Необходимо продумать также вопросы соблюдения требований регулирующих органов. Должны быть разработаны и внедрены строгие политики безопасности, а кроме того, нужна система, отслеживающая сбои аудита и недочеты конфигурации средств безопасности. Инструменты управления конфигурацией, такие как Puppet, осуществляют непрерывный мониторинг инфраструктуры, проверяя соблюдение нормативных требований и автоматически возвращая систему в желаемое состояние.

Ключевые инструменты DevOps

Хотя во многом успех DevOps зависит от базовых культурных сдвигов, важная роль отводится и инструментам. Вот краткий перечень инструментов, которые, как правило, используются в среде DevOps:

• репозиторий исходного кода (Git, CloudForce, TFS, Subversion);
• сервер сборки (SonarQube, Jenkins, Artifactory);
• управление конфигурацией (Puppet, Ansible, Salt, Chef);
• автоматизация тестирования (Selenium, Water);
• виртуальная инфраструктура (Amazon Web Services, Microsoft Azure, VMware vCloud).

***

Переход от традиционной разработки программного обеспечения к DevOps – непростая задача, требующая значительных изменений внутри организации. Главное здесь – правильно распределить людей между процессами и оснастить их правильными инструментами. И в случае успешного применения передового опыта при создании каналов предоставления сервисов с непрерывной интеграцией, непрерывными тестированием и развертыванием переключение на DevOps обещает принести вашей организации немалую выгоду.

– Adam Bertram. 6 steps to devops success. CIO. OCT 18, 2017

Одной из главных болезней проектов по цифровой трансформации становится отсутствие стратегического подхода и продуманной интеграции систем. Предпринимаемые усилия зачастую выливаются в локальные проекты, основанные на личном энтузиазме того или иного руководителя. Результат от таких проектов есть, но не приводит к радикальным преобразованиям бизнеса. «Росэнергоатом» демонстрирует яркий пример иного подхода, когда компания четко понимает, куда движется и чего хочет добиться в ближайшие несколько лет, и победа на SAP Value Award 2017 в номинации «Лидер цифровой трансформации» не случайна.

Компании-гиганты традиционно являются неповоротливыми бюрократическими монстрами, демонстрирующими консерватизм как основу своего запаса прочности, так что раскачать их на серьезные изменения, диктуемые внешними вызовами, очень сложно. Однако энергетическому концерну за два года уже удалось очень многое. Сергей Мигалин, заместитель генерального директора, директор по экономике и финансам АО «Концерн “Росэнергоатом”», рассказывает о стратегии в области цифровизации и выбранных для этого подходах.

Зачем «Росэнергоатому» понадобились изменения?

Вообще, энергетика – это крайне высококонкурентный рынок, он вполне сопоставим со многими потребительскими. У нас в стране построен единый организованный рынок электроэнергии и мощности, достаточно много различных видов генерации. На абсолютно рыночных принципах в большинстве своем происходит определение цены электроэнергии и мощности, причем рынок очень динамичен. Чтобы на этом рынке не просто существовать, но и выжить в будущем, надо быть конкурентным, и в первую очередь по цене – а значит, себестоимости. Дальше в списке конкурентных приоритетов следуют безопасность (она безусловна и обязательна), надежность и сервис, но все же рыночной доминантой является именно цена электроэнергии – долгосрочный приемлемый тариф для потребителя. Чтобы иметь долгосрочную стратегию развития, надо научиться как минимум эффективно управлять затратами, а это для такого гиганта, как «Росэнергоатом» с его десятью действующими атомными станциями по всей стране, – задача огромного масштаба.

Сергей Мигалин Послужной список: 2015 – настоящее время  Заместитель генерального директора, директор по экономике и финансам АО «Концерн “Росэнергоатом”» 2014 – 2015 Финансовый директор ОАО «Атомредметзолото» 2013 Первый заместитель генерального директора ФГУП «Федеральный центр ядерной и радиационной безопасности» 2008 – 2013 Работа в ТВЭЛ, должности от заместителя главного бухгалтера до вице-президента по экономике и финансам Образование: 1994 – Московский государственный технический университет им. Н.Э. Баумана, специальность «радиоэлектронные устройства и системы» 2001 – Финансовая академия при Правительстве Российской Федерации, специальность «бухгалтерский учет и аудит» Фото: «Росэнергоатом»

Почему вы говорите именно о цифровой трансформации, что подразумеваете под ней?

Сейчас цифровой трансформацией многие называют все, что связано с ИТ и автоматизацией. Возможно, в какой-то степени это и оправданно, но мы четко выделяем в этом процессе три направления.

Первое – традиционный подход, связанный с автоматизацией. Это, если хотите, обязательный «гигиенический уровень». В холдинге 16 филиалов и 37 тыс. сотрудников – понятно, что управлять такой махиной непросто. Без современной мощной платформы, системы планирования и учета это невозможно. Поэтому первой задачей, которую мы решали в рамках своей цифровой трансформации, были уход от разрозненных решений, создание единой системы управления ресурсами, а также логистической, договорной, плановой и учетной аналитикой.

Второй момент, позволяющий нам заявлять именно о цифровой трансформации всего бизнеса, – глубокая интеграция систем. Помимо самой системы управления ресурсами, у нас действуют несколько других масштабных решений и платформ. У нас очень крупная система управления персоналом, охватывающая не только расчет зарплаты, но и управление категориями персонала, его обучением, управление операционной эффективностью – все, что касается поддержки системы ключевых показателей и мотивации. Очень важны аналитика по обучению персонала, данные систем оценки и мотивации персонала, параметры допуска, учет радиационных доз оперативного персонала и т. д. – эта система развернута на всех площадках. Есть несколько решений, которые сейчас находятся в процессе тиражирования: достаточно большая система управления архивом технической документации, система управления эксплуатацией и ремонтами, а также системы сбора технологических параметров с атомных станций. Все вместе это не должно представлять собой разрозненные платформы, они будут очень тесно интегрированы с основным ядром управления ресурсами. Это глубоко интегрированный ландшафт – комплексное и отлаженное решение для эксплуатации сложных производственных объектов.

Мы четко понимали, что этот проект – не просто автоматизация наших процессов, но и создание полноценного шаблона, который может тиражироваться как продуманное интегрированное решение для управления территориально распределенным и опасным крупным производственным объектом, по большому счету любым. Это по сути референтный шаблон, его можно тиражировать и на наши зарубежные проекты. Портфель контрактов «Росатома» превышает 100 млрд долл., нам есть куда его тиражировать при управлении зарубежными АЭС, строящимися по российским проектам. Мы намерены также оказывать услуги оператора зарубежным партнерам. Создание референтного шаблона в виде продукта – конкретного преднастроенного решения – является второй целью трансформации.

На третьем этапе мы ставим задачу этот шаблон нарастить, используя уже абсолютно цифровые истории – технологии, касающиеся Производства 4.0, предиктивную аналитику данных с датчиков и RFID-меток, максимально покрывающих наше оборудование и системы атомной станции. Будут собираться огромные объемы технологических параметров о поведении оборудования, использоваться такие решения, как аналитика Больших Данных. Это следующий закономерный шаг, и, проектируя свои решения, мы сразу планировали такие следующие шаги.

Технологии Интернета вещей, внедряемые в таких масштабах, способны окупиться?

Сбор максимального количества данных позволит перейти к анализу поведения оборудования, оценке наработки на отказ, прогнозированию. Сама идея не нова – предсказывать отказ оборудования полезно и важно, ведь тогда можно подготовиться, заменить оборудование, создать резерв. Но как формализовать или аккумулировать имеющийся у эксплуатационного персонала практический опыт? Тут на помощь приходят системы сбора и обработки больших аналитических данных и методов прогнозирования зависимостей.

Для наглядности отмечу, что в «Росэнергоатоме» простой только одного крупного энергоблока последнего поколения обходится более чем в 1 млн долл. ежесуточно. Цена вопроса – критическая. Для нас крайне важно нарастить платформы таким образом, чтобы мы могли выйти на очень глубокий аналитический уровень с точки зрения режимов работы блоков и поведения оборудования. Очень часто режимы работы блоков и планирование ремонтной программы упираются в весьма простые вещи – насколько своевременно будут поставлены необходимые материалы, запчасти. Для нас внедрение SAP ERP как централизованного ядра стало первым этапом решения управленческой задачи «точно вовремя».

Остальные этапы цифровой трансформации: завершение референтного шаблона в России, наращивание цифровой оболочки, многоязыковой перевод созданного решения и его тиражирование на зарубежные рынки – мы планируем выполнить в течение трех-четырех лет.

«В “Росэнергоатоме” простой только одного крупного энергоблока последнего поколения обходится более чем в 1 млн долл. в сутки. Цена вопроса – критическая»

В чем заключаются особенности цифровой трансформации такого гиганта, причем с заметным государственным участием?

Помимо главной особенности, связанной с масштабом, вторая проблема при запуске такого проекта – коммуникационная. 16 филиалов, из них 10 – атомные станции; к тому же, помимо производства электроэнергии, мы занимаемся другими видами деятельности. Конечно, возникают вопросы взаимодействия. Каждая атомная электростанция – многотысячный коллектив с очень сложными процессами, в разных регионах страны, с разной готовностью к автоматизации. Реализовать такой проект, согласовав действия десятка филиалов, очень непросто.

И третья проблема, которую по значимости вполне можно ставить на первое место, – культурная трансформация. И дело вовсе не в том, государственная компания или нет.

Да, допустим, частная структура может быть чуть динамичнее, хотя это тоже спорный вопрос. Если в государственной компании прошел сигнал государственной задачи стратегического уровня, то эта компания может быть не менее динамичной. Проблема в людях. В любой компании, особенно если она существует давно и уходит корнями в советское прошлое, есть конфликт между людьми, занимающимися производством, и людьми, считающими деньги.

Культурная трансформация коллектива, его взглядов на то, что такое электронное управление бизнесом, зачем это надо и что в результате будет получено, – самая большая сложность.

В чем роль SAP? Это просто платформа или нечто большее?

Это платформа для изменений. Мы четко понимали, что используемая методология внедрения основана на лучших практиках, реализованных в стандартном функционале. Современный SAP уже вполне «приземлен» на российские реалии. Внедряя это решение как основную платформу для управления ресурсами, мы в первую очередь хотели измениться сами, а не изменять его под себя.

Если обнаруживалось, что нужно отклоняться от стандартных процессов, мы многократно взвешивали все «за» и «против» на экспертном совете, выясняли, где проблема – у нас или в системе? Лишь в очень небольшом числе случаев мы принимали решение о том, что объективные особенности нашего бизнеса должны быть учтены. SAP стал формообразующей платформой.

Вместе с тем платформа решала базовые задачи, связанные с масштабом, давая надежность. Понятно, что решения SAP точно не являются чудом эргономики – многие вещи не очень удобны или, по крайней мере, непривычны пользователю. Но нам были важны его гарантированная надежность и масшабируемость. Можно долго пытаться «подружить» между собой разные платформы, сталкиваясь с проблемами в самых неожиданных местах, и это в наши планы не входило.

Наконец, приходилось думать об интеграции с системами других подразделений «Росатома», поскольку уже есть несколько крупных решений, построенных на платформе SAP, – в самой госкорпорации, в топливном дивизионе и не только.

Раз уж мы заговорили о стандартном функционале, расскажите, каков в итоге оказался объем доработок и каких направлений они касались.

Процент доработок оказался не так уж и мал. Другое дело, что они связаны с нестандартными подходами в настройке системы, а не с написанием больших кусков кода. Мы старались придерживаться базового функционала, так как должны были минимизировать стоимость обслуживания и проблемы, связанные с последующим развитием системы, обновлением версий и т. п.

Мы сделали несколько крупных доработок. Одна из них – специализированное решение в модуле управления проектами по аналитике, касающейся источников финансирования и признаков целевого расходования средств. Кроме того, внедрено отдельное решение для централизованных договоров снабжения и претензионно-исковой работы. Поскольку на рынке огромное число потребителей энергии, для нас был критически важен инструмент, позволяющий поддерживать такую работу в привязке к нашей системе управления договорами.

Отмечу еще вот что: внедренное нами решение абсолютно централизованное, но у нас каждая станция является отдельной балансовой единицей. Поэтому отдельная доработка касалась большого количества межфилиальных операций.

Сергей Мигалин, заместитель генерального директора, директор по экономике и финансам АО «Концерн “Росэнергоатом”»: «Культурная трансформация коллектива, его взглядов на то, что такое электронное управление бизнесом, зачем это надо и что в результате будет получено, – самая большая сложность» Фото: «Росэнергоатом»

Что оказалось самым сложным?

Конечно, основная сложность – масштаб: наличие 16 филиалов и более 4,5 тыс. одновременно работающих пользователей. Однако было еще два нюанса. Во-первых, у нас довольно большая доля закупок, производящихся централизованно, крупными лотами, но поставки осуществляются во все филиалы – от Калининграда до Чукотки. Настроить такую систему, которая могла бы самостоятельно «поднимать» всю потребность на местах, агрегировать, корректно формировать закупочные лоты и договорную схему, чтобы можно было заключить централизованные договоры и проводить оплату в центральном офисе, а получать поставки и оприходование на местах, – технически непростая задача. Второй момент: значительная часть деятельности компании регулируется государством. Она получает средства на развитие из федерального бюджета, имеет налоговые льготы. Поэтому важно построить очень детальную и глубокую аналитику затрат и расходов, связанных с целевым использованием средств. Мы эту аналитику довольно элегантно выстроили как систему параллельного учета в разрезе наших инвестиционных проектов и текущих операций.

Чего проект уже позволил добиться и какие эффекты ожидаются в будущем?

Многие, внедряя ERP, говорят вполне понятные и очевидные вещи – например, касающиеся сокращения запасов и повышения их оборачиваемости. У нас это тоже было так.

На многих атомных станциях исторически существовали неплохие системы бухгалтерского и складского учета, но они не были централизованными. В отсутствие централизованных справочников невозможно оперативно управлять своими запасами. Внедрив это решение, мы радикально сократили свои запасы. За три последних года оборачиваемость наших запасов сократилась с 57 до 40 дней – очень большой прорыв. Мы уже на протяжении года централизованно управляем материальными резервами, закупая и расходуя их точно вовремя.

Многие говорят об операционной эффективности, но для того чтобы сокращать затраты, недостаточно их просто измерять. Нужно накапливать знания о лучших практиках. Обращаться к зарубежному опыту, говорящему о том, насколько эффективно мы эксплуатируем объекты, невозможно: слишком различается структура владения и устройства сервисных блоков. Внутренний бенчмаркинг гораздо полезнее. Ключевой задачей было не только измерение затрат на каждой атомной станции, но и получение системы, позволяющей быстро и объективно сравнивать станции между собой в разрезе каждого вида затрат. Многие станции существуют десятилетиями, у них различный опыт: например, одна научилась эффективно работать со складом, а другая – оптимизировать командировочные расходы. Без централизованного решения мы бы не могли выйти на объективную систему измерения, сравнения и, если хотите, соревнования.

Крайне важно еще и то, что удалось обойтись без административного давления сверху и вовлечь сами станции в процесс обмена опытом. Благодаря этому только за 2016 год мы сэкономили более 3 млрд руб. Эта сумма несопоставима с затратами на внедрение ERP – за один год система окупилась несколько раз.

Обычно в проекте, в целом успешном, бывают более и менее удачные участки. Чем вы можете гордиться, а что могло бы быть реализовано лучше?

Масштаб задачи был таков, что даже оптимисты не верили, что все получится настолько удачно в такие сроки – чуть больше года. Да, были проблемы на начальных этапах, но дальше все пошло удивительно гладко и слаженно. Весь функционал был внедрен, причем в намеченный срок и качественно, без всяких, как говорится, «костылей». Этот проект еще раз показал, что инженерные кадры «Росэнергоатома» раз уж за что-то берутся, то делают это хорошо и четко.

Второй момент, которым можно гордиться, – начало культурной трансформации. От неприятия проекта и попыток торпедировать его бюрократическими методами удалось уйти довольно быстро, сформировав проектную команду, которая слаженно работала по всей стране.

Из недоработок могу отметить то, что мы не смогли в полном объеме реализовать функционал, связанный с капитальным строительством, а это огромный блок нашей деятельности с бюджетом более 150 млрд руб. Нам не хватило сил, методологии и лидерства. Пока мы ограничились лишь бухгалтерским учетом затрат на капитальные расходы, пусть и очень развитым аналитически.

Кроме того, культурная трансформация произошла не до конца. Нам не удалось весь концерн превратить в динамичную agile-команду. Осталось довольно много людей и департаментов, живущих в старой парадигме бюрократического управления. Это обусловлено недостаточной вовлеченностью менеджмента в проект. Но нас это уже не пугает – костяк команды сформирован. Сложно было рассчитывать на то, что путь полной трансформации корпоративной культуры компания пройдет за год. Конечно же, он займет гораздо больше времени, главное – не останавливаться. Как говорится, вода камень точит.

«Многие говорят об операционной эффективности, но для того чтобы сокращать затраты, недостаточно их просто измерять. Гораздо важнее накапливать знания о лучших практиках»

Вы смирились с тем, что пока не получается?

Разумеется, мы планируем все доделать на следующих этапах. Чтобы не остановиться на уровне ERP, а довести нашу историю до уровня Индустрии 4.0, надо трансформироваться, обучать людей, вовлекать их в проект, а при необходимости – менять.

Очередной проект начнется в конце 2017 года, он будет касаться управления капитальным строительством с точки зрения прогнозирования его сроков, стоимости, использования ресурсного подхода в планировании. Так мы продолжим наш «цифровой» путь к превращению в эффективную и инновационную промышленную компанию.

Еще один проект по поддержке процессов эксплуатации и ремонтов реализует «внутренний Google» – интеллектуальный поиск по большому объему событий, технических документов, данных и параметров. Когда появляются сигналы от оборудования, а тем более об аварийных срабатываниях, важно научиться быстро находить корреляцию с аналогичными событиями в прошлом и документы, описывающие похожие события или решения. Этот имеющийся огромный опыт эксплуатации, выраженный в документации и базах данных, надо переложить в централизованное решение, платформу. Это по сути наш будущий цифровой продукт – опыт эксплуатации и инструмент управления таким опытом.

В каком направлении будет развиваться проект?

Наша конечная цель – создать полноценный цифровой шаблон, который вобрал бы в себя и управление ресурсами, и управление персоналом, включая его готовность, и управление обслуживанием и ремонтами, и управление базой знаний, а также управление аналитикой и рисками. Нам нужен единый интеграционный ландшафт с цифровыми датчиками состояния оборудования, радиационной обстановки, с другими источниками Больших Данных. Мы понимаем, что на это уйдет несколько лет, у нас есть четкая дорожная карта, мы ей следуем. Уже через пару лет мы сможем реализовывать для сторонних компаний свой цифровой шаблон как абсолютно полноценный продукт – возможно, даже облачный и с другими современными «фишками».