Статьи

Дизайн-мышление (Design Thinking) становится одним из основных компонентов успеха цифровой трансформации. Но что конкретно стоит за дизайн-мышлением и как ведущие ИТ-директора используют свою власть для продвижения бизнес-ценностей?

«Дизайн-мышление – это подход к созданию продуктов, ставящий во главу угла то, что требуется людям, – указала Шелли Эвенсон, управляющий директор консультационной компании Fjord, входящей в Accenture Interactive. – По сути, дизайн-мышление предусматривает обобщение человеческого опыта, в том числе сбор с помощью технических средств информации о потребителях при разработке новых продуктов и сервисов».

Эта инновационная философия, популяризированная в последние годы поставщиками программного обеспечения, набирает обороты в традиционном бизнесе, который ищет способы оцифровки своих продуктов и услуг. ИТ-директора, провозглашающие дизайн-мышление, известное также как ориентированное на человека проектирование, начинают играть ключевую роль в выработке корпоративной ИТ-стратегии.

«Дизайн-мышление – великая вещь», – заявил ИТ-директор брокерской компании TD Ameritrade Виджай Санкаран. Для банков дизайн-мышление становится критически важным инструментом при создании роботов-консультантов, чатботов и прочих клиентских технологий, призванных стимулировать рост доходов. Дизайн-мышление помогло в TD Ameritrade визуализировать клиентское восприятие приложений, создаваемых с учетом стремления банков придерживаться гибкой разработки прикладных программ.

Революция дизайн-мышления в ИТ

Традиционно ИТ-подразделения совместно с бизнес-партнерами вырабатывали спецификации, а затем многие месяцы выстраивали технологические решения в отрыве от бизнеса, не выходя из своих кабинетов. Конечно, ИТ-решения, предлагаемые ИТ-службами, должны были работать, однако удобство использования зачастую стояло здесь на втором плане. Но с наступлением «эпохи потребления» сотрудники компаний и конечные потребители, движимые желанием использовать свои любимые устройства и приложения, стали оказывать на ИТ-службы дополнительное давление и заставили их прислушиваться к мнению пользователей.

«Ожидания людей растут, и раньше мало кто думал о необходимости проведения исследований, направленных на изучение потребностей людей, их желаний и пользы для них, – заметила Эвенсон, работавшая, перед тем как присоединиться к Fjord, на дизайнерских позициях в Facebook и Microsoft.

По словам Эвенсон, дизайн-мышление представляет собой культурный сдвиг в головах людей – «текучесть ожиданий», которые подчеркивают пластичность спроса на технические решения. Вспомните революцию, которую Apple десять лет назад устроила с iPhone, а затем и с AppStore. После появления лучшего на планете мобильного телефона и цифрового магазина люди стали ждать от своих любимых брендов отличных мобильных приложений. Со временем ожидания в части функциональности существенно выросли. После того как два года назад Starbucks запустила мобильный сервис оформления заказов и оплаты еды и напитков, многие другие сети быстрого питания тоже включили в свои мобильные приложения аналогичный функционал. И эти перемены были обусловлены текучестью ожиданий.

Меняющийся менталитет заставляет банки усиливать цифровую направленность, поскольку они видят, что Apple Pay, Mint, PayPal и прочие отрезают все более весомый кусок от принадлежавшего им раньше пирога. Дизайн-мышление просачивается и в среду поставщиков программного обеспечения. Когда Эвенсон присоединилась к Microsoft, основное внимание там уделялось разработке и тестированию программного обеспечения, после чего осуществлялся переход к управлению продуктами. К моменту же ее ухода дизайн стал важной частью процесса разработки ПО.

Поскольку технология сейчас тесно вплетается в саму работу бизнеса, даже компании с традиционным укладом все чаще полагаются на пользовательский опыт как на ключевой фактор в своих решениях, предназначенных как для клиентов, так и для собственных сотрудников. Сегодня работа Эвенсон по большей части связана с обсуждением с ИТ-директорами и другими бизнес-лидерами вопросов создания программного обеспечения и сервисов, сравнимых с Airbnb, Facebook и другими ресурсами, предназначенными, как считают сами клиенты, персонально для них. «Вам не удастся выстроить успешный корпоративный сервис, если технические моменты в нем будут стоять выше вопросов удобства использования и удовлетворения потребностей людей, если люди не смогут получить то, что им нужно», – подчеркнула Эвенсон.

Переход к дизайн-мышлению обычно предусматривает выстраивание классических ячеек открытого рабочего пространства, в котором менеджеры по продуктам, дизайнеры и разработчики программного обеспечения совместными усилиями придумывают новые решения. В такой ситуации ИТ-директор нередко даже не знает точно, кто ему здесь подчиняется, а кто нет.

Дизайн-мышление на практике

Дизайн-мышление требует культурных перемен. «Во многих компаниях, выступающих с цифровыми инициативами для трансформации своего бизнеса, дизайн-мышление все чаще становится частью корпоративной стратегии, – указал Крис Пасьоне, генеральный директор компании LUMA Institute, обучающей ориентированному на человека дизайну. – Дизайн-мышление помогает развиваться инновациям, поскольку компании стремятся к самообновлению, чтобы поспевать за переменами».

В понимании Пасьоне дизайн-мышление сочетает традиционный дизайн продуктов и проектирование систем с антропологическим и этнографическим подходами. Дизайн-мышление помогает организациям избегать общих ловушек, мешающих успешной реализации проектов, и включает в себя следующее:

• Очерчивание проблемы. Очень часто команды из благих побуждений стремятся решить проблему, не устраняя при этом причин, ее порождающих, не оценивая масштабов помех, встающих перед организацией. Пасьоне рекомендует компаниям «четче формулировать вопросы», искать новые пути более точного очерчивания проблемы. Команды, понимающие реальные возможности, имеют больше шансов на успех.
• Эмпатия. Другая серьезная причина провала проектов кроется в недостаточном понимании и неспособности выслушать тех многочисленных лиц, в чьих интересах и затевается реализуемая инициатива. Умение сопереживать – непростая задача, поскольку конечные пользователи не обладают общим менталитетом. Кроме того, предприятия должны проектировать решения с учетом тех, на кого в дальнейшем будут возложены обязанности по их установке, ремонту и поддержке. Вот где пригодятся контекстные запросы и другие технологии проектирования, учитывающие этнографические моменты и прочие особенности.
• Итерации. При корпоративном управлении с линейным стилем мышления инновации, требующие итерационного подхода к разработке продуктов, зачастую зажимаются. «Организациям нужно спокойно воспринимать многочисленные и естественные мелкие неудачи, сопровождающие великие новаторские идеи, – отмечает Пасьоне. – Потребуется создание эскизов, раскадровок и прототипов на основе обратной связи с заинтересованными лицами. По-настоящему инновационные решения, оказывающие заметное влияние, появляются в результате многочисленных инноваций, непрерывного тестирования и постоянных улучшений на основе новых предположений. Принцип ускоренного выхода на рынок в наши дни неактуален. Победителями оказываются организации, проводящие быстрые итерации и делающие это хорошо».
• Точки отказа проекта. Постарайтесь выявить, что у вас не работает, и устраните причину. В этом и заключается одно из преимуществ итерационного подхода. Дизайнеры и инженеры исправляют выявляемые ошибки и «сглаживают» шероховатости пользовательского дизайна постепенно, шаг за шагом превращая минимально жизнеспособный продукт в полностью завершенное коммерческое решение.
• Взаимодействие. В организациях, над которыми нависла угроза исчезновения, людям в голову часто приходят хорошие идеи, которые можно реализовать в тесном взаимодействии с другими подразделениями и клиентами. Это помогает находить более творческие способы работы.

Импульсом к развитию в организации дизайн-мышления становится стремление улучшить обслуживание пользователей. «Толчок, исходящий снаружи, быстрее воздействует как на верхи, так и на низы», – поясняет Пасьоне.

Впрочем, искать самостоятельно все, что требуется для выработки дизайн-мышления, не обязательно. Санкаран, например, активно привлекает внешних консультантов (в частности, из Pivotal Labs), которые помогают обучать линейных менеджеров в ИТ- и бизнес-подразделениях созданию программного обеспечения с учетом интересов пользователей. Они задают открытые вопросы, например: «Что клиенту хотелось бы сделать со всем этим и как он собирается осуществлять взаимодействие?»

Увидев, что окупаемость есть, компании переносят ту же философию и на внутренние корпоративные решения. У предприятий все чаще просто не остается выбора. Сотрудники-миллениалы, составляющие уже больше половины рабочей силы, оказывают постоянное давление на работодателей, если считают, что их методы и технологии – это пережиток цифрового средневековья.

С цифровым средневековьем нужно покончить. Одним из способов является формирование в компании «дизайн-культуры», предполагающей привлечение дополнительных дизайнеров и ускорение выпуска прототипов новых решений. Нелишней будет также организация инновационных лабораторий и цифровых ускорителей.

– Clint Boulton. What is design thinking? The secret to digital success. CIO. July 28, 2017

Создаваемые крупными организациями общие центры обслуживания, специализирующиеся на инсорсинге типовых функций – работе с документацией, бухгалтерии, HR, закупках и т. п., вполне могут стать точками цифровой трансформации предприятия. Оптимизация процессов и ориентация на лучшие практики подразумевают максимальную автоматизацию, а в случае работы компании на внешнем рынке инновационность способна стать прямым конкурентным преимуществом. Компания «Северсталь – Центр Единого Сервиса», начав как внутренняя структура, недавно вышла на внешний рынок и предоставляет аутсорсинговые услуги крупным компаниям (среди ее клиентов – «Утконос», «Свеза», «Нордголд» и другие российские и международные компании), а также развивает консалтинг по созданию общего центра обслуживания. Кира Лапина, генеральный директор «Северсталь-ЦЕС», рассказала о своих взглядах на цифровую трансформацию и ее роль в развитии бизнеса компании.

Кира Лапина Послужной список: В группе компаний «Северсталь» – с 2005 года С 2010 года – генеральный директор ООО «Северсталь – Центр Единого Сервиса» 2009-2010 – «Воркутауголь», финансовый директор 2007-2009 – «Воркутауголь», главный бухгалтер Образование: Ярославский государственный университет им. П. Г. Демидова, специализация «бухгалтерский учет и аудит»; дополнительная квалификация аудитора и специалиста по международной отчетности (Financial reporting qualification diploma, DipIFR)

На рынке происходят необратимые изменения, которые зачастую требуют радикальной перестройки бизнеса. Например, в Accenture говорят о разрушении границ между предприятиями и целыми отраслями, об «объединении необъединяемого» – интеграции предприятий и цифровых платформ, физического и виртуального миров. Какие изменения вы видите? Какие появились риски и возможности?

Ход времени ускоряется, и все больше бизнесов становятся цифровыми, бизнес-процессы роботизируются. Уже реально существуют инструменты, позволяющие достигать синергии конкурентам (за счет цифрового взаимодействия конкуренты могут становиться партнерами), многое переводится в сферу облачных решений с применением искусственного интеллекта и открытых разработок. Мы отслеживаем актуальные тренды и самые передовые практики реализуем в своей компании. Поскольку бизнес аутсорсинга предполагает множество рутинных процессов и большие объемы информации, прежде всего для нас актуальны роботизация (Robotic Process Automation, RPA) и электронный документооборот.

Электронный документооборот позволяет создать единое информационное пространство как для внутренних, так и для внешних пользователей, ускоряет обработку информации в сотни раз, обеспечивает информационную безопасность. Повышается качество принимаемых решений за счет скорости обработки информации, уходит функционал хранения бумажных документов, не требуется обеспечивать их оборот и сохранность. Уже не встает вопрос правильности оформления почтовых отправлений и не надо ждать, пока бумажные документы поступят с почтой, да и на почтовые сервисы уже не приходится тратиться.

Оптимизация процессов и ориентация на лучшие практики подразумевают максимальную автоматизацию

Роботизированные решения также имеют свои финансовые и нефинансовые эффекты: оптимизация затрат, двузначное сокращение ошибок, круглосуточная, безостановочная работа. Они не меняют и ИТ-среду, ведь их может настроить каждый бизнес-пользователь. В целом оба направления дают ускорение, снижение затрат, сокращение ошибок, стабильность выполнения бизнес-процессов.

Разумеется, при внедрении любой технологии существуют риски. Мы, внедряя новые решения, не просто следуем трендам, а предварительно изучаем аналоги, тестируем саму технологию, сравниваем с альтернативами, рассчитываем экономический эффект от внедрения. Ярким примером этого может служить внедрение систем роботизации: мы уже протестировали две доступные на российском рынке технологии – Blue Prism и UiPath.

До сих пор нет четкого определения цифрового предприятия, многие считают понятие чрезмерно размытым. Что такое цифровое предприятие в вашем понимании и в чем заключается цифровая трансформация?

Опыт общения с коллегами показывает, что каждый из нас действительно воспринимает цифровое предприятие по-своему. На наш взгляд, это компания, где эффективно взаимодействуют человеческие ресурсы и автоматизированные (или даже роботизированные) системы. Очевидно, что автоматизировать бизнес на 100% невозможно, поскольку искусственный интеллект пока не способен заменить человека. Для того чтобы концепция цифрового предприятия заработала, мы и осуществляем цифровую трансформацию. Тут для нас важны критерии эффективности и экономической целесообразности. Например, если нам выгодно использовать технологии RPA, мы активно внедряем роботов для автоматизации процессов аутсорсинга. К слову, мы часто используем их в бухгалтерских операциях с большим количеством повторений.

В целом цифровая трансформация предполагает стратегию, которая включает большое количество элементов и систем: ERP, роботов, систем ЭДО, омниканальность, различные виды аналитики и др. Важным аспектом здесь является интеграция решений между собой под контролем экспертов.

Где еще, кроме бухгалтерии, уже используется роботизация? И как клиенты относятся к тому, что их делами занимаются роботы?

Роботизация как технология может быть использована во многих функциях, где есть рутинные задачи: это и поддержка продаж, и закупки, и HR. Мы начали их внедрение с процессов учета, поскольку это наиболее актуально для нас, но внедрение роботов в HR тоже весьма перспективно. Примером такой системы может служить голосовой бот, совершающий обзвон потенциальных кандидатов.

Непосредственно на внедрение технологии RPA наши клиенты не отреагировали. По большому счету, их волнует, чтобы все услуги были оказаны в срок и без ошибок, а кто выполняет их работу: сотрудники или роботы, – для них не имеет значения.

Что именно представляют собой проекты RPA?

При отборе RPA-решений мы прежде всего ориентировались на рейтинги независимых агентств Forrester и Everest Group. На момент выбора на российском рынке были доступны две из трех лидирующих технологий. И Blue Prism, и UiPath согласились предоставить роботов для теста и первичного обучения, для настройки системы.

К тому моменту мы уже активно использовали в работе макросы. Внутри каждого подразделения были «агенты роботизации», которые выявляли процессы для автоматизации. Технология RPA – это следующий уровень развития, поскольку она более стабильна и может быть легко адаптирована в случае изменений: если макрос нужно полностью переписывать, то в роботе достаточно перенастроить логику. Обычному бизнес-пользователю гораздо проще настроить робота, чем написать макрос.

Процессы анализировались по направлениям. Основываясь на знаниях по разработке роботов, мы выбрали те процессы, которые можем реализовать уже сейчас. На этапе анализа процессов фиксировались все возможные риски, которые могут возникнуть при переводе, и теоретическая возможность роботизации.

Для Blue Prism был выбран процесс перевыставления транспортных услуг, а для UiPath – выгрузка реестра спецификаций по сотрудникам. Процессы были выбраны неслучайно: помимо наибольшего экономического эффекта, именно в этих процессах мы нашли возможность роботизации и были уверены, что сможем это сделать.

К каким выводам в итоге пришли?

При тестировании RPA мы сравнивали оба решения, чтобы определиться, какое использовать для активного внедрения. UiPath использует более технологичную систему администрирования, поэтому стоит дороже, хотя при массовом внедрении это незаметно. Blue Prism привлек тем, что он полностью отвечает всем нашим требованиям. У нас технология RPA только начинает внедряться, и на начальном этапе нам достаточно его возможностей, особой необходимости в более дорогом продукте пока нет.

Процесс, роботизированный при помощи Blue Prism, даст нам экономический эффект порядка 550-600 тыс. руб. в год. В течение третьего квартала планируем вывести робота на полную мощность и измерить реальный эффект, который мы смогли получить. За счет этого мы примерно на 90% окупим затраты на лицензии. Помимо эффекта экономического, мы также получаем эффект качественный: правильно разработанный робот сокращает число ошибок в процессе, вызванных человеческим фактором.

Как повлияла на работу компании стремительная цифровизация окружения – клиентов, поставщиков, партнеров, конкурентов?

Все больше взаимодействий с контрагентами происходит через цифровые каналы: у нас уже налажен электронный документооборот с внутренними и внешними клиентами. Многие вещи выводятся в категорию самообслуживания. Ведь и правда удобнее, когда ты любую информацию можешь получить самостоятельно, она доступна в реальном времени и является актуальной в любой момент. Это выгодно обеим сторонам.

Может ли использование ваших сервисов трансформировать самих клиентов? Способно ли это стать их конкурентным преимуществом?

Использование наших сервисов уже само по себе большая трансформация. Мы полностью пересматриваем процессы, делаем их оптимальными и приводим к лучшим практикам. Упрощение, исключение лишних петель движения информации, разделение ответственности, внедрение показателей эффективности, ориентированных на качество, – все это само по себе оказывает огромный эффект на бизнес клиента. Таким образом, при старте проекта перевода на аутсорсинг или построения собственного общего центра обслуживания заказчик уже понимает, что сама модель его функционирования становится эффективнее.

Причисляете ли вы себя к компаниям, хотя бы частично являющимся цифровыми? На каком этапе, по собственным оценкам, находитесь? Какие направления для вас приоритетны?

«Северсталь – Центр Единого Сервиса» – это отдельная сервисная организация. Поэтому инновационная составляющая для нас критически важна, и компания идет по пути цифровизации. Для этого есть серьезные предпосылки – как вы знаете, практика SAP «Северстали», которой пользуется Центр, является одной из ведущих в России. Мы одни из пионеров в освоении RPA в России. Приоритетные направления – это поступательное развитие ERP-системы, роботизация рутинных процессов и электронный документооборот с учетом специфики аутсорсинга.

Какие требования к корпоративным ИТ предъявляет цифровая трансформация? Что должно измениться?

Все более сложные процессы подвергаются автоматизации, усложняются бизнес-приложения... Требования очевидны: простой пользовательский интерфейс и интеграция между разными функциональными системами. Тут надо также отметить важный аспект: пользователям все меньше нужна информация «постфактум» (например, анализ по итогам периода), все большее значение придается аналитике реального времени и прогнозам. Визуально-клиповое мышление побеждает – все больше уходим в сторону визуализации данных.

Цифровое предприятие характеризуется повсеместным доступом пользователей к информации, свободным взаимодействием сотрудников внутри компании, сбором и анализом внешних данных. Фактически речь идет о полной прозрачности процессов. За счет чего этого можно достичь?

Здесь надо избегать подмены понятий. Я полностью соглашусь, что пользователь должен обладать полным доступом к информации, которая нужна ему для его рабочих задач. Должен иметь возможность получать эту информацию из разных каналов и в режиме реального времени. При этом, согласитесь, пользователю совершенно не нужен доступ к персональным данным его коллеги, охраняемым в соответствии с законом. Здесь и стоит по-настоящему серьезная задача: с одной стороны, обеспечить максимальные допуски к необходимым данным, а с другой – ограничить их именно необходимым объемом, избежать злоупотреблений и обеспечить информационную безопасность.

Цифровое предприятие – это не только технологии, но и иной подход к выполнению работы. Сотрудники должны стать совершенно другими. Какова, по-вашему, роль корпоративной культуры в цифровой трансформации?

Роль сотрудников на цифровом предприятии изменяется, поскольку они больше взаимодействуют в цифровой среде, уровень влияния человеческого фактора снижается. Становится жизненно необходимой интеграция человеческих и цифровых ресурсов. К тому же множество рутинных процессов полностью автоматизируется, это означает, что человек больше сконцентрирован на задачах, создающих стоимость.

В то же время есть парадокс, с которым мы уже столкнулись. Когда процессы глубоко автоматизированы и сотрудник принимается на работу для мониторинга внедренных систем, этот специалист уже не ощущает себя экспертом и может быть демотивирован. Но при этом он и не может стать экспертом, так как не разбирался с отклонениями от штатных ситуаций, не настраивал автоматизацию процессов. И возникает эффект расслоения: с одной стороны, реальные эксперты, которые прошли весь этот долгий путь улучшений, и с другой – молодые специалисты, для которых еще предстоит придумать, как такими экспертами стать.

Кира Лапина, генеральный директор «Северсталь-ЦЕС»: «Опыт общения с коллегами показывает, что каждый из нас действительно воспринимает цифровое предприятие по-своему. На наш взгляд, это компания, где эффективно взаимодействуют человеческие ресурсы и автоматизированные или даже роботизированные системы» Фото: «Северсталь-ЦЕС»

А не может оказаться, что культура на самом деле важнее любых технологий? Например, встраивание аналитики в процесс принятия решений, чтобы эти решения не были исключительно интуитивными...

Мы привыкли отталкиваться от ожидаемого результата. Изначально мы моделируем конечный результат – целостную систему цифрового предприятия, а затем уже подбираем технологии и выстраиваем корпоративную культуру.

Что предпринимается для изменения культуры?

Для выстраивания корпоративной культуры мы используем все доступные инструменты: эффективные коммуникации, в том числе социальные сети, мессенджеры и другие современные каналы, а также методы геймификации – различные интеллектуальные игры, тренинги и другие.

Совсем недавно SAP провела исследование, в котором утверждается, что в 64% компаний сотрудники не готовы к цифровой трансформации. А ваши – готовы? И как отличить «готовых» от «неготовых»?

Средний возраст наших специалистов – 25 лет. Молодые люди росли в эпоху Интернета, социальных сетей, мобильных приложений. Это означает определенную готовность к пониманию цифровой среды. Эта возрастная группа 80% задач решает при помощи компьютера или другого электронного гаджета. Конечно, у них тоже есть страхи по поводу того, что их работу «отберут роботы». Но, с другой стороны, для настройки роботов нужны бизнес-пользователи, что подталкивает их осваивать новые технологии.

Искусственный интеллект, роботизация рутинных функций стали трендом последнего года. Какие новые вызовы и проблемы несет необходимость управления такой гетерогенной рабочей силой?

Для наших роботов мы определяем KPI так же, как и для всех сотрудников. Робот – это программа, и в ней тоже могут возникать сбои, а потому важно поддерживать бесперебойность их работы. Кроме того, существует вопрос обеспечения работоспособности роботов, контрольных процедур. Это может осуществляться как вручную, так и путем использования специализированных программных решений, которые поставляют далеко не все разработчики роботов. Помните, как боты Facebook, общаясь между собой, «изобрели» свой язык, непригодный для общения с людьми? Тут такая же ситуация: мы должны контролировать получаемый результат, ведь это живые деньги и данные клиентов.

Фактическое достижение цифровой модели – весьма масштабная задача. На то, чтобы новая философия воплотилась в ИТ-платформу, поддерживающую работу компании, может уйти несколько лет. Как не завязнуть в этом процессе?

Мы пользуемся поддержкой компании «Северсталь-Инфоком» для постоянных обновлений наших ИТ-систем. Изменения внедряются постоянно, что делает этот процесс поступательным. Как известно, есть две крайности: применять «голый» стандарт ERP-системы, не проводя кастомизации, и использовать подход, подразумевающий максимальную кастомизацию под специфику предприятия. Важно не впасть ни в одну из крайностей, мы развиваем системы путем разумных улучшений, всегда сопоставляя эффект от них с затраченными усилиями.

Как убедиться, что трансформация идет в нужном направлении и соответствует стратегическим целям?

Здесь нет универсального рецепта. Главное, на мой взгляд, – здоровая неуспокоенность и драйв, открытость к новым технологиям и практикам и, разумеется, базовая осторожность.

Чего вы ожидаете в дальнейшем? Как цифровизация бизнеса повлияет на будущее вашей компании?

Аутсорсинг финансовой и кадровой функции может быть автоматизирован и роботизирован на 70%, и наша задача – с одной стороны, подготовить необходимую технологическую базу, а с другой – развить корпоративную культуру, чтобы сотрудники были готовы взаимодействовать как друг с другом, так и с роботами. Построить автоматизированную систему, позволяющую отслеживать сбои в системе и исправлять их.

Конкурентную борьбу на рынке выиграет тот, кто наиболее эффективно отстроит цифровую модель и интегрирует в нее своих клиентов. Аутсорсинг предполагает тесный контакт с клиентом и постоянную обратную связь – то, что может обеспечить именно цифровое предприятие.

Переход от традиционного уклада к цифровому не может произойти моментально. Павел Биленко, руководитель образовательных программ по направлениям Индустрии 4.0 Московской школы управления «Сколково», рассказал, каким должен быть первый шаг на этом пути для обычного российского предприятия и каких управленческих подходов стоит при этом придерживаться. По его мнению, трансформацию следует начинать с руководителей.

- В чем разница между полностью автоматизированным, «умным» и цифровым производством?

Я предпочитаю говорить о цифровом производстве. От автоматизированного производства, состоящего из «островов», соединенных «мостами»-интеграторами, цифровое производство отличают прежде всего бесшовная интеграция и единые форматы данных на всем жизненном цикле продукта. Данные со всех контрольных точек бизнес-процессов, производственных участков и организационных структур собираются без «контейнеров» отдельных программных продуктов либо платформ типа ERP или PLM. Эти данные систематизируются, и с ними ведется комплексная работа, управленческие решения принимаются на основе функционирования инструментальных панелей.

В цифровых производствах начинает работать машинный интеллект, потому что повторяющиеся стандартные операции машины делают лучше нас.

Еще одно важное отличие – скорость работы и внедрения решений. Умные предприятия используют простые и гибкие, хорошо адаптируемые под потребности компании инструментальные решения. Внедрение ERP за два-три года – это прошлый век. Когда у каждого рабочего в цеху есть планшет и телефон, с помощью которого он взаимодействует с ERP-системой (получает сменно-суточные задания и отчитывается об их выполнении, коммуницирует с другими подразделениями) – вот распространенная сейчас система, эффективно действующая на крупных международных предприятиях. Штаб-квартиры сегодня управляют при помощи простых мобильных решений, которые вбирают в себя функционал информационных «тяжеловесов».

- Что мешает развитию умного производства в России?

Можно перечислить множество факторов: неготовность или отсутствие экосистем и их ключевых компонентов, недостаточное количество открытых контрактных производств, ограничения рынков компаний с государственным участием, ограниченные коммуникации между потенциальными партнерами и слабое доверие друг к другу, отношение к людям в некоторых государственных компаниях как к винтикам системы.

Но главным тормозом я бы назвал «второй темп» и недостаточное развитие руководителей. Сегодня есть два типа компаний: консервативные и медленные – условный тип А; быстрые и гибкие – условный тип Б. В компаниях типа А, к сожалению, некоторые руководители застряли на изучении базовых терминов САПР. Скорость в принятии решений, в их проведении в жизнь, в трансформации бизнеса, а не бумаги, у глобальных лидеров и руководителей компаний типа Б гораздо выше, чем у лидеров компаний типа А. Руководитель компании типа А мыслит примерно так: чтобы провести цифровую трансформацию, надо обратиться к консультантам, чтобы те написали двухсотстраничный отчет, и разработать пятилетнюю стратегию. И обязательно наказать кого-нибудь за ее неисполнение. Мышление лидера компании типа Б совсем иное: давайте посмотрим, что вокруг уже сделано, обменяемся опытом, обучимся, попробуем быстро сделать и оценим, что получается. К сожалению, лидеры часто бывают увлечены фантомами и симулякрами, пренебрегают важнейшими вопросами прототипирования, моделирования, проверки управленческих гипотез. Предпринимательский подход – вот что сегодня очень важно.

Если компания любого размера сегодня вместо прототипирования продуктов и моделирования бизнес-процессов расходует время на создание концепций, стратегий и отчетов, то она это время теряет попусту. Мир меняется так быстро, что, пока она будет писать стратегию, западные компании уже перейдут на следующий уровень развития. Время разработки стратегий осталось в прошлом.

- Переход от традиционного уклада к цифровому не может произойти моментально. Каким должен быть первый шаг на этом пути для обычного российского предприятия, весьма далекого от «цифры»?

Прежде всего нужно осознать необходимость изменений и провести диагностику цифровой зрелости в совместной работе с экспертами. Руководителям предприятий необходимо отставить технологический снобизм и позицию «у нас все лучше, а этот ваш Интернет вещей – сказки», забыть фразы: «мы совершенны», «от нас ничего не зависит» и «рабочий день заканчивается в 18:00».

Нужно найти людей, которые уже проходили путь трансформации от разрухи к современной компании, и учиться у них. Надо становиться компанией-амбидекстром: сегодня быстрые и гибкие компании уничтожают крупных, обремененных регламентами, правилами и объяснительными за их нарушения.

Любой крупной компании требуется задуматься над этим. Как сделаться такой же быстрой, как, к примеру, Xiaomi, которая выпускает несколько десятков абсолютно инновационных продуктов ежегодно? Как стать такими же интересными для рынка, как те западные компании, за чьими дорогими продуктами выстраиваются очереди? Как выводить новые продукты на рынок столь же быстро и часто, как европейские компании?

- Каких управленческих подходов вы рекомендуете придерживаться на пути трансформации?

Гибких и быстрых. Заниматься моделированием и прототипированием, ошибаться недолго и дешево, делать выводы и расти дальше на этих выводах. Организовать развитие корпоративного инновационного центра и работу с молодыми командами стартапов. Как, например, это делает одна из нефтегазовых компаний, финансирующая стартап-хакатоны.

- Раньше говорили, что бессмысленно автоматизировать беспорядок. Как обстоят дела с «цифровизацией» того, что плохо организовано и плохо управляется в традиционной парадигме?

Без системности ничего работать не будет. Любая компания должна иметь организационный «хребет»; создание гибких и быстрых систем, упорядочивающих все бизнес-процессы – одна из первоочередных задач ее руководителей.

- Что происходит с кадрами при цифровой трансформации? Есть ли счастливые примеры переподготовки унаследованных кадров? Или проблема неготовности кадров к цифровизации преувеличена?

Такие примеры есть в наших программах Школы управления «Сколково». Это заблуждение, что из-за автоматизации масса людей лишится работы. Есть огромный спрос в ряде новых отраслей. К примеру, робототехническим компаниям необходимо огромное число программистов для создания локального программного обеспечения. Мы уже неоднократно проходили через волны трансформаций специализаций, когда слесаря сменил оператор ЧПУ, инженера-расчетчика – оператор вычислительных комплексов и т. д. Никаких негативных социальных последствий эти тенденции не вызвали. Кто из рабочих и специалистов быстрее обучился новым инструментам и системам автоматизации, тот стал лидером технологических изменений своего предприятия и увлек за собой остальных.

С этой точки зрения очень важна роль современных образовательных платформ. Да, структура рынка меняется, и сейчас нужны кросс-отраслевые партнерства. Мы готовим к цифровизации руководителей и инженеров, развивая образовательную экосистему в партнерстве с Российской экономической школой и Сколковским институтом науки и технологий.

- Есть ли у цифровизации отраслевая специфика? Где дела идут успешнее, а где хуже?

Хуже всего дела идут в нефтегазовой сфере, где людям не о чем беспокоиться. Еще лет 20 отрасль, возможно, будет существовать: качай, транспортируй, продавай. Зачем им меняться? Зачем задумываться о том, что среди шести самых дорогих компаний мира почти все сырьевые компании уже сменились на технологические? Возобновляемая энергетика растет по экспоненте. Ну и что? Нам-то какая разница? Проведем еще одну стратегическую сессию, нарисуем красивую презентацию, будем жить дальше. И так еще 20 лет.

Хотя и в этой отрасли есть отдельные исключения и заслуживающие уважения примеры трансформации сырьевых компаний в производственные холдинги. Но очень мало их коллег по цеху переносят этот опыт в свою производственную деятельность. Большинство компаний доживают на сверхдоходах. Между тем нефтяная компания может выступать инвестором: финансируя создание цифрового производства, совсем не обязательно становиться его собственником.

Быстрее всех трансформируются медиа, банки, ретейл и телеком, которые работают и зарабатывают с Большими Данными, аналитикой, корпоративными мобильными приложениями. Они лучше остальных понимают финансовый результат от цифровизации и, памятуя историю Kodak и Nokia, живут по принципу «изменись или исчезни». Facebook в прошлом году стал производственным предприятием – современным цифровым заводом. Amazon, будучи когда-то книжным магазином, недавно стал сетью магазинов здоровой пищи. А до этого – основным продавцом облачных вычислительных ресурсов.

Трансформации глобальны, сложно назвать их незаметными. Вам меняться не надо? Уверены? Я, бывало, слышал раньше: «Мне уже много лет, 35, и меня ничто не изменит. Я такой, какой есть». Ну раз так, это значит, что вас уже нет.

Сказанное относится и к человеку, и к компании, и к отрасли, и к стране.

- О чем вы расскажете участникам конференции Smart industry&city 2017?

О том, что такое цифровое производство, как его создать с помощью команды, ключевых компонентов и экосистемы. Об экосистемах и акселераторах США и Германии, о том, чего нам не хватает для ускорения развития. О том, что делать, чтобы выжить в жесткой конкурентной борьбе в условиях нового технологического уклада.

За год, прошедший с прошлой конференции, мы проделали большую работу с Минпромторгом РФ по выпуску методических рекомендаций для цифровизации предприятий, провели свое исследование по цифровизации производства. Кроме того, мы готовы представить комплексную методику диагностики цифровой зрелости предприятия.

DevOps – это буквальное и фигуральное слияние процессов разработки и эксплуатации. Многие годы соответствующие группы в компаниях были разделены культурными и информационными барьерами, особенно типичным такое положение дел было в крупных корпоративных отделах ИТ.

Это разделение основывалось на простом принципе: разработчики занимались только кодом, специалисты по эксплуатации принимали код и следили за тем, чтобы он выполнялся. Отсутствие связи между двумя группами приводило к длительным циклам контроля качества и максимально редким рабочим развертываниям, что было обусловлено страхом простоев и нарушений работы.

Из-за внутриорганизационных границ, стремления избежать рисков и последовательных, основанных на принципе «водопада» методов поставки ПО, между масштабными обновлениями систем мог пройти целый год, а то и больше. Во многих крупных организациях такие методы применяются и по сей день.

Однако в последнее десятилетие ландшафт ИТ резко меняется. Разработчики, устав ждать, пока у отдела эксплуатации дойдут руки установить обновление, начали писать ПО, автоматизирующее эксплуатационные задачи. А специалисты по эксплуатации, в свою очередь, начали делиться знаниями и опытом с программистами.

В результате некогда четкие границы между разработкой и эксплуатацией начали размываться. Это привело к ускорению жизненных циклов приложений, к сокращению сессий контроля качества и к резкому повышению количества развертываний. Появились такие новые процессы, как непрерывная интеграция и непрерывное развертывание. Многие крупномасштабные приложения, созданные по методам DevOps, вводятся в рабочую среду несколько раз в день, а не в год, как раньше.

И это не мимолетная «мода». Тенденция автоматизации постепенно развивается уже около десяти лет, и сегодня соответствующее ПО и процессы достигли высокого уровня зрелости, а потому игнорировать приход DevOps в корпоративные отделы ИТ невозможно.

Организации, где все еще не понимают важности DevOps и не готовы к соответствующим изменениям, окажутся в отстающих.

Как DevOps влияет на разработчиков

Корни DevOps – в таких инструментах, как Puppet, который появился в 2005 году, еще до самого термина DevOps. Его автор Люк Канис, программист на Ruby, решил покончить с необходимостью постоянно вручную менять конфигурационные файлы Linux. Он хотел добиться того, чтобы можно было готовить к работе и конфигурировать Unix-подобные системы автоматически с возможностью повторения соответствующих процессов. Эту задачу Канис решил, написав на Ruby скрипт, который он и назвал Puppet.

Позднее появились другие похожие инструменты: Chef, Ansible, SaltStack и пр., – и вокруг каждого из них сформировались свои сообщества. Разработчики и специалисты по эксплуатации делятся знаниями, добавляя их в виде «рецептов» (recipe) в «поваренные книги» (cookbook), помогающие конфигурировать ПО нужным образом независимо от используемого дистрибутива Linux.

Конфигурационный инструмент позволяет разработчику программировать выполнение своего приложения. При этом система сама включает все необходимые зависимости, обеспечивая с помощью соответствующих скриптов их настройку и запуск в различных диалектах Unix. То, что раньше требовало недель ручного конфигурирования силами высококвалифицированных специалистов, теперь выполняется за считанные часы при помощи скрипта.

Хотя разработчики теперь могут развертывать код быстрее и проще, чем раньше, появилась новая проблема. Покончив с зависимостью от специалистов по эксплуатации, программисты вынуждены сами нести ответственность за сопровождение работающих приложений.

В связи с этим появился еще один класс инструментов – платформы в виде сервиса (PaaS). Провайдерами первых систем такого рода стали компании Salesforce и Google, но от разработчиков требовалось написание кода, привязывающего к конкретной платформе. PaaS достигли популярности, лишь когда компания Heroku предложила сервис, который давал возможность выполнять код и на других платформах с минимальными изменениями.

Системы PaaS базируются на принципах автоматизации DevOps – соответствующие инструменты применяются для настройки и выполнения кода на большинстве таких платформ. Но отличие в том, что приложения, работающие на PaaS, полностью управляемы: пользуясь интерфейсами программирования, можно запускать приложение, останавливать, масштабировать и следить за его работой. В рамках классического подхода DevOps вы сами создаете инструментарий для управления своими приложениями, а в PaaS необходимые для этого инструменты уже есть.

Говоря о DevOps, нельзя не упомянуть Docker и контейнеры. Главный недостаток PaaS в том, что платформа жестко задает архитектуру приложения. Если разработчику нужно больше контроля над средой, добиться этого, сохранив скорость и гибкость, можно с помощью контейнеров. Настройка среды с помощью Chef или Puppet с нуля может занять несколько часов, и при этом вы можете не получить точной копии исходной среды. А воспользовавшись контейнером, программист может воспроизвести среду Linux или Windows меньше чем за секунду, и это будет абсолютно идентичная копия оригинала.

За годы своего развития инструменты DevOps начали приносить разработчикам колоссальные преимущества с точки зрения продуктивности. Дни, когда программисты не задумывались об эксплуатации и проблемах масштабирования, уходят, а искусство выполнения приложений целиком автоматизируется с помощью кода.

Как DevOps влияет на эксплуатацию

Хотя революцию DevOps начали разработчики, распространилась она все-таки благодаря сисадминам и специалистам по эксплуатации, ведь соответствующие инструменты помогают повысить эффективность и их работы тоже. Именно средства DevOps резко изменили ландшафт корпоративной службы ИТ, так как способствовали появлению современных высокоадаптивных отделов эксплуатации.

До DevOps именно сисадмины отвечали за работоспособность крупномасштабных приложений. Им приходилось настраивать СУБД и веб-серверы, конфигурировать балансировщики нагрузки, управлять безопасностью, системами кэширования и т. п.

Принципы DevOps обеспечили высокую степень стандартизации, предложив эффективные методы развертывания, конфигурирования и эксплуатации множества серверов с использованием лишь нескольких инструментов, требующих минимального участия человека.

Роль группы эксплуатации сегодня состоит в том, чтобы развернуть и сопровождать предоставляемый по требованию сервис приложений – PaaS либо кластер для контейнеров Linux или Windows. Разработчики же развертывают приложения в готовой среде, а за ее обслуживание и масштабирование отвечает отдел эксплуатации.

Платформы и средства DevOps создали буфер, благодаря которому команды разработки и эксплуатации могут действовать независимо друг от друга. До появления таких инструментов существовал последовательный конвейер выпуска приложения. Перед тем как новое приложение развертывали, нужно было делать массу запросов в отделы эксплуатации и закупок, а затем дожидаться конфигурирования серверов.

С появлением средств DevOps разработчики получили возможность, пусть и с определенными ограничениями, самостоятельно развертывать приложения по мере необходимости в любое время. Группам эксплуатации больше не нужно заботиться о развертывании каждого приложения. Они по-прежнему отвечают за закупки оборудования и администрирование серверов, но соответствующие задачи решаются в более крупных масштабах, чем на уровне отдельных приложений. На специалистах по эксплуатации теперь лежит обязанность управлять автоматизированной средой DevOps, к которой у разработчиков есть прямой доступ.

Этот технологический буфер позволил разорвать последовательный жизненный цикл приложения, дав разработчикам и специалистам по эксплуатации возможность более тесно взаимодействовать. Возможно, выглядит противоречием то, что разрыв зависимости позволил сблизить соответствующие команды, но ведь главное здесь – не допустить ситуацию, когда «у семи нянек дитя без глаза». Если позволить работать программистам в рамках четко заданной системы (писать код для готовой к его приему среды), а команде эксплуатации – за пределами «контейнера», то между «няньками» будет четкое разделение ответственности.

Сами инструменты DevOps, то есть то, что сближает группы разработки и эксплуатации, стали экосистемой взаимодействия, где разграничение обязанностей размывается. Специалисты по эксплуатации очень хорошо знают оптимальные методы администрирования и сопровождения сложных программных систем. А разработчики умеют «обучать» компьютеры применению этих знаний без участия человека.

Работодателям сегодня все чаще нужны программисты с опытом эксплуатации и сисадмины с навыками разработки. Но в целом наибольшее воздействие DevOps на команды эксплуатации состоит в том, что их обязанностью все чаще становится контроль за работой среды выполнения приложений, которая предоставляет автоматизированные средства развертывания разработчикам.

«Добродетельный» круг

Знаменитое высказывание Марка Андриссена, инженера, инвестора и предпринимателя, одного из сооснователей Netscape Communications, о том, что «программное обеспечение пожирает мир» справедливо для сборки и выполнения приложений так же, как для вызова такси или бронирования гостиничного номера. На протяжении десятилетий сопровождение приложений лежало на плечах элитной группы высококвалифицированных сисадминов, а сегодня этим могут заниматься любые сотрудники отдела ИТ.

Большая часть соответствующих знаний не документировалась и передавалась устно, подобно фольклору – «из поколения в поколение». У конфигурационных файлов были форматы со своими особенностями, иногда настолько сложными, что приходилось отдельно держать специальные конфигурационные файлы, которые компилировались в окончательный формат. Знания о том, как и почему нужно менять те или иные настройки, были уделом избранных.

Использование DevOps стало превращать все эти «эзотерические практики» в открытые стандарты, подробно документируемые вместе со всеми изменениями. Соответствующие знания теперь можно превратить в программную логику, на основе которой строятся платформы в виде сервиса и кластеры Linux-контейнеров и которую можно дублировать, чтобы делиться с другими.

По мере того как разработчики осваивают знания об эксплуатации, а сисадмины совершенствуются в программировании, их роли объединяются. Границы уже сегодня стираются, и появляются все новые инструменты взаимодействия между группами, сотрудничество которых некогда было минимальным.

Docker, лидирующая платформа управления контейнерами, стала типичным плодом этой эволюции. Сервис GitHub дает разработчикам открытую среду обмена кодом и упрощенного взаимодействия. Docker Hub обеспечивает такую же простоту взаимодействия для сисадминов, запуская очередную волну перерождения методов развертывания инфраструктуры и управления ею.

DevOps продолжит развиваться. Всегда будет место для новых инструментов, фреймворков, тенденций, но главной путеводной нитью останется программная автоматизация. И если прежде благодаря ей появились непрерывная интеграция и поставка ПО, то сегодня группы эксплуатации получают полностью программируемую инфраструктуру.

– Lucas Carlson. How devops changes both dev and ops. InfoWorld. October 4, 2017

Цифровая трансформация, инновации, прорывные технологии – все это начинается с талантливых специалистов в области ИТ. И вы абсолютно правы. если считаете, что урезать их преимущества и привилегии, которые играют не последнюю роль в привлечении элитных талантов, было бы неблагоразумно. Тем не менее компании продолжают ужесточать политику удаленной работы, побуждая тем самым талантливых ИТ-специалистов пересмотреть свои взгляды на то, хотят ли они там работать.

Четыре года назад генеральный директор Yahoo Марисса Майер в полной мере испытала на себе тяжелые последствия отказа от удаленной работы и вызванного этим физического перемещения всех сотрудников в офис компании. В марте текущего года Джинни Рометти из IBM совершила ту же ошибку, когда предъявила сотрудникам ультиматум: или возвращайтесь в офис или ищите новую работу.

Обе компании стараются сохранить конкурентоспособность в отрасли, где новые, более находчивые организации активно внедряют инновации и меняют сложившиеся устои. И Yahoo, и IBM предпринимают попытки «скорректировать курс своего корабля», делая ставку на инновации и взаимодействие, которое, по их мнению, возможно лишь при условии, что все работники физически находятся рядом. «Какие последствия эта стратегия имела для Yahoo, всем известно, – заметил генеральный директор и основатель платформы по найму сотрудников HighGround Вип Сандхир. – Осталось посмотреть, чем такой подход обернется для IBM, но я уже сейчас готов утверждать, что организации, накладывающие дополнительные ограничения на гибкую политику удаленной работы, поступают неправильно. Традиционный рабочий день с девяти до пяти в офисе уходит в прошлое. Гибкая рабочая среда – идет ли речь о свободном графике, периодической работе из дома или постоянной удаленной работе – становится одним из главных преимуществ для сотрудников в современную эпоху. Для компаний, которые ценят своих сотрудников, желают их удержать, стремятся повысить их вовлеченность и эффективность (а разве не этого все мы хотим?), полный отказ от удаленной работы – большая ошибка».

Сокращение пула талантов

Ликвидация удаленных рабочих мест может привести к физическому объединению рабочей силы, но кто из этих работников останется в компании, а кто будет разочарован, демотивирован и в конечном итоге покинет ее в поисках новых возможностей? «Как отмечал генеральный директор Upwork Стефан Касриэль (Upwork – платформа для встреч фрилансеров и работодателей; компания предлагает глобальную площадку по поиску работы и ряд программных продуктов для работодателей, которые хотят нанять удаленных специалистов), отменяя удаленную работу, вы существенно снижаете качество своей рабочей силы и уменьшаете потенциал привлечения, приема в свои ряды и удержания новых талантов, – подчеркнула директор по набору персонала компании Softchoice Эрика ван Ноорт. – Одно из главных преимуществ поддержки удаленной работы заключается в расширении пула талантов и выводе его за рамки физической достижимости офиса. Особенно актуально это для нишевых и специализированных технических ролей. Вы можете принимать на удаленную работу людей, практически не обращая внимания на их фактическое географическое положение. Недавний опрос североамериканской компании Softchoice, в котором принимали участие тысяча офисных работников с полной занятостью, показал, что 74% из них готовы перейти в другую организацию, если там им будет позволено чаще работать удаленно, даже при сохранении прежней зарплаты. В условиях общенационального кадрового дефицита многие организации прилагают немало усилий для привлечения опытных технических специалистов. И если предъявляемые ими требования допускают возможность удаленной работы, круг квалифицированных профессионалов заметно расширяется. В общем случае прием удаленных работников особенно полезен для компаний, находящихся в малонаселенных районах, где выбор талантов весьма ограничен».

С учетом того, что число организаций, разрешающих работу из дома, растет, для соискателей вакантных должностей это становится одним из ключевых условий выбора.

«За гибкой работой не просто будущее – она уже здесь, – указал Касриэль. – Возврат людей в офисы сродни вручению им бумажных карточек учета и требованию отмечаться при каждом приходе на работу и уходе с нее».

Подтверждением тому являются и результаты опроса Softchoice. «Важно отметить, что по мере вступления в трудоспособный возраст молодых и технически грамотных людей ожидания удаленной работы будут лишь нарастать, – заметила ван Ноорт. – Другой важный момент нашего исследования связан со сравнением отношения к удаленной работе у миллениалов и поколения бэби-бумеров (родившихся в первое десятилетие после второй мировой войны)».

По сравнению с бэби-бумерами, миллениалы гораздо лучше приспособлены к работе на дому, чем в офисе. Кроме того, 88% миллениалов уверены в том, что работодатель должен предоставить им все необходимые технологии для удаленной работы. И сейчас, когда миллениалы составляют уже большую часть глобальной рабочей силы, очень важно, чтобы компании оправдывали эти ожидания. В противном случае им будет трудно обеспечить себе устойчивый рост.

Удаленная работа расширяет возможности организации в части привлечения и удержания талантов. Продуманное отношение к удаленной работе позволяет компаниям получать доступ к глобальным кадровым резервам. Они могут объединять самых разных людей с различной культурой, перспективами и философией. Каждый новый работник привносит в корпоративную культуру что-то свое. Не вписывается в нее, а вносит дополнения и даже бросает вызов. Результатом становится богатая и разнообразная палитра людей, связанных общей целью, но отличающихся друг от друга во всем остальном.

Повышение производительности и привлечение инноваций

«Предоставление сотрудникам выбора, где и когда работать, оказывает позитивное влияние на их долгосрочную вовлеченность, особенно когда речь идет о работающих родителях или сотрудниках, которым приходится проделывать долгий путь до офиса, – заметила ван Ноорт. – Преимущества удаленной работы могут оценить не только те, кто трудится таким образом постоянно, но и сотрудники, которые обычно находятся в офисе, но получают в свое распоряжение технологии, позволяющие им время от времени работать удаленно. Подавляющее большинство участников опроса (85%) считают важной поддержку в их организации технологий удаленной работы из дома, пусть даже и не на условиях полной занятости».

Ошибка Yahoo и IBM заключалась в том, что они приравнивали инновации и взаимодействие к работе в общей среде, противопоставляя их производительности. Но это ложная корреляция. Взаимоисключающих факторов здесь нет. Повышение производительности труда часто называют главным преимуществом удаленной работы. Возможно, именно поэтому в Yahoo и IBM запретили обеспечивающую высокую производительность удаленную работу и отдали предпочтение инновациям. И Yahoo, и IBM решили вернуть свои команды в офис в период кризиса. Их бизнес столкнулся с серьезными проблемами, причем в Yahoo эти проблемы угрожали самому существованию компании. В обеих компаниях подумали, что объединение сотрудников в офисе будет способствовать развитию инноваций. Но этот шаг оказался неправильным. Инновации и удаленную работу не стоит противопоставлять друг другу. Некоторым людям лучшие идеи приходят в голову в общем рабочем пространстве, а другим – в парке. На следующий день они могли бы встретиться с коллегами, чтобы вместе обсудить важные моменты. Почему нужно выбирать: или одно, или другое? Это совершенно лишено смысла. В мире существуют самые разные компании, а внутри у них имеются отдельные группы, которые вправе самостоятельно организовывать свою профессиональную деятельность.

«Организации, предоставляющие своим сотрудникам возможность самим решать, где и когда работать (естественно, в разумных пределах), получают рост вовлеченности и производительности труда, а следовательно, и расширение инноваций, – считает Сандхир. – Когда вы предоставляете сотрудникам возможность самостоятельно принимать решения и доверяете им, их мотивация стремительно растет. А если растет мотивация, то увеличивается и производительность труда. И значит, организация получает более высокий конечный результат. В выигрыше оказываются все».

Как рассказал Касриэль, по иронии судьбы в документе, подготовленном IBM Smarter Workplace Institute в 2014 году, утверждалось, что удаленные работники чувствуют себя счастливее, меньше подвержены стрессам, демонстрируют более высокую производительность труда и вовлеченность и убеждены в том, что гибкие условия труда делают их компании более инновационными.

Так что, если вы ищете способы повысить производительность труда, инновационность, вовлеченность и конечные результаты, нужно не урезать возможности удаленной работы и гибкости, а, напротив, расширять их.

– Sharon Florentine. Remote work: A productive perk not worth taking away. CIO. October 4, 2017

Тема надежности паролей гарантированно вызовет зевоту у слушателей, заставив их «отключиться» и игнорировать вас, но реальность такова, что пароли по-прежнему имеют значение. Электронная почта, социальные СМИ, интернет-банки и игры, образовательные приложения и облачные сервисы – для любых систем, хранящих пользовательские данные, требуются пароли, чтобы защитить их от посторонних. И если не заботиться о надежности паролей, злоумышленники продолжат взламывать аккаунты и грабить банковские счета.

Основы известны всем: не используйте слова вроде password и не применяйте один и тот же пароль с разными аккаунтами. Включите двухфакторную аутентификацию по мере возможности; одноразовые пароли, присылаемые в SMS, – это в любом случае лучше, чем ничего. Пользуйтесь диспетчерами паролей, чтобы держать их в одном месте. Но хотя все эти рекомендации, безусловно, разумны, по-настоящему действенны они лишь в определенном контексте. Перечислим ряд популярных мифов о паролях и развеем их.

Миф № 1. Для надежности достаточно варьировать регистр букв и добавлять числа и специальные символы

Правда: уровень безопасности, обеспечиваемый сложными паролями, ограничен. Да, letmein – неудачный пароль, но Password1, Abc123 и Passw0rd – ничем не лучше, несмотря на смешанный регистр и цифры. Пользоваться паролями на основе простого слова в любом случае неудачная идея: взломщики паролей умеют перебирать разные варианты написания слов и словосочетаний, вроде vuln3rabl3 и trustno1. Можно упомянуть хотя бы тот факт, что последний из этих вариантов попал в список 25 самых распространенных паролей SplashData в 2014 году.

Справедливости ради отметим, что смешанный регистр, числа и спецсимволы значительно усиливают пароль по сравнению с написанным целиком в нижнем регистре. По приблизительной оценке, современному компьютеру нужно около двух суток на то, чтобы взломать пароль из восьми символов в нижнем регистре (поскольку возможных сочетаний 26^8 – 208 827 064 576), тогда как обширному ботнету на это достаточно всего 1,8 сек. Смешанный регистр замедляет перебор, а один-два спецсимвола сильно увеличивают количество сочетаний.

Но, если используемая в качестве пароля строка не представляет собой действительно случайную последовательность символов, не помогут ни смешанный регистр, ни числа со спецсимволами: в список 25 самых распространенных паролей SplashData за 2015 и 2016 годы попали соответственно 1qaz2wsx и 1q2w3e4r. То есть налицо попытка следовать правилам, но, если при этом нажимать клавиши, расположенные рядом, или использовать другие простые последовательности, эффективность метода сводится на нет. Взломщики паролей знают о том, как расположены клавиши на клавиатуре, и обязательно попробуют соответствующие варианты.

Миф № 2. Хороший пароль должен быть очень длинным

Правда: более длинные пароли, конечно, надежнее, но от 8 до 12 символов – вполне достаточно. Короткие пароли, действительно, взламываются «лобовым» методом – перебором – гораздо быстрее. Злоумышленнику намного проще угадать пароль из 6 символов, чем пароль из 10 или даже 8 символов. На современном компьютере 8-символьный пароль с буквами разного регистра и числами взламывается за 5,88 года, а на мощном ботнете – за 31 минуту. А вот если увеличить длину пароля всего на 2 символа, то такому ботнету уже понадобится 83 дня. А 10-символьный пароль с буквами, числами и специальными символами, что-нибудь вроде вроде %ZBGbv]8g?, компьютер будет взламывать 289 217 лет, а ботнет – 3 года.

Можно даже не добавлять символы и цифры: на взлом пароля длиной 40 знаков смешанного регистра уйдет больше 1000 лет. Так что же, выходит, все-таки лучше во что бы то ни стало делать пароль как можно длиннее?

Не спешите, нужно еще принять во внимание модель угрозы. Если больше всего беспокоит, что кто-то взломает базу и украдет хеши, то максимально длинные и сложные пароли – определенно лучший способ защиты (используемый метод хеширования тоже имеет значение, но сейчас речь не об этом). Но в компаниях обычно больше всего боятся вероятности многократного использования паролей и атак фишинга, а в этом отношении длина пароля не особенно важна. Если злоумышленник уже получил сам пароль с помощью фишинга, то неважно, сколько в нем символов – 8, 20 или 50. Копирование, вставка – и в вашем аккаунте чужак. А если от пользователей требуют вводить 20-символьные пароли, но при этом диспетчеры паролей не применяются, то пароли будут использовать многократно – это несомненно.

Важно также, что именно защищается. Если риск невелик – например, речь идет о компьютере в районной библиотеке, то 8-символьного пароля вполне достаточно. А если о сервисе, в котором хранится полная история ваших финансовых операций, то более длинный пароль – необходимость. Безопасность – это компромиссы: самые ценные аккаунты нужно защищать паролями, надежными, как Форт-Нокс. Не пользуйтесь одними и теми же паролями, не поддавайтесь на фишинг, и для многих аккаунтов 8-символьных паролей будет достаточно. Именно поэтому в последней версии рекомендаций Национального института стандартов и технологий указано, что 8 символов достаточно.

Есть еще и побочная проблема: пароли могут быть настолько длинными, что проще пользоваться функцией восстановления и сбрасывать пароль путем ответа на «секретный вопрос». А взломщику будет гораздо проще выяснить кличку вашего домашнего животного или название города, где вы выросли, чем угадать ваш пароль.

Миф № 3. Никогда не следует записывать пароли

Правда: все зависит от того, как вы это делаете. Кроме использования Password1 в качестве пароля, самый страшный «грех» – записывать свои пароли на бумажке. На самом деле это не всегда так уж ужасно. Главное, не наклеивать на монитор стикер с пометкой «мой новый пароль от онлайн-банка». Если вы записали новый длинный сложный пароль и неделю носите его в бумажнике, пока хорошенько не запомните, – это нормально, поясняют в компании Sophos. Более того, там даже советуют записывать самые важные пароли и хранить в сейфовой ячейке, чтобы в случае чего близкие смогли получить к ним доступ.

Миф № 4. Обязательная периодическая смена паролей повышает безопасность

Правда: таким образом только повышается вероятность того, что пользователи будут выбирать слабые пароли. Требование регулярной смены паролей было одним из главных элементов корпоративных политик безопасности буквально до недавнего времени. В некоторых организациях даже указывают минимальный «возраст» паролей, а чтобы пользователи не переходили сразу к предыдущему паролю, ведут историю паролей для предотвращения повторного использования и назначают минимально допустимое число символов нового пароля, чтобы он «достаточно отличался» от прежнего. Обязательная смена паролей имеет смысл, если существует опасность утечки паролей. Когда у организации есть подтверждение того, что пароли скомпрометированы, то принуждать к их смене, конечно же, нужно. Но менять пароли только потому, что прошло определенное число дней? Большого смысла в этом нет.

Согласно новым рекомендациям NIST, политики составления паролей нужно делать менее сложными, поскольку иначе пользователям труднее выполнять свои рабочие обязанности и повышаются расходы на обеспечение выполнения правил. Хотя смена паролей, казалось бы, хорошая идея, на самом деле пользователям так труднее запоминать очередной, и они начинают применять одни и те же пароли или легко угадываемые закономерности – например, Password1, Password12 и т. д.

– Fahmida Y. Rashid. Want stronger passwords? Understand these 4 common password security myths. CSO. October 3, 2017

Бизнес-аналитика (Business Intelligence, BI) важна для роста и приобретения конкурентных преимуществ, но, чтобы пользоваться возможностями BI, недостаточно только внедрить соответствующие технологии.

В сущности, такое внедрение – самая простая часть любой инициативы BI, уверен Борис Эвельсон, главный аналитик Forrester Research. Гораздо более сложными являются этапы, связанные с подготовкой персонала и процессов.

Эти этапы необходимо рассматривать в качестве ключевых аспектов успешной стратегии ВI. Кроме того, нужна дополнительная детализация, чтобы решить задачи, связанные с распределением ответственности и непрерывным совершенствованием.

Эксперты перечисляют семь основных элементов успешной стратегии в области BI.

1. Сделайте бизнес владельцем BI

Организации, где «собственником» BI является бизнес, чаще добиваются успеха, чем те, где BI находится в ведении отдела ИТ. В первом случае функции BI «встроены» в работу конкретных бизнес-отделов или специалисты по эксплуатации BI-системы отчитываются перед директором по цифровым технологиям либо директором по работе с клиентами. И как подчеркивают в Forrester, заведовать BI, безусловно, должен бизнес.

В прошлом из-за сложности BI-технологий за соответствующие проекты во многих случаях отвечал отдел ИТ, однако современные инструменты в большей степени ориентированы на пользователя, поэтому их можно сразу предоставлять бизнесу, чтобы сотрудники сами могли выполнять нужные им запросы.

Более того, требования, связанные с оперативным доступом к данным и знаниям, предоставляемым BI, в последние годы резко возросли. Современным бизнес-пользователям нужно получать ценную с практической точки зрения информацию в режиме реального времени.

Таким образом, если владельцем BI является служба ИТ, это может быть сдерживающим фактором, а не залогом успеха.

2. Следите за использованием BI и вносите корректировки по необходимости

Хотя владельцем проектов BI должен быть бизнес, отдел ИТ должен выступать в роли партнера, обеспечивая мониторинг и оценку использования систем BI. При этом нужно избегать создания препятствий бизнесу, следить за активностью пользователей: регистрировать источники данных, к которым они обращаются, инструменты, с которыми они работают, отмечать характер деятельности, сопоставлять уровни использования различными отделами и т. п.

Взаимодействуя с бизнес-подразделениями, ИТ-директор может устанавливать и отслеживать пороговые показатели. Например, он будет знать, когда определенное число маркетинговых аналитиков скачали подготовленный в ИТ-службе инструмент и начали активно им пользоваться. Кроме того, можно будет отследить момент, когда выросла активность бизнес-пользователей BI-системы, что свидетельствует о ее превращении в критически важное приложение, которому требуется дополнительное внимание со стороны отдела ИТ.

3. Проверяйте и еще раз проверяйте

В некоторых организациях может возникнуть соблазн как можно быстрее внедрить сразу множество функций BI, однако надо помнить: качество важнее количества. Лучше иметь ограниченное число инструментов, которым вы доверяете, чем много систем, предоставляющих данные сомнительного качества.

Поэтому при проверке систем нужно особое внимание обратить на способность предоставлять доступ к данным, необходимым для получения ответов на запросы. Кроме того, нужно предотвращать попадание в BI-систему проблемных данных, могущих ухудшить качество анализа. При этом процесс верификации должен быть достаточно скорым, чтобы обеспечить возможность оперативно реагировать на требования о внедрении новых функций BI.

Пример – BI-система, генерирующая отчеты о чистой выручке. Если этот инструмент получает данные о продажах, но не учитывает те проданные товары, которые затем были возвращены, то информация на выходе будет неточной.

Верификация важна не только для того, чтобы обеспечить точность данных, но и чтобы было что возразить скептикам. Ведь достаточно одного-двух человек, заявивших, что не доверяют данным, чтобы отчету перестали верить другие. В итоге отчеты окажутся ненужными, и весь проект может пропасть впустую.

4. Фокусируйтесь сначала на бизнес-задачах, затем – на данных

Не следует, осуществляя инициативы BI, применять подход «постройте, и они придут». Слишком часто в организациях создают репозитории данных и создают BI-систему в качестве надстройки, рассчитывая, что это устроит бизнес-пользователей.

Более оптимальным будет подход «сверху вниз», ориентированный на бизнес-результаты: начинать надо не с данных, а с решения бизнес-задачи.

Пример: в отделе маркетинга обратили внимание на текучку клиентов и хотят разобраться в ее причинах. Следует сосредоточиться на том, как получить ответ на вопрос отдела маркетинга. Для этого надо вначале определиться, какие показатели нужно измерять, обеспечить доступ к данным, которые требуются для сбора этих показателей, а затем предоставить отделу маркетинга возможность обрабатывать информацию.

Необходимо четко обозначить бизнес-проблему и показатели, нуждающиеся в анализе, и только потом разбираться, где именно получить нужные данные.

5. Назначайте приоритеты и реализуйте процессы совершенствования

Успешная стратегия BI должна включать планы развития и улучшения. Необходимо определиться, какие именно бизнес-знания требуются организации и какие из них наиболее важны, чтобы отдел ИТ предоставлял в первую очередь самое ценное для бизнес-пользователя, а затем решал другие задачи в порядке приоритетности.

Кроме того, нужно, чтобы программа BI могла адаптироваться по мере изменения приоритетов. Она должна эволюционировать вместе с потребностями участников бизнес-сообщества. Наряду с этим в стратегии BI должны быть предусмотрены процессы развития и совершенствования самой системы. Рекомендуется итеративный подход, чтобы инструментарий BI можно было расширять, не прерывая его использования бизнесом, при этом необходимо определять, в чем система выполняет его потребности, а в чем – нет.

6. Расширяйте навыки «гражданских» исследователей данных

В отчете «Магический квадрант платформ BI и аналитики» за 2017 год, подготовленном компанией Gartner, прогнозируется, что в предстоящие несколько лет численность «гражданских» исследователей данных будет расти впятеро быстрее, чем количество обычных. Под гражданскими исследователями данных в Gartner понимают сотрудников, чья основная специальность не аналитика.

Синди Хаусон, вице-президент по исследованиям Gartner, отмечает, что топ-менеджеры сетуют на нехватку специалистов, испытывая сложности с наймом гражданских ученых по данным и выявлением уже имеющихся в штате.

Речь идет о специалистах-универсалах, поясняет Хаусон: они разбираются в бизнесе и понимают, какие вопросы следует задавать системе. Чтобы легче было предоставлять им необходимые инструменты, требуется более простое в использовании программное обеспечение.

Эксперты уверены, что со временем, благодаря развитию ПО, бизнес-пользователи смогут сами задавать вопросы и получать на них ответы, пользуясь срезами данных, не представленными заранее в виде моделей. Гражданских ученых по данным отличают стремление к расширению кругозора, способность задавать верные вопросы, интерпретировать получаемую в ответ информацию и навыки использования необходимого ПО для повышения бизнес-результатов.

7. Обучайте персонал «рассказывать истории» с помощью данных

Вооружившись знаниями, предоставленными средствами BI, можно рассказывать истории, которые помогают другим понять, что пытаются «сообщить» данные. Для создания таких историй, помогающих извлечь максимум пользы из аналитики, обычно используются встроенные в средства BI функции отчетности и визуализации.

Помимо данных и инструментальных средств, составление историй требует особых умений. Нужна не только способность готовить эффектные отчеты, но и навыки находить не всегда очевидные связи реальной жизни с данными, умение формулировать выводы, которые бизнес сможет использовать для увеличения дохода.

Руководителям необходимо поддерживать и поощрять сотрудников, обладающих такими навыками.

Пример: при анализе данных по продажам в магазине можно обратить внимание на то, как малозаметные изменения погоды влияют на выручку. Для анализа пользователь может задействовать данные о погоде из внешнего источника; это поможет сделать выводы о том, как оптимизировать продажи.

Есть масса всевозможных внутренних и внешних данных, которые можно использовать для получения более точных знаний. В рамках успешных программ BI аналитики могут делать гораздо больше, чем просто измерять стандартные ключевые показатели эффективности. Более того, каждый показатель эффективности необходимо подвергать сомнению, удостоверяясь в том, что вы используете доступную вам информацию в полном объеме.

– Mary K. Pratt. 7 keys to a successful business intelligence strategy. CIO Magazine. Sep. 26, 2017

25 мая 2018 года регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) вступает в силу в полном объеме, он касается любой компании в мире, занимающейся обработкой и хранением персональных данных лиц, проживающих в ЕС. Новый акт предоставляет людям больше прав касательно управления их персональными данными (Personally Identifiable Information, PII), осуществляемого компаниями. Также он предусматривает крупные штрафы за его неисполнение и нарушение конфиденциальности данных – до 4% годового дохода компании. Кроме того, компании должны в течение 72 часов предоставлять отчеты об утечках данных. (См. подробную информацию о данном регулирующем акте в «Требованиях, нормативных сроках и фактах “Общих положений о защите данных (GDPR)"».) 

Даже если вы не ведете бизнес с ЕС, вероятнее всего, новый закон окажет влияние на стандарты обеспечения глобальной безопасности в перспективе. Поэтому компании, работающие в ЕС или с данными, на которые распространяется действие GDPR, пытаются быстро и заблаговременно обеспечить соответствие этому документу. Службам безопасности необходимо будет убедиться в том, что данные, идентифицирующие личность, надлежащим образом защищены и соответствующие процедуры отчетности имеются.

По словам Брайана Вечи, технического евангелиста компании Varonis, которая специализируется на разработке систем по контролю и управлению правами доступа к распределенным файловым ресурсам, большинство компаний совсем не готовы к работе в новых условиях. Есть американские компании, которые подпадают под действие этого нового документа о конфиденциальности лишь потому, что кто-то из ЕС подписался на их информационную рассылку. И если в вашей организации имеются персональные данные гражданина одной из 28 стран – членов Сообщества, то этот акт касается и вас.

GDPR не определяет каких-либо конкретных средств управления защитой данных, которые должна использовать организация. Компания может сама определять необходимые средства обеспечения безопасности собранных данных, конфиденциальности и управления рисками.

GDPR не определяет каких-либо конкретных средств управления защитой данных, которые должна использовать организация. Компания может сама определять необходимые средства обеспечения безопасности собранных данных, конфиденциальности и управления рисками.

Оливье ван Хуф, менеджер по предварительным продажам в Европе бельгийской компании Collibra, разрабатывающей ПО, считает, что GDPR начинается с управления данными: «Вы должны установить платформу управления данными прежде, чем вы действительно сможете начать защищать данные. Это значительно больше, чем просто техническая защита данных. Большинство организаций начинают с рассмотрения своих бизнес-процессов, затем переходят к рассмотрению логических процессов, используемых при сборе данных, и затем – к самим физическим данным. GDPR – это также понимание того, что данные действительно принадлежат личности. Вы же в действительности лишь размещаете у себя эти данные».

Что GDPR подразумевает под персональными данными?

Определение персональных данных в GDPR значительно шире, чем ранее существовавшие. Оно включает в себя любую информацию, касающуюся конкретного человека, будь то личные, публичные или профессиональные данные. Это не только имена, адреса и финансовая информации, но и все то, что может идентифицировать личность (например, IP-адреса, идентификация пользователей при регистрации для входа в систему, данные биометрической идентификации, данные о географическом местоположении, видеоматериалы, статистика лояльности клиента, посты и фото в социальных сетях).

Обеспечение соответствия GDPR означает, что вы не только должны обеспечивать защиту большего числа видов данных в будущем, но и затрачивать больше усилий на идентификацию существующих данных.

Страны, затрагиваемые GDPR, должны будут идентифицировать в силу своих возможностей информацию, которая не отслеживалась или не индексировалась ранее. Например, записанный звонок в службу поддержки клиентов, возможно, необходимо будет локализовать, защитить, отследить и внести в отчет.

Каковы новые права пользователей в сфере персональных данных?

Документально оформленное добровольное согласие лица на использование информации должно даваться каждым человеком (или его официальным представителем). Согласие должно однозначно определять собираемые данные, цель их использования и длительность их хранения. Пользователи могут отозвать свое согласие в любое время и отправить запрос на удаление их персональных данных (при условии, что они укажут обоснованную причину).

В соответствии с GDPR физические лица могут также контролировать, что происходит с их персональными данными. Они могут рассчитывать на исправление фактических ошибок, видеть, какая информация о них хранится, и даже экспортировать ее для своего персонального просмотра и использования. Эти важные права являются новыми для большинства организаций.

Большинству компаний сначала просто нужно понять, какие положения GDPR у них уже выполняются. Им необходимо выяснить, где хранятся эти данные и подпадают ли они под действие GDPR. Затем им необходимо обеспечить их защиту по принципу минимальных привилегий и отслеживание их изменений. Компания Varonis так и делала с самого начала. Она специализируется не только на поиске данных, но и на определении, кто к чему имеет доступ и нужен ли им доступ к этим данным. Прежние нормативные документы, касающиеся защиты данных, требовали обеспечивать защиту данных от доступа извне. Теперь их необходимо лучше защищать изнутри, поскольку статья 25 GDPR гласит, что данные должны быть защищены по принципу минимальных привилегий намеренно и по умолчанию. И вы не можете сделать это, не понимая, где они находятся и кто может получить к ним доступ.

Каким образом GDPR влияет на структуру служб безопасности?

GDPR дает определение многочисленных функций участников процесса, прописывает правила и обязанности каждого из них. Субъект данных – это лицо, чьи персональные данные собираются. Управляющий данными – это организация, собирающая данные. Обработчик – это организация, обрабатывающая данные по поручению управляющего данными. Управляющие и обработчики обязаны вести письменный учет того, какие данные были собраны, каким образом они были собраны, как они были использованы, когда они были удалены.

Службам безопасности предстоит не только защищать данные от традиционных угроз, но и делать это так, чтобы процесс был прозрачным, документально оформленным и пригодным для возможного использования в отношении большого количества субъектов данных, и все это при строгом обеспечении безопасности данных. Каждому члену службы компьютерной безопасности необходимо разъяснить методы обеспечения соответствия требованиям GDPR.

Многие предприятия-участники, частные и государственные, должны иметь ответственного за защиту данных (data protection officer, DPO). Руководитель по защите данных должен обладать техническими знаниями или иметь персонал для защиты данных и обеспечения преемственности бизнеса. В ЕС считают, что позиция DPO настолько важна, что разработали отдельный, подробный 18-страничный документ о данной позиции.

Может показаться, что позиция по защите данных больше всего подходит руководителю информационной безопасности, однако руководитель по защите данных должен четко понимать требования к конфиденциальности и обеспечению соответствия, что обычно лучше понимают директора по вопросам конфиденциальности (chief privacy officer, CPO) или другие защитники конфиденциальности, однако они могут не понимать технической стороны вещей. В малом бизнесе все может закончиться назначением «наиболее подходящего» работника в качестве управляющего данными или даже выбором внешнего руководителя по защите информации. В любом случае GDPR требует, чтобы такой руководитель был независимым аудитором соответствия требованиям и был доступен для субъектов данных, для организации, следующей предписаниям данного акта, и для инспекторов GDPR.

Ван Хуф отмечает, что большинство европейских компаний уже наняли директоров по защите данных.

Отчеты о защите и обработке данных должны храниться и предоставляться для текущих и регулярных проверок не только аудиторам, но и субъектам данных. Каким образом организация обеспечит доступ к отчетам для индивидуальной частной проверки и в то же время защитит их от несанкционированного просмотра? Потребуется ли для каждого отдельного субъекта новая система сопровождения управления идентичностью и контроля доступа с учетом того, что потенциально возможных субъектов данных миллионы? Может ли организация соответствовать требованиям GDPR, просто распечатывая личные отчеты и рассылая пользователям бумажные копии? Это важные моменты, которые должны проработать директора по защите данных, руководящий состав и служба безопасности.

Национальные органы управления защитой данных

Каждая страна – член Сообщества имеет национальный орган управления защитой данных (data protection authority, DPA). DPA несут ответственность за установление соответствия и проведение в жизнь соответствующих законов на национальном уровне, но обязаны быть независимыми даже от контроля со стороны собственного национального правительства.

Страны – члены Сообщества могут иметь один или более органов управления. Каждая организация может выбрать один DPA, который контролирует соответствие GDPR для организации в целом. Единый надзорный орган имеет возможность контролировать обработку и защиту данных, обеспечиваемые в других странах-членах. Критики справедливо отмечают, что компании, работающие в нескольких странах – членах Сообщества, могут выбрать для работы наиболее гибкий DPA подобно тому, что они уже сегодня делают для снижения налогов и организационной независимости.

DPA созданы в рамках предыдущего закона ЕС о защите данных, но были значительно усилены в регулирующем акте. DPA фактически являются официальными государственными регулирующими и надзорными органами в структуре GDPR. Орган управления защитой данных помогает принимать решения в правовых вопросах и может расследовать деятельность компаний в случае нарушений и приостанавливать работу управляющих данными и обработчиков, несущих юридическую ответственность за нарушения GDPR, и определять штрафные санкции. Кроме того, он решает, может ли организация передавать данные за пределы ЕС, и если да, то какие механизмы защиты следует применить. В конкретной организации основным лицом, поддерживающим связь с DPA, вероятно, будет руководитель по защите данных.

Если субъект данных понимает, что произошло нарушение, он может связаться либо с DPO, либо с DPA, который был выбран данной компанией и контакты которого были переданы субъекту. На практике это может быть очень неудобно, поскольку DPO или DPA компании, управляющей данными или обрабатывающей их, может не находиться в той же стране.

Об утечках данных следует сообщать незамедлительно

Об утечках персональных данных следует сообщать немедленно или по крайней мере в течение 72 часов в единый надзорный орган – DPA. Лица, которых это коснулось, должны быть оповещены, если ожидаются негативные последствия. Однако если эти данные соответствующим образом зашифрованы или обезличены и эта критичная защита не была взломана, то людей оповещать не следует.

Службы безопасности, вероятно, будут испытывать больше давления, поскольку должны убедиться в том, что все персональные данные надлежащим образом зашифрованы или обезличены. Ранее шифрование в основном было направлено на защиту портативных устройств. Обеспечение соответствия GDPR, скорее всего, приведет к большому спросу на еще большее шифрование данных во всей компании.

Также службы безопасности будут подвергаться повышенному давлению из-за необходимости быстрее, чем раньше, определить, явилась ли утечка данных событием, требующим отчетности. 72 часа – слишком малое время для многих организаций, особенно если пытаться понять, может ли какой-либо факт предотвратить необходимость сообщать об утечке затронутым субъектам данных или в прессу.

Как подготовиться

Любой сотрудник компаний, подпадающих под действие GDPR, занятый сбором, хранением, обработкой данных, уже должен знать основы регулирующего акта. Необходимо сформировать группы людей, которые будут заниматься подготовкой к введению GDPR в действие и обеспечением его выполнения. Наиболее важные сотрудники должны пройти обучение по GDPR с проверкой их знаний. При необходимости назначьте или наймите сотрудника, ответственного за обеспечение соответствия данных требованиям GDPR.

Оцените готовность вашей компании выполнить требования GDPR (например, персонал, инструменты и процессы), отметив области, требующие наибольшего внимания. Простое определение имеющихся данных, уже соответствующих требованиям GDPR, будет серьезной первоначальной задачей. Большинство компаний столкнутся с необходимостью создать новые системы для отслеживания изменений данных в соответствии с нормами GDPR или изменить существующие системы.

Заранее определите, что вашей компании придется делать в случае утечки персональных данных. С кем вы будете связываться? Какую информацию вы должны передать? Кто определяет, следует ли уведомить субъектов данных?

GDPR – это новый стандарт по защите конфиденциальности персональных данных. Он призван дать субъектам данных больше возможностей по контролю данных и обеспечить прозрачность операций и защиту. Это отличная вещь для защиты конфиденциальности, но масса работы для тех, кто должен выполнять требования этого акта.

***

Многие компании видят в GDPR лишь еще одну обузу, дополнительные расходы. Но, может быть, следует его рассматривать как возможность? Часто бывает, что компании собирают данные в течение длительного времени и даже не уверены, нужны ли они им. А GDPR заставит их пересмотреть причину сбора этих данных, срок их хранения, способ их обработки. Это шанс оптимизировать не только данные, но и работу, связанную с этими данными.

− Roger A. Grimes. How to protect personally identifiable information under GDPR. CSO. August 14, 2017

О дефиците специалистов по данным (data scientist) известно всем, и именно этот фактор зачастую встает на пути компаний, пытающихся заняться темой Больших Данных. Кто все эти люди, где и как их искать? Как их можно развивать и мотивировать? Этим вопросам было посвящено выступление Алексея Натекина, основателя компании Data Mining Labs, на конференции «Технологии Больших Данных», организованной издательством «Открытые системы».

Наука или искусство?

По мнению Натекина, термин Data Science лучше не переводить и по своей сути он является зонтичным. Если объединить различные определения, встречающиеся в разных источниках, то большинство из них говорят о недавно возникшей области знаний, которая служит «зонтиком» для многих сопряженных инженерных, технических и математических наук. В Data Science входят такие области, как машинное обучение, статистика, Большие Данные с точки зрения инженерных технологий. Помимо этого, можно включить визуализацию данных и теорию оптимизации. Бывают и красивые определения, относящие Data Science к искусству преобразования данных в решения.

«Когда человек называет себя data scientist, то бывает трудно понять, какой частью этого широкого круга задач он занимается. Узнать, на чем именно он специализируется, получится только при личном общении», – говорит Натекин.

Тем не менее, согласно общепринятому мнению, data scientist – это специалист, работающий на пересечении компьютерных наук и программирования, математики и статистики, а также имеющий знания в предметной области и умеющий применить свои знания в той сфере, где работает. Шуточное определение, говорящее о том, что это человек, который знает статистику лучше программиста и программирует лучше, чем статистик, на самом деле очень близко к истине.

Однако по спискам вакансий очень сложно понять, кто же именно нужен компаниям. Вакансии исследователей данных перемешаны с вакансиями аналитиков, инженеров, экспертов по машинному обучению и запросами по еще нескольким категориям специалистов. В различных социальных группах идет множество обсуждений, касающихся специалистов по данным, – «правильных» и не очень.

В одной из групп собрали статистическую сводку о своих участниках, в результате удалось выделить четыре типовые роли. Первая – исследователь, по большей части занимающийся статистикой, немного разбирающийся в программировании и не очень – в бизнес-вопросах. Вторая категория – разработчики, много программирующие, не очень хорошо знающие статистику и больше занимающиеся проблемами, связанными с данными. Третья роль – «креативщики», свободные художники, способные заниматься всем. Они получают задачу и сами ищут пути ее решения. Наконец, существует и предпринимательский образ специалиста, где больше бизнеса и меньше всего остального.

Если же говорить о квалификации специалистов, то их градация совпадает с традиционной шкалой «junior – middle – senior», принятой среди программистов, однако этапы развития несколько другие. Разница между их уровнями заключается не столько в знаниях и опыте, сколько в уровнях ответственности и способности самостоятельно решать задачи в том виде, в каком они поступают от бизнеса, – старшему или ведущему специалисту можно отдать задачу целиком на откуп. В этом случае взаимодействие будет идти в следующем формате: руководитель направления обращается к специалисту, жалуется на проблему (например, в компании снижается средний чек) и интересуется, что можно с этим сделать. Ведущий data scientist через неделю возвращается к нему с решением и предлагает варианты действий.

Специалист среднего уровня – тот, кто к такому взаимодействию с бизнесом пока только стремится. За ним периодически надо присматривать, но он все же может брать некоторые задачи в бизнес-формате и решать их. Специалисты низшего уровня готового бизнес-решения точно не дадут. Скорее всего, результатом их работы будет готовая к работе модель, способная предсказывать, но еще не имеющая бизнес-ценности. Весь анализ, каким бы хитроумным он ни был, в конечном счете требуется привязать к какому-то решению – сократить производственные линии, закупить дополнительный трафик для увеличения продаж и т. п.

Сотрудники двигаются по карьерной лестнице не потому, что они получили ученую степень и теперь их ценность резко возросла. Их рост обеспечивается общим количеством реализованных проектов и накопленным опытом, и крайне желательно, чтобы этот опыт был тесно связан с бизнесом, с пониманием того, как проводимый анализ помогает работе компании.

Личные связи решают всё

Проблема, как и во многих других областях, заключается в том, что высококлассных специалистов мало. Как особенность можно выделить то, что с ними очень легко проводить собеседование – речь пойдет о портфолио и реализованных проектах. «Навешать лапши на уши» обеим сторонам при этом сложно.

Младших специалистов и тех, кто хочет ими стать, напротив, очень много, в том числе людей, прослушавших пару курсов и требующих зарплату почти как в Кремниевой долине. И как раз сложнее всего нанимать именно таких сотрудников. Ведь в перспективе мы хотим, чтобы они росли, становились все более самостоятельными и лучше разбирались в области.

Алексей Натекин, основатель компании Data Mining Labs: «Самое важное в интервьюировании тех, кто называет себя data scientist, – как можно больше говорить с ними об их практическом опыте и реализованных проектах»

«Можно нанять 10 человек с красными дипломами Физтеха, однако невозможно угадать, кто из них окажется достаточно одаренным, чтобы самостоятельно “затащить” какой-либо проект. Это сложные психологические нюансы, которые приходится выявлять в процессе общения с человеком», – отмечает Натекин.

Специалистов средней руки также достаточно много, их можно найти за разумное количество встреч с кандидатами, отсеивая переоценивающих себя начинающих. А вот высококлассных экспертов обычным поиском не найти.

«Если разместить такую вакансию на каком-либо рекрутинговом сайте, откликнется много неадекватных личностей, ни одного из которых вы не захотите пригласить к себе в офис для беседы», – полагает Натекин. Нужных специалистов приходится искать либо с помощью профессиональных хедхантеров, либо через личные связи и сообщества. Остальных вполне можно найти в открытых источниках и даже через академические связи и мероприятия. Впрочем, это касается многих категорий специалистов.

Самый эффективный вариант поиска специалистов высшего уровня – спросить рекомендацию у их коллег. Особенно им нравится, когда они могут напрямую пообщаться с людьми из команды потенциального работодателя. Это помогает и заранее познакомиться, и оценить свои перспективы. Таким образом, личные связи – самый быстрый и эффективный способ найма нужных людей.

«Самое важное в интервьюировании тех, кто называет себя data scientist, – как можно больше говорить об их практическом опыте и реализованных проектах, интересуясь причинами выбора тех или иных подходов и альтернативными вариантами решения задачи», – рекомендует Натекин. Есть большое количество «коварных» вопросов для собеседований, верные ответы на которые можно просто выучить. Интересующую компании теорию тоже можно зазубрить в процессе хождения по компаниям. А вот портфолио сфабриковать крайне сложно, если проекты есть – они видны. Причем в качестве своего багажа проделанной работы можно показывать не только коммерческие проекты, которые вы делали для компании. Вполне подойдут работы с хакатонов и конкурсов, и даже домашние проекты. Все это – явный признак наличия за плечами определенного опыта.

С правом на ошибку

Область data science очень динамична, и совершенно неудивительно, что среднее «время жизни» специалиста в компании невелико. Кроме того, создаваемые аналитические подразделения часто «не взлетают», и люди, не видя радужных перспектив, находят себе новое место работы еще до завершения испытательного срока.

Что может пойти не так и что можно сделать, чтобы специалисты задерживались в компании дольше?

Первое, что надо знать при открытии практики data science, – как можно лучше представлять себе, для чего она открывается. Как правило, речь идет о внутренней поддержке каких-либо аналитических процессов или продуктов. Основные проблемы связаны именно с непониманием своих потребностей: часто в компании есть масса данных, которые хочется хоть как-то использовать.

Первое, что надо знать при открытии практики data science, – как можно лучше представлять себе, для чего она открывается

«Само подразделение не начнет зарабатывать деньги и не станет конвейером ценных знаний. Нужно понимать, кого и зачем вы нанимаете», – говорит Натекин. Кроме того, не стоит смешивать вакансии – для каждой из них необходим свой набор навыков. Специалист по машинному обучению должен строить модели, а не заниматься конвейером данных.

Как нетрудно догадаться, далеко не все проекты оказываются успешными, поэтому неплохо, если частью культуры станет право на ошибку. Вероятность ошибиться есть всегда, и бояться этого не надо. Главное – уметь объяснить, где и почему была сделана ошибка. Это тоже ценный результат, он поможет сэкономить время в будущем.

Наконец, необходимо концентрироваться на быстрых, прототипных решениях. Надо быть готовым к тому, что большинство результатов будут отрицательными. Требуется как можно быстрее выделять те, которые оказались удачными, поэтому не стоит увлекаться длительными масштабными работами.

«Если вы хотите, чтобы кандидаты не врали на собеседованиях, не врите в вакансиях. Например, очистка данных является рутинной, но необходимой процедурой любого проекта. Об этом следует честно сказать в вакансии, не ограничиваясь лишь привлекательными творческими обязанностями», – уверен Натекин.

При выборе инструментов надо ориентироваться на открытые платформы. Они чрезвычайно популярны в среде разработчиков, и не стоит верить заказным исследованиям Gartner, называющим в числе лидеров известные коммерческие продукты. Выбор специалистов не случаен: разработка на свободных продуктах удобна и не менее качественна, чем на проприетарных решениях. И ни в коем случае не надо объяснять специалисту, как ему следует работать, особенно если сам далек от этой области.

Аналитики McKinsey еще в 2012 году предсказали громадный дефицит специалистов по данным, который только в США к 2018 году должен был составить от 140 до 190 тыс. человек. Этот прогноз часто цитировался, но никто не обратил внимания на следующий абзац того же отчета, говорящий о том, что будет не хватать 1,5 млн менеджеров, способных задавать аналитикам правильные вопросы.

Регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) вступит в силу 25 мая 2018 года и кардинально изменит способы сбора и использования персональных данных, поэтому европейские (и не только) компании должны полностью пересмотреть свои механизмы обработки клиентской информации. Подчеркнем, что эти требования распространяются и на многие российские компании, которые могут даже и не подозревать об этом; например, отечественный интернет-магазин может оказаться «оператором» клиентских данных посетившего его гражданина ЕС, а потому должен надлежащим образом обрабатывать, хранить и защищать их. Мы попросили специалистов отечественных ИТ-компаний пояснить, кого может реально коснуться закон в России.

Кому следует задуматься?

Андрей Янкин, заместитель директора центра информационной безопасности компании «Инфосистемы Джет», считает, что для большинства российских компаний данная тема не актуальна, но есть организации, которым все же пришлось озаботиться данным вопросом. В первую очередь это «дочки» западных организаций, а также компании, имеющие филиалы в Евросоюзе или предоставляющие сервисные услуги европейским потребителям. Последняя категория не подпадает напрямую под GDPR, но их клиентам необходимо выполнять требования регулятора, и они требуют того же от поставщиков услуг.

«Нормы GDPR конкретно коснутся тех, кто так или иначе работает со странами Европы. Это финансовые компании, технологические, медиа- и телеком-компании, фармацевтические, транспортные, интернет-магазины», – отмечает Тимур Аитов, заместитель генерального директора группы компаний «Программный Продукт» и заместитель председателя подкомитета по платежам и информационной безопасности ТПП РФ. К примеру, система «Платон», в которой зарегистрировано около 2 млн личных кабинетов, сразу подпадает под действие GDPR. В сфере внимания окажутся и те, кто намерен предоставлять свои товары и услуги в странах Европейской экономической зоны: использует для их описания европейские языки, ведет заметный (агрессивный) маркетинг в ЕЭЗ, осуществляет мониторинг поведения европейцев, анализируя его с целью подготовки прогнозов, выявления предпочтений и т. п.

По мнению Антона Боженко, архитектора управления пресейла и прототипирования центра компетенций Больших Данных компании «Техносерв», закон коснется еще и тех компаний, которые ведут регистрацию пользователей веб-ресурсов, используют адресный или интернет-маркетинг, обрабатывают большие объемы персональных данных. Например, это могут быть не только транспортные и финансовые компании, но и туроператоры или социальные сети.

Анастасия Казакова, специалист по связям с государственными органами «Лаборатории Касперского», рекомендует обратить внимание на два ключевых момента, которые подскажут, попадает ли компания под действие закона: сфера применения GDPR и определение «персональных данных» и их «обработки». Сфера применения охватывает практически все случаи, когда деятельность компании распространяется не только на территорию ЕС, но и на ее граждан.

Говоря о втором пункте, стоит отметить, что GDPR существенно расширяет определение персональных данных – теперь это любая информация, которая может прямо или косвенно идентифицировать пользователя (имя, фамилия, адрес и т. д.). Более того, закон выделяет особую категорию персональных данных – sensitive personal data, куда входят биометрические данные, указание расовой, религиозной и этнической принадлежности, философские взгляды, членство в профсоюзных и иных некоммерческих ассоциациях, данные о здоровье и сексуальной ориентации. Для обработки таких данных GDPR вводит еще более строгие правила.

«Можно выделить три типа организаций, которых коснется GDPR», – говорит Руслан Вагизов, исполнительный директор ICL Services. В первую очередь это организации, у которых есть представительства в ЕС, а также компании, которые реализуют свои товары гражданам ЕС. К третьей группе относятся организации, использующие при реализации товаров валюту и язык одной из стран ЕС, адаптирующие под них свои продукты, проводящие маркетинговые акции для европейских потребителей, отслеживающие их потребительские предпочтения. По этим критериям под действие GDPR могут, например, попасть нефтегазовые, фармацевтические, медицинские и ИТ-компании.

Какие действия точно надо предпринимать, а от чего можно воздержаться?

«Стоит отметить, что и сами европейские компании пока слабо понимают, что именно необходимо делать для соответствия законодательству. Из-за этого множество проектов в области безопасности поставлено на паузу», – подчеркивает Янкин. Нет полного понимания того, как гармонизировать эти активности с новыми требованиями GDPR. Пока можно однозначно говорить о том, что необходимо выстраивать риск-ориентированный подход к ИБ, строить систему менеджмента ИБ. В целом в этом нет ничего нового, но для многих компаний GDPR – это стимул для выхода на новый уровень зрелости по данным направлениям.

Боженко согласен с тем, что требования закона предполагают наличие организованного процесса использования данных – он должен включать сбор, обработку, хранение, защиту и уничтожение. Стоит обратить внимание на полноту процесса, степень его соответствия закону, уровень реализации и контроля за его исполнением. При этом важной его частью является возможность удаления персональных данных («право на забвение»). Причем удаление персональных данных из системы должно осуществляться без потери ее работоспособности.

Что касается защиты информации, то явное указание на методологию в законе отсутствует. Российские компании защищают персональные данные в соответствии с Федеральным законом № 152-ФЗ «О персональных данных» и используют методологию защиты информации, построенную на базе международного стандарта ISO/IEC 27001. В связи с этим возможно использование существующих мер по защите персональных данных и для данных граждан Евросоюза. Однако при оценке защищенности данных граждан ЕС стоит учесть, что трактовка понятия «персональные данные» в GDPR несколько шире, чем в российском законодательстве, они могут включать информацию, которая неявно указывает на физическое лицо – например, к ним могут относиться онлайн-идентификаторы или сookies.

«Можно самостоятельно пройти короткий тест или вообще на время «забыть» о проблеме GDPR. Однако при таком подходе возникают риски – возможная потеря репутации, огромные штрафы и пр.», – считает Аитов. Штрафы за нарушение требований GDPR могут достигать 20 млн евро или 4% годовой выручки компании. Помимо этого, каждая страна Евросоюза может установить дополнительные санкции. Самый очевидный шаг – при малейших сомнениях обратиться к консультантам, хотя ряд положений GDPR до сих пор не вполне однозначно трактуется самими экспертами.

«Для законной обработки данных существует несколько оснований, – говорит Казакова. – Одним из них является получение недвусмысленного и ясно выраженного согласия от пользователя. При запросе такого согласия оператор должен простым и понятным языком изложить цель обработки данных, а также указать на право пользователя отозвать это согласие впоследствии и потребовать от оператора удаления данных». Кроме того, операторы должны сделать процессы обработки персональных данных прозрачными: GDPR обязывает компании предоставлять сведения об обработке и передаче данных третьим лицам по запросу пользователей или правомочных органов. Более того, данные должны быть представлены в структурированном формате для простой перезаписи.

Как указывает Вагизов, очень многое зависит от того, как в организации сейчас построены процессы обработки персональных данных. Однако в качестве отправной точки можно порекомендовать руководство «Подготовка к GDPR за 12 шагов» («Preparing for the GDPR: 12 steps to take now»), разработанное британским регулятором в области защиты данных.

Некоторые из этих рекомендаций будут актуальны только для британских компаний, но в любом случае они помогут сформировать общую картину и понять, на что обратить внимание.

Какие ИТ-решения могут быть полезными?

«Отдельные провайдеры облачных сервисов уже предлагают решения, которые соответствуют требованиям нового законодательства, ведь во многом GDPR «заточен» именно на облака и соцсети», – говорит Аитов. При собственной же разработке ИТ-решений действовать придется по принципу «семь раз отмерь» и советоваться с юристами. Причем это относится к разработке всех политик, процедур и всех информационных систем организации.

По словам Янкина, с точки зрения технических средств защиты информации необходимо прежде всего учитывать те риски, которые выявляет для себя компания. Однако уже сейчас можно говорить о том, что GDPR вызовет рост на рынке шифрования и обезличивания данных, так как такие технологии защищают компанию от необходимости разглашать информацию о компрометации систем, тем самым снижая репутационные риски.

«Текст закона не предполагает обязательного внедрения каких-либо решений и инновационных продуктов», – подчеркивает Боженко. Его требования направлены на развитие процессов управления данными в организациях и усиление взаимодействия между подразделениями ИТ и ИБ. Для повышения уровня автоматизации при приведении ИТ-процессов в соответствие требованиям GDPR следует обратить внимание на решения класса Data Governance. Наличие полной и актуальной информации о данных, местах их размещения, методах обработки и правах доступа поможет в практической реализации требований закона.

Казакова, напротив, полагает, что инновацией GDPR является то, что закон заставляет операторов не только перестроить организационные процессы, но и существенно пересмотреть техническую сторону работы компании. Для этого GDPR вводит принципы Privacy by Design и Privacy by Default. Иными словами, ИТ-процесс должен стать таким, чтобы конфиденциальность персональных данных была обеспечена по определению и по умолчанию. Например, GDPR говорит о проведении псевдонимизации и шифровании персональных данных, внедрении механизмов для обеспечения конфиденциальности, целостности, доступности и устойчивости систем обработки данных, об обеспечении способности систем своевременно восстанавливать доступ к персональным данным в случае инцидента, при проведении регулярного тестирования.

Какой подход следует избрать?

«Пока не сформировалась четкая практика приведения процессов обработки данных в компаниях в соответствие требованиям GDPR, я бы рекомендовал заняться требованиями по сбору согласий на обработку, выстраиванию каналов взаимодействия с субъектами персональных данных, – говорит Янкин. – Эти направления деятельности вполне понятны всем, кто занимался, например, вопросами соответствия российским требованиям по защите персональных данных. К тому же стоит пересмотреть свою систему менеджмента ИБ и управления рисками».

Как полагает Боженко, в первую очередь необходимо выявить виды обрабатываемой информации (из защищаемых законом), цели и последовательность процессов их обработки, а также существующие методы их защиты. После этого надо разработать комплексный план мероприятий по реализации требований закона. Комплекс мероприятий должен затрагивать зоны ответственности ИТ-подразделений и подразделений информационной безопасности. Именно по этой причине так важно с самого начала проекта обеспечить участие в нем руководителей уровня CIO и CISO.

«Для начала ИТ-директору полезно написать красочную «страшилку» и отправить руководству», – рекомендует Аитов. Адаптация к нормам GDPR – это огромная и длительная работа, которая ляжет на службы ИТ, ИБ, корпоративных юристов.

Европейцы от контроля за нормами GDPR отступать не намерены, и огромные штрафы появились неслучайно. Обстановка в мире непростая: поводы со стороны GDPR могут быть использованы в том числе для «наказания» крупных отечественных представителей бизнеса – конкуренцию никто не отменял. Однако неприятности могут возникнуть у компании любого размера.

GDPR как свод законов – это заметный вызов для самих стран европейской экономической зоны именно потому, что нормы закона получили прямое действие в отношении всех стран.