Статьи

В большинстве отраслей не заметно роста эффективности от использования накапливаемых сведений. Зачастую причина в том, что компании имеют неверное представление о ценности различных источников данных. Действительно, не все данные одинаково полезны. Компании по-прежнему склонны оценивать то, что клиент сам сообщает о себе, а не ориентироваться на его поведение. Поэтому системы, использующие источники данных нового типа для повышения эффективности бизнеса, все еще редки.

«Уже несколько лет мы экспериментируем с различного рода источниками данных и давно убедились в том, что не всегда «больше данных» означает «больше денег»», – подчеркнул Максим Савченко, руководитель разработки моделей в Центре компетенций исследований и разработки моделей компании «Сбербанк-Технологии», в своем выступлении на конференции «Технологии Больших Данных», организованной издательством «Открытые системы». Ключевым моментом является то, что если говорить о конечных потребителях технологий, то их целью не является игра с данными или моделями – им нужен финансовый эффект. Между тем сам сбор данных и их хранение не приносят компании денег – как раз наоборот. Создание моделей тоже обходится недешево, но модель представляет собой лишь отчет, а отчеты сами по себе денег компании тоже не приносят. О какой-либо выгоде можно говорить только после внедрения моделей в операционный контур.

В любом случае людей, которые имеют опыт построения моделей, гораздо больше, чем тех, кто имеет опыт их внедрения. Кроме того, можно столкнуться с тем, что внедрить модель не позволяет текущая инфраструктура, либо с тем, что внедрение обходится очень недешево.

«Прежде чем начать решать ту или иную задачу, надо ответить себе на два важных вопроса: какая бизнес-польза будет получена и разрешит ли регулятор использовать полученное решение?» – рекомендует Савченко. Компаниям, разрабатывающим такие системы, например, в целях скоринга, приходится иметь дело с массой ограничений, причем в России ситуация еще не самая тяжелая. Если, начиная проект, об этом не подумать, ресурсы будут выброшены на ветер, даже если проект формально окажется успешным.

Отделить зерна от плевел

Источников данных много, но все они делятся на две категории. К первой относится огромное количество общедоступных данных, которые по сути абсолютно бесполезны для решения большинства бизнес-задач. Очевидно, что, например, попытки на основе сообщений на форуме оценить кредитный риск или эффективность человека как руководителя ни к чему хорошему не приведут. В этом случае при построении моделей придется столкнуться с их низкой эффективностью.

Вторую категорию внешних источников составляют полезные данные. Их меньше, и они более структурированы. Однако у этих внешних данных есть как минимум несколько недостатков. Во-первых, ими кто-то владеет, и за обращение к ним придется платить. Но гораздо печальнее то, что многие данные, интересные с точки зрения принятия решений, представляют собой тайну: тайну связи, коммерческую или банковскую тайну. С такими данными надо очень аккуратно работать, необходимы подходы, которые принципиально отличаются от работы с классическими источниками. Нужны схемы, позволяющие получить необходимую информацию, не нарушая законов и не ущемляя ничьих прав.

«Любопытно, что большая часть детальной информации, интерес к которой может вызывать неприятие клиентов, бизнесу и не нужна. Мы не копаем слишком глубоко, не лезем в те подробности, до которых нам нет дела», – подчеркивает Савченко. Типичным примером стал проект скоринга корпоративных клиентов, реализованный Сбербанком. В результате удалось найти определенный баланс между тем, что нужно, и тем, что можно по закону, причем так, чтобы не создавать проблем клиентам.

Требовалось найти источник данных, который был бы, во-первых, дешевым, а во-вторых, исключал перечисленные ограничения. Более того, он должен был быть не заявочным, а поведенческим, отражающим реальное состояние клиента. Таким источником оказались транзакционные данные компаний.

Актуальность и объективность

Максим Савченко, руководитель разработки моделей в Центре компетенций исследований и разработки моделей компании «Сбербанк-Технологии»: «Большая часть детальной информации, интерес к которой может вызывать неприятие клиентов, бизнесу и не нужна. Поэтому мы не копаем слишком глубоко, не лезем в те подробности, до которых нам нет дела»

Поведенческие модели, оценивающие реальное состояние клиента, а не то, что он о себе заявляет и что сотрудники компании о нем думают, существуют уже давно. Главной из них является поведенческий скоринг на основе данных кредитных систем. По сути, все модели Basel II, оценивающие экономический капитал, также строятся на основе того, как клиент платит по своим долгам, и это довольно точно характеризует связанные с ним риски.

Однако при пользовании данными кредитных систем возникает несколько проблем. Одна из них – отсутствие там интересующей организации.

«При попытке оценить клиента, впервые пришедшего за кредитом, но при этом годами пользовавшегося другими финансовыми услугами, возникает интересная ситуация: мы его знаем, но ничего сказать не можем», – говорит Савченко. Более того, по наиболее интересным клиентам информации может оказаться меньше всего. Как известно, обеспеченные люди нечасто прибегают к кредитным услугам.

Вторая проблема – устаревание данных. Ситуация на момент нового обращения может измениться. И именно транзакционные данные являются источником, постоянно сохраняющим актуальность.

Место для алгоритма

По мнению Савченко, важно не только то, какие задачи решаются и какие при этом методы используются. «Если мы хотим механически заменить человека каким-либо алгоритмом, ничего не получится: сильного искусственного интеллекта пока нет, и, несмотря на все заявления, в его появление в ближайшее время верится слабо. Однако от процессов, где человек пока незаменим и где его использование оправданно, вполне можно уйти к тем процессам, где машина уже чувствует себя прекрасно», – подчеркивает он.

Машины доверчивы, как дети, их легко обмануть, предоставив неверную информацию, и на основе этого будут сделаны неверные оценки. Человек же в этом случае вполне может почувствовать неладное, основываясь на своем опыте.

Но ситуация радикально изменяется, если построить модель на основе объективных данных, не требующих ни предоставления каких-либо сведений о себе, ни экспертных суждений.

«Раньше при оценке бизнеса мы смотрели на оценки, полученные экспертами, и предоставленную компаниями отчетность. Это долго и недостоверно. Однако, если посмотреть на поведение бизнеса (изменение числа контрагентов, дебиторскую задолженность, поток платежей и т. п.), можно провести его детальную диагностику», – отмечает Савченко. Таким образом, происходит не замена оценивающего бизнес эксперта на робота, а встраивание алгоритма совсем в другом месте – там, где данных много, где их невозможно подделать, а сами данные точно характеризуют происходящее.

После того как новые методики оценки были внедрены в конце прошлого года для кредитования малого бизнеса, удалось за полгода нарастить портфель кредитов на 10% без ухудшения его качества. С учетом масштабов Сбербанка и непростой экономики, это очень неплохой результат.

Выяснилось, что банк вполне может отказаться от традиционной оценки клиентов. Слово «традиционный» в данном контексте вовсе не несет негативной оценки. Но если банк действительно может обойтись без ставших ненужными справок, этой возможностью нужно пользоваться. В нынешней ситуации это имеет большое значение, ведь самое ценное в любом бизнесе – клиенты, и если совершать действия, неприятные им, ничем хорошим это не закончится.

Производственным, торговым, логистическим и другим компаниям с широкой сетью филиалов, отделений и представительств особенно сложно организовать и поддерживать эффективный документооборот, тем более если он осуществляется в полном соответствии с буквой закона. Это архаичный и высокозатратный процесс. Множество документов приходится распечатывать, копировать, пересылать из локальных подразделений в центральный офис и обратно. И частичный переход на электронный обмен документами нередко лишь осложняет весь процесс делопроизводства. Опыт компании «Юлмарт» показывает, что полный перевод отдельных бизнес-процессов кадровой службы (HR) на безбумажную основу возможен и довольно быстро приносит отдачу, но этот перевод обусловлен трансформацией самих бизнес-процессов.

На пути к трансформации

В компании «Юлмарт» более 6 тыс. сотрудников, а общее число объектов дистрибьюторской сети в 240 городах присутствия превышает четыре сотни. Такая широкая география накладывала отпечаток на работу HR-департамента и с кадровой документацией, и с самими кадрами. Получалось дорого, сложно и несовременно. Поэтому в компании решили создать инновационную систему, которая позволила бы сформировать по сути новый для России тип кадрового делопроизводства и полностью перейти от бумажных носителей к цифровым. Для воплощения этой идеи в «Юлмарте» были разработаны и внедрены оригинальные HR-бизнес-процессы, запущена технология усиленной квалифицированной электронной подписи в кадровом документообороте, а коммуникации с сотрудниками по вопросам их трудовой деятельности переведены в онлайн. Эта инновационная разработка позволяет практически полностью исключить обмен бумажными документами в кадровой службе крупной распределенной компании.

До цифровизации кадровый документооборот в «Юлмарте» осуществлялся по всем правилам трудового законодательства. С этой точки зрения компания была и остается полностью «белой». Однако это означает, что лишь при приеме нового работника кадровый специалист обязан подписать до 20 (в зависимости от должности) бумажных документов со своим будущим коллегой. Кроме того, уже принятые сотрудники ежемесячно подписывают в отделах кадров до семи различных документов: реестр выдачи расчетных листов, графики работы, табели и др. Ежегодно на одного сотрудника приходится от 70 до 90 документов, с которыми он должен быть ознакомлен под роспись. На ежемесячное обслуживание этого бумажного круговорота в «Юлмарте» тратилось порядка 4 млн руб. Деньги уходили на печать и пересылку документов, зарплату кадровых работников. Руководителям производственных подразделений приходилось регулярно встречаться с сотрудниками, объяснять им суть изложенного в распечатанном документе, брать у них подпись и обеспечивать дальнейшую пересылку оформленного документа в управляющую компанию.

Теперь все это в прошлом. В результате цифровой трансформации в «Юлмарте» создали личные кабинеты для всех сотрудников компании с возможностью в любой момент посмотреть адресованные им кадровые документы и подписать их посредством усиленной квалифицированной электронной подписи (УКЭП).

Этапы проекта

Трансформация документооборота в компании выполнялась по классической проектной технологии и включала в себя предварительное исследование, проектирование и внедрение (частично оно велось параллельно с проектированием).

На первой стадии самой кадровой службой «Юлмарта» были дополнительно изучены собственные бизнес-процессы HR (оформление сотрудников, расчет и начисление заработной платы, формирование графиков и табелей работы, планирование отпусков и др.), внимательно проанализировано регламентирующее их законодательство РФ. Все это было необходимо для понимания возможностей будущей трансформации – требовалось понять, какие документы можно перевести в цифру полностью, а какие нельзя из-за нормативных ограничений (например, трудовые книжки по закону все еще должны оформляться и храниться в традиционном бумажном виде).

Также необходимо было выбрать сертифицированный удостоверяющий центр для выписки электронных подписей. Это был принципиальный момент. Компанию должна была устраивать стоимость электронной подписи на одного сотрудника, и вместе с тем центр должен был быть готов работать с компанией над этим проектом. В итоге выбор пал на аккредитованный Минкомсвязью удостоверяющий центр «КриптоПро» и его решение на базе сертифицированного сервера безопасного хранения электронной подписи «КриптоПро HSM».

На этом же этапе были выбраны другие технологические решения для реализации проекта. Всю профессиональную часть системы документооборота было предложено реализовать на платформе «1С: Зарплата и управление персоналом», а клиентскую часть – на базе «1С:Битрикс». Также планировалось с помощью системы «1С Рарус CEO Board» осуществить роботизацию некоторых бизнес-процессов кадровой службы.

Затем началось проектирование ключевых элементов системы и изменение текущих HR-бизнес-процессов под работу с электронной подписью. Исполнителем проекта выступил филиал компании «1С-Рарус» в Санкт-Петербурге.

Как пояснил директора филиала Сергей Кожин, в ходе проекта пришлось перепрограммировать системы «1С». В частности, были созданы инструменты для обмена данными с системой «Битрикс», добавлены новые бизнес-процессы создания электронной подписи и информирования сотрудника отдела кадров о том, что сотрудник подписывает документы в электронном виде.

При проектировании пользовательского интерфейса особое внимание обращалось на удобство применения системы. Интерфейс должен был соответствовать актуальным тенденциям в части графического оформления и обеспечивать совместимость с любыми пользовательскими устройствами, чтобы сотрудники смогли подписывать документы из любой точки мира, где есть подключение к Интернету.

Также на начальном этапе был составлен график внедрения электронного документооборота с расчетом на подключение новых регионов присутствия «Юлмарта» и запуск нового функционала в эксплуатацию. Для информирования сотрудников о проекте были созданы специальная презентация, памятки и плакаты, описывающие новые правила работы с документами.

Электронная схема

В самом общем виде схема цифрового документооборота HR в «Юлмарте» выглядит так: сотрудник подписывает письменное согласие (или отказ) на переход к кадровому документообороту в электронной форме; затем специалист по кадрам, нажав всего одну кнопку, запрашивает для него в удостоверяющем центре электронную подпись; центр возвращает в систему «1С» информацию о создании подписи, которая привязывается к сотруднику, и ему сразу приходит SMS-сообщение, оповещающее о присвоении подписи.

При этом сотруднику выдается бумажный сертификат на электронную подпись. С этого момента ему практически не нужны другие бумажные документы: все делопроизводство осуществляется в электронном виде, и все цифровые документы подписываются сотрудниками «Юлмарта» в клиентской программе «1С-Битрикс», а затем хранятся в базе данных системы «1С:Зарплата и управление персоналом».

У каждого сотрудника компании имеется свой личный кабинет, где, помимо фотографии и персональных данных, сквозным способом хранится вся его кадровая история. И если сотрудник повторно устраивается в компанию, сведения о нем и его предыдущей деятельности уже имеются в личном кабинете. Сохраняется все: где, когда и кем он работал, с каким руководителем, какую получал зарплату, какие имел поощрения и взыскания. Также в личном кабинете сотрудникам доступны расчетные листы, абсолютно все внутренние регламенты компании, графики отпусков и др.

Еще в личном кабинете имеется функция аналитики. Она нужна главным образом руководителям подразделений, их пользовательский интерфейс несколько отличается от интерфейса для рядовых сотрудников. Менеджерам доступны отчеты в удобной для восприятия форме по различным показателям и критериям: сколько документов сформировано, все ли они подписаны электронной подписью, кто конкретно что-то не подписал. Интерфейс перенастраивается по вкусу пользователей: они могут менять формы аналитических отчетов и режим отображения статусов документов.

На начальном этапе внедрения информирование сотрудников относительно обновления документов или появления новых документов шло посредством SMS. Но сейчас в «Юлмарте» удешевили информирование: вначале передача сообщения происходит через бесплатный мессенджер Viber, а затем, если оно все же не доходит до адресата в течение заданного времени, дублируется по каналам SMS.

Если сотрудник открыл предназначенный ему документ в личном кабинете, система фиксирует изменение его статуса, и сказать впоследствии (допустим, при инспекционной проверке), что он не видел этого документа, сотрудник уже не сможет. Также случается, что сотрудники по тем или иным причинам не подписывают какие-то документы, выпускаемые кадровой службой, а сами после этого идут жаловаться в инспекцию на нарушение. В системе, построенной в «Юлмарте», такое теперь невозможно, потому что кадровым работникам в режиме онлайн доступна информация о тех, кто подписал направленный документ, и тех, кто этого не сделал. Эта информация немедленно становится доступной руководителю службы HR, и он имеет возможность напомнить сотруднику о необходимости ознакомиться и подписать документ, направить ему официальную просьбу объяснить причины отказа от подписи.

Несколько типов электронной подписи оставляют сотруднику законное право опротестовать документ или уточнить его содержание. Работник может просто подписать документ, а может, подтвердив, что видел, например, расчетный лист, сообщить, что не согласен с начислением и просит перепроверить расчет. Информация о таком событии немедленно поступает ответственному лицу, и этот сотрудник обязан отреагировать в определенные, жестко установленные сроки, он должен ответить работнику персонально на почту.

Процесс оформления отпусков в «Юлмарте» теперь частично роботизирован. По шести основным элементам процесса (включая выбор времени отпуска и его согласование с руководителем) система сама осуществляет все необходимые процедуры, информируя сотрудников о происходящем без участия специалистов по кадрам.

Плоды цифровизации

Не все сотрудники «Юлмарта» согласились перейти «в цифру»: порядка 1% пожелали оставить себе традиционную форму. В компании уважают их выбор и продолжают кадровый процесс с ними на бумаге. Но расходы на обслуживание отказников все же удалось радикально уменьшить.

Для большинства же сотрудников компании цифровизация кадрового делопроизводства сделала работу с документацией максимально оперативной и прозрачной. Сотрудники получают свои кадровые документы и узнают об изменениях в два-три раза быстрее, чем прежде. И 80% сотрудников знакомятся с документами и подписывают их в первый день формирования. Перевод документооборота в цифру обеспечил также эффективную защиту работника от различных злоупотреблений, включая подделку документов, и гарантировал авторство подписи.

Преимущества от проекта ощутили также руководители различных подразделений «Юлмарта» и проверяющие органы. От сотрудников стало поступать в управление персонала в два раза меньше вопросов, касающихся документов, доступных в личных кабинетах.

В прошлом году была пройдена первая проверка: проверяющим органам предоставлены отчеты об электронном подписании документов и доказана легитимность подписи. Запрашиваемые трудовой инспекцией реестры обычно настолько объемны, что для их формирования и подготовки печатных версий сотрудникам HR приходилось буквально работать ночами. Но благодаря переходу на цифру все стало гораздо проще: инспекторам был предоставлен ключ для входа в систему кадрового делопроизводства, чтобы они могли убедиться в соблюдении всех требований закона, не распечатывая реестров. Это, конечно, нестандартная практика проведения проверки, поэтому руководство «Юлмарта» активно взаимодействует с Министерством труда и соцзащиты, обсуждая инициативу по цифровой трансформации бизнес-процессов HR.

Наконец, отказ от бумажного документооборота облегчил финансовую нагрузку на бизнес «Юлмарта». Ежемесячный объем печати в компании сократился на 23 тыс. документов, совокупные затраты на обслуживание кадрового документооборота уменьшились на 1 млн руб., годовая экономия, как ожидается, составит 12 млн руб.

Дизайн-мышление (Design Thinking) становится одним из основных компонентов успеха цифровой трансформации. Но что конкретно стоит за дизайн-мышлением и как ведущие ИТ-директора используют свою власть для продвижения бизнес-ценностей?

«Дизайн-мышление – это подход к созданию продуктов, ставящий во главу угла то, что требуется людям, – указала Шелли Эвенсон, управляющий директор консультационной компании Fjord, входящей в Accenture Interactive. – По сути, дизайн-мышление предусматривает обобщение человеческого опыта, в том числе сбор с помощью технических средств информации о потребителях при разработке новых продуктов и сервисов».

Эта инновационная философия, популяризированная в последние годы поставщиками программного обеспечения, набирает обороты в традиционном бизнесе, который ищет способы оцифровки своих продуктов и услуг. ИТ-директора, провозглашающие дизайн-мышление, известное также как ориентированное на человека проектирование, начинают играть ключевую роль в выработке корпоративной ИТ-стратегии.

«Дизайн-мышление – великая вещь», – заявил ИТ-директор брокерской компании TD Ameritrade Виджай Санкаран. Для банков дизайн-мышление становится критически важным инструментом при создании роботов-консультантов, чатботов и прочих клиентских технологий, призванных стимулировать рост доходов. Дизайн-мышление помогло в TD Ameritrade визуализировать клиентское восприятие приложений, создаваемых с учетом стремления банков придерживаться гибкой разработки прикладных программ.

Революция дизайн-мышления в ИТ

Традиционно ИТ-подразделения совместно с бизнес-партнерами вырабатывали спецификации, а затем многие месяцы выстраивали технологические решения в отрыве от бизнеса, не выходя из своих кабинетов. Конечно, ИТ-решения, предлагаемые ИТ-службами, должны были работать, однако удобство использования зачастую стояло здесь на втором плане. Но с наступлением «эпохи потребления» сотрудники компаний и конечные потребители, движимые желанием использовать свои любимые устройства и приложения, стали оказывать на ИТ-службы дополнительное давление и заставили их прислушиваться к мнению пользователей.

«Ожидания людей растут, и раньше мало кто думал о необходимости проведения исследований, направленных на изучение потребностей людей, их желаний и пользы для них, – заметила Эвенсон, работавшая, перед тем как присоединиться к Fjord, на дизайнерских позициях в Facebook и Microsoft.

По словам Эвенсон, дизайн-мышление представляет собой культурный сдвиг в головах людей – «текучесть ожиданий», которые подчеркивают пластичность спроса на технические решения. Вспомните революцию, которую Apple десять лет назад устроила с iPhone, а затем и с AppStore. После появления лучшего на планете мобильного телефона и цифрового магазина люди стали ждать от своих любимых брендов отличных мобильных приложений. Со временем ожидания в части функциональности существенно выросли. После того как два года назад Starbucks запустила мобильный сервис оформления заказов и оплаты еды и напитков, многие другие сети быстрого питания тоже включили в свои мобильные приложения аналогичный функционал. И эти перемены были обусловлены текучестью ожиданий.

Меняющийся менталитет заставляет банки усиливать цифровую направленность, поскольку они видят, что Apple Pay, Mint, PayPal и прочие отрезают все более весомый кусок от принадлежавшего им раньше пирога. Дизайн-мышление просачивается и в среду поставщиков программного обеспечения. Когда Эвенсон присоединилась к Microsoft, основное внимание там уделялось разработке и тестированию программного обеспечения, после чего осуществлялся переход к управлению продуктами. К моменту же ее ухода дизайн стал важной частью процесса разработки ПО.

Поскольку технология сейчас тесно вплетается в саму работу бизнеса, даже компании с традиционным укладом все чаще полагаются на пользовательский опыт как на ключевой фактор в своих решениях, предназначенных как для клиентов, так и для собственных сотрудников. Сегодня работа Эвенсон по большей части связана с обсуждением с ИТ-директорами и другими бизнес-лидерами вопросов создания программного обеспечения и сервисов, сравнимых с Airbnb, Facebook и другими ресурсами, предназначенными, как считают сами клиенты, персонально для них. «Вам не удастся выстроить успешный корпоративный сервис, если технические моменты в нем будут стоять выше вопросов удобства использования и удовлетворения потребностей людей, если люди не смогут получить то, что им нужно», – подчеркнула Эвенсон.

Переход к дизайн-мышлению обычно предусматривает выстраивание классических ячеек открытого рабочего пространства, в котором менеджеры по продуктам, дизайнеры и разработчики программного обеспечения совместными усилиями придумывают новые решения. В такой ситуации ИТ-директор нередко даже не знает точно, кто ему здесь подчиняется, а кто нет.

Дизайн-мышление на практике

Дизайн-мышление требует культурных перемен. «Во многих компаниях, выступающих с цифровыми инициативами для трансформации своего бизнеса, дизайн-мышление все чаще становится частью корпоративной стратегии, – указал Крис Пасьоне, генеральный директор компании LUMA Institute, обучающей ориентированному на человека дизайну. – Дизайн-мышление помогает развиваться инновациям, поскольку компании стремятся к самообновлению, чтобы поспевать за переменами».

В понимании Пасьоне дизайн-мышление сочетает традиционный дизайн продуктов и проектирование систем с антропологическим и этнографическим подходами. Дизайн-мышление помогает организациям избегать общих ловушек, мешающих успешной реализации проектов, и включает в себя следующее:

• Очерчивание проблемы. Очень часто команды из благих побуждений стремятся решить проблему, не устраняя при этом причин, ее порождающих, не оценивая масштабов помех, встающих перед организацией. Пасьоне рекомендует компаниям «четче формулировать вопросы», искать новые пути более точного очерчивания проблемы. Команды, понимающие реальные возможности, имеют больше шансов на успех.
• Эмпатия. Другая серьезная причина провала проектов кроется в недостаточном понимании и неспособности выслушать тех многочисленных лиц, в чьих интересах и затевается реализуемая инициатива. Умение сопереживать – непростая задача, поскольку конечные пользователи не обладают общим менталитетом. Кроме того, предприятия должны проектировать решения с учетом тех, на кого в дальнейшем будут возложены обязанности по их установке, ремонту и поддержке. Вот где пригодятся контекстные запросы и другие технологии проектирования, учитывающие этнографические моменты и прочие особенности.
• Итерации. При корпоративном управлении с линейным стилем мышления инновации, требующие итерационного подхода к разработке продуктов, зачастую зажимаются. «Организациям нужно спокойно воспринимать многочисленные и естественные мелкие неудачи, сопровождающие великие новаторские идеи, – отмечает Пасьоне. – Потребуется создание эскизов, раскадровок и прототипов на основе обратной связи с заинтересованными лицами. По-настоящему инновационные решения, оказывающие заметное влияние, появляются в результате многочисленных инноваций, непрерывного тестирования и постоянных улучшений на основе новых предположений. Принцип ускоренного выхода на рынок в наши дни неактуален. Победителями оказываются организации, проводящие быстрые итерации и делающие это хорошо».
• Точки отказа проекта. Постарайтесь выявить, что у вас не работает, и устраните причину. В этом и заключается одно из преимуществ итерационного подхода. Дизайнеры и инженеры исправляют выявляемые ошибки и «сглаживают» шероховатости пользовательского дизайна постепенно, шаг за шагом превращая минимально жизнеспособный продукт в полностью завершенное коммерческое решение.
• Взаимодействие. В организациях, над которыми нависла угроза исчезновения, людям в голову часто приходят хорошие идеи, которые можно реализовать в тесном взаимодействии с другими подразделениями и клиентами. Это помогает находить более творческие способы работы.

Импульсом к развитию в организации дизайн-мышления становится стремление улучшить обслуживание пользователей. «Толчок, исходящий снаружи, быстрее воздействует как на верхи, так и на низы», – поясняет Пасьоне.

Впрочем, искать самостоятельно все, что требуется для выработки дизайн-мышления, не обязательно. Санкаран, например, активно привлекает внешних консультантов (в частности, из Pivotal Labs), которые помогают обучать линейных менеджеров в ИТ- и бизнес-подразделениях созданию программного обеспечения с учетом интересов пользователей. Они задают открытые вопросы, например: «Что клиенту хотелось бы сделать со всем этим и как он собирается осуществлять взаимодействие?»

Увидев, что окупаемость есть, компании переносят ту же философию и на внутренние корпоративные решения. У предприятий все чаще просто не остается выбора. Сотрудники-миллениалы, составляющие уже больше половины рабочей силы, оказывают постоянное давление на работодателей, если считают, что их методы и технологии – это пережиток цифрового средневековья.

С цифровым средневековьем нужно покончить. Одним из способов является формирование в компании «дизайн-культуры», предполагающей привлечение дополнительных дизайнеров и ускорение выпуска прототипов новых решений. Нелишней будет также организация инновационных лабораторий и цифровых ускорителей.

– Clint Boulton. What is design thinking? The secret to digital success. CIO. July 28, 2017

Создаваемые крупными организациями общие центры обслуживания, специализирующиеся на инсорсинге типовых функций – работе с документацией, бухгалтерии, HR, закупках и т. п., вполне могут стать точками цифровой трансформации предприятия. Оптимизация процессов и ориентация на лучшие практики подразумевают максимальную автоматизацию, а в случае работы компании на внешнем рынке инновационность способна стать прямым конкурентным преимуществом. Компания «Северсталь – Центр Единого Сервиса», начав как внутренняя структура, недавно вышла на внешний рынок и предоставляет аутсорсинговые услуги крупным компаниям (среди ее клиентов – «Утконос», «Свеза», «Нордголд» и другие российские и международные компании), а также развивает консалтинг по созданию общего центра обслуживания. Кира Лапина, генеральный директор «Северсталь-ЦЕС», рассказала о своих взглядах на цифровую трансформацию и ее роль в развитии бизнеса компании.

Кира Лапина Послужной список: В группе компаний «Северсталь» – с 2005 года С 2010 года – генеральный директор ООО «Северсталь – Центр Единого Сервиса» 2009-2010 – «Воркутауголь», финансовый директор 2007-2009 – «Воркутауголь», главный бухгалтер Образование: Ярославский государственный университет им. П. Г. Демидова, специализация «бухгалтерский учет и аудит»; дополнительная квалификация аудитора и специалиста по международной отчетности (Financial reporting qualification diploma, DipIFR)

На рынке происходят необратимые изменения, которые зачастую требуют радикальной перестройки бизнеса. Например, в Accenture говорят о разрушении границ между предприятиями и целыми отраслями, об «объединении необъединяемого» – интеграции предприятий и цифровых платформ, физического и виртуального миров. Какие изменения вы видите? Какие появились риски и возможности?

Ход времени ускоряется, и все больше бизнесов становятся цифровыми, бизнес-процессы роботизируются. Уже реально существуют инструменты, позволяющие достигать синергии конкурентам (за счет цифрового взаимодействия конкуренты могут становиться партнерами), многое переводится в сферу облачных решений с применением искусственного интеллекта и открытых разработок. Мы отслеживаем актуальные тренды и самые передовые практики реализуем в своей компании. Поскольку бизнес аутсорсинга предполагает множество рутинных процессов и большие объемы информации, прежде всего для нас актуальны роботизация (Robotic Process Automation, RPA) и электронный документооборот.

Электронный документооборот позволяет создать единое информационное пространство как для внутренних, так и для внешних пользователей, ускоряет обработку информации в сотни раз, обеспечивает информационную безопасность. Повышается качество принимаемых решений за счет скорости обработки информации, уходит функционал хранения бумажных документов, не требуется обеспечивать их оборот и сохранность. Уже не встает вопрос правильности оформления почтовых отправлений и не надо ждать, пока бумажные документы поступят с почтой, да и на почтовые сервисы уже не приходится тратиться.

Оптимизация процессов и ориентация на лучшие практики подразумевают максимальную автоматизацию

Роботизированные решения также имеют свои финансовые и нефинансовые эффекты: оптимизация затрат, двузначное сокращение ошибок, круглосуточная, безостановочная работа. Они не меняют и ИТ-среду, ведь их может настроить каждый бизнес-пользователь. В целом оба направления дают ускорение, снижение затрат, сокращение ошибок, стабильность выполнения бизнес-процессов.

Разумеется, при внедрении любой технологии существуют риски. Мы, внедряя новые решения, не просто следуем трендам, а предварительно изучаем аналоги, тестируем саму технологию, сравниваем с альтернативами, рассчитываем экономический эффект от внедрения. Ярким примером этого может служить внедрение систем роботизации: мы уже протестировали две доступные на российском рынке технологии – Blue Prism и UiPath.

До сих пор нет четкого определения цифрового предприятия, многие считают понятие чрезмерно размытым. Что такое цифровое предприятие в вашем понимании и в чем заключается цифровая трансформация?

Опыт общения с коллегами показывает, что каждый из нас действительно воспринимает цифровое предприятие по-своему. На наш взгляд, это компания, где эффективно взаимодействуют человеческие ресурсы и автоматизированные (или даже роботизированные) системы. Очевидно, что автоматизировать бизнес на 100% невозможно, поскольку искусственный интеллект пока не способен заменить человека. Для того чтобы концепция цифрового предприятия заработала, мы и осуществляем цифровую трансформацию. Тут для нас важны критерии эффективности и экономической целесообразности. Например, если нам выгодно использовать технологии RPA, мы активно внедряем роботов для автоматизации процессов аутсорсинга. К слову, мы часто используем их в бухгалтерских операциях с большим количеством повторений.

В целом цифровая трансформация предполагает стратегию, которая включает большое количество элементов и систем: ERP, роботов, систем ЭДО, омниканальность, различные виды аналитики и др. Важным аспектом здесь является интеграция решений между собой под контролем экспертов.

Где еще, кроме бухгалтерии, уже используется роботизация? И как клиенты относятся к тому, что их делами занимаются роботы?

Роботизация как технология может быть использована во многих функциях, где есть рутинные задачи: это и поддержка продаж, и закупки, и HR. Мы начали их внедрение с процессов учета, поскольку это наиболее актуально для нас, но внедрение роботов в HR тоже весьма перспективно. Примером такой системы может служить голосовой бот, совершающий обзвон потенциальных кандидатов.

Непосредственно на внедрение технологии RPA наши клиенты не отреагировали. По большому счету, их волнует, чтобы все услуги были оказаны в срок и без ошибок, а кто выполняет их работу: сотрудники или роботы, – для них не имеет значения.

Что именно представляют собой проекты RPA?

При отборе RPA-решений мы прежде всего ориентировались на рейтинги независимых агентств Forrester и Everest Group. На момент выбора на российском рынке были доступны две из трех лидирующих технологий. И Blue Prism, и UiPath согласились предоставить роботов для теста и первичного обучения, для настройки системы.

К тому моменту мы уже активно использовали в работе макросы. Внутри каждого подразделения были «агенты роботизации», которые выявляли процессы для автоматизации. Технология RPA – это следующий уровень развития, поскольку она более стабильна и может быть легко адаптирована в случае изменений: если макрос нужно полностью переписывать, то в роботе достаточно перенастроить логику. Обычному бизнес-пользователю гораздо проще настроить робота, чем написать макрос.

Процессы анализировались по направлениям. Основываясь на знаниях по разработке роботов, мы выбрали те процессы, которые можем реализовать уже сейчас. На этапе анализа процессов фиксировались все возможные риски, которые могут возникнуть при переводе, и теоретическая возможность роботизации.

Для Blue Prism был выбран процесс перевыставления транспортных услуг, а для UiPath – выгрузка реестра спецификаций по сотрудникам. Процессы были выбраны неслучайно: помимо наибольшего экономического эффекта, именно в этих процессах мы нашли возможность роботизации и были уверены, что сможем это сделать.

К каким выводам в итоге пришли?

При тестировании RPA мы сравнивали оба решения, чтобы определиться, какое использовать для активного внедрения. UiPath использует более технологичную систему администрирования, поэтому стоит дороже, хотя при массовом внедрении это незаметно. Blue Prism привлек тем, что он полностью отвечает всем нашим требованиям. У нас технология RPA только начинает внедряться, и на начальном этапе нам достаточно его возможностей, особой необходимости в более дорогом продукте пока нет.

Процесс, роботизированный при помощи Blue Prism, даст нам экономический эффект порядка 550-600 тыс. руб. в год. В течение третьего квартала планируем вывести робота на полную мощность и измерить реальный эффект, который мы смогли получить. За счет этого мы примерно на 90% окупим затраты на лицензии. Помимо эффекта экономического, мы также получаем эффект качественный: правильно разработанный робот сокращает число ошибок в процессе, вызванных человеческим фактором.

Как повлияла на работу компании стремительная цифровизация окружения – клиентов, поставщиков, партнеров, конкурентов?

Все больше взаимодействий с контрагентами происходит через цифровые каналы: у нас уже налажен электронный документооборот с внутренними и внешними клиентами. Многие вещи выводятся в категорию самообслуживания. Ведь и правда удобнее, когда ты любую информацию можешь получить самостоятельно, она доступна в реальном времени и является актуальной в любой момент. Это выгодно обеим сторонам.

Может ли использование ваших сервисов трансформировать самих клиентов? Способно ли это стать их конкурентным преимуществом?

Использование наших сервисов уже само по себе большая трансформация. Мы полностью пересматриваем процессы, делаем их оптимальными и приводим к лучшим практикам. Упрощение, исключение лишних петель движения информации, разделение ответственности, внедрение показателей эффективности, ориентированных на качество, – все это само по себе оказывает огромный эффект на бизнес клиента. Таким образом, при старте проекта перевода на аутсорсинг или построения собственного общего центра обслуживания заказчик уже понимает, что сама модель его функционирования становится эффективнее.

Причисляете ли вы себя к компаниям, хотя бы частично являющимся цифровыми? На каком этапе, по собственным оценкам, находитесь? Какие направления для вас приоритетны?

«Северсталь – Центр Единого Сервиса» – это отдельная сервисная организация. Поэтому инновационная составляющая для нас критически важна, и компания идет по пути цифровизации. Для этого есть серьезные предпосылки – как вы знаете, практика SAP «Северстали», которой пользуется Центр, является одной из ведущих в России. Мы одни из пионеров в освоении RPA в России. Приоритетные направления – это поступательное развитие ERP-системы, роботизация рутинных процессов и электронный документооборот с учетом специфики аутсорсинга.

Какие требования к корпоративным ИТ предъявляет цифровая трансформация? Что должно измениться?

Все более сложные процессы подвергаются автоматизации, усложняются бизнес-приложения... Требования очевидны: простой пользовательский интерфейс и интеграция между разными функциональными системами. Тут надо также отметить важный аспект: пользователям все меньше нужна информация «постфактум» (например, анализ по итогам периода), все большее значение придается аналитике реального времени и прогнозам. Визуально-клиповое мышление побеждает – все больше уходим в сторону визуализации данных.

Цифровое предприятие характеризуется повсеместным доступом пользователей к информации, свободным взаимодействием сотрудников внутри компании, сбором и анализом внешних данных. Фактически речь идет о полной прозрачности процессов. За счет чего этого можно достичь?

Здесь надо избегать подмены понятий. Я полностью соглашусь, что пользователь должен обладать полным доступом к информации, которая нужна ему для его рабочих задач. Должен иметь возможность получать эту информацию из разных каналов и в режиме реального времени. При этом, согласитесь, пользователю совершенно не нужен доступ к персональным данным его коллеги, охраняемым в соответствии с законом. Здесь и стоит по-настоящему серьезная задача: с одной стороны, обеспечить максимальные допуски к необходимым данным, а с другой – ограничить их именно необходимым объемом, избежать злоупотреблений и обеспечить информационную безопасность.

Цифровое предприятие – это не только технологии, но и иной подход к выполнению работы. Сотрудники должны стать совершенно другими. Какова, по-вашему, роль корпоративной культуры в цифровой трансформации?

Роль сотрудников на цифровом предприятии изменяется, поскольку они больше взаимодействуют в цифровой среде, уровень влияния человеческого фактора снижается. Становится жизненно необходимой интеграция человеческих и цифровых ресурсов. К тому же множество рутинных процессов полностью автоматизируется, это означает, что человек больше сконцентрирован на задачах, создающих стоимость.

В то же время есть парадокс, с которым мы уже столкнулись. Когда процессы глубоко автоматизированы и сотрудник принимается на работу для мониторинга внедренных систем, этот специалист уже не ощущает себя экспертом и может быть демотивирован. Но при этом он и не может стать экспертом, так как не разбирался с отклонениями от штатных ситуаций, не настраивал автоматизацию процессов. И возникает эффект расслоения: с одной стороны, реальные эксперты, которые прошли весь этот долгий путь улучшений, и с другой – молодые специалисты, для которых еще предстоит придумать, как такими экспертами стать.

Кира Лапина, генеральный директор «Северсталь-ЦЕС»: «Опыт общения с коллегами показывает, что каждый из нас действительно воспринимает цифровое предприятие по-своему. На наш взгляд, это компания, где эффективно взаимодействуют человеческие ресурсы и автоматизированные или даже роботизированные системы» Фото: «Северсталь-ЦЕС»

А не может оказаться, что культура на самом деле важнее любых технологий? Например, встраивание аналитики в процесс принятия решений, чтобы эти решения не были исключительно интуитивными...

Мы привыкли отталкиваться от ожидаемого результата. Изначально мы моделируем конечный результат – целостную систему цифрового предприятия, а затем уже подбираем технологии и выстраиваем корпоративную культуру.

Что предпринимается для изменения культуры?

Для выстраивания корпоративной культуры мы используем все доступные инструменты: эффективные коммуникации, в том числе социальные сети, мессенджеры и другие современные каналы, а также методы геймификации – различные интеллектуальные игры, тренинги и другие.

Совсем недавно SAP провела исследование, в котором утверждается, что в 64% компаний сотрудники не готовы к цифровой трансформации. А ваши – готовы? И как отличить «готовых» от «неготовых»?

Средний возраст наших специалистов – 25 лет. Молодые люди росли в эпоху Интернета, социальных сетей, мобильных приложений. Это означает определенную готовность к пониманию цифровой среды. Эта возрастная группа 80% задач решает при помощи компьютера или другого электронного гаджета. Конечно, у них тоже есть страхи по поводу того, что их работу «отберут роботы». Но, с другой стороны, для настройки роботов нужны бизнес-пользователи, что подталкивает их осваивать новые технологии.

Искусственный интеллект, роботизация рутинных функций стали трендом последнего года. Какие новые вызовы и проблемы несет необходимость управления такой гетерогенной рабочей силой?

Для наших роботов мы определяем KPI так же, как и для всех сотрудников. Робот – это программа, и в ней тоже могут возникать сбои, а потому важно поддерживать бесперебойность их работы. Кроме того, существует вопрос обеспечения работоспособности роботов, контрольных процедур. Это может осуществляться как вручную, так и путем использования специализированных программных решений, которые поставляют далеко не все разработчики роботов. Помните, как боты Facebook, общаясь между собой, «изобрели» свой язык, непригодный для общения с людьми? Тут такая же ситуация: мы должны контролировать получаемый результат, ведь это живые деньги и данные клиентов.

Фактическое достижение цифровой модели – весьма масштабная задача. На то, чтобы новая философия воплотилась в ИТ-платформу, поддерживающую работу компании, может уйти несколько лет. Как не завязнуть в этом процессе?

Мы пользуемся поддержкой компании «Северсталь-Инфоком» для постоянных обновлений наших ИТ-систем. Изменения внедряются постоянно, что делает этот процесс поступательным. Как известно, есть две крайности: применять «голый» стандарт ERP-системы, не проводя кастомизации, и использовать подход, подразумевающий максимальную кастомизацию под специфику предприятия. Важно не впасть ни в одну из крайностей, мы развиваем системы путем разумных улучшений, всегда сопоставляя эффект от них с затраченными усилиями.

Как убедиться, что трансформация идет в нужном направлении и соответствует стратегическим целям?

Здесь нет универсального рецепта. Главное, на мой взгляд, – здоровая неуспокоенность и драйв, открытость к новым технологиям и практикам и, разумеется, базовая осторожность.

Чего вы ожидаете в дальнейшем? Как цифровизация бизнеса повлияет на будущее вашей компании?

Аутсорсинг финансовой и кадровой функции может быть автоматизирован и роботизирован на 70%, и наша задача – с одной стороны, подготовить необходимую технологическую базу, а с другой – развить корпоративную культуру, чтобы сотрудники были готовы взаимодействовать как друг с другом, так и с роботами. Построить автоматизированную систему, позволяющую отслеживать сбои в системе и исправлять их.

Конкурентную борьбу на рынке выиграет тот, кто наиболее эффективно отстроит цифровую модель и интегрирует в нее своих клиентов. Аутсорсинг предполагает тесный контакт с клиентом и постоянную обратную связь – то, что может обеспечить именно цифровое предприятие.

Переход от традиционного уклада к цифровому не может произойти моментально. Павел Биленко, руководитель образовательных программ по направлениям Индустрии 4.0 Московской школы управления «Сколково», рассказал, каким должен быть первый шаг на этом пути для обычного российского предприятия и каких управленческих подходов стоит при этом придерживаться. По его мнению, трансформацию следует начинать с руководителей.

- В чем разница между полностью автоматизированным, «умным» и цифровым производством?

Я предпочитаю говорить о цифровом производстве. От автоматизированного производства, состоящего из «островов», соединенных «мостами»-интеграторами, цифровое производство отличают прежде всего бесшовная интеграция и единые форматы данных на всем жизненном цикле продукта. Данные со всех контрольных точек бизнес-процессов, производственных участков и организационных структур собираются без «контейнеров» отдельных программных продуктов либо платформ типа ERP или PLM. Эти данные систематизируются, и с ними ведется комплексная работа, управленческие решения принимаются на основе функционирования инструментальных панелей.

В цифровых производствах начинает работать машинный интеллект, потому что повторяющиеся стандартные операции машины делают лучше нас.

Еще одно важное отличие – скорость работы и внедрения решений. Умные предприятия используют простые и гибкие, хорошо адаптируемые под потребности компании инструментальные решения. Внедрение ERP за два-три года – это прошлый век. Когда у каждого рабочего в цеху есть планшет и телефон, с помощью которого он взаимодействует с ERP-системой (получает сменно-суточные задания и отчитывается об их выполнении, коммуницирует с другими подразделениями) – вот распространенная сейчас система, эффективно действующая на крупных международных предприятиях. Штаб-квартиры сегодня управляют при помощи простых мобильных решений, которые вбирают в себя функционал информационных «тяжеловесов».

- Что мешает развитию умного производства в России?

Можно перечислить множество факторов: неготовность или отсутствие экосистем и их ключевых компонентов, недостаточное количество открытых контрактных производств, ограничения рынков компаний с государственным участием, ограниченные коммуникации между потенциальными партнерами и слабое доверие друг к другу, отношение к людям в некоторых государственных компаниях как к винтикам системы.

Но главным тормозом я бы назвал «второй темп» и недостаточное развитие руководителей. Сегодня есть два типа компаний: консервативные и медленные – условный тип А; быстрые и гибкие – условный тип Б. В компаниях типа А, к сожалению, некоторые руководители застряли на изучении базовых терминов САПР. Скорость в принятии решений, в их проведении в жизнь, в трансформации бизнеса, а не бумаги, у глобальных лидеров и руководителей компаний типа Б гораздо выше, чем у лидеров компаний типа А. Руководитель компании типа А мыслит примерно так: чтобы провести цифровую трансформацию, надо обратиться к консультантам, чтобы те написали двухсотстраничный отчет, и разработать пятилетнюю стратегию. И обязательно наказать кого-нибудь за ее неисполнение. Мышление лидера компании типа Б совсем иное: давайте посмотрим, что вокруг уже сделано, обменяемся опытом, обучимся, попробуем быстро сделать и оценим, что получается. К сожалению, лидеры часто бывают увлечены фантомами и симулякрами, пренебрегают важнейшими вопросами прототипирования, моделирования, проверки управленческих гипотез. Предпринимательский подход – вот что сегодня очень важно.

Если компания любого размера сегодня вместо прототипирования продуктов и моделирования бизнес-процессов расходует время на создание концепций, стратегий и отчетов, то она это время теряет попусту. Мир меняется так быстро, что, пока она будет писать стратегию, западные компании уже перейдут на следующий уровень развития. Время разработки стратегий осталось в прошлом.

- Переход от традиционного уклада к цифровому не может произойти моментально. Каким должен быть первый шаг на этом пути для обычного российского предприятия, весьма далекого от «цифры»?

Прежде всего нужно осознать необходимость изменений и провести диагностику цифровой зрелости в совместной работе с экспертами. Руководителям предприятий необходимо отставить технологический снобизм и позицию «у нас все лучше, а этот ваш Интернет вещей – сказки», забыть фразы: «мы совершенны», «от нас ничего не зависит» и «рабочий день заканчивается в 18:00».

Нужно найти людей, которые уже проходили путь трансформации от разрухи к современной компании, и учиться у них. Надо становиться компанией-амбидекстром: сегодня быстрые и гибкие компании уничтожают крупных, обремененных регламентами, правилами и объяснительными за их нарушения.

Любой крупной компании требуется задуматься над этим. Как сделаться такой же быстрой, как, к примеру, Xiaomi, которая выпускает несколько десятков абсолютно инновационных продуктов ежегодно? Как стать такими же интересными для рынка, как те западные компании, за чьими дорогими продуктами выстраиваются очереди? Как выводить новые продукты на рынок столь же быстро и часто, как европейские компании?

- Каких управленческих подходов вы рекомендуете придерживаться на пути трансформации?

Гибких и быстрых. Заниматься моделированием и прототипированием, ошибаться недолго и дешево, делать выводы и расти дальше на этих выводах. Организовать развитие корпоративного инновационного центра и работу с молодыми командами стартапов. Как, например, это делает одна из нефтегазовых компаний, финансирующая стартап-хакатоны.

- Раньше говорили, что бессмысленно автоматизировать беспорядок. Как обстоят дела с «цифровизацией» того, что плохо организовано и плохо управляется в традиционной парадигме?

Без системности ничего работать не будет. Любая компания должна иметь организационный «хребет»; создание гибких и быстрых систем, упорядочивающих все бизнес-процессы – одна из первоочередных задач ее руководителей.

- Что происходит с кадрами при цифровой трансформации? Есть ли счастливые примеры переподготовки унаследованных кадров? Или проблема неготовности кадров к цифровизации преувеличена?

Такие примеры есть в наших программах Школы управления «Сколково». Это заблуждение, что из-за автоматизации масса людей лишится работы. Есть огромный спрос в ряде новых отраслей. К примеру, робототехническим компаниям необходимо огромное число программистов для создания локального программного обеспечения. Мы уже неоднократно проходили через волны трансформаций специализаций, когда слесаря сменил оператор ЧПУ, инженера-расчетчика – оператор вычислительных комплексов и т. д. Никаких негативных социальных последствий эти тенденции не вызвали. Кто из рабочих и специалистов быстрее обучился новым инструментам и системам автоматизации, тот стал лидером технологических изменений своего предприятия и увлек за собой остальных.

С этой точки зрения очень важна роль современных образовательных платформ. Да, структура рынка меняется, и сейчас нужны кросс-отраслевые партнерства. Мы готовим к цифровизации руководителей и инженеров, развивая образовательную экосистему в партнерстве с Российской экономической школой и Сколковским институтом науки и технологий.

- Есть ли у цифровизации отраслевая специфика? Где дела идут успешнее, а где хуже?

Хуже всего дела идут в нефтегазовой сфере, где людям не о чем беспокоиться. Еще лет 20 отрасль, возможно, будет существовать: качай, транспортируй, продавай. Зачем им меняться? Зачем задумываться о том, что среди шести самых дорогих компаний мира почти все сырьевые компании уже сменились на технологические? Возобновляемая энергетика растет по экспоненте. Ну и что? Нам-то какая разница? Проведем еще одну стратегическую сессию, нарисуем красивую презентацию, будем жить дальше. И так еще 20 лет.

Хотя и в этой отрасли есть отдельные исключения и заслуживающие уважения примеры трансформации сырьевых компаний в производственные холдинги. Но очень мало их коллег по цеху переносят этот опыт в свою производственную деятельность. Большинство компаний доживают на сверхдоходах. Между тем нефтяная компания может выступать инвестором: финансируя создание цифрового производства, совсем не обязательно становиться его собственником.

Быстрее всех трансформируются медиа, банки, ретейл и телеком, которые работают и зарабатывают с Большими Данными, аналитикой, корпоративными мобильными приложениями. Они лучше остальных понимают финансовый результат от цифровизации и, памятуя историю Kodak и Nokia, живут по принципу «изменись или исчезни». Facebook в прошлом году стал производственным предприятием – современным цифровым заводом. Amazon, будучи когда-то книжным магазином, недавно стал сетью магазинов здоровой пищи. А до этого – основным продавцом облачных вычислительных ресурсов.

Трансформации глобальны, сложно назвать их незаметными. Вам меняться не надо? Уверены? Я, бывало, слышал раньше: «Мне уже много лет, 35, и меня ничто не изменит. Я такой, какой есть». Ну раз так, это значит, что вас уже нет.

Сказанное относится и к человеку, и к компании, и к отрасли, и к стране.

- О чем вы расскажете участникам конференции Smart industry&city 2017?

О том, что такое цифровое производство, как его создать с помощью команды, ключевых компонентов и экосистемы. Об экосистемах и акселераторах США и Германии, о том, чего нам не хватает для ускорения развития. О том, что делать, чтобы выжить в жесткой конкурентной борьбе в условиях нового технологического уклада.

За год, прошедший с прошлой конференции, мы проделали большую работу с Минпромторгом РФ по выпуску методических рекомендаций для цифровизации предприятий, провели свое исследование по цифровизации производства. Кроме того, мы готовы представить комплексную методику диагностики цифровой зрелости предприятия.

DevOps – это буквальное и фигуральное слияние процессов разработки и эксплуатации. Многие годы соответствующие группы в компаниях были разделены культурными и информационными барьерами, особенно типичным такое положение дел было в крупных корпоративных отделах ИТ.

Это разделение основывалось на простом принципе: разработчики занимались только кодом, специалисты по эксплуатации принимали код и следили за тем, чтобы он выполнялся. Отсутствие связи между двумя группами приводило к длительным циклам контроля качества и максимально редким рабочим развертываниям, что было обусловлено страхом простоев и нарушений работы.

Из-за внутриорганизационных границ, стремления избежать рисков и последовательных, основанных на принципе «водопада» методов поставки ПО, между масштабными обновлениями систем мог пройти целый год, а то и больше. Во многих крупных организациях такие методы применяются и по сей день.

Однако в последнее десятилетие ландшафт ИТ резко меняется. Разработчики, устав ждать, пока у отдела эксплуатации дойдут руки установить обновление, начали писать ПО, автоматизирующее эксплуатационные задачи. А специалисты по эксплуатации, в свою очередь, начали делиться знаниями и опытом с программистами.

В результате некогда четкие границы между разработкой и эксплуатацией начали размываться. Это привело к ускорению жизненных циклов приложений, к сокращению сессий контроля качества и к резкому повышению количества развертываний. Появились такие новые процессы, как непрерывная интеграция и непрерывное развертывание. Многие крупномасштабные приложения, созданные по методам DevOps, вводятся в рабочую среду несколько раз в день, а не в год, как раньше.

И это не мимолетная «мода». Тенденция автоматизации постепенно развивается уже около десяти лет, и сегодня соответствующее ПО и процессы достигли высокого уровня зрелости, а потому игнорировать приход DevOps в корпоративные отделы ИТ невозможно.

Организации, где все еще не понимают важности DevOps и не готовы к соответствующим изменениям, окажутся в отстающих.

Как DevOps влияет на разработчиков

Корни DevOps – в таких инструментах, как Puppet, который появился в 2005 году, еще до самого термина DevOps. Его автор Люк Канис, программист на Ruby, решил покончить с необходимостью постоянно вручную менять конфигурационные файлы Linux. Он хотел добиться того, чтобы можно было готовить к работе и конфигурировать Unix-подобные системы автоматически с возможностью повторения соответствующих процессов. Эту задачу Канис решил, написав на Ruby скрипт, который он и назвал Puppet.

Позднее появились другие похожие инструменты: Chef, Ansible, SaltStack и пр., – и вокруг каждого из них сформировались свои сообщества. Разработчики и специалисты по эксплуатации делятся знаниями, добавляя их в виде «рецептов» (recipe) в «поваренные книги» (cookbook), помогающие конфигурировать ПО нужным образом независимо от используемого дистрибутива Linux.

Конфигурационный инструмент позволяет разработчику программировать выполнение своего приложения. При этом система сама включает все необходимые зависимости, обеспечивая с помощью соответствующих скриптов их настройку и запуск в различных диалектах Unix. То, что раньше требовало недель ручного конфигурирования силами высококвалифицированных специалистов, теперь выполняется за считанные часы при помощи скрипта.

Хотя разработчики теперь могут развертывать код быстрее и проще, чем раньше, появилась новая проблема. Покончив с зависимостью от специалистов по эксплуатации, программисты вынуждены сами нести ответственность за сопровождение работающих приложений.

В связи с этим появился еще один класс инструментов – платформы в виде сервиса (PaaS). Провайдерами первых систем такого рода стали компании Salesforce и Google, но от разработчиков требовалось написание кода, привязывающего к конкретной платформе. PaaS достигли популярности, лишь когда компания Heroku предложила сервис, который давал возможность выполнять код и на других платформах с минимальными изменениями.

Системы PaaS базируются на принципах автоматизации DevOps – соответствующие инструменты применяются для настройки и выполнения кода на большинстве таких платформ. Но отличие в том, что приложения, работающие на PaaS, полностью управляемы: пользуясь интерфейсами программирования, можно запускать приложение, останавливать, масштабировать и следить за его работой. В рамках классического подхода DevOps вы сами создаете инструментарий для управления своими приложениями, а в PaaS необходимые для этого инструменты уже есть.

Говоря о DevOps, нельзя не упомянуть Docker и контейнеры. Главный недостаток PaaS в том, что платформа жестко задает архитектуру приложения. Если разработчику нужно больше контроля над средой, добиться этого, сохранив скорость и гибкость, можно с помощью контейнеров. Настройка среды с помощью Chef или Puppet с нуля может занять несколько часов, и при этом вы можете не получить точной копии исходной среды. А воспользовавшись контейнером, программист может воспроизвести среду Linux или Windows меньше чем за секунду, и это будет абсолютно идентичная копия оригинала.

За годы своего развития инструменты DevOps начали приносить разработчикам колоссальные преимущества с точки зрения продуктивности. Дни, когда программисты не задумывались об эксплуатации и проблемах масштабирования, уходят, а искусство выполнения приложений целиком автоматизируется с помощью кода.

Как DevOps влияет на эксплуатацию

Хотя революцию DevOps начали разработчики, распространилась она все-таки благодаря сисадминам и специалистам по эксплуатации, ведь соответствующие инструменты помогают повысить эффективность и их работы тоже. Именно средства DevOps резко изменили ландшафт корпоративной службы ИТ, так как способствовали появлению современных высокоадаптивных отделов эксплуатации.

До DevOps именно сисадмины отвечали за работоспособность крупномасштабных приложений. Им приходилось настраивать СУБД и веб-серверы, конфигурировать балансировщики нагрузки, управлять безопасностью, системами кэширования и т. п.

Принципы DevOps обеспечили высокую степень стандартизации, предложив эффективные методы развертывания, конфигурирования и эксплуатации множества серверов с использованием лишь нескольких инструментов, требующих минимального участия человека.

Роль группы эксплуатации сегодня состоит в том, чтобы развернуть и сопровождать предоставляемый по требованию сервис приложений – PaaS либо кластер для контейнеров Linux или Windows. Разработчики же развертывают приложения в готовой среде, а за ее обслуживание и масштабирование отвечает отдел эксплуатации.

Платформы и средства DevOps создали буфер, благодаря которому команды разработки и эксплуатации могут действовать независимо друг от друга. До появления таких инструментов существовал последовательный конвейер выпуска приложения. Перед тем как новое приложение развертывали, нужно было делать массу запросов в отделы эксплуатации и закупок, а затем дожидаться конфигурирования серверов.

С появлением средств DevOps разработчики получили возможность, пусть и с определенными ограничениями, самостоятельно развертывать приложения по мере необходимости в любое время. Группам эксплуатации больше не нужно заботиться о развертывании каждого приложения. Они по-прежнему отвечают за закупки оборудования и администрирование серверов, но соответствующие задачи решаются в более крупных масштабах, чем на уровне отдельных приложений. На специалистах по эксплуатации теперь лежит обязанность управлять автоматизированной средой DevOps, к которой у разработчиков есть прямой доступ.

Этот технологический буфер позволил разорвать последовательный жизненный цикл приложения, дав разработчикам и специалистам по эксплуатации возможность более тесно взаимодействовать. Возможно, выглядит противоречием то, что разрыв зависимости позволил сблизить соответствующие команды, но ведь главное здесь – не допустить ситуацию, когда «у семи нянек дитя без глаза». Если позволить работать программистам в рамках четко заданной системы (писать код для готовой к его приему среды), а команде эксплуатации – за пределами «контейнера», то между «няньками» будет четкое разделение ответственности.

Сами инструменты DevOps, то есть то, что сближает группы разработки и эксплуатации, стали экосистемой взаимодействия, где разграничение обязанностей размывается. Специалисты по эксплуатации очень хорошо знают оптимальные методы администрирования и сопровождения сложных программных систем. А разработчики умеют «обучать» компьютеры применению этих знаний без участия человека.

Работодателям сегодня все чаще нужны программисты с опытом эксплуатации и сисадмины с навыками разработки. Но в целом наибольшее воздействие DevOps на команды эксплуатации состоит в том, что их обязанностью все чаще становится контроль за работой среды выполнения приложений, которая предоставляет автоматизированные средства развертывания разработчикам.

«Добродетельный» круг

Знаменитое высказывание Марка Андриссена, инженера, инвестора и предпринимателя, одного из сооснователей Netscape Communications, о том, что «программное обеспечение пожирает мир» справедливо для сборки и выполнения приложений так же, как для вызова такси или бронирования гостиничного номера. На протяжении десятилетий сопровождение приложений лежало на плечах элитной группы высококвалифицированных сисадминов, а сегодня этим могут заниматься любые сотрудники отдела ИТ.

Большая часть соответствующих знаний не документировалась и передавалась устно, подобно фольклору – «из поколения в поколение». У конфигурационных файлов были форматы со своими особенностями, иногда настолько сложными, что приходилось отдельно держать специальные конфигурационные файлы, которые компилировались в окончательный формат. Знания о том, как и почему нужно менять те или иные настройки, были уделом избранных.

Использование DevOps стало превращать все эти «эзотерические практики» в открытые стандарты, подробно документируемые вместе со всеми изменениями. Соответствующие знания теперь можно превратить в программную логику, на основе которой строятся платформы в виде сервиса и кластеры Linux-контейнеров и которую можно дублировать, чтобы делиться с другими.

По мере того как разработчики осваивают знания об эксплуатации, а сисадмины совершенствуются в программировании, их роли объединяются. Границы уже сегодня стираются, и появляются все новые инструменты взаимодействия между группами, сотрудничество которых некогда было минимальным.

Docker, лидирующая платформа управления контейнерами, стала типичным плодом этой эволюции. Сервис GitHub дает разработчикам открытую среду обмена кодом и упрощенного взаимодействия. Docker Hub обеспечивает такую же простоту взаимодействия для сисадминов, запуская очередную волну перерождения методов развертывания инфраструктуры и управления ею.

DevOps продолжит развиваться. Всегда будет место для новых инструментов, фреймворков, тенденций, но главной путеводной нитью останется программная автоматизация. И если прежде благодаря ей появились непрерывная интеграция и поставка ПО, то сегодня группы эксплуатации получают полностью программируемую инфраструктуру.

– Lucas Carlson. How devops changes both dev and ops. InfoWorld. October 4, 2017

Цифровая трансформация, инновации, прорывные технологии – все это начинается с талантливых специалистов в области ИТ. И вы абсолютно правы. если считаете, что урезать их преимущества и привилегии, которые играют не последнюю роль в привлечении элитных талантов, было бы неблагоразумно. Тем не менее компании продолжают ужесточать политику удаленной работы, побуждая тем самым талантливых ИТ-специалистов пересмотреть свои взгляды на то, хотят ли они там работать.

Четыре года назад генеральный директор Yahoo Марисса Майер в полной мере испытала на себе тяжелые последствия отказа от удаленной работы и вызванного этим физического перемещения всех сотрудников в офис компании. В марте текущего года Джинни Рометти из IBM совершила ту же ошибку, когда предъявила сотрудникам ультиматум: или возвращайтесь в офис или ищите новую работу.

Обе компании стараются сохранить конкурентоспособность в отрасли, где новые, более находчивые организации активно внедряют инновации и меняют сложившиеся устои. И Yahoo, и IBM предпринимают попытки «скорректировать курс своего корабля», делая ставку на инновации и взаимодействие, которое, по их мнению, возможно лишь при условии, что все работники физически находятся рядом. «Какие последствия эта стратегия имела для Yahoo, всем известно, – заметил генеральный директор и основатель платформы по найму сотрудников HighGround Вип Сандхир. – Осталось посмотреть, чем такой подход обернется для IBM, но я уже сейчас готов утверждать, что организации, накладывающие дополнительные ограничения на гибкую политику удаленной работы, поступают неправильно. Традиционный рабочий день с девяти до пяти в офисе уходит в прошлое. Гибкая рабочая среда – идет ли речь о свободном графике, периодической работе из дома или постоянной удаленной работе – становится одним из главных преимуществ для сотрудников в современную эпоху. Для компаний, которые ценят своих сотрудников, желают их удержать, стремятся повысить их вовлеченность и эффективность (а разве не этого все мы хотим?), полный отказ от удаленной работы – большая ошибка».

Сокращение пула талантов

Ликвидация удаленных рабочих мест может привести к физическому объединению рабочей силы, но кто из этих работников останется в компании, а кто будет разочарован, демотивирован и в конечном итоге покинет ее в поисках новых возможностей? «Как отмечал генеральный директор Upwork Стефан Касриэль (Upwork – платформа для встреч фрилансеров и работодателей; компания предлагает глобальную площадку по поиску работы и ряд программных продуктов для работодателей, которые хотят нанять удаленных специалистов), отменяя удаленную работу, вы существенно снижаете качество своей рабочей силы и уменьшаете потенциал привлечения, приема в свои ряды и удержания новых талантов, – подчеркнула директор по набору персонала компании Softchoice Эрика ван Ноорт. – Одно из главных преимуществ поддержки удаленной работы заключается в расширении пула талантов и выводе его за рамки физической достижимости офиса. Особенно актуально это для нишевых и специализированных технических ролей. Вы можете принимать на удаленную работу людей, практически не обращая внимания на их фактическое географическое положение. Недавний опрос североамериканской компании Softchoice, в котором принимали участие тысяча офисных работников с полной занятостью, показал, что 74% из них готовы перейти в другую организацию, если там им будет позволено чаще работать удаленно, даже при сохранении прежней зарплаты. В условиях общенационального кадрового дефицита многие организации прилагают немало усилий для привлечения опытных технических специалистов. И если предъявляемые ими требования допускают возможность удаленной работы, круг квалифицированных профессионалов заметно расширяется. В общем случае прием удаленных работников особенно полезен для компаний, находящихся в малонаселенных районах, где выбор талантов весьма ограничен».

С учетом того, что число организаций, разрешающих работу из дома, растет, для соискателей вакантных должностей это становится одним из ключевых условий выбора.

«За гибкой работой не просто будущее – она уже здесь, – указал Касриэль. – Возврат людей в офисы сродни вручению им бумажных карточек учета и требованию отмечаться при каждом приходе на работу и уходе с нее».

Подтверждением тому являются и результаты опроса Softchoice. «Важно отметить, что по мере вступления в трудоспособный возраст молодых и технически грамотных людей ожидания удаленной работы будут лишь нарастать, – заметила ван Ноорт. – Другой важный момент нашего исследования связан со сравнением отношения к удаленной работе у миллениалов и поколения бэби-бумеров (родившихся в первое десятилетие после второй мировой войны)».

По сравнению с бэби-бумерами, миллениалы гораздо лучше приспособлены к работе на дому, чем в офисе. Кроме того, 88% миллениалов уверены в том, что работодатель должен предоставить им все необходимые технологии для удаленной работы. И сейчас, когда миллениалы составляют уже большую часть глобальной рабочей силы, очень важно, чтобы компании оправдывали эти ожидания. В противном случае им будет трудно обеспечить себе устойчивый рост.

Удаленная работа расширяет возможности организации в части привлечения и удержания талантов. Продуманное отношение к удаленной работе позволяет компаниям получать доступ к глобальным кадровым резервам. Они могут объединять самых разных людей с различной культурой, перспективами и философией. Каждый новый работник привносит в корпоративную культуру что-то свое. Не вписывается в нее, а вносит дополнения и даже бросает вызов. Результатом становится богатая и разнообразная палитра людей, связанных общей целью, но отличающихся друг от друга во всем остальном.

Повышение производительности и привлечение инноваций

«Предоставление сотрудникам выбора, где и когда работать, оказывает позитивное влияние на их долгосрочную вовлеченность, особенно когда речь идет о работающих родителях или сотрудниках, которым приходится проделывать долгий путь до офиса, – заметила ван Ноорт. – Преимущества удаленной работы могут оценить не только те, кто трудится таким образом постоянно, но и сотрудники, которые обычно находятся в офисе, но получают в свое распоряжение технологии, позволяющие им время от времени работать удаленно. Подавляющее большинство участников опроса (85%) считают важной поддержку в их организации технологий удаленной работы из дома, пусть даже и не на условиях полной занятости».

Ошибка Yahoo и IBM заключалась в том, что они приравнивали инновации и взаимодействие к работе в общей среде, противопоставляя их производительности. Но это ложная корреляция. Взаимоисключающих факторов здесь нет. Повышение производительности труда часто называют главным преимуществом удаленной работы. Возможно, именно поэтому в Yahoo и IBM запретили обеспечивающую высокую производительность удаленную работу и отдали предпочтение инновациям. И Yahoo, и IBM решили вернуть свои команды в офис в период кризиса. Их бизнес столкнулся с серьезными проблемами, причем в Yahoo эти проблемы угрожали самому существованию компании. В обеих компаниях подумали, что объединение сотрудников в офисе будет способствовать развитию инноваций. Но этот шаг оказался неправильным. Инновации и удаленную работу не стоит противопоставлять друг другу. Некоторым людям лучшие идеи приходят в голову в общем рабочем пространстве, а другим – в парке. На следующий день они могли бы встретиться с коллегами, чтобы вместе обсудить важные моменты. Почему нужно выбирать: или одно, или другое? Это совершенно лишено смысла. В мире существуют самые разные компании, а внутри у них имеются отдельные группы, которые вправе самостоятельно организовывать свою профессиональную деятельность.

«Организации, предоставляющие своим сотрудникам возможность самим решать, где и когда работать (естественно, в разумных пределах), получают рост вовлеченности и производительности труда, а следовательно, и расширение инноваций, – считает Сандхир. – Когда вы предоставляете сотрудникам возможность самостоятельно принимать решения и доверяете им, их мотивация стремительно растет. А если растет мотивация, то увеличивается и производительность труда. И значит, организация получает более высокий конечный результат. В выигрыше оказываются все».

Как рассказал Касриэль, по иронии судьбы в документе, подготовленном IBM Smarter Workplace Institute в 2014 году, утверждалось, что удаленные работники чувствуют себя счастливее, меньше подвержены стрессам, демонстрируют более высокую производительность труда и вовлеченность и убеждены в том, что гибкие условия труда делают их компании более инновационными.

Так что, если вы ищете способы повысить производительность труда, инновационность, вовлеченность и конечные результаты, нужно не урезать возможности удаленной работы и гибкости, а, напротив, расширять их.

– Sharon Florentine. Remote work: A productive perk not worth taking away. CIO. October 4, 2017

Тема надежности паролей гарантированно вызовет зевоту у слушателей, заставив их «отключиться» и игнорировать вас, но реальность такова, что пароли по-прежнему имеют значение. Электронная почта, социальные СМИ, интернет-банки и игры, образовательные приложения и облачные сервисы – для любых систем, хранящих пользовательские данные, требуются пароли, чтобы защитить их от посторонних. И если не заботиться о надежности паролей, злоумышленники продолжат взламывать аккаунты и грабить банковские счета.

Основы известны всем: не используйте слова вроде password и не применяйте один и тот же пароль с разными аккаунтами. Включите двухфакторную аутентификацию по мере возможности; одноразовые пароли, присылаемые в SMS, – это в любом случае лучше, чем ничего. Пользуйтесь диспетчерами паролей, чтобы держать их в одном месте. Но хотя все эти рекомендации, безусловно, разумны, по-настоящему действенны они лишь в определенном контексте. Перечислим ряд популярных мифов о паролях и развеем их.

Миф № 1. Для надежности достаточно варьировать регистр букв и добавлять числа и специальные символы

Правда: уровень безопасности, обеспечиваемый сложными паролями, ограничен. Да, letmein – неудачный пароль, но Password1, Abc123 и Passw0rd – ничем не лучше, несмотря на смешанный регистр и цифры. Пользоваться паролями на основе простого слова в любом случае неудачная идея: взломщики паролей умеют перебирать разные варианты написания слов и словосочетаний, вроде vuln3rabl3 и trustno1. Можно упомянуть хотя бы тот факт, что последний из этих вариантов попал в список 25 самых распространенных паролей SplashData в 2014 году.

Справедливости ради отметим, что смешанный регистр, числа и спецсимволы значительно усиливают пароль по сравнению с написанным целиком в нижнем регистре. По приблизительной оценке, современному компьютеру нужно около двух суток на то, чтобы взломать пароль из восьми символов в нижнем регистре (поскольку возможных сочетаний 26^8 – 208 827 064 576), тогда как обширному ботнету на это достаточно всего 1,8 сек. Смешанный регистр замедляет перебор, а один-два спецсимвола сильно увеличивают количество сочетаний.

Но, если используемая в качестве пароля строка не представляет собой действительно случайную последовательность символов, не помогут ни смешанный регистр, ни числа со спецсимволами: в список 25 самых распространенных паролей SplashData за 2015 и 2016 годы попали соответственно 1qaz2wsx и 1q2w3e4r. То есть налицо попытка следовать правилам, но, если при этом нажимать клавиши, расположенные рядом, или использовать другие простые последовательности, эффективность метода сводится на нет. Взломщики паролей знают о том, как расположены клавиши на клавиатуре, и обязательно попробуют соответствующие варианты.

Миф № 2. Хороший пароль должен быть очень длинным

Правда: более длинные пароли, конечно, надежнее, но от 8 до 12 символов – вполне достаточно. Короткие пароли, действительно, взламываются «лобовым» методом – перебором – гораздо быстрее. Злоумышленнику намного проще угадать пароль из 6 символов, чем пароль из 10 или даже 8 символов. На современном компьютере 8-символьный пароль с буквами разного регистра и числами взламывается за 5,88 года, а на мощном ботнете – за 31 минуту. А вот если увеличить длину пароля всего на 2 символа, то такому ботнету уже понадобится 83 дня. А 10-символьный пароль с буквами, числами и специальными символами, что-нибудь вроде вроде %ZBGbv]8g?, компьютер будет взламывать 289 217 лет, а ботнет – 3 года.

Можно даже не добавлять символы и цифры: на взлом пароля длиной 40 знаков смешанного регистра уйдет больше 1000 лет. Так что же, выходит, все-таки лучше во что бы то ни стало делать пароль как можно длиннее?

Не спешите, нужно еще принять во внимание модель угрозы. Если больше всего беспокоит, что кто-то взломает базу и украдет хеши, то максимально длинные и сложные пароли – определенно лучший способ защиты (используемый метод хеширования тоже имеет значение, но сейчас речь не об этом). Но в компаниях обычно больше всего боятся вероятности многократного использования паролей и атак фишинга, а в этом отношении длина пароля не особенно важна. Если злоумышленник уже получил сам пароль с помощью фишинга, то неважно, сколько в нем символов – 8, 20 или 50. Копирование, вставка – и в вашем аккаунте чужак. А если от пользователей требуют вводить 20-символьные пароли, но при этом диспетчеры паролей не применяются, то пароли будут использовать многократно – это несомненно.

Важно также, что именно защищается. Если риск невелик – например, речь идет о компьютере в районной библиотеке, то 8-символьного пароля вполне достаточно. А если о сервисе, в котором хранится полная история ваших финансовых операций, то более длинный пароль – необходимость. Безопасность – это компромиссы: самые ценные аккаунты нужно защищать паролями, надежными, как Форт-Нокс. Не пользуйтесь одними и теми же паролями, не поддавайтесь на фишинг, и для многих аккаунтов 8-символьных паролей будет достаточно. Именно поэтому в последней версии рекомендаций Национального института стандартов и технологий указано, что 8 символов достаточно.

Есть еще и побочная проблема: пароли могут быть настолько длинными, что проще пользоваться функцией восстановления и сбрасывать пароль путем ответа на «секретный вопрос». А взломщику будет гораздо проще выяснить кличку вашего домашнего животного или название города, где вы выросли, чем угадать ваш пароль.

Миф № 3. Никогда не следует записывать пароли

Правда: все зависит от того, как вы это делаете. Кроме использования Password1 в качестве пароля, самый страшный «грех» – записывать свои пароли на бумажке. На самом деле это не всегда так уж ужасно. Главное, не наклеивать на монитор стикер с пометкой «мой новый пароль от онлайн-банка». Если вы записали новый длинный сложный пароль и неделю носите его в бумажнике, пока хорошенько не запомните, – это нормально, поясняют в компании Sophos. Более того, там даже советуют записывать самые важные пароли и хранить в сейфовой ячейке, чтобы в случае чего близкие смогли получить к ним доступ.

Миф № 4. Обязательная периодическая смена паролей повышает безопасность

Правда: таким образом только повышается вероятность того, что пользователи будут выбирать слабые пароли. Требование регулярной смены паролей было одним из главных элементов корпоративных политик безопасности буквально до недавнего времени. В некоторых организациях даже указывают минимальный «возраст» паролей, а чтобы пользователи не переходили сразу к предыдущему паролю, ведут историю паролей для предотвращения повторного использования и назначают минимально допустимое число символов нового пароля, чтобы он «достаточно отличался» от прежнего. Обязательная смена паролей имеет смысл, если существует опасность утечки паролей. Когда у организации есть подтверждение того, что пароли скомпрометированы, то принуждать к их смене, конечно же, нужно. Но менять пароли только потому, что прошло определенное число дней? Большого смысла в этом нет.

Согласно новым рекомендациям NIST, политики составления паролей нужно делать менее сложными, поскольку иначе пользователям труднее выполнять свои рабочие обязанности и повышаются расходы на обеспечение выполнения правил. Хотя смена паролей, казалось бы, хорошая идея, на самом деле пользователям так труднее запоминать очередной, и они начинают применять одни и те же пароли или легко угадываемые закономерности – например, Password1, Password12 и т. д.

– Fahmida Y. Rashid. Want stronger passwords? Understand these 4 common password security myths. CSO. October 3, 2017

Бизнес-аналитика (Business Intelligence, BI) важна для роста и приобретения конкурентных преимуществ, но, чтобы пользоваться возможностями BI, недостаточно только внедрить соответствующие технологии.

В сущности, такое внедрение – самая простая часть любой инициативы BI, уверен Борис Эвельсон, главный аналитик Forrester Research. Гораздо более сложными являются этапы, связанные с подготовкой персонала и процессов.

Эти этапы необходимо рассматривать в качестве ключевых аспектов успешной стратегии ВI. Кроме того, нужна дополнительная детализация, чтобы решить задачи, связанные с распределением ответственности и непрерывным совершенствованием.

Эксперты перечисляют семь основных элементов успешной стратегии в области BI.

1. Сделайте бизнес владельцем BI

Организации, где «собственником» BI является бизнес, чаще добиваются успеха, чем те, где BI находится в ведении отдела ИТ. В первом случае функции BI «встроены» в работу конкретных бизнес-отделов или специалисты по эксплуатации BI-системы отчитываются перед директором по цифровым технологиям либо директором по работе с клиентами. И как подчеркивают в Forrester, заведовать BI, безусловно, должен бизнес.

В прошлом из-за сложности BI-технологий за соответствующие проекты во многих случаях отвечал отдел ИТ, однако современные инструменты в большей степени ориентированы на пользователя, поэтому их можно сразу предоставлять бизнесу, чтобы сотрудники сами могли выполнять нужные им запросы.

Более того, требования, связанные с оперативным доступом к данным и знаниям, предоставляемым BI, в последние годы резко возросли. Современным бизнес-пользователям нужно получать ценную с практической точки зрения информацию в режиме реального времени.

Таким образом, если владельцем BI является служба ИТ, это может быть сдерживающим фактором, а не залогом успеха.

2. Следите за использованием BI и вносите корректировки по необходимости

Хотя владельцем проектов BI должен быть бизнес, отдел ИТ должен выступать в роли партнера, обеспечивая мониторинг и оценку использования систем BI. При этом нужно избегать создания препятствий бизнесу, следить за активностью пользователей: регистрировать источники данных, к которым они обращаются, инструменты, с которыми они работают, отмечать характер деятельности, сопоставлять уровни использования различными отделами и т. п.

Взаимодействуя с бизнес-подразделениями, ИТ-директор может устанавливать и отслеживать пороговые показатели. Например, он будет знать, когда определенное число маркетинговых аналитиков скачали подготовленный в ИТ-службе инструмент и начали активно им пользоваться. Кроме того, можно будет отследить момент, когда выросла активность бизнес-пользователей BI-системы, что свидетельствует о ее превращении в критически важное приложение, которому требуется дополнительное внимание со стороны отдела ИТ.

3. Проверяйте и еще раз проверяйте

В некоторых организациях может возникнуть соблазн как можно быстрее внедрить сразу множество функций BI, однако надо помнить: качество важнее количества. Лучше иметь ограниченное число инструментов, которым вы доверяете, чем много систем, предоставляющих данные сомнительного качества.

Поэтому при проверке систем нужно особое внимание обратить на способность предоставлять доступ к данным, необходимым для получения ответов на запросы. Кроме того, нужно предотвращать попадание в BI-систему проблемных данных, могущих ухудшить качество анализа. При этом процесс верификации должен быть достаточно скорым, чтобы обеспечить возможность оперативно реагировать на требования о внедрении новых функций BI.

Пример – BI-система, генерирующая отчеты о чистой выручке. Если этот инструмент получает данные о продажах, но не учитывает те проданные товары, которые затем были возвращены, то информация на выходе будет неточной.

Верификация важна не только для того, чтобы обеспечить точность данных, но и чтобы было что возразить скептикам. Ведь достаточно одного-двух человек, заявивших, что не доверяют данным, чтобы отчету перестали верить другие. В итоге отчеты окажутся ненужными, и весь проект может пропасть впустую.

4. Фокусируйтесь сначала на бизнес-задачах, затем – на данных

Не следует, осуществляя инициативы BI, применять подход «постройте, и они придут». Слишком часто в организациях создают репозитории данных и создают BI-систему в качестве надстройки, рассчитывая, что это устроит бизнес-пользователей.

Более оптимальным будет подход «сверху вниз», ориентированный на бизнес-результаты: начинать надо не с данных, а с решения бизнес-задачи.

Пример: в отделе маркетинга обратили внимание на текучку клиентов и хотят разобраться в ее причинах. Следует сосредоточиться на том, как получить ответ на вопрос отдела маркетинга. Для этого надо вначале определиться, какие показатели нужно измерять, обеспечить доступ к данным, которые требуются для сбора этих показателей, а затем предоставить отделу маркетинга возможность обрабатывать информацию.

Необходимо четко обозначить бизнес-проблему и показатели, нуждающиеся в анализе, и только потом разбираться, где именно получить нужные данные.

5. Назначайте приоритеты и реализуйте процессы совершенствования

Успешная стратегия BI должна включать планы развития и улучшения. Необходимо определиться, какие именно бизнес-знания требуются организации и какие из них наиболее важны, чтобы отдел ИТ предоставлял в первую очередь самое ценное для бизнес-пользователя, а затем решал другие задачи в порядке приоритетности.

Кроме того, нужно, чтобы программа BI могла адаптироваться по мере изменения приоритетов. Она должна эволюционировать вместе с потребностями участников бизнес-сообщества. Наряду с этим в стратегии BI должны быть предусмотрены процессы развития и совершенствования самой системы. Рекомендуется итеративный подход, чтобы инструментарий BI можно было расширять, не прерывая его использования бизнесом, при этом необходимо определять, в чем система выполняет его потребности, а в чем – нет.

6. Расширяйте навыки «гражданских» исследователей данных

В отчете «Магический квадрант платформ BI и аналитики» за 2017 год, подготовленном компанией Gartner, прогнозируется, что в предстоящие несколько лет численность «гражданских» исследователей данных будет расти впятеро быстрее, чем количество обычных. Под гражданскими исследователями данных в Gartner понимают сотрудников, чья основная специальность не аналитика.

Синди Хаусон, вице-президент по исследованиям Gartner, отмечает, что топ-менеджеры сетуют на нехватку специалистов, испытывая сложности с наймом гражданских ученых по данным и выявлением уже имеющихся в штате.

Речь идет о специалистах-универсалах, поясняет Хаусон: они разбираются в бизнесе и понимают, какие вопросы следует задавать системе. Чтобы легче было предоставлять им необходимые инструменты, требуется более простое в использовании программное обеспечение.

Эксперты уверены, что со временем, благодаря развитию ПО, бизнес-пользователи смогут сами задавать вопросы и получать на них ответы, пользуясь срезами данных, не представленными заранее в виде моделей. Гражданских ученых по данным отличают стремление к расширению кругозора, способность задавать верные вопросы, интерпретировать получаемую в ответ информацию и навыки использования необходимого ПО для повышения бизнес-результатов.

7. Обучайте персонал «рассказывать истории» с помощью данных

Вооружившись знаниями, предоставленными средствами BI, можно рассказывать истории, которые помогают другим понять, что пытаются «сообщить» данные. Для создания таких историй, помогающих извлечь максимум пользы из аналитики, обычно используются встроенные в средства BI функции отчетности и визуализации.

Помимо данных и инструментальных средств, составление историй требует особых умений. Нужна не только способность готовить эффектные отчеты, но и навыки находить не всегда очевидные связи реальной жизни с данными, умение формулировать выводы, которые бизнес сможет использовать для увеличения дохода.

Руководителям необходимо поддерживать и поощрять сотрудников, обладающих такими навыками.

Пример: при анализе данных по продажам в магазине можно обратить внимание на то, как малозаметные изменения погоды влияют на выручку. Для анализа пользователь может задействовать данные о погоде из внешнего источника; это поможет сделать выводы о том, как оптимизировать продажи.

Есть масса всевозможных внутренних и внешних данных, которые можно использовать для получения более точных знаний. В рамках успешных программ BI аналитики могут делать гораздо больше, чем просто измерять стандартные ключевые показатели эффективности. Более того, каждый показатель эффективности необходимо подвергать сомнению, удостоверяясь в том, что вы используете доступную вам информацию в полном объеме.

– Mary K. Pratt. 7 keys to a successful business intelligence strategy. CIO Magazine. Sep. 26, 2017

25 мая 2018 года регулирующий акт Евросоюза «Общие положения о защите данных» (General Data Protection Regulation, GDPR) вступает в силу в полном объеме, он касается любой компании в мире, занимающейся обработкой и хранением персональных данных лиц, проживающих в ЕС. Новый акт предоставляет людям больше прав касательно управления их персональными данными (Personally Identifiable Information, PII), осуществляемого компаниями. Также он предусматривает крупные штрафы за его неисполнение и нарушение конфиденциальности данных – до 4% годового дохода компании. Кроме того, компании должны в течение 72 часов предоставлять отчеты об утечках данных. (См. подробную информацию о данном регулирующем акте в «Требованиях, нормативных сроках и фактах “Общих положений о защите данных (GDPR)"».) 

Даже если вы не ведете бизнес с ЕС, вероятнее всего, новый закон окажет влияние на стандарты обеспечения глобальной безопасности в перспективе. Поэтому компании, работающие в ЕС или с данными, на которые распространяется действие GDPR, пытаются быстро и заблаговременно обеспечить соответствие этому документу. Службам безопасности необходимо будет убедиться в том, что данные, идентифицирующие личность, надлежащим образом защищены и соответствующие процедуры отчетности имеются.

По словам Брайана Вечи, технического евангелиста компании Varonis, которая специализируется на разработке систем по контролю и управлению правами доступа к распределенным файловым ресурсам, большинство компаний совсем не готовы к работе в новых условиях. Есть американские компании, которые подпадают под действие этого нового документа о конфиденциальности лишь потому, что кто-то из ЕС подписался на их информационную рассылку. И если в вашей организации имеются персональные данные гражданина одной из 28 стран – членов Сообщества, то этот акт касается и вас.

GDPR не определяет каких-либо конкретных средств управления защитой данных, которые должна использовать организация. Компания может сама определять необходимые средства обеспечения безопасности собранных данных, конфиденциальности и управления рисками.

GDPR не определяет каких-либо конкретных средств управления защитой данных, которые должна использовать организация. Компания может сама определять необходимые средства обеспечения безопасности собранных данных, конфиденциальности и управления рисками.

Оливье ван Хуф, менеджер по предварительным продажам в Европе бельгийской компании Collibra, разрабатывающей ПО, считает, что GDPR начинается с управления данными: «Вы должны установить платформу управления данными прежде, чем вы действительно сможете начать защищать данные. Это значительно больше, чем просто техническая защита данных. Большинство организаций начинают с рассмотрения своих бизнес-процессов, затем переходят к рассмотрению логических процессов, используемых при сборе данных, и затем – к самим физическим данным. GDPR – это также понимание того, что данные действительно принадлежат личности. Вы же в действительности лишь размещаете у себя эти данные».

Что GDPR подразумевает под персональными данными?

Определение персональных данных в GDPR значительно шире, чем ранее существовавшие. Оно включает в себя любую информацию, касающуюся конкретного человека, будь то личные, публичные или профессиональные данные. Это не только имена, адреса и финансовая информации, но и все то, что может идентифицировать личность (например, IP-адреса, идентификация пользователей при регистрации для входа в систему, данные биометрической идентификации, данные о географическом местоположении, видеоматериалы, статистика лояльности клиента, посты и фото в социальных сетях).

Обеспечение соответствия GDPR означает, что вы не только должны обеспечивать защиту большего числа видов данных в будущем, но и затрачивать больше усилий на идентификацию существующих данных.

Страны, затрагиваемые GDPR, должны будут идентифицировать в силу своих возможностей информацию, которая не отслеживалась или не индексировалась ранее. Например, записанный звонок в службу поддержки клиентов, возможно, необходимо будет локализовать, защитить, отследить и внести в отчет.

Каковы новые права пользователей в сфере персональных данных?

Документально оформленное добровольное согласие лица на использование информации должно даваться каждым человеком (или его официальным представителем). Согласие должно однозначно определять собираемые данные, цель их использования и длительность их хранения. Пользователи могут отозвать свое согласие в любое время и отправить запрос на удаление их персональных данных (при условии, что они укажут обоснованную причину).

В соответствии с GDPR физические лица могут также контролировать, что происходит с их персональными данными. Они могут рассчитывать на исправление фактических ошибок, видеть, какая информация о них хранится, и даже экспортировать ее для своего персонального просмотра и использования. Эти важные права являются новыми для большинства организаций.

Большинству компаний сначала просто нужно понять, какие положения GDPR у них уже выполняются. Им необходимо выяснить, где хранятся эти данные и подпадают ли они под действие GDPR. Затем им необходимо обеспечить их защиту по принципу минимальных привилегий и отслеживание их изменений. Компания Varonis так и делала с самого начала. Она специализируется не только на поиске данных, но и на определении, кто к чему имеет доступ и нужен ли им доступ к этим данным. Прежние нормативные документы, касающиеся защиты данных, требовали обеспечивать защиту данных от доступа извне. Теперь их необходимо лучше защищать изнутри, поскольку статья 25 GDPR гласит, что данные должны быть защищены по принципу минимальных привилегий намеренно и по умолчанию. И вы не можете сделать это, не понимая, где они находятся и кто может получить к ним доступ.

Каким образом GDPR влияет на структуру служб безопасности?

GDPR дает определение многочисленных функций участников процесса, прописывает правила и обязанности каждого из них. Субъект данных – это лицо, чьи персональные данные собираются. Управляющий данными – это организация, собирающая данные. Обработчик – это организация, обрабатывающая данные по поручению управляющего данными. Управляющие и обработчики обязаны вести письменный учет того, какие данные были собраны, каким образом они были собраны, как они были использованы, когда они были удалены.

Службам безопасности предстоит не только защищать данные от традиционных угроз, но и делать это так, чтобы процесс был прозрачным, документально оформленным и пригодным для возможного использования в отношении большого количества субъектов данных, и все это при строгом обеспечении безопасности данных. Каждому члену службы компьютерной безопасности необходимо разъяснить методы обеспечения соответствия требованиям GDPR.

Многие предприятия-участники, частные и государственные, должны иметь ответственного за защиту данных (data protection officer, DPO). Руководитель по защите данных должен обладать техническими знаниями или иметь персонал для защиты данных и обеспечения преемственности бизнеса. В ЕС считают, что позиция DPO настолько важна, что разработали отдельный, подробный 18-страничный документ о данной позиции.

Может показаться, что позиция по защите данных больше всего подходит руководителю информационной безопасности, однако руководитель по защите данных должен четко понимать требования к конфиденциальности и обеспечению соответствия, что обычно лучше понимают директора по вопросам конфиденциальности (chief privacy officer, CPO) или другие защитники конфиденциальности, однако они могут не понимать технической стороны вещей. В малом бизнесе все может закончиться назначением «наиболее подходящего» работника в качестве управляющего данными или даже выбором внешнего руководителя по защите информации. В любом случае GDPR требует, чтобы такой руководитель был независимым аудитором соответствия требованиям и был доступен для субъектов данных, для организации, следующей предписаниям данного акта, и для инспекторов GDPR.

Ван Хуф отмечает, что большинство европейских компаний уже наняли директоров по защите данных.

Отчеты о защите и обработке данных должны храниться и предоставляться для текущих и регулярных проверок не только аудиторам, но и субъектам данных. Каким образом организация обеспечит доступ к отчетам для индивидуальной частной проверки и в то же время защитит их от несанкционированного просмотра? Потребуется ли для каждого отдельного субъекта новая система сопровождения управления идентичностью и контроля доступа с учетом того, что потенциально возможных субъектов данных миллионы? Может ли организация соответствовать требованиям GDPR, просто распечатывая личные отчеты и рассылая пользователям бумажные копии? Это важные моменты, которые должны проработать директора по защите данных, руководящий состав и служба безопасности.

Национальные органы управления защитой данных

Каждая страна – член Сообщества имеет национальный орган управления защитой данных (data protection authority, DPA). DPA несут ответственность за установление соответствия и проведение в жизнь соответствующих законов на национальном уровне, но обязаны быть независимыми даже от контроля со стороны собственного национального правительства.

Страны – члены Сообщества могут иметь один или более органов управления. Каждая организация может выбрать один DPA, который контролирует соответствие GDPR для организации в целом. Единый надзорный орган имеет возможность контролировать обработку и защиту данных, обеспечиваемые в других странах-членах. Критики справедливо отмечают, что компании, работающие в нескольких странах – членах Сообщества, могут выбрать для работы наиболее гибкий DPA подобно тому, что они уже сегодня делают для снижения налогов и организационной независимости.

DPA созданы в рамках предыдущего закона ЕС о защите данных, но были значительно усилены в регулирующем акте. DPA фактически являются официальными государственными регулирующими и надзорными органами в структуре GDPR. Орган управления защитой данных помогает принимать решения в правовых вопросах и может расследовать деятельность компаний в случае нарушений и приостанавливать работу управляющих данными и обработчиков, несущих юридическую ответственность за нарушения GDPR, и определять штрафные санкции. Кроме того, он решает, может ли организация передавать данные за пределы ЕС, и если да, то какие механизмы защиты следует применить. В конкретной организации основным лицом, поддерживающим связь с DPA, вероятно, будет руководитель по защите данных.

Если субъект данных понимает, что произошло нарушение, он может связаться либо с DPO, либо с DPA, который был выбран данной компанией и контакты которого были переданы субъекту. На практике это может быть очень неудобно, поскольку DPO или DPA компании, управляющей данными или обрабатывающей их, может не находиться в той же стране.

Об утечках данных следует сообщать незамедлительно

Об утечках персональных данных следует сообщать немедленно или по крайней мере в течение 72 часов в единый надзорный орган – DPA. Лица, которых это коснулось, должны быть оповещены, если ожидаются негативные последствия. Однако если эти данные соответствующим образом зашифрованы или обезличены и эта критичная защита не была взломана, то людей оповещать не следует.

Службы безопасности, вероятно, будут испытывать больше давления, поскольку должны убедиться в том, что все персональные данные надлежащим образом зашифрованы или обезличены. Ранее шифрование в основном было направлено на защиту портативных устройств. Обеспечение соответствия GDPR, скорее всего, приведет к большому спросу на еще большее шифрование данных во всей компании.

Также службы безопасности будут подвергаться повышенному давлению из-за необходимости быстрее, чем раньше, определить, явилась ли утечка данных событием, требующим отчетности. 72 часа – слишком малое время для многих организаций, особенно если пытаться понять, может ли какой-либо факт предотвратить необходимость сообщать об утечке затронутым субъектам данных или в прессу.

Как подготовиться

Любой сотрудник компаний, подпадающих под действие GDPR, занятый сбором, хранением, обработкой данных, уже должен знать основы регулирующего акта. Необходимо сформировать группы людей, которые будут заниматься подготовкой к введению GDPR в действие и обеспечением его выполнения. Наиболее важные сотрудники должны пройти обучение по GDPR с проверкой их знаний. При необходимости назначьте или наймите сотрудника, ответственного за обеспечение соответствия данных требованиям GDPR.

Оцените готовность вашей компании выполнить требования GDPR (например, персонал, инструменты и процессы), отметив области, требующие наибольшего внимания. Простое определение имеющихся данных, уже соответствующих требованиям GDPR, будет серьезной первоначальной задачей. Большинство компаний столкнутся с необходимостью создать новые системы для отслеживания изменений данных в соответствии с нормами GDPR или изменить существующие системы.

Заранее определите, что вашей компании придется делать в случае утечки персональных данных. С кем вы будете связываться? Какую информацию вы должны передать? Кто определяет, следует ли уведомить субъектов данных?

GDPR – это новый стандарт по защите конфиденциальности персональных данных. Он призван дать субъектам данных больше возможностей по контролю данных и обеспечить прозрачность операций и защиту. Это отличная вещь для защиты конфиденциальности, но масса работы для тех, кто должен выполнять требования этого акта.

***

Многие компании видят в GDPR лишь еще одну обузу, дополнительные расходы. Но, может быть, следует его рассматривать как возможность? Часто бывает, что компании собирают данные в течение длительного времени и даже не уверены, нужны ли они им. А GDPR заставит их пересмотреть причину сбора этих данных, срок их хранения, способ их обработки. Это шанс оптимизировать не только данные, но и работу, связанную с этими данными.

− Roger A. Grimes. How to protect personally identifiable information under GDPR. CSO. August 14, 2017