Статьи

Нынешний год принес настоящий шквал инцидентов, связанных с информационной безопасностью, – от массового фишинга с использованием налоговой информации, брешей в WordPress, компрометации корпоративной электронной почты и DDoS-атак до подозрений во «взломе» президентских выборов.

При этом нет оснований полагать, что в 2017-м ситуация улучшится – все может стать только хуже с учетом того, что злоумышленники продолжают развивать навыки социальной инженерии, находят новые способы подсовывать вредоносы, взламывать уязвимые базы данных и с помощью мобильных технологий проникать в корпоративные сети и аккаунты частных лиц.

Своими прогнозами на 2017 год поделились два эксперта по кибербезопасности – Мэтт Диркс, глава компании Bomgar, создавшей ПО удаленного администрирования, и Скотт Миллис, директор по технологиям компании Cyber adAPT, поставляющей защитные средства для мобильных устройств.

Также мы попросили поделиться своими прогнозами представителей известных российских компаний из сферы информационной безопасности.

1. Пароли «повзрослеют»

DDoS-атака, поразившая внушительную часть Интернета во второй половине октября, стала возможной из-за того, что на устройствах Интернета вещей не меняли пароли, установленные по умолчанию. Чем и воспользовались взломщики. Не надейтесь, что вы защищены: подумайте, сколько пользователей в вашей организации могут иметь простые, расхожие или давно не менявшиеся пароли! В 2017 году вырастет популярность надежных сервисов управления паролями, поскольку в компаниях наконец осознают, насколько велика вероятность взлома.

Пока ненадежные пароли остаются нормой, у экспертов по ИТ-безопасности будут сложности с защитой критически важной инфраструктуры, «соединенных» устройств и систем с удаленным доступом, причем проблема не только во внешних угрозах.

Более эффективное управление паролями поможет и в борьбе со злоумышленниками-инсайдерами. Оптимальный способ – внедрить решение, которое будет защищенно хранить пароли так, что они останутся неизвестными самим пользователям, и регулярно выполнять проверку и ротацию.

«Речь идет о службах хранения учетных данных, – поясняет Диркс. – В идеале пользователь вообще не будет знать свой пароль – он автоматически создается таким сервисом и каждую неделю меняется. Хакеры прежде всего рассчитывают на человеческую лень и небрежность. Если им серьезно затруднить задачу подбора пароля, они скорее выберут другую мишень, а не будут тратить силы на взлом более сложной защиты».

2. Будет усилена защита привилегированных пользователей

Хакерам нужен доступ с большим числом полномочий, поэтому они чаще пытаются получить верительные данные привилегированных пользователей – сисадминов, глав компаний, поставщиков систем. Сегодня средств безопасности, защищающих важнейшие для бизнеса компании системы, приложения и данные, уже недостаточно. В 2017 году в организациях начнут надежнее защищать не только системы, но и самих привилегированных пользователей – их «поставят на учет», будут следить за их действиями и блокировать доступ к системам, которые им не требуются для работы.

«У нас были клиенты, которые полагали, что достаточно предоставить пользователям и внешним поставщикам доступ по VPN – и проблема защиты решена, – говорит Диркс. – При этом их не волновало, к каким ресурсам могли обращаться пользователи по VPN. Управление привилегиями – это как лифт, на котором вы можете попадать только на определенные этажи в зависимости от своего уровня доступа. Система управления привилегиями жестко ограничит вас в возможностях, особенно если вы пытаетесь что-то взломать. Если у меня есть действующий пароль и мои права позволяют попасть на первый и седьмой этаж, а я нажимаю кнопку “6”, система не только заблокирует действие, но и предупредит кого следует».

Проблему не решить без участия поставщиков услуг обучения – от них требуется подробно разъяснить все опасности, особенно с учетом роста численности мобильных сотрудников, которые нередко ради удобства доступа готовы принести в жертву приватность и личные данные, полагая, что об их безопасности позаботятся провайдеры сторонних сервисов и разработчики приложений.

«Поколение “цифровых аборигенов” с легкостью отдает личные данные в обмен на доступ к приложениям, услугам связи, информации, чем, естественно, пользуются злоумышленники, – предостерегает Диркс. – Пользователи готовы довериться разработчикам приложений и операторам сервисов, считая себя защищенными. Добавьте сюда нехватку навыков и дефицит специалистов по безопасности, массовый переход на мобильные приложения, стремительное развитие методов взлома – и катастрофа не за горами. По нашему прогнозу, прежде чем положение начнет исправляться, все станет еще хуже».

3. Продолжатся поиски виноватого

«Пугающая тенденция, которую мы наблюдаем, – пользователи уже не ставят под сомнение то, что атака произойдет, они лишь задаются вопросом, когда это случится, – говорит Диркс. – По сути, они как будто сдаются на милость нападающих, смиряясь с тем, что их побьют, и при этом лишь интересуются, насколько сильно. Меня это просто ужасает».

С распространением Интернета вещей и все более широким использованием сервисов безопасности станет сложнее выявлять ответственных за брешь и источник нарушения безопасности. Кто именно отвечает за защиту, сопровождение и обновление различных технологий? Еще хуже, когда к внутренним системам подключают уязвимый продукт, для которого вообще не предусмотрен механизм устранения ошибок. А о защите некоторых устройств Интернета вещей не заботятся, так как это просто никому не приходит в голову.

«С внедрением устройств Интернета вещей, средств автоматизации и облачных сервисов становится непонятным, кто именно отвечает за безопасность всех этих разнородных систем: производитель устройства Интернета вещей, поставщик услуг безопасности, внутренний отдел ИТ, конечные пользователи? – продолжил Диркс. – Вы защищены лишь настолько, насколько защищено ваше самое уязвимое устройство или соединение».

Когда безопасность нарушается, в том числе с прорывом через несколько уровней защиты, вопрос о том, кто несет за это ответственность и кто должен принимать контрмеры, неизбежно вызовет жаркие дебаты и приведет к перекладыванию вины.

Избежать поиска козла отпущения можно, если обеспечить открытый обмен информацией между ИТ- и бизнес-руководителями, чтобы последние были в курсе возможных угроз, способов защиты, а также сложностей и ограничений, имеющихся в организации.

«Отчасти проблема в том, что директора по безопасности и даже ИТ-директора – любые руководители, отвечающие за киберзащиту, – либо “невидимы”, когда делают свою работу хорошо, либо сразу оказываются под огнем, – добавляет Диркс. – Подготовив оптимальные политики, процедуры и меры безопасности, вы можете оставить их внедрение отделу ИТ. Но, если они оказываются неэффективными, поскольку вы не понимаете потребностей бизнеса, бюджетных ограничений и требований, пользы от вас никакой».

4. Вырастет лавина программ-вымогателей

Начиная с 1 января 2016 года в подразделении Security Response корпорации Symantec регистрируют в среднем по 4 тыс. атак программ-вымогателей в день, это на 300% больше, чем в 2015-м, судя по отчету Symantec Internet Security Threat Report 2016.

В большинстве организаций, чтобы оградить себя от таких угроз, пользуются защитными системами с низкими накладными расходами – межсетевыми экранами и антивирусами или системами предотвращения вторжений. Но этих инструментов недостаточно, и нынешние показатели нарушений безопасности говорят о том, что механизмы распознавания и реагирования на инциденты нуждаются в улучшении.

С учетом того, что атакующие активно пользуются социальной инженерией и социальными сетями, чтобы компрометировать пользователей на ответственных должностях и таким образом добираться до данных, потребность во всестороннем обучении по теме безопасности сегодня как никогда актуальна.

«Если в политиках и технологиях безопасности не учитывать эти векторы атаки, программы-вымогатели продолжат просачиваться в сети, – говорит Миллис. – Также могут быть сложности с распознаванием. Атакующий может находиться в корпоративной сети месяцами, переходя окольными путями от среды к среде, а если у вас системы защиты сети, периферии, оконечных устройств и данных изолированы друг от друга, это может ограничивать возможности распознавать сложные атаки, предотвращать их и вовремя на них реагировать».

Можно добавить, что такие поверхности атаки, как инфраструктура и платформы в виде сервиса, а также Интернет вещей, еще достаточно новы, а потому в организациях не успели определиться с оптимальными способами их защиты.

5. «Время опоздания» сильно не изменится

Время опоздания – временной промежуток между успешной атакой и ее обнаружением жертвой – в 2017 году меньшим не станет. В экстремальных случаях время опоздания может достигать двух лет и стоить компании миллионных потерь.

Почему так долго? Ответ до неприятного простой: распознаванию признаков уже идущей атаки не уделяется достаточного внимания. Когда наступила эпоха вредоносов, поставщики систем безопасности и их заказчики справедливо задались целью не допустить злоумышленников в сеть, и целая отрасль быстро сфокусировалась на двух основных задачах: «глубокая оборона», или создание многоуровневой защиты, максимально затрудняющей проникновение извне, и «распознавание вредоносов», проявившееся в своего рода гонке вооружений по созданию механизмов стопроцентно надежного распознавания.

Технологии реагирования и восстановления совершенствовались, благодаря чему появилась возможность устранять повреждения очень быстро. Но эти технологии не помогают сократить время опоздания, если, конечно, при ликвидации атаки не находят еще какие-то вредоносы или случайно не наталкиваются на аномалии.

Сегодня специалисты по безопасности пользуются протоколами работы сетевых устройств для поиска свидетельств атаки, но хранение и обработка гигантских объемов информации, которые для этого нужны, – дороги и неэффективны.

«Потребность в огромных хранилищах данных и мощных аналитических движках породила индустрию средств управления информацией и событиями безопасности (SIEM), – говорит Миллис. – SIEM – отличный инструмент проведения экспертизы постфактум, но для идентификации уже происходящей атаки он неэффективен. Сейчас мы и еще некоторые компании разрабатываем продукты, специально предназначенные для анализа сетевого трафика в чистом виде, чтобы выявить признаки атаки. Если атакующих можно будет находить максимально быстро после того, как они преодолели периферийную защиту или обошли ее, будучи инсайдерами, то время опоздания радикально сократится».

6. Мобильные устройства будут становиться точкой входа все чаще

В 2017 году как минимум один крупный прорыв безопасности на предприятиях будет совершен с использованием мобильных устройств, а скорее всего, таких инцидентов будет больше. Согласно докладу Ponemon Institute, экономический риск от мобильных утечек данных для предприятия может достигать десятков миллионов долларов, и 67% организаций, участвовавших в опросе, сообщили о случаях утечки, ставшей следствием использования служащими мобильных устройств для доступа к конфиденциальной информации компании.

Люди и их мобильные устройства сегодня перемещаются слишком много и слишком быстро, поэтому стратегии ИТ-безопасности старого образца перестают быть столь эффективными. К тому же обладатели мобильных устройств считают, что вольны делать на них что угодно, чем, естественно, пользуются злоумышленники.

«Многие пользователи полагают, что смогут сохранить приватность, имея постоянный защищенный доступ одновременно к корпоративным и личным сервисам, – делится Миллис. – И к тому же многие убеждены в том, что это не они виноваты в нарушениях безопасности. Если они могут обойти “безопасность” ради своего удобства, они это сделают. Директора по ИТ, по безопасности и главы компаний признают: подобное отношение – серьезное препятствие для осуществления корпоративных стратегий безопасности, которое нельзя преодолеть, передавая электронную почту и данные календарей по SSL на единственную санкционированную компанией платформу».

Могут возникнуть сложности из-за мобильных платежей. Сервис «платежа по селфи» MasterCard и система Intel TrueKey – это только верхушка айсберга. Биометрическую информацию нужно защищать так же тщательно, как финансовые и личные данные. Чтобы внушить эту мысль, нужны обучение и инструктаж.

«Неплохо было бы, если бы операторы Wi-Fi выводили на экран что-то вроде предупреждения, которое есть на сигаретных пачках, – полагает Миллис. – Скажем, такого типа: “Внимание! Данное общедоступное соединение не защищено, и информация, которой вы по нему обмениваетесь, может быть перехвачена и использована злоумышленниками для хищения ваших активов, личных данных и приватных сведений”».

7. Интернет угроз?

Атак, совершаемых с использованием уязвимостей Интернета вещей, будет становиться все больше, в связи с чем будет расти потребность в стандартах различных мер безопасности. В 2016 году специалисты по безопасности сообщили о 47 найденных ими новых уязвимостях в 23 устройствах 21 производителя.

Можно еще раз напомнить о массированной DDoS-атаке, совершенной в октябре 2016 года на крупнейшие сайты мира, включая Twitter, Netflix, Reddit и сайты британского правительства, которая была организована с помощью ботнета Mirai из незащищенных устройств Интернета вещей.

«Сегодня много говорят о распространении “умных” устройств как о свидетельстве роста влияния Интернета вещей, – отмечает Диркс. – Но, если устройство может соединяться с сетью, это еще не делает его “умным”. Многие из них сделаны предельно простыми, по принципу “включил и забыл”, а у каких-то есть встроенные функции, о которых пользователь даже может не знать, как у маршрутизаторов в ботнете Mirai. Многим в голову не приходит защищать подобные вещи, хотя они, будучи подключенными к Интернету, доступны всему миру».

Проблема не ограничивается малыми потребительскими устройствами или соединенными домами и автомобилями, и дело даже не в вероятности очередной DDoS-атаки. Гораздо большие опасения вызывают возможные атаки на крупные инфраструктурные системы – например, на электрическую сеть, авиационную и железнодорожную электронику.

«Меня не столько беспокоит то, что мой “соединенный” душ начнет произвольно включать горячую и холодную воду, сколько достаточно большая вероятность крупного взлома магистральных электросетей или транспортных систем в 2017 году, – признается Диркс. – Ведь речь по сути идет о “безголовом” Интернете вещей, технологиях из 1950-1960-х, которые до сих пор применяются в основе этих важнейших инфраструктурных систем и практически не защищены».

Проблема в том, что люди в основном не воспринимают эти системы как что-то подобное современным устройствам Интернета вещей, полагает Миллис: «Устройства Интернета вещей считаются чем-то современным, а потому не подверженным тем же ограничениям, что и более старые технологии. Но если подумать, разве это так? Смартфон – самое распространенное в мире устройство с выходом в Интернет, а устройств Интернета вещей будет на порядки больше, чем смартфонов. В некоторых организациях благоразумно забегают вперед и пытаются защитить устройства Интернета вещей. Сегодня вся активность в этом отношении опять сводится к предотвращению атак, но мы уверены в том, что любое устройство и любое соединение можно скомпрометировать. Возможность сократить время опоздания и защитить устройства Интернета вещей зависит от способности определить факт компрометации как можно быстрее и с максимальной достоверностью».

– Sharon Florentine. 2017 security predictions. CIO. November 30, 2016

По словам генерального директора кадрового агентства LaSalle Network Тома Гимбела, вовлеченность сотрудников – не единственное, о чем приходится беспокоиться в ходе рабочего процесса, а всего лишь один из показателей, которые необходимо оценивать и отслеживать на протяжении всей карьеры работника.

В течение первого года в компании сотрудники, как правило, работают на максимуме – их волнуют открывающиеся перед ними перспективы, и они постоянно изучают что-то новое. Но беспокойтесь о том, чтобы они не оказались в состоянии «спада второгодника»: по прошествии года или двух работа теряет для сотрудника прежнюю притягательность и энтузиазм постепенно ослабевает.

«Нужно постоянно показывать людям, что вы инвестируете средства в их развитие, заботитесь о них и заинтересованы в их профессиональном росте, – настоятельно рекомендует Гимбел. – Вовлеченность – это параметр, оцениваемый в реальном времени. Хорошие менеджеры всегда должны держать здесь руку на пульсе независимо от того, как долго сотрудники работают в компании».

В организациях понимают, что вовлеченные в деловой процесс работники более продуктивны, но данные о вовлеченности показывают, что руководству не вполне ясно, как эту вовлеченность поддерживать. И решить вопрос может помочь геймификация – тенденция, набирающая популярность.

Геймификация

Геймификация уже завоевала множество поклонников. Так, носимые устройства наподобие FitBit превращают занятия фитнесом в увлекательную игру, в ходе которой вы собираете значки и зарабатываете награды за физическую активность и укрепление здоровья. В производственных приложениях геймификации тоже нет недостатка. К примеру, программа Task Hammer поможет превратить составление скучного списка планируемых дел в увлекательную игру. Составив продолжительные «эпические квесты» и «распорядки дня», вы приступаете к сбору аватаров, приобретению нужных навыков, зарабатыванию очков и премиальных баллов, отмечая выполненные пункты плана.

Привлекательность геймификации сродни привлекательности видеоигр: и в том и в другом случае активизируются центры человека, заставляющие его стремиться к получению наград. Результаты исследования, опубликованные журналом «Frontiers of Human Neuroscience», показывают, что видеоигры также улучшают когнитивную активность, а награды и навыки, приобретенные в ходе игры, остаются с человеком и после ее окончания. Разработчики геймифицированных приложений используют ту же концепцию, помогая людям повышать мотивацию при выполнении того, что они делают неохотно, будь то фитнес, рутинные задачи или работа.

Ученые поддерживают идею о том, что геймификация может быть весьма эффективна в рабочей среде. Исследование, опубликованное в издании «Interaction Design and Architecture Journal» Хенсе, Мандлем и Клеверсом, устанавливает связь между геймификацией и совершенствованием карьерных навыков. Его авторы выявили, что геймификация не только повышает мотивацию, упрощающую приобретение и сохранение новых знаний, но и может быть встроена в существующую техническую инфраструктуру без изменения основных рабочих процессов.

Наука мотивации

В исследовании Хенсе, Мандль и Клеверс разделяют мотивацию на несколько категорий. Некоторых работников мотивируют достижения, других – власть, третьим нужно чувствовать сопричастность к деятельности группы или ощущать свою компетентность. Список этот можно продолжить, но и в уже приведенном виде он показывает, что одни и те же действия, направленные на повышение уровня мотивации, годятся не на все случаи жизни и не всем работникам. А значит, любое приложение производственной геймификации должно поддерживать функции, адресованные каждому из типов работников.

Значки, например, могут мотивировать тех, кто стремится к власти или желает чувствовать сопричастность к сообществу. Руководителей могут вдохновить конкурентоспособность подчиненных или «социальное родство» членов команды. Кому-то нужны ежедневные или еженедельные вызовы, позволяющие устраивать дружественное соревнование и привносить в скучную офисную работу элементы соперничества.

Включение в геймификацию квестов помогает определять награды, непосредственно связанные с какими-то целями или достижениями. Встраивание в приложение «содержательных историй» лучше вовлекает сотрудников в учебный процесс и помогает провести его в определенном контексте, что создает ощущение автономности.

Ставки на себя

Гэл Раймон, генеральный директор компании GamEffective, разрабатывающей приложения геймификации для бизнеса, предлагает сотрудникам делать ставки на завершение рабочего дня с учетом намеченных планов и ожиданий. В продающем подразделении, например, сотрудник определяет для себя дневной объем продаж или количество приобретенных новых клиентов. Показатели эффективности в разных отделах отличаются друг от друга. Разработчики оценивают прогресс, достигнутый на пути к поставленным целям или в ходе реализации проектов, а представители службы технической поддержки подсчитывают число выполненных за день заявок на обслуживание. Недостатка в бизнес-приложениях геймификации сегодня нет, и ставки на производственные достижения только один из примеров такого рода.

Работа в реальном времени

Приложения оценивают производительность и вовлеченность в реальном времени, предоставляя сотрудникам возможность точно сопоставлять свои достижения с достижениями коллег. Работнику, чтобы узнать, отстает он от других или нет, не нужно ждать аттестации или бесед с глазу на глаз – все видно непосредственно в приложении, и можно вовремя принять меры.

Менеджерам важно решать вопросы вовлеченности как можно раньше, не дожидаясь, пока они перерастут в серьезные проблемы. Ключевая роль здесь отводится открытым коммуникациям и открытой среде, в которой сотрудники могли бы, не стесняясь, говорить о своих усилиях или выключении из общего процесса.

«Чаще всего сотрудники понимают, когда что-то идет не так, – отметил Гимбел. – Возможно, им не хочется признаваться или серьезно задумываться, но, как правило, они осознают это. Игровая сторона геймификации помогает работникам получить необходимую мотивацию, а ее аналитическая сторона позволяет сотрудникам и менеджерам глубже погрузиться в производственную тему».

Наличия объективной информации о производительности может оказаться достаточно для превращения выключенных из общего процесса работников в активно вовлеченных в него еще до того, как потребуется вмешательство руководства. Менеджерам же аналитические отчеты помогут выявить слабые места в подразделении, увидеть объективную картину производительности и даже идентифицировать работников, которые трудятся без должной отдачи, прежде чем проблемы начнут расти как снежный ком.

«Хорошие менеджеры знают, когда следует “поднажать” на подчиненного, а когда лучше ослабить давление, но важно сразу предупредить сотрудника, предоставив необходимые разъяснения, поддержку и набор ресурсов», – подчеркнул Гимбел.

– Sarah K. White. How to use gamification to improve employee engagement. CIO. Nov 23, 2016

Сегодня столько говорят о DevOps, что, возможно, кто-то уже готов пойти и купить себе коробочку этого... Вот только DevOps в коробке не продается.

Разумеется, определенные инструментальные средства способны помочь организации, внедряющей DevOps, наладить более эффективную работу, но стержень методологии – это сами команды, которые ее практикуют. Переход на DevOps означает освоение новых и иногда пугающих стратегий, обязанностей и целей. Перечислим три признака того, что ваша команда DevOps движется в верном направлении.

1. Команды, ориентированные на продукт

Истинная DevOps-организация поделена на ИТ-команды, каждая из которых занимается отдельным продуктом. Это значит, что придется отказаться от прежнего, десятилетиями применявшегося принципа деления по специализации. В продуктовой DevOps-команде обычно есть следующие роли: менеджеры по продукту, разработчики, специалисты по инфраструктуре, сисадмины и др.

Естественно, это не значит, что для каждого проекта нужен свой специалист в каждой области. Например, один и тот же эксперт по сетевой инфраструктуре может работать в нескольких продуктовых командах, распределяя рабочее время между ними согласно приоритетам организации.

Группированию по дисциплинам по-прежнему придается важное значение. Если попросить сисадминов следить за общей картиной происходящего, это поможет слаженной работе, а разработчики могли бы время от времени собираться, чтобы делиться новыми методами, обмениваться опытом и ценными сведениями. Можно организовывать межпродуктовые «гильдии», участники которых время от времени собираются для бесед по делу и обмена информацией.

2. Неудачи переносятся с достоинством

Истинные DevOps-команды не будут пытаться предотвратить провал путем замедления темпов перемен. Они будут продолжать быстро двигаться вперед, полагаясь на способность быстрого восстановления. Внедряя продукты в рамках малых, контролируемых спринтов, команда уверена, что количество изменений при очередном вводе в эксплуатацию минимально, благодаря чему снижаются риски и упрощается восстановление после сбоев.

Команды DevOps относятся к провалам как к опыту, полезному с точки зрения обучения. Каждый сбой становится еще одним тестом, который включают в процесс сборки. Вместо того чтобы полагаться на накопленный опыт и тем самым избежать повторения подобного сбоя в будущем, команды DevOps вносят его в сам процесс разработки, чтобы такое повторение предотвращалось автоматически.

В командах DevOps по-прежнему пытаются предвидеть и предотвратить как можно больше провалов, но это не самоцель. Это означает, что организация должна начать более зрело относиться к провалам, отказаться от практики поисков виноватого и сделать подготовку, обучение сотрудников и предотвращение провалов основополагающими элементами процесса разработки.

3. Тотальная автоматизация

В настоящей команде DevOps знают, что ошибка человека – главный источник сбоев любого процесса и самая большая помеха быстрому продвижению вперед. В таких командах очень высоко ценят автоматизацию – за надежность и скорость. В таких командах понимают, что автоматизировать нужно все – от контроля выполнения правил приемки кода и его анализа до запуска тестовой среды, тестирования модулей и сдачи в рабочую эксплуатацию.

При этом эффективная команда DevOps не будет замыкаться на каких-то одних средствах или технологиях автоматизации: выбирается то, что подходит для решения задачи, и если какой-то иной инструмент обеспечит более эффективное достижение целей бизнеса, то на него с легкостью перейдут, отказавшись от прежнего. Эпитет «гетерогенная» как нельзя лучше подходит к любой DevOps-среде. Переход на подобные принципы может быть непростым для организации старого образца, в которой привыкли пользоваться определенной платформой или методикой.

В эффективных командах DevOps знают, что задача ИТ-отдела – быстро предоставлять приложения и сервисы своим пользователям, а также взаимодействовать с ними. Члены команд понимают, что цель DevOps – проложить максимально ровный, безопасный, быстрый и надежный путь от клавиатуры разработчика до рабочей среды так, чтобы каждый спринт приводил к созданию проверенного, готового к рабочему развертыванию кода.

В DevOps нельзя игнорировать эксплуатацию созданных систем – нужно автоматизировать как можно больше соответствующих задач.

DevOps как фундаментальный сдвиг

Компаниям, в которых сторонятся перемен, полагаясь на ручное развертывание и поиск ошибок, и сохраняют разрозненную организационную структуру, подходы DevOps представляются странными, противоречивыми и даже бредовыми.

Тем не менее самые адаптивные, быстроразвивающиеся технологические компании сегодня полагаются на DevOps, что позволяет быстрее предоставлять готовый продукт заказчикам. При этом у них меньше объем внутренней бюрократии, сильнее ориентация на результат и более активное взаимодействие с заказчиком, а кроме того, в таких компаниях технические специалисты чувствуют себя лучше, благодаря чему снижается текучка персонала.

– Don Jones. 3 signs you're on an actual devops team. InfoWorld. November 28, 2016

Фишинговые и прочие атаки влекут за собой риски проникновения злоумышленников в ИТ-системы организации и получения доступа к важным ресурсам компании. Предлагаемые рекомендации помогут вам уменьшить эти риски.

Не используйте в личных целях корпоративный аккаунт

Многие сотрудники, пытаясь оптимизировать свои рабочие процессы, загружают и регистрируют приложения потребительского характера. Причем некоторые делают это с использованием адресов и паролей корпоративной электронной почты. Из-за этого возникают дополнительные риски потенциальных атак на корпоративные ресурсы. Если приложение кажется интересным, но не включено в список одобренных для работы, используйте свои личные учетные данные, а не корпоративные.

Не делитесь паролем, ни в коем случае!

После получения доступа к отличному приложению или сервису может возникнуть соблазн поделиться им с друзьями или родственниками, предоставив им свои учетные данные. Но, открывая такой доступ другим пользователям, вы существенно увеличиваете риски. После передачи пароля тем, кто недостаточно информирован в области безопасности, значительно возрастает опасность его утечки. При получении паролей друзьями или родственниками индивидуальные риски превращаются в общую проблему. Короче говоря, держите свои пароли при себе.

Сотрудник уволился полгода назад. Так отключите же его аккаунт, наконец-то!

Кажется очевидной необходимость отключения доступа уволенных сотрудников к приложениям и учетным записям, но на практике этим требованием зачастую пренебрегают. Руководители подразделений должны своевременно информировать ИТ-службу об отключении бывшим сотрудникам доступа к корпоративной электронной почте и к другим приложениям и системам. А ИТ-службе, в свою очередь, нужно следить за учетными записями, выявлять среди них недействительные и удалять их.

Предоставляйте доступ к конфиденциальным данным только тем, кому это это положено

Помимо проверки логина и пароля, процедура идентификации должна контролировать действия пользователя, подавая сигнал тревоги при обнаружении чего-либо подозрительного. Используя биометрические параметры, двухфакторную аутентификацию и поведенческий анализ, организации смогут сохранить свои сети в безопасности и предупреждать пользователей, если кто-то пытается подключиться к системе от их имени.

Не используйте пароль повторно – никогда!

Конечно, менять пароли и запоминать новые не нравится никому, но такова жизнь – нам часто приходится делать не то, что хочется. И новые пароли должны быть надежными – это значительно уменьшит риск их подбора злоумышленниками. Пароли никогда не следует использовать повторно. Ведь кражи учетных записей распространены достаточно широко, и до поры до времени пользователи даже не догадываются об этом. Вспомните об уязвимостях, обнаруженных в сетях LinkedIn, Yahoo, Twitter и прочих. В некоторых случаях люди годами не знали о том, что их пароли используются злоумышленниками для получения доступа к конфиденциальной информации.

При обнаружении брешей компания должна продолжать работать

В случае выявления уязвимостей необходимо как можно быстрее приступить к их ликвидации, не останавливая при этом бизнес-процессы. Поговорите с сотрудниками и примите дополнительные меры безопасности. Особенно важную роль здесь приобретают технологии двухфакторной или многофакторной аутентификации.

Держите привилегированных пользователей под контролем

Привилегированный доступ повышает риск взлома всей корпоративной сети, поэтому за такими учетными записями нужно следить особенно тщательно: своевременно понижать уровень ненужных привилегий и удалять устаревшие аккаунты. Привилегированные учетные записи имеют особую ценность для хакеров, и таким пользователям необходимо соблюдать особо строгие меры безопасности.

– Ryan Francis. Best practices to fight corporate security risks. CSO. Nov 28, 2016

Почти 70% руководителей и топ-менеджеров российских предприятий розничной торговли и сферы услуг не осведомлены о необходимости обязательного внедрения онлайн-касс. А 40% управленцев впервые услышали об этом во время опроса, проведенного в восьми федеральных округах Аналитическим центром Юрия Левады совместно с компанией «АТОЛ».

Между тем в июле вступили в силу поправки в Федеральный закон № 54-ФЗ «О применении ККТ при осуществлении наличных денежных расчетов и (или) расчетов с использованием платежных карт». И с 1 июля 2017 года передача в налоговую службу данных обо всех продажах в реальном времени через облачный сервер оператора фискальных данных станет обязательной.

Как пояснил Андрей Бударин, начальник Управления оперативного контроля Федеральной налоговой службы России, с этого момента применение контрольно-кассовой техники и фискальных документов прежнего образца будет расцениваться как отсутствие кассового учета и наказываться. В то же время он заверил, что ФНС активно работает над тем, чтобы сделать переход на новый порядок применения ККТ максимально безболезненным для налогоплательщиков, без избыточных затрат времени и финансов.

Новые требования касаются всех организаций, осуществляющих расчеты с населением на территории России, включая продовольственный и непродовольственный ретейл, интернет-магазины, кафе, рестораны, гостиницы, салоны красоты, аптеки, АЗС, автосервисы, юридические фирмы и другие сервисные организации, а в скором времени охватят также платежные терминалы и вендинговые аппараты. В зависимости от размера компании на технологическую модернизацию потребуется, по оценкам «АТОЛ», от одного до шести месяцев.

Однако лишь 12% руководителей, опрошенных «Левада-центром», планируют оснастить свои кассы технологией онлайн-передачи данных до нового года, еще 11% планируют сделать это до весны 2017 года. Большинство же либо откладывают решение вопроса до момента вступления в силу обязательных требований закона (43%), либо вообще пока не задумываются об этом (34%).

Тем ценнее опыт компаний, которые уже активно действуют и модернизируют свой парк ККТ, не дожидаясь наступления «часа Х».

Готовность номер один

Все технические компоненты для построения новой системы уже созданы. В госреестры внесены сорок моделей онлайн-касс и фискальный накопитель. Официально утверждены пять операторов фискальных данных: «Петер-сервис Спецтехнологии», «Такском», «Эвотор ОФД», «Энергетические системы и коммуникации», «Ярус».

Поставщики оборудования готовят производство и сервисные службы к взрывному спросу; в первую очередь внимание обращается на решения, позволяющие доработать существующую ККТ. «Нет никаких сомнений в том, что мы обеспечим кассовой техникой всю нашу торговлю», – заявил Анатолий Востриков, президент Российской ассоциации производителей кассовой техники.

По словам Бударина, 98% существующих моделей ККТ в принципе подлежат модернизации. Перед тем как установить в аппарат новое ПО, нужно снять его с учета (на это уйдет один день), а после модернизации зарегистрировать снова. Правда, чтобы снять старую технику с учета, придется лично прийти в налоговую инспекцию. Для территориально распределенных региональных торговых сетей это может быть непросто, поскольку пропускная способность местных налоговых органов ограниченна.

Онлайн-регистрация в личном кабинете налогоплательщика на сайте nalog.ru займет не более 10 минут, отметил представитель ФНС. Тем не менее в масштабе крупных компаний переход будет логистически сложным, затратным – потребуется перестройка внутренних учетных систем.

Аналитическая платформа для сбора, хранения и первичной обработки поступающих фискальных данных практически готова. В первую очередь с помощью этой системы планируется автоматизировать контроль правильности использования ККТ, в том числе по данным источников, находящихся за пределами ФНС. Однако ожидается, что возможности системы будут гораздо шире, чем простое обнаружение расхождений в суммах расчетов. «Цель – не только максимально достоверно выявлять факты прямых нарушений, но и обеспечить риск-ориентированный подход в контрольной работе налоговой службы», – отметил Бударин.

Трудности перехода

Основным фактором, осложняющим переход на онлайн-кассы, 42% предпринимателей считают стоимость технического и программного переоснащения. По словам президента «АТОЛ» Алексея Макарова, модернизация обойдется примерно в 5-7 тыс. руб. на аппарат, а приобретение нового устройства – в 15-30 тыс. руб. Фискальный накопитель стоит приблизительно столько же, сколько и электронная контрольная лента защищенная (ЭКЛЗ), которую и раньше приходилось менять ежегодно. На годовое обслуживание онлайн-касс потребуется в среднем на 15-20% меньше средств, чем на поддержку техники по старым правилам, в том числе благодаря меньшей стоимости заменяемых комплектующих, а также необязательности заключения договора с центрами технического обслуживания (ЦТО).

«Оценить бизнес-перспективы перехода достаточно сложно, несмотря на отмену обязательного договора на техническое сопровождение – заметил Константин Стройнов, руководитель направления кассового и документационного обеспечения компании “Связной”. – Как представитель крупного бизнеса с удаленно расположенными торговыми объектами, мы понимаем, что своими силами осуществлять поддержку и обслуживание кассовых аппаратов не сможем, так что, вероятнее всего, это будут делать те же самые ЦТО с другим названием. Поэтому однозначно сказать, что издержки для бизнеса снизятся, мы пока не можем».

Проекты нормативных актов, которые готовит ФНС, чтобы упростить отдельные виды и формы документов, сопровождающих кассовый документооборот, позволят несколько сократить как операционные издержки, так и затраты компании в целом, добавил Стройнов.

Переход на новые правила неизбежно будет болезненным, уверен Владимир Ионкин, исполнительный директор Ассоциации компаний розничной торговли. По его мнению, необходимо продлить хотя бы на полгода переходный период, в течение которого не будут применяться санкции. Оценить предстоящие трудности можно, вспомнив внедрение автоматизированной системы для контроля оборота алкогольной продукции. Несмотря на то что ЕГАИС функционирует уже много лет, до сих пор нередко случаются ошибки, цена которых для бизнеса варьируется от 200 тыс. руб. штрафа до потери лицензии. «По нашим скромным оценкам, ЕГАИС обошлась бизнесу в несколько десятков миллиардов рублей, новый порядок использования ККТ будет стоить не меньше», – полагает Ионкин. Он предложил компенсировать бизнесу часть расходов, предоставив налоговые вычеты, и на эти цели направить часть дополнительных поступлений от введения нового порядка.

Соответствующий законопроект Госдума обсудит на осенней сессии, но, скорее всего, считает Бударин, он защитит в первую очередь мелкий и микробизнес, применяющий патенты и единый налог на вмененный доход.

«С какими трудностями мы столкнемся при реальной эксплуатации ККТ по новым правилам, не совсем понятно, – говорит Стройнов. – Практика покажет, как будут вести себя покупатели, налоговая служба. Сейчас, например, сложно спрогнозировать, как будет работать платформа оператора фискальных данных с 3,5 млн касс, но мы к этому готовимся».

Возможные проблемы со связью в отдаленных районах не очень беспокоят ретейлеров. Во-первых, регулятор четко обозначил, что субъекты федерации вправе определять труднодоступные и удаленные от сетей связи территории, где режим онлайн невозможен. Во-вторых, новые кассовые аппараты будут передавать накопленные данные, как только связь восстанавливается, причем в той последовательности, в какой эти данные были поставлены в очередь на отправку.

Прозрачность и другие бонусы

Введение нового порядка по сути позволит государству отслеживать выручку компаний в реальном времени и свести к минимуму возможность манипуляций для ухода от налогов. Для покупателей мониторинг кассовых чеков станет дополнительным инструментом контроля: у них будет возможность проверить легитимность совершенной операции, выяснить, насколько предприниматель отчитывается за продажи, платит ли налоги. Зарегистрированный и переданный каждым кассовым аппаратом чек будет автоматически попадать в две системы: оператора фискальных данных и ФНС, которая будет обрабатывать и хранить эти данные. Отсканировав QR-код на чеке с помощью мобильного приложения ФНС либо напрямую вводя цифровой код с чека на nalog.ru, можно будет проверить статус регистрации этого чека в налоговой.

По данным «Левада-центра», половина делового сообщества России считает, что новые требования закона о передаче данных о продажах в налоговую службу повысят прозрачность рынка, улучшат конкурентную среду и собираемость налогов. В то же время 28% респондентов полагают, что внедрение онлайн-касс «скорее не поможет» улучшить прозрачность рынка, а 9% уверены в том, что «абсолютно не поможет». Наиболее скептично настроенные респонденты указали на отсутствие технических возможностей для реализации подобного проекта и на нежелание участвовать в эксперименте за собственные деньги.

Половина делового сообщества России считает, что новые требования закона о передаче данных о продажах в налоговую службу повысят прозрачность рынка, улучшат конкурентную среду и собираемость налогов

Ирина Трефилова, начальник центра платежных систем компании «Ноу-Хау»: «Думаю, через год компания увидит экономию»

Наиболее позитивно воспринимают новый порядок предприниматели, которые уже ведут бизнес онлайн. «Мы считаем, что для рынка это большое благо», – говорит Артем Соколов, исполнительный директор Ассоциации компаний интернет-торговли. По его словам, переход ведет к «обелению» рынка и выравниванию конкуренции, а также снимает с бизнеса часть нагрузки по обслуживанию ККТ и предоставлению отчетности в налоговые органы благодаря передаче данных в автоматическом режиме.

Офлайновые ретейлеры полагают, что новый порядок сулит не только организационно-технологические проблемы и дополнительные расходы на переоснащение, но и некоторые бонусы. «Мы будем тратить меньше времени на замену ЭКЛЗ и меньше средств на обслуживание ККТ, реже ездить в налоговую, – отметила Ирина Трефилова, начальник центра платежных систем компании “Ноу-Хау”. – Думаю, через год компания увидит экономию».

«Как налогоплательщикам и пользователям ККТ, нам нравится, что предоставляется дополнительный инструмент по регистрации ККТ онлайн, – говорит Стройнов. – Это действительно полезный сервис, но как он будет работать, когда все компании перейдут от тестовой модели к реальной, сказать сложно».

Вникнуть в детали

Недостаточную информированность о новых требованиях закона и отсутствие понимания тонкостей перехода отметили 37% участников опроса, еще 20% предпринимателей тяготит необходимость визита в налоговую. Чтобы проинформировать деловое сообщество о сути перемен, общественная организация «Деловая Россия» и компания «АТОЛ» запустили федеральный образовательный проект «54-ФЗ: всё о главной Re:форме правил торговли». До июня 2017 года в 65 городах пройдут тематические конференции, семинары и вебинары. Часть ежемесячных вебинаров по наиболее актуальным вопросам будет организована совместно с ФНС. Чтобы обеспечить плавный переход на новый порядок, в каждом регионе создан центр компетенции ФНС, сообщили представители ведомства.

Руководителю каждой компании, которую затронет реформа, пора выбрать партнеров, определить круг лиц, участвующих в проекте, и ответственных за него, наметить план переходных мероприятий и приступить к тестированию новой ККТ, выявляя потенциальные источники проблем и ставя задачи разработчикам. Время уже поджимает!

Надо прямо сейчас брать кассу!

Наиболее активно готовятся к переходу на новый порядок динамично развивающиеся торговые сети.

«Мария-Ра»

Сибирской сети «Мария-Ра», в магазинах которой выдается более 20 млн кассовых чеков в месяц, пришлось модернизировать 70% касс и обновить 30% аппаратов, не умеющих печатать QR-код. Модернизация и замена ККТ для такого бизнеса – непростая задача: 839 небольших супермаркетов разбросаны по обширной территории (в 221 городе), причем расстояние от некоторых магазинов до ближайшего города достигает 500 км, а значит, на замену техники требуется дополнительное время. Поэтому готовиться к переходу на новый порядок стали заблаговременно, для начала установили новый фискальный регистратор в качестве второго принтера чеков и назначили куратора проекта, который только им и занимался. Круг участников проекта постепенно расширился: к сотрудникам ИТ-службы, бухгалтерии, компании –разработчика кассового ПО и сервисной организации добавились маркетологи, юристы и специалисты по обучению.

По словам Ильи Васильченко, начальника сектора технической поддержки ЦО ИТ-службы компании «Мария-Ра», на практике все оказалось сложнее, чем ожидалось. Потребовался переход на новую версию кассового ПО, для чего нужно было доработать эту версию с учетом необходимого компании функционала. Новая версия ПО повлекла за собой обновление операционной системы, при этом обнаружилось, что 15% кассовых системных блоков нуждаются в замене. «Счет идет на сотни штук, так что это дополнительная трудоемкая задача», – отметил Васильченко. Чтобы использовать Ethernet, к каждой кассе нужно протянуть дополнительный кабель. Случайно выяснилось, что доработки требует обмен данными между учетной системой и кассовым ПО: при отправке первых чеков оператору фискальных данных оказалось, что НДС передается нулевой. «Вы не знаете, с какими проблемами столкнетесь на практике, – резюмирует Васильченко. – Надо прямо сейчас брать кассу и идти к разработчикам».

Сергей Савельев, начальник отдела сопровождения фронт-офисных систем и оборудования компании «Лента»: «Проект большой, непростой, но в то же время перспективный и несущий преимущества для бизнеса»

«Лента»

Сеть гипермаркетов «Лента» более трех месяцев занимается подготовкой к реформе и в настоящее время переходит к активной стадии проекта – выбору оператора фискальных данных, тестированию и поэтапному внедрению онлайн-касс. Замены ККТ при этом не потребуется, все кассы могут быть модернизированы, сообщил Сергей Савельев, начальник отдела сопровождения фронт-офисных систем и оборудования компании «Лента». «Проект большой, непростой, но в то же время перспективный и несущий преимущества для бизнеса, особенно для такой динамичной компании как наша», – отметил он.

«Ноу-Хау»

Сеть магазинов мобильной электроники «Ноу-Хау» не только обладает большим парком действующей контрольно-кассовой техники (330 касс и 170 терминалов), но и очень динамично развивается. До конца текущего года планируется открыть 50 новых магазинов, в каждом из которых должны быть основная и резервная онлайн-кассы. Как подсчитали в компании, первоначальные капитальные вложения в модернизацию ККТ составят примерно 2 млн руб, еще около 500 тыс. руб. понадобится на закупку касс для новых магазинов. «Мы ведем переговоры с оператором фискальных данных об изменении тарифных планов: у нас большой объем, мы растем – и этот проект может стать для него имиджевым», – сообщила Ирина Трефилова, начальник центра платежных систем компании «Ноу-Хау».

Одна касса для доступа к площадке оператора фискальных данных у компании есть, и тестирование уже пошло. Как только в «Ноу-Хау» убедятся в том, что данные передаются корректно, начнутся двухнедельные испытания в тестовом магазине. «Если все будет нормально, то сразу станем переводить кассы на новый порядок работы в процессе замены ЭКЛЗ, – сказала Трефилова. – Проблема в том, что мы используем торговое ПО собственной разработки, а потому не можем взять готовые решения для интеграции и будем учиться на собственном опыте». Дело осложняется не только дополнительными финансовыми затратами, но и тем, что штатные механики едва справляются со столь резко выросшей нагрузкой.

«Связной»

Константин Стройнов, руководитель направления кассового и документационного обеспечения компании «Связной»:  «Потребуется доработка кассового софта, но с точки зрения учетных процессов существенных доработок не понадобится»

В сети «Связной» готовиться к введению онлайн-касс начали еще в 2014-2015 годах, когда компания приняла участие в пилотном проекте по обмену данными с ГНИВЦ ФНС России. Тогда был разработан план мероприятий, чтобы подготовить весь парк ККТ к функционированию в соответствии с новыми требованиями, и создана рабочая группа из 20 представителей разных подразделений и партнеров. «К моменту утверждения нового 54-ФЗ мы уже получили конкретные данные, от которых можно отталкиваться, однако на сегодняшний день остаются моменты, требующие пояснений и уточнений со стороны налоговых инспекций», – отметил Константин Стройнов, руководитель направления кассового и документационного обеспечения компании «Связной».

Сегодня компания завершает тестирование протокола обмена данными между ККТ и платформами оператора фискальных данных на двух аппаратах в офисе и получила доступ к личному кабинету своего партнера «Эвотор» и ofd.ru. «Для нас важна возможность протестировать процессы до их непосредственного внедрения, мы должны на этом этапе “отловить” ошибки обмена», – подчеркнул Стройнов. Масштабировать проект планируется c 1 декабря, привязываясь к датам замены ЭКЛЗ. К 1 июля 2017 года компания рассчитывает обеспечить работу всего парка ККТ в соответствии с новым законодательством. «Безусловно, потребуется доработка кассового софта, который мы разрабатываем сами на платформе “1С”, но с точки зрения учетных процессов существенных доработок не понадобится», – отметил Стройнов.

С момента появления идеи перевода аналоговых сетей на цифровые рельсы в конце 80-х годов объединенные коммуникации прошли долгий путь. За этим термином скрывается интеграция различных коммуникационных систем для оптимизации бизнес-процессов с использованием широкого набора инструментов, включающих в себя средства корпоративного взаимодействия, программное обеспечение для мобильных устройств, сервисы передачи сообщений, телефонию, видео-, аудио- и веб-конференции.

Потенциальных преимуществ объединенных коммуникаций довольно много. Это оптимизация связи и повышение ее мобильности, а также сокращение расходов благодаря снижению затрат на поездки, уменьшению телефонных счетов и замене устаревшего оборудования.

Объединенные коммуникации увеличивают гибкость путем наращивания и снижения объемов предоставляемых услуг в разное время года, позволяют экспериментировать с новыми идеями и повышать интероперабельность, сохраняя коммуникации в одном месте и расширяя пользовательские возможности.

Переход к объединенным коммуникациям – стратегический шаг к повышению эффективности и производительности, но выбор наилучшего варианта их внедрения определяется вашими индивидуальными потребностями.

Объединенные коммуникации в облаке

Система объединенных коммуникаций может оказаться весьма дорогостоящей инвестицией, если речь идет о капитальной перестройке инфраструктуры и создании полностью настроенной системы. Время, затрачиваемое на фундаментальные изменения рабочих процессов, также приводит к увеличению стоимости.

Расходы можно сократить за счет облачных вычислений.

Объединенные коммуникации, предлагаемые в качестве сервиса (UCaaS) постепенно вытесняют оборудование, развернутое на территории клиента, и позволяют использовать преимущества передовых средств связи. Оба доминирующих на рынке объединенных коммуникаций продукта – Cisco Spark и Microsoft Office 365 Enterprise – подталкивают пользователей к хостинговым облачным решениям.

Хостинговые облачные объединенные коммуникации в части развертывания и оснащения новыми функциями проще сервисов, функционирующих на территории клиента, и требуют меньше затрат на оборудование и установку. Общая экономия зависит от того, насколько эффективно поставщики облачных сервисов управляют своими системами в сравнении с сотрудниками, отвечающими за управление на собственной территории предприятия.

Но есть у облачных систем и особенности, снижающие их ценность. Например, они не так быстро реагируют на индивидуальные запросы. ИТ-служба предприятия справляется с этой проблемой лучше, чем поставщик типовых услуг. Облачные системы слабо приспособлены к конкретным нуждам отдельных организаций и пользователей.

Постепенный переход к облачным системам обусловлен разумным желанием ликвидировать старые системы и заменить их новыми. Осторожная стратегия заключается в постепенном добавлении отдельных компонентов объединенных коммуникаций и не предполагает полного и одномоментного разворота.

Использование систем, находящихся на своей территории, предпочтительнее для крупных офисов. Что же касается небольших филиалов и удаленных работников, они, скорее всего, предпочтут облачную альтернативу. Еще один вариант – гибридная система. Она может объединять оборудование, развернутое на своей территории (и обеспечивающее, к примеру, внутреннюю телефонную связь), с облачными сервисами видеоконференций.

Гибридные стратегии имеют ряд преимуществ, но их слабое место – низкая интероперабельность. Минимизировать эти недостатки помогут компании, которые предлагают сервисы, одинаковым образом работающие и на территории клиента, и в облаке.

Мобильные объединенные коммуникации

Облачные вычисления – только одна из технологических тенденций, меняющих ландшафт объединенных коммуникаций. Традиционным местом для объединенных коммуникаций являются офисы и конференц-залы, однако мобильное присутствие тоже приобретает важное значение, поскольку все больше распространяются устройства с дополнительными функциями и происходят культурные сдвиги как в профессиональной, так и в частной жизни пользователей.

Гибкость коммуникаций, ставшая доступной благодаря смартфонам и планшетам, особенно важна в эпоху появления мобильных сотрудников, повышения гибкости рабочего графика и распространения ориентированных на пользователей технологий, которые требуют установления мгновенной связи, где бы вы ни находились.

Дистанционное общение традиционно организовывалось через устройства, выдаваемые компаниями. Но теперь такой сценарий реализуется далеко не всегда. В мобильной ориентации отражается растущая поддержка концепции BYOD – дружественного по отношению к пользователям способа объединения их мобильных устройств с корпоративной платформой объединенных коммуникаций.

Интеграция коммуникационных инструментов и применение мобильных устройств и BYOD способствуют росту производительности труда и усилению взаимодействия, повышая степень удовлетворенности пользователей и эффективность дистанционной работы.

Культурные различия

Социальные сети изменили многие аспекты нашей жизни, и объединенные коммуникации в этом смысле – не исключение. Современные объединенные коммуникации интегрируют функциональность социальных медиа безопасным и управляемым способом, сохраняя привычные функциональные возможности и интерфейсы и за пределами рабочего места.

Смена методов коммуникаций обусловлена различиями в потребностях работников разных возрастов. Миллениалы готовы использовать любые платформы, а вот сотрудники старшего возраста предпочитают традиционные инструменты конференций и мгновенной передачи сообщений. Инклюзивный подход способствует уменьшению разрыва между представителями разных поколений и созданию унифицированной сети, в которой объединяются множество коммуникационных инструментов и платформ.

Еще одна область, заслуживающая внимания, – безопасность. Облачные сервисы позволяют обеспечить высокую безопасность данных, однако регулирующие органы могут потребовать хранить их на территории предприятия. Объединенные коммуникации привносят дополнительные риски за счет объединения различных технологий, но риски эти уменьшаются благодаря шифрованию информации, циркулирующей в сетях. Эффективные системы аутентификации пользователей и шифрование пересылаемых данных обеспечивают более сильную защиту, нежели использование коммуникационных систем по отдельности.

Эффективность системы объединенных коммуникаций зависит и от поведения пользователей. Полноценное обучение, тестирование пользователей и поддержание обратной связи с ними, пилотные проекты и первоначальное развертывание систем в небольших масштабах способствуют лучшему пониманию со стороны работников. Но самый действенный способ – предложить те инструменты, которые хотят получить пользователи.

Согласно результатам опроса PwC, к 2020 году распространение объединенных коммуникаций в корпоративной среде может достичь 100%. Объединенные коммуникации становятся обязательным компонентом бизнеса, какой бы вариант внедрения компании ни выбирали.

– Thomas Macaulay. What to look out for when adopting UC in the workplace.November 10, 2016. CIO UK

По оценкам международных экспертов, технологии Промышленного интернета вещей распространяются весьма динамично, но неравномерно. Самыми «горячими» отраслями, для которых уже существуют и активно применяются соответствующие приложения, являются транспорт (прежде всего управление автопарком), розничная торговля (инвентаризация товаров и управление складским хозяйством) и госсектор (безопасность объектов социальной сферы и городских служб). Находят свое применение, хотя и не столь интенсивно, технологии Интернета вещей в сельском хозяйстве, здравоохранении, управлении объектами энергетики и ряде других областей.

Новые технологии, такие как Промышленный интернет и Большие Данные, действительно способны повысить эффективность производственных процессов и сэкономить дорогостоящие ресурсы, утверждает член cовета директоров Магнитогорского металлургического комбината Сергей Сулимов. О том, как это происходит на ММК, он рассказал на ежегодном деловом форуме «IT-Лидер».

Экономия на ферросплавах

В настоящее время на ММК в целом завершено внедрение программного комплекса, совместно разработанного специалистами инсорсингового подразделения комбината «ММК-Информсервис» и компании «Яндекс». В основе разработки – математическая модель для одного из производственных процессов в кислородно-конверторном цехе, где варится сталь из чугуна и металлолома. При варке добавляются дорогостоящие ферросплавы и легирующие компоненты. От количества и времени их внесения зависят свойства получаемой стали и ее последующая маркировка. Своя сталь – для автомобильной индустрии, своя – для танковой брони. Ежегодно ММК использует ферросплавов на 300 млн долл. Основная идея проекта – опираясь на математическую модель, оптимизировать процесс загрузки добавок, чтобы в итоге сократить объем их потребления.

Сергей Сулимов: «Мы видим наше металлургическое предприятие как огромный завод-робот, управляемый из одного центра»

«Несколько лет назад внутри нашей дочерней ИТ-компании мы организовали лабораторию креативных идей. На каком-то этапе просматривалось до 50 предложений, как сделать предприятие более эффективным. Одно из них – по оптимизации процесса загрузки ферросплавов – вылилось в проект «Снайпер», который мы сначала запустили своими силами», – рассказывает Сулимов.

Построение подходящей модели для «Снайпера» оказалось очень сложной задачей. Своими силами в ММК создали рейтинги бригад, показывающие, какие из них точнее выполняют операции варки. Это позволило экономически мотивировать успешные бригады и сразу же дало экономию ценных добавок. Но самостоятельно построить математическую модель, которая могла бы в будущем заменить человека, принимающего решение о том, в какой момент и в каком количестве вводить добавки, не получалось. Узнав о проекте Yandex Data Factory, в ММК решили, что первыми в российской промышленности попробуют использовать аналитическое решение «Яндекса».

Сначала планировалось построить модель за три месяца. Однако этого времени хватило только на то, чтобы в «Яндексе» вникли в сложные технологические процессы ММК, а технологи комбината – в результаты математических расчетов своих новых коллег. В итоге проект, который был активно поддержан самим Аркадием Воложем, руководителем группы компаний «Яндекс», занял больше времени.

Интерес «Яндекса» к этому проекту объясним. В России много крупных промышленных предприятий, но для них характерны значительные – порядка 10% – непродуктивные затраты. Если предложить решение, позволяющее исключить их, то в масштабе всей страны это даст гигантский экономический эффект. И тот, кто выйдет с таким решением на рынок, получит свою долю от этой экономии.

При создании математической модели на ММК специалисты столкнулись с целым комплексом проблем и технического, и культурного характера. Первая – «мусорные» данные, на них правильную модель построить невозможно. Оказалось, что некоторые промышленные датчики в цехах были неисправны. Пока внесение добавок осуществлялось без учета их показаний, на это особо не обращали внимания. Теперь же они понадобились, и на переоснащение цеха новыми измерительными устройствами потребовались время и инвестиции.

В итоге проект растянулся почти на год. «Яндекс» создал ядро математической модели, а специалисты ММК разработали интерфейс системы и обеспечили интеграцию данных. Сейчас созданная система оптимизирует процесс добавки двух видов ферросплавов из двадцати, применяемых на комбинате. Но даже в таком усеченном виде она обеспечила чрезвычайно ощутимый эффект. По оценкам, полученным в ходе пилотного запуска данной системы, годовая экономия предприятия на дорогостоящих материалах составит 275 млн руб.

Продолжение следует

Сейчас ММК ведет с «Яндексом» переговоры по продолжению сотрудничества. Между тем некоторые конкуренты магнитогорцев пытаются реализовать аналогичные проекты у себя. В ММК же теперь пошли дальше и пытаются смоделировать работу домны. В частности, для этого в штат предприятия принято несколько квалифицированных математиков.

«В металлургии пока доминируют так называемые экспертные модели управления доменным процессом. Одна из них была предложена немецкими специалистами. Мы эту модель анализируем и думаем: использовать ее или нет. Дело в том, что любая домна – особенная. У каждой – своя специфика и свое сырье, особая практика управления. Поэтому сейчас пытаемся построить собственную модель. Это тоже долгий процесс, в ходе которого выявилось много интересных нюансов», – поясняет Сулимов.

Например, долгое время при сборе статистики неправильно учитывался расход кокса на выплавку чугуна. А это один из главных расходных материалов в процессе плавки. Как оказалось, для того чтобы стабильно платить рабочим премию по итогам отчетных периодов, в подразделениях искажали данные о расходе кокса. И эта «забота» начальника цеха о своем персонале привела к тому, что десятилетиями накапливались недостоверные данные. Так проявилась неготовность корпоративной культуры к цифровой трансформации. Сейчас ситуация исправлена, и на комбинате уверены в том, что для будущей модели собирают точные данные.

Некоторые части модели доменного процесса уже настроены, а с некоторыми еще экспериментируют. В частности, над этими вопросами работает приглашенный профессор математики из КНР. Это действительно очень сложный процесс, он длится восемь часов и по характеру похож на пищеварительный процесс в организме человека, отмечают в ММК. В компании также задумываются: не предусмотреть ли в штате должность директора по цифровым технологиям (Chief Data Officier, CDO). Но пока, по словам Сулимова, не определено окончательно, какие именно задачи он должен решать.

Активные поиски цифровых средств повышения эффективности производства вообще характерны для российской металлургической отрасли. В нашей стране на этом рынке отсутствуют государственные компании, что позитивно сказалось на формировании конкурентной среды.

«В отрасли мы точно будем двигаться с применением цифровых технологий, мы видим наше предприятие как огромный завод-робот, управляемый из одного центра. И наше долгосрочное видение таково: если сейчас «ММК-Информсервис» является дочерней структурой металлургического комбината, то со временем комбинат станет дополнением к компании «ММК-Информсервис». Управлять таким предприятием будут айтишники, а людей, занятых на производстве, останется совсем немного и на них возложат сервисные функции для айтишников», – предрекает Сулимов.

Нужен импульс

Однако положение в металлургии нетипично для российской промышленности в целом, считает он. Пока проекты, нацеленные на реальное повышение эффективности бизнеса через цифровые технологии, – редкое явление для промышленных предприятий России. Их руководителям зачастую не хватает понимания важности внедрения новых технологий и инициативы в их продвижении. Даже упомянутый проект ММК состоялся во многом благодаря начальнику кислородно-конвертерного цеха, который загорелся новой идеей.

Впрочем, и за пределами России о новых технологических тенденциях пока больше разговоров, чем дела. В опубликованном недавно исследовании McKinsey указано: практически все руководители промышленных компаний заявили, что Промышленный интернет – это их приоритет. Но только 16% респондентов подтвердили, что четко понимают, о чем именно идет речь. Пока продвижение интернет-технологий в промышленности, скорее, удел романтиков и энтузиастов, пытающихся реализовать инновационные проекты.

Чтобы придать импульс развитию Промышленного интернета, необходимо принять комплекс продуманных мер, считает директор Центра стратегических инноваций компании «Ростелеком» Борис Глазков. Он сообщил, что в ближайшее время правительству будет представлена дорожная карта развития Промышленного интернета для отрасли городского хозяйства (параллельно разрабатываются и другие отраслевые дорожные карты).

Дорожной картой предусмотрено одновременное движение в нескольких направлениях. Первое – это стимулирование спроса на технологии Промышленного интернета на уровне городов и муниципалитетов. Будут созданы такие экономические и политические условия, чтобы внедрение данных технологий в различных сферах городского хозяйства и управления было выгоднее, чем отказ от их внедрения. Одновременно планируется стимулировать разработку соответствующих решений для городских организаций и предприятий. Также дорожная карта предусматривает активное продвижение Промышленного интернета в нескольких конкретных отраслях.

Например, в ЖКХ планируются мероприятия, понуждающие пользователей перейти к установке счетчиков воды, электричества и газа, оборудованных средствами передачи данных. На объектах энергетической инфраструктуры предлагается побуждать их владельцев к установке средств удаленного мониторинга состояния сетей, узлов и агрегатов. Аналогичные меры предлагаются на транспорте и в некоторых отраслях промышленности – там, где уже имеются готовые бизнес-модели Промышленного интернета и отработаны подходы к их воплощению.

ИТ-директорам предприятий из тех отраслей, где такие модели апробированы, может быть полезен опыт первопроходцев. Они внедряют Промышленный интернет там, где возможности повысить эффективность бизнес-процессов почти исчерпаны. А для российской экономики такое исчерпание становится нормой.

У всех секторов корпоративного мира есть свой особый, иногда весьма причудливый жаргон. Не исключение и отдел ИТ с его «облаками», «экосистемами», «водопадами», «спринтами», «скрамом» и «печеньями» (cookie). Между тем за пределами ИТ-службы не все знают значения большинства этих терминов. Перечислим некоторые самые расхожие и надоевшие ИТ-словечки, которые стоило бы заменить на более понятные.

Экосистема

Когда слышишь это слово, возникает впечатление, что корпоративный мир заполонили борцы за экологическую чистоту. Но речь всего лишь об объединении многочисленных систем и технологий в одну большую, элементы которой являются взаимозависимыми. Идея понятная, но сам термин стал настолько затасканным, что многие его просто пропускают мимо ушей. Может быть, стоит оставить «экосистему» для дискуссий о глобальном потеплении, а из обсуждений, связанных с ИТ, это слово все же исключить?

Облако

Мы используем словосочетания «облачные технологии», «в облаке» уже достаточно давно. Большинство понимают, что к скоплению водяных паров в атмосфере это отношения не имеет. Но, учитывая, что сами облачные технологии весьма сложны, большинству в мире бизнеса совсем необязательно разбираться в их тонкостях – достаточно объяснить, что наши данные не на наших жестких дисках, а где-то еще.

DevOps

Звучит, словно название каких-то ИТ-войск специального назначения, хотя, может, кто-то просто в Call of Duty переиграл. Вне отдела ИТ сотрудники часто не знают, ни что такое Dev, ни что такое Ops, не говоря уже о том, зачем их нужно объединять. Большинству людей в корпоративном мире достаточно осознания того, что системы, которыми они пользуются, разрабатывались с оглядкой на потребности бизнеса и что существует надежная инфраструктура, которая обеспечит работу этих систем.

Agile-разработка

Раньше, помнится, говорили о «водопадах». Сейчас они уже не в моде, теперь на слуху разработка по методологии agile («скорая», «гибкая»). Большинство людей понимают: речь не о том, что айтишники выполняют гимнастические упражнения параллельно с программированием, но, надо признаться, многие в бизнесе не в курсе, в чем именно суть agile. По правде говоря, многие на самом деле и с устаревшим «водопадом» не особенно дружили, но хорошо умели притворяться, что понимают, о чем речь. Пройдет немного времени, и мы научимся понимающе кивать и при слове agile.

Scrum

Термин scrum – «схватка» – пришел из регби, где он означает коллективную боевую стойку игроков над мячом. И что, айтишники теперь занимаются тем же за закрытыми дверями? Может, как раз поэтому мне из поддержки вчера ответили не так быстро, как обычно? Для ИТ-службы слово scrum, возможно, и имеет смысл, но лучше, чтобы за ее пределы оно не выходило, а для обычных людей использовался бы какой-то понятный термин.

Спринт

При этом слове в голове всплывает имя легендарного бегуна на спринтерские дистанции Усэйна Болта, обладателя множества мировых рекордов. Термин «спринт» из agile-метолодогии означает краткий целенаправленный цикл разработки и тестирования. Проблема в том, что айтишники иногда устраивают настоящие «спринты», сыпля своим сленгом без остановки, а надо бы время от времени переводить дыхание.

Cookie 

В «Улице Сезам» есть персонаж Коржик, который вечно «хочет печенье», но вряд ли айтишники имеют в виду что-то подобное, говоря о "cookie". Большинство пользователей Интернета примерно представляют себе, что такое cookie, – файлы, в числе прочего сохраняющие сведения о том, куда мы «заходим» и что ищем. Но суть в том, что лучше бы в обычном мире печенье и оставалось печеньем.

«Прошивка» (Встроенное ПО)

Больше 80% людей за пределами отдела ИТ не видят разницы между программой и встроенным ПО. Прошивка – это программное обеспечение, которое уже встроено, например, в компьютер. Получается, это тоже ПО? Не совсем... У прошивки есть суперспособность – ее не так просто стереть, как обычное ПО. В общем, как-то так...

Геймификация

Похоже, можно официально объявлять о том, что геймеры захватили мир. Наверное, неплохо все превращать в игру, но с терминологией все же стоит быть аккуратнее. Вот возьму и предложу на следующем собрании геймифицировать саму геймификацию – вывести ее, так сказать, на следующий уровень.

Puppet-master

Признаюсь: всякий раз, когда я это слышу, сразу представляю себе Марлона Брандо в роли «крестного отца». Быть может, существует какой-то ИТ-кукловод, который дергает за ниточки, управляя всеми нами? Иногда кажется, что существует, учитывая, до какой степени современные технологии определяют распорядок моего рабочего дня. Собственно, Puppet master («кукловод») – это вот что: в системе конфигурационного управления Puppet обычно используется клиент-серверная архитектура, где клиент называется Puppet agent, а сервер – Puppet master. Теперь все ясно, правда?

Nesting (вложенные структуры)

Основное значение глагола to nest – «гнездиться», «вить гнездо». В отделе ИТ, говоря nesting, имеют в виду вложенные структуры, например объекты. Но если ИТ-специалист в общении со мной, бизнес-менеджером, начинает употреблять это слово, признаюсь, теряю нить разговора, начиная размышлять о чем-то мне более понятном, например о составлении годового бюджета.

Front-end и back-end

С одной стороны, большинству известно, что front-end – это пользовательский интерфейс, а данные в него поступают откуда-то. Другое дело, что ни до чего, кроме фронт-энда, нам дела нет. Мы в курсе, что есть и back-end, но если нам приходится выслушивать подробности про уровни доступа к данным, распределенные системы и файлы на серверах, мы начинаем чувствовать себя совершенно сбитыми с толку. Так что пусть уж будет только фронт-энд, в котором можно получить хитроумный отчет для следующего собрания, чтобы притвориться там умным.

— Джеймс Судаков — консультант по менеджменту и организационной эффективности, сооснователь компании CH Consulting, автор книги «Picking the Low Hanging Fruit: And Other Stupid Stuff We Say in the Corporate World».

– James Sudakow. The top 12 overused IT terms. Computerworld. Nov 14, 2016

Опубликован атлас

Агентство стратегических инициатив и школа управления «Сколково» разработали и регулярно обновляют «Атлас новых профессий». В этом документе указано, какие профессии в России завершат свое существование к 2030 году, а какие, наоборот, появятся. Этот весьма полезный инструмент может помочь руководителям предприятий понять, к каким потребностям рынка имеет смысл подготовиться и каким направлениям стоит уделить внимание уже сейчас.

Одной из профессий, которые должны появиться после 2020 года, станет «менеджер непрерывности бизнеса». В ее описании указано, что это специалист, который обеспечивает бесперебойность бизнес-процессов при возникновении проблем или отключении ИТ-систем предприятия вследствие кибератак, программных ошибок, техногенных катастроф, влияющих на работу Сети, и других форс-мажорных ситуаций.

Что же на самом деле понимается под непрерывностью бизнеса и как овладеть соответствующей специальностью? К сожалению, сегодня в России нет единства в понимании этого термина, существуют различные его интерпретации и даже указанное в атласе определение не до конца соответствует тому сложившемуся пониманию, которое существует в тех странах, где такая профессия уже существует достаточно продолжительное время.

Россия, следуя мировым технологическим тенденциям, принимает передовые зарубежные практики, положенные в основу международных стандартов (в частности, ISO), формализуя их в виде стандартов ГОСТ. Тут случаются коллизии. Если мы посмотрим на англоязычный термин «business continuity», с которого собственно и начинается данное направление, то в стандарте ГОСТ 22300 «Безопасность в чрезвычайных ситуациях. Термины и определения» он переведен как «непрерывность деятельности». А в стандарте ГОСТ 22301 «Системы менеджмента непрерывности бизнеса. Общие требования» термин переводится как «непрерывность бизнеса». И это, к сожалению, не единственное подобное расхождение.

Теперь посмотрим, как именно определяют оба этих стандарта непрерывность бизнеса. В одном случае это «способность организации продолжать производство продукции или оказание услуг на приемлемом, заранее заданном уровне после инцидента, нарушившего ее деятельность». А во втором – «стратегическая и тактическая способность организации планировать свою работу в случае инцидента и нарушения ее деятельности, направленная на обеспечение непрерывности деловых операций на установленном приемлемом уровне».

Несмотря на определенную разницу, оба определения говорят об одном и том же – о важнейшей функции обеспечения устойчивости предприятия в условиях возможного нарушения его деятельности. И тогда становится понятно, что определение профессии менеджера непрерывности бизнеса в атласе дано не совсем верно. Никакой специалист, если он не обладает сверхчеловеческими способностями, не сможет в одиночку «обеспечить» бесперебойность работы предприятия – его задачей будет организация обеспечения такой бесперебойности подразделениями и другими сотрудниками организации.

Специалист широкого профиля

Второй важный момент, на который нужно обратить внимание, – это связь с информационными технологиями. В наше время ИТ-системы – это сердце практически любого предприятия, с ними же обычно связано и большинство инцидентов, нарушающих деятельность организации. Однако менеджеру непрерывности для обеспечения полноценной устойчивости своей организации к сбоям, авариям и катаклизмам придется заниматься и предметами, не связанными с ИТ. Например, создавать условия для устойчивой работы поставщиков и всей цепочки поставок услуг и товаров своему предприятию – от бумаги для принтера до питания сотрудников. Кроме того, чтобы управлять бесперебойностью бизнес-процессов, ему придется понимать эти бизнес-процессы хотя бы на минимальном уровне, то есть погружение в специфику бизнеса тоже неизбежно. А еще есть аспекты управления защитой бренда – ведь торговая марка тоже может пострадать в случае обнародования сведений об аварии или иных неприятностях.

Для понимания того, какие же именно области включает в себя непрерывность бизнеса, можно поискать стандарты по номеру серии ISO 223xx или по термину «business continuity» – и увидеть большой список нормативов. Кроме указанных выше глоссария и общих требований, здесь будут документы по построению системы управления непрерывностью бизнеса, обеспечению устойчивости организации, по непрерывности цепочки поставок, анализу влияния на бизнес, массовой эвакуации, использованию добровольцев, структуре обмена информацией, по проведению тренировок, установлению партнерства, реагированию на инциденты, оповещению общества. А если поискать дополнительные источники, то можно найти еще и руководства по обеспечению управления людьми в критических ситуациях, общему кризисному управлению, обеспечению устойчивости ИТ-систем и многое другое.

Таким образом, очевидно, что наш менеджер должен быть специалистом широкого профиля.

Видимо, если профессия должна начать получать распространение пусть не к 2020 году, а хотя бы к 2025-му, то высшие учебные заведения уже сейчас должны начинать подготовку методической и преподавательской базы по этому направлению, набирать первых студентов. Однако если мы поищем в сети информацию по данному вопросу, то пока мы увидим только предложения по отдельным курсам, которые скорее относятся к переподготовке специалиста, а не к формированию академического направления.

Источники знаний

Куда же обратиться тем, кто хочет развить свою компетенцию в сфере обеспечения непрерывности бизнеса, если упомянутых курсов недостаточно? Хорошо, если человек владеет английским языком на уровне чтения литературы – он может использовать и многообразие перечисленных выше стандартов, и множество литературы от опытных профессионалов, и услуги целых учреждений, работающих в данной области и представленных в Интернете. Среди последних наиболее авторитетными и предоставляющими для изучения большое количество профессиональной информации являются Институт непрерывности бизнеса (Business Continuity Institute, thebci.org) и Международный институт восстановления после катастроф (Disaster Recovery Institute International, drii.org). Эти институты выпустили свои подробные методики построения систем управления непрерывностью бизнеса, они публикуют дополнительные предметные руководства, а также статьи по отдельным вопросам непрерывности бизнеса.

К сожалению, на русском языке доступных материалов гораздо меньше. В первую очередь это, конечно, ГОСТы: те, о которых мы говорили выше, а также некоторые другие, в том числе новые, которые регулярно выходят в связи с выходом или обновлением соответствующих серий международных англоязычных версий.

В тематических и отраслевых журналах встречается некоторое количество более или менее подробных статей по вопросам непрерывности бизнеса, в том числе и в «Директоре информационной службы» (http://www.osp.ru/os/2012/01/13012922). Но нужно понимать, что, читая статью или даже серию статей, невозможно погрузиться в тему настолько, чтобы стать специалистом хотя бы начального уровня. Для сравнения, методики Института непрерывности бизнеса или Международного института восстановления после катастроф, подробно поясняющие все аспекты процессов управления непрерывностью бизнеса, – это книги объемом более 100 страниц текста.

Если же попытаться найти книгу на русском языке, то поиск покажет, что сосчитать их можно по пальцам одной руки. Как мы видим, база для получения знаний по дисциплине непрерывности бизнеса очень ограниченна.

Говоря про непрерывность бизнеса, необходимо упомянуть такой источник получения квалифицированных знаний и опыта, как консультационные услуги в этой области. Несмотря на относительную новизну темы непрерывности, в некоторых отраслях уже появились регулирующие требования для предприятий и организаций по вопросам поддержания бесперебойности функционирования процессов, особенно это характерно для международных компаний или финансовых организаций.

Раз имеются требования, значит формируется и спрос на обеспечение соответствий этим требованиям. К сожалению, в условиях обозначенного выше дефицита специалистов и экспертов в области непрерывности порой вполне разумное требование по обеспечению бесперебойной работы вырождается в формальные мероприятия.

Например, регулятор требует не построения полноценной системы управления ею, а только наличия результирующего артефакта, каковым обычно является «План непрерывности бизнеса». Соответственно, предприятие, у которого требуют наличие такого плана, тоже воспринимает это требование как формальное и заказывает у внешнего консультанта только проработку этого вопроса. Недобросовестный консультант выполняет заказ без подробного анализа и обсуждения всех аспектов непрерывности бизнеса, просто выдавая в итоге красивый, но не соответствующий действительности документ. К реальному обеспечению непрерывности бизнеса это не имеет отношения, и в ситуации разрушительного инцидента предприятие окажется в той же степени неготовности, которая была до разработки такого формального плана.

По этой причине общение с консультирующими компаниями как с источниками знаний по данной теме требует осторожности и предварительной оценки их реальной квалификации.

* * *

Инициативы, связанные с обеспечением непрерывности бизнеса, часто критикуют за высокую затратность соответствующих мероприятий при их неочевидной пользе для организации. Действительно, разрушительный инцидент, возможно, никогда не произойдет, а время и средства для построения системы управления непрерывностью, обеспечения ее ресурсами и проведения различных мероприятий нужно потратить уже сейчас. Однако такое представление обычно складывается из-за неполного понимания специфики и масштаба работы системы, причем нередко как раз по вине недобросовестных консультантов. Полноценно функционирующая система управления непрерывностью бизнеса создает немало инструментов, полезных для предприятия. Карта бизнес-процессов с их приоритизацией, реестр рисков для продуктов и услуг организации, уровни критической потребности персонала, связь ИТ-систем и бизнес-процессов, их использующих, сплачивание коллектива в ходе совместных тренировок – вот только часть полезных результатов, которые можно извлечь в ходе построения эффективной системы.

Службе информационной безопасности приходится выстраивать все новые бастионы между физическими и виртуальными стенами своей организации. И конечные пользователи должны принимать непосредственное участие в обеспечении защиты корпоративных данных и систем. Для того чтобы обезопасить себя и свои организации, аналитики компании Wombat Security Technologies рекомендуют удаленным работникам придерживаться десяти правил.

Старайтесь избегать сетей Wi-Fi с открытым доступом

Незащищенные паролем бесплатные сети Wi-Fi не обеспечивают достаточного уровня безопасности при подключении к закрытым системам и передаче конфиденциальной информации. Для безопасного подключения нужно использовать специальные мобильные точки доступа или соответствующие функции своих мобильных устройств.

Защитите домашнюю сеть

Незащищенная домашняя беспроводная сеть также уязвима. Пользователи должны как минимум защитить свои беспроводные сети паролями и включить шифрование (желательно WPA2). А лучше – разработать для удаленных сотрудников набор правил, регламентирующих настройку их систем.

Подключайте все мобильные устройства через VPN

Большинство организаций, у которых есть удаленные сотрудники, используют виртуальную частную сеть – VPN, которая не только защищает устройства компании, но и помогает при использовании концепции BYOD.

Подберите подходящее приложение VPN, попросите сотрудников установить его на свои устройства и объясните, как им пользоваться.

Не путайте свои персональные данные с деловыми

Корпоративные данные не следует передавать с личных устройств, поскольку возрастает риск их утечки. И большая часть ответственности ляжет на конечного пользователя, который выводит данные за пределы контролируемой зоны. Точно так же не следует размещать личные данные на корпоративных устройствах, ведь доступ к ним могут получить и другие лица.

Не распространяйтесь в социальных сетях о работе

Распространение удаленными сотрудниками сведений о своей работе создает дополнительные проблемы их работодателям. Сотрудникам следует понимать, сколь опасно разглашение в социальных сетях сведений о деловых маршрутах – пребывании в аэропортах, гостиницах, ресторанах; повседневных операциях и прочих деталях ведения бизнеса.

Смените, наконец, пароли, установленные по умолчанию!

Удаленные работники часто подключают корпоративные устройства к своим личным сетям и устройствам. Дайте им указание в обязательном порядке сменить пароли на всех устройствах, особенно на беспроводных маршрутизаторах. Пароли по умолчанию легко найти в Интернете, и хакеры используют эту информацию, чтобы подключиться к ресурсам ничего не подозревающих пользователей.

Обновляйте программы регулярно

Киберпреступники активно эксплуатируют также и известные уязвимости в ПО и плагинах – например, в Adobe Flash, Acrobat Reader и Java. Плагины и программное обеспечение – в том числе мобильную операционную систему и доверенные приложения – необходимо регулярно обновлять на всех используемых устройствах.

Путешествуйте с умом

Отправляясь в деловую поездку, конечные пользователи должны брать с собой только самое необходимое, исключив все ненужные электронные устройства и носители конфиденциальных данных, такие как кредитные карты и т. п.

Берегитесь подслушивающих и подглядывающих!

Каким бы ответственным в отношении безопасности ни был удаленный сотрудник, дома его могут навещать посторонние люди, которых не следует посвящать в подробности своей профессиональной и личной жизни. В поездках угроза, исходящая от случайных попутчиков, возрастает многократно. Следует проявлять осторожность обсуждая рабочие вопросы по телефону при посторонних. Конфиденциальные сведения на мониторе, в распечатанном виде или в виде записей в блокноте не должны видеть те, кто не имеет к ним права доступа.

Держите компьютер «на замке»

Дома ограничьте доступ к компьютеру паролем, а документы, когда они не используются, запирайте на замок. Оставлять телефоны и папки без присмотра в гостиницах или в автомобилях ни в коем случае нельзя.

– Ryan Francis. 10 ways to make sure your remote workers are being safe. CSO. November 1, 2016