Статьи

Зачастую они тихонько стоят себе в углу и пылятся, всеми забытые, превращаясь в весьма удобный объект для атаки. Многие компании не утруждают себя обновлением прошивок старых моделей и не проводят аудит безопасности каждого такого устройства (например, аппарата в кабинете генерального директора). В организациях почему-то думают, что принтеры Epson или HP, едва ли не каждый второй из которых подключен сегодня к сетям Wi-Fi, совершенно не интересуют хакеров.

Принтеры действительно кажутся совершенно безвредными и безобидными, но именно поэтому, по мнению аналитиков, они и несут в себе угрозу. Ведь зачастую наилучшим направлением атаки является то, о котором никто не задумывается. Между тем опрос, проведенный IDC, показал, что 35% всех брешей в системе офисной безопасности связано с незащищенными принтерами и многофункциональными устройствами. И это ежегодно обходится компаниям в среднем примерно в 130 тыс. долл.

Почему угрозу надо воспринимать серьезно

Периферийные устройства, к категории которых относятся принтеры, обычно не являются объектами защиты. Корпоративные средства безопасности следят за состоянием сетей и компьютеров, а устаревшие принтеры, на которых установлена еще заводская прошивка, как правило, не принимаются во внимание.

«Может показаться, что принтеры не представляют опасности, но вы должны помнить, что по своей сути они являются мини-компьютерами, – подчеркнул этичный хакер Крис Викери, занимающийся исследованием вопросов безопасности в компании MacKeeper. – Контроль над принтером позволяет злоумышленнику сформировать плацдарм для будущих атак и занять удобную позицию для последующего проникновения внутрь сети».

Наиболее серьезные угрозы возникают, когда атакующий получает через принтер доступ к сети. Следует помнить и о возможности захвата любого документа, отправленного на принтер. Это способно нанести серьезный урон интеллектуальным ресурсам предприятия. Викери также припомнил недавний инцидент, когда некий документ с информацией экстремистского характера был отправлен на тысячи принтеров, у которых не был заблокирован определенный порт.

Арианна Валентини, занимающаяся исследованием проблем безопасности в IDC, заметила, что, помимо целенаправленного взлома принтера, угрозу представляют и документы, оставленные без присмотра. Во многих старых моделях нет функции, разрешающей печать только после ввода пароля непосредственно на устройстве. Сотрудники выводят документы на печать и забывают про них. В результате похищение документов становится очень легким делом для злоумышленника, который переводит их в цифровую форму и продает секреты компании.

Исследователь вопросов безопасности из Gartner Лоуренс Пингри назвал и еще одну угрозу. В организациях сферы здравоохранения и финансового сектора, где требования регуляторов значительно жестче, на принтеры следует обращать особое внимание. Ведь с ними здесь связаны не меньшие риски нарушения нормативных требований, чем с ноутбуками.По словам Викери, в какой-то степени проблема возникла из-за невнимания (принтеры безмолвно стоят в уголке), а в какой-то — из-за того, что производители не задумались вовремя о защите своих устройств. Одним из главных нововведений, укрепляющих безопасность принтеров, стала парольная защита по умолчанию (устройства поставляются с уже включенными паролями). Но это ничем не поможет миллионам пользователей старых моделей, так и не поменявших прошивки принтеров, в которых пароли не были задействованы.

Эксперты отмечают, что нарушения требований безопасности не являются особенностью каких-то конкретных брендов. Такие проблемы существуют у старых моделей Canon, Xerox, HP и многих других, в которых не используется парольная защита и которые подключены к корпоративным сетям посредством кабельных интерфейсов или Wi-Fi.

В средствах массовой информации появлялись сообщения о недостаточной безопасности принтеров HP, но, возможно, это объясняется просто высокой популярностью бренда. По словам Пингри, в последнее время компания HP заметно укрепила безопасность своих продуктов, решив заранее принять меры для блокирования потенциальной возможности взлома.

Есть информация об уязвимостях в принтерах Ricoh. В каждом из них существует лазейка, позволяющая получить доступ к учетной записи администратора. Чтобы воспользоваться этой возможностью, достаточно пройти авторизацию в качестве супервизора без пароля. После этого меняется пароль основного администратора. А получив доступ к учетной записи администратора, вы можете сменить прошивку, включив в новый вариант собственные троянские модули.

Рекомендации по укреплению безопасности принтеров

Общий совет по укреплению безопасности очень прост: замените устаревшие принтеры новыми моделями с достаточным уровнем защиты. Технологии, используемые в новейших моделях, достигли высокого уровня.

За последние полгода разработчики внедрили целый ряд весьма существенных инноваций. Модели HP PageWide используют новую технологию Sure Start, которая проверяет корректность программы BIOS. А функция HP Whitelisting позволяет убедиться в том, что прошивка не подвергалась взлому.

В марте 2016 года компания Xerox представила новую функцию, использующую шифрование для всех операций печати и сканирования. Еще одна новая функция автоматически удаляет задания на печать при включении питания. Это снижает вероятность того, что хакер сможет атаковать принтер, на котором хранятся старые задания.

«Мы вправе ожидать от производителей принтеров и разработчиков программного обеспечения новых продуктов, которые помогут организациям повысить уровень безопасности своей среды печати», – подчеркнула Валентини.

По мнению Пингри, важно также не забывать, что на самом деле принтер – это еще один сервер со своей операционной системой, подверженный атакам. А значит, о его безопасности нужно заботиться точно так же, как и о безопасности любого другого узла сети, и своевременно устранять выявленные уязвимости.

Легко упустить из виду и еще один момент. Настройкой принтера, как правило, занимается системный администратор, использующий для этого свои широкие полномочия и права доступа. Перехватывая вводимые данные, атакующий может похитить их.

Хотелось бы отметить, что существует очень много вариантов атаки. Это и загрузка неавторизованных прошивок, и захват заданий, отправленных на печать, и даже кража забытых документов из выходного лотка принтера. Важно учитывать любые возможные сценарии, даже если принтер в дальнейшем будет продолжать пылиться в углу.

– John Brandon. Think that printer in the corner isn’t a threat? Think again. CSO. May 3, 2016

Количество компаний, инвестирующих в широко разрекламированную технологию блокчейна, растет. Все говорят, что распределенный реестр обладает огромным потенциалом в части изменения ключевых бизнес-процессов. Но, как и любая другая передовая технология, блокчейн несет в себе определенные риски для бизнеса. А в Forrester предостерегают: пока что не существует даже четкого определения блокчейна.

Выступая на проходившей в Лондоне конференции Forrester Digital Transformation Europe, главный аналитик компании Forrester Research Марта Беннетт перечислила основные риски и рассказала о том, что нужно сделать, чтобы в полной мере раскрыть потенциал блокчейна.

1. Отсутствие четких определений

Прежде всего важно выработать общие соглашения в части рабочего определения блокчейна. Беннетт характеризует блокчейн как «хранилище записей, реализующее однократную запись и добавление данных». Перезаписывать их запрещено. Блокчейн, или цепочка блоков транзакций, имеет распределенную структуру и полностью или частично реплицируется.

Такой подход безопасен с криптографической точки зрения, но не эквивалентен шифрованию. По умолчанию контент блокчейна – транзакция или собственно запись – не шифруется. Криптографическая безопасность обеспечивается за счет хеширования транзакции и привязки ее к хешу. Попытки изменения сразу выявляются, поскольку хеш перестает соответствовать транзакции.

А если слово «реестр» заменить «базой данных», поводов для спора станет еще меньше. Почему это так важно? При обсуждении блокчейна убедитесь, что говорите с собеседником об одном и том же, ведь блокчейн, подобно облакам или Большим Данным, несет в себе ту смысловую нагрузку, которую вы в него закладываете.

2. Безопасность и риск

Одной из ключевых особенностей блокчейна, которую ценят поставщики финансовых услуг и страховые компании, является возможность гарантировать безопасное выполнение транзакций и снижение рисков за счет того, что любые изменения немедленно становятся заметны.

Но здесь есть и побочные эффекты. Блокчейн все выставляет напоказ, поскольку его содержимое, как правило, представляет собой открытый текст. Но даже при принятии специальных мер существуют технологии, позволяющие любому желающему получить доступ к контенту.

Между тем даже простейшие правила личной безопасности нередко не соблюдаются, а ведь в блокчейне присутствует очень много персональных данных. И мошенники могут воспользоваться ими в своих интересах. Нарушаются требования к конфиденциальности и защите данных.

Если информация обо всех торговых операциях содержится в цепочке, ее могут использовать конкуренты. Компании уже осознали это и с большей осторожностью прибегают к помощи блокчейна, стремясь сохранить коммерческую конфиденциальность и не допустить преследования со стороны антимонопольных органов. Возможным рискам, безопасности и политике доступа необходимо уделять самое серьезное внимание.

3. Управление ключами

Беннетт рассказала о недавних случаях проникновения киберпреступников в глобальную платежную систему SWIFT и о том, что блокчейн не смог бы воспрепятствовать этому.

«Вы говорите об однократных неизменяемых записях, но людям свойственно допускать ошибки, – заметила она. – В цепочке все равно появятся мошеннические транзакции, ведь там, где есть деньги, без взломщиков никогда не обходится. Благодаря цепочке обнаружить их становится проще, но полностью исключить мошенничество цепочка не в состоянии. Некоторые утверждают, что при использовании блокчейна проникновение в систему SWIFT невозможно. На самом деле это не так. Ведь мы столкнулись с кражей учетных записей, но с тем же успехом можно украсть и ключи для цепочки. Да, блокчейн помогает выявлять операции такого рода, но он не в состоянии предотвратить их».

4. Полномочия и права доступа

Здесь тоже возникает ряд вопросов, на которые ИТ-специалистам еще предстоит ответить в случае перехода к блокчейну.

Сколько наборов ключей нужно иметь для управления правами и шифрованием? Как происходит отзыв полномочий? Как работает цепочка? Какие алгоритмы и соглашения при этом используются? Сколько узлов?

Задав поставщикам эти важные вопросы, вы обнаружите, что многие не могут на них ответить.

5. Развертывание на предприятии

Сегодня технологии, позволяющие проводить платежи, денежные переводы, осуществлять послепродажную поддержку и обеспечивать соответствие журналов предъявляемым к ним требованиям, кажутся предприятиям уже достаточно зрелыми. Но это вовсе не означает, что их легко можно интегрировать в корпоративную среду. Напротив, по мнению Беннетт, технологии в целом сегодня находятся лишь в зачаточном состоянии.

«Их полномасштабного распространения можно ожидать лишь через пять-десять лет, ибо сегодня в нашем распоряжении имеется только набор весьма незрелых технологий, – констатировала она. – В компаниях их совершенствованием занимаются яркие и талантливые люди, но вопросы масштабирования, обеспечения безопасности и интероперабельности пока еще не решены».

6. Хранение

Всем, кто собрался внедрять у себя технологию блокчейна, придется задуматься об организации хранения данных.

Хранилище может быть встроено непосредственно в цепочку, может находиться где-то еще или даже размещаться в параллельном блокчейне. Все это остается предметом исследований. При интенсивной обработке транзакций и их репликации в несколько баз данных вы неизбежно столкнетесь с задержками, поэтому какую-то часть хранилища или организацию вычислений придется выносить за пределы цепочки.

7. Соответствие общим стандартам

Необходимо выработать соглашения об общих стандартах и процессах. Определенные шаги в этом направлении уже предпринимаются (образован, в частности, консорциум R3, объединивший крупнейшие финансовые организации мира), но вопросы взаимодействия по-прежнему порождают определенные трудности. «Когда в последний раз вам удавалось внедрить в 40 банках одну и ту же процедуру?» – вопрошает Беннетт.

И наконец, последний совет всем, кто рассматривает возможность внедрения у себя блокчейна. «Начинайте не с технологии, а со сценариев ее использования, – рекомендует Беннетт. – Мне жаль, когда миллионы фунтов стерлингов тратятся на проекты, которые никогда так и не будут реализованы. Поэтому надо трудиться не покладая рук, пробовать различные сценарии и смотреть, что из этого получится».

— Scott Carey. Seven reasons blockchain isn't ready for mainstream deployment. Computerworld UK. June 13, 2016

Широкое внедрение технологии блокчейна, по-видимому, произойдет только через годы. Сейчас в организациях лишь пытаются разобраться, как именно можно применять системы цифровых реестров на практике и как преодолеть сложности, связанные с регулированием, нормативной документацией и отсутствием стандартов.

Блокчейн пропагандируется венчурными капиталистами, технофилами и аналитиками как очередное грандиозное новшество компьютерной науки. На самом же деле программное обеспечение цифрового реестра, лежащее в основе биткоинов и других криптовалют, еще очень и очень далеко от массового внедрения.

Как отметил профессор МТИ Кристиан Каталини, блокчейн позволяет сторонам выполнять финансовые транзакции, заключать контракты и осуществлять иные операции с участием цифровых записей через Интернет. Но каковы потенциальные применения технологии на предприятиях?

«Честно говоря, пока что реальных применений не много, – признал Андерс Браунворт, главный инженер компании Circle, оператора потребительского сервиса защищенных P2P-платежей на основе блокчейна. – Распределенный реестр называют панацеей от всех проблем на свете, но на самом деле это не так».

Подобная прямота может стать неожиданной для тех, кто черпает сведения о технологии из прессы, где блокчейну приписывают прямо-таки культовый статус. А в некоторых крупнейших банках мира, например в Barclays, Bank of New York Mellon и UBS, полагают, что распределенный реестр – это будущее депозитарных операций. «Блокчейн как цифровой реестр серьезным образом изменит принципы работы индустрии финансовых услуг», – заявил в сентябре 2015 года ИТ-директор UBS Оливер Буссманн. И в это охотно верится, поскольку к 2025 году, по прогнозам экспертов Всемирного экономического форума, 10% валового внутреннего продукта будет храниться в блокчейнах.

Но банки – это отклонение от общей тенденции. Эксперты, подтверждая правоту Браунворта, говорят, что на сегодня реальных применений блокчейна недостаточно.

Большой ажиотаж и большие сложности

Как отметил глава PA Consulting Group Питер Никол, интерес к использованию блокчейна обусловлен также возможностью создания документального следа для цепочки поставок, который позволит удостоверяться в происхождении товаров. Мобильное приложение, реализующее функции блокчейна, позволило бы покупателям сканировать штрихкоды в магазине натуральной еды, чтобы уточнять происхождение продуктов вплоть до региона, фермы и, возможно, даже конкретных коров, которые произвели молоко, находящееся в конкретном пакете.

Но, по словам Никола, большинству потребителей нет дела до происхождения многих товаров, если не считать дорогостоящих, например бриллиантов, поэтому вряд ли на такое приложение будет спрос. А если блокчейном будут пользоваться очень мало продавцов и покупателей, то целесообразность внедрения оказывается под большим вопросом, особенно на предприятиях, где от ИТ-директоров требуют окупаемости новых технологий.

Но у блокчейна есть проблемы и помимо элементарной применимости в бизнесе. Отсутствие универсальных стандартов и нормативной документации, нехватка специалистов, имеющих навыки работы с ПО распределенного реестра, и сомнения в масштабируемости снижают заинтересованность во внедрении. На сегодня, по мнению Никола и других экспертов, блокчейн – это лишь предмет ажиотажа: слишком много обещаний, очень мало практических реализаций.

«Предстоит пройти немалый путь, прежде чем какие-либо решения, которые попадали в заголовки новостей за последние полтора года, будут готовы к внедрению на предприятиях, – полагает Марта Беннет, аналитик Forrester Research. – А появление чего-либо, требующего как согласия большого числа участников отрасли, так и единого набора процессов, может состояться еще позднее, и это даже без учета вопросов регулирования».

По словам Беннет, на сегодня еще не делалось серьезных попыток продумать сквозные процессы. Пример – уже упомянутое выяснение происхождения: одно дело – отслеживать цифровые товары, и совсем другое – физические. Если вы пытаетесь проследить что-то на пути от производителя к покупателю, где гарантии отсутствия вмешательства?

Их быть не может, по крайней мере при нынешнем положении дел. Но блокчейн – едва ли не первая новая технология, ажиотаж вокруг которой гораздо больше, чем уровень ее зрелости. По сути, все революционные технологические платформы, обладающие потенциалом широкого внедрения или сетевого эффекта, прошли подобное «испытание огнем».

Возьмем, к примеру, Hadoop – технологию анализа данных с открытым кодом, разработанную в Yahoo десять лет назад. Вначале с ней лишь экспериментировали узкие специалисты, затем несколько стартапов коммерциализовали ее, и внезапно она стала главным инструментом обработки Больших Данных. Постепенно в компаниях поняли, что им нужны специалисты по Hadoop, и что главная сила технологии – в предварительной обработке данных, а не в выдаче готовых аналитических сведений. Чтобы извлекать из Hadoop пользу, необходимы были ученые по данным. И хотя сегодня Hadoop используется множеством компаний, это не универсальное решение для всех задач Больших Данных.

Сравнение блокчейна с Hadoop в плане ажиотажа справедливо, считает Дэвид Шатски, старший менеджер Deloitte по анализу новых технологий. И блокчейн, и Hadoop открывают совершенно новые возможности. Шатски отметил, что в компаниях, оказывающих финансовые услуги, в блокчейне видят инструмент создания решений для анализа кредитной истории клиентов, а в туристической и гостиничной отрасли считают, что блокчейн поможет разрабатывать программы лояльности.

«Блокчейн действительно способен радикально повысить эффективность многих бизнес-процессов, – подчеркивает Шатски. – Но в то же время существует масса нерешенных вопросов – в частности, по поводу блокчейнов с привилегиями доступа и без таковых, по поводу руководства распределенными реестрами с поддержкой разграничения прав, а также относительно масштабируемости».

Стоит ли внедрять блокчейн

Никол рекомендует ИТ-директорам, обдумывающим планы внедрения блокчейна, озаботиться следующими вопросами: «Как «продать» блокчейн финансовому директору, если лучшее, что можно обещать, – это окупаемость через год или позже?», «Какие есть практические сценарии применения, способные заинтересовать бизнес с точки зрения инвестиций?». «Пока не появится круг конкретных сценариев применения, планировать внедрения будет сложновато», – говорит Никол.

Беннет рекомендует ИТ-директорам, думающим внедрить блокчейн, задаться вопросом, требуется ли для их конкретных задач криптографически защищенное распределенное тиражируемое хранилище записей. Затем следует проконсультироваться со специалистами из компаний, уже внедривших подобные решения, провести оценку экосистемы стартапов, занимающихся блокчейном, а также навести справки об отраслевых инициативах, консорциумах и консультантах.

Если после такой предварительной работы заинтересованность во внедрении сохранится, нужно выделить ресурсы для проведения концептуальных внедрений. «Но планировать надо комплексные проекты, фрагментарное внедрение пользы не принесет, – добавляет Беннет. – Кроме того, нужно задуматься об интерфейсе между физическим миром и блокчейном».

– Clint Boulton. Blockchain’s hype exceeds its grasp – for now. CIO. Jun 7, 2016

Невыносимые сослуживцы встречались в жизни всем: это мог быть кто-то, кто притеснял других, мешал достигать целей, присваивал себе чужой успех, подвирал или был нечист на руку. Такой человек, при всех своих отрицательных качествах, одновременно может быть очень умным, целеустремленным, высокопродуктивным, но чего это стоит вашему бизнесу? Долгосрочный ущерб слишком велик, чтобы терпеть сотрудников, которые нестерпимы. К такому выводу в своем докладе пришли Дилан Майнор, профессор Гарвардской школы бизнеса, и Майкл Хаусман, директор по аналитике компании Cornerstone OnDemand.

О том, как организациям находить и выращивать собственных «звезд», способных радикально улучшить результативность и продуктивность труда, написано немало. Но гораздо меньше говорилось о том, что же делать с сотрудниками, которых трудно терпеть остальным.

В анкетировании, проведенном Майнором и Хаусманом, приняли участие 60 тыс. сотрудников из 11 компаний в различных отраслях, в том числе в индустрии связи, потребительских услуг, финансах, здравоохранении, страховании и розничной торговле.

Во что обходятся работники, отравляющие рабочую атмосферу

«Как мы выяснили, «суперзвезда» (так мы называем 1% работников с самой высокой продуктивностью) добавляет ежегодно примерно 5 тыс. долл. к прибыли компании, а работник с дурным характером, напротив, наносит убыток около 12 тыс. долл., – пишут авторы доклада. – Таким образом, один такой сотрудник сводит на нет пользу более чем от двух суперзвезд. Получается, что работники, издевающиеся над коллегами, на самом деле влияют на компанию сильнее, чем положительные». Но в то же время выводы исследования показывают: «притеснители» работают во много раз продуктивнее, чем средние служащие, и этим, вероятно, объясняется то, что они остаются в организациях дольше, чем следовало бы.

«Ядовитые» сотрудники могут чрезвычайно негативно влиять на всю организацию, подчеркивает Жюли Мориарти, старший вице-президент по тренингам и профориентации NAVEX Global, компании, разрабатывающей программное обеспечение для управления рисками и соблюдения нормативных требований.

«Атмосфера притеснения сильно влияет на организацию в целом, – продолжает она. – Независимо от того, являетесь ли вы жертвой или свидетелем, подобная обстановка ухудшает вашу способность работать в коллективе, снижает продуктивность и может привести к тому, что компании будет трудно набирать и удерживать квалифицированных специалистов. Часто лучшие кандидаты приходят по рекомендациям, а если у вас в компании нездоровый климат, никто не станет рекомендовать ее». Возможен даже ущерб деловой репутации компании, а также не исключены громкие разбирательства, если жертвы обратятся в суд.

Есть ли выгода от притеснителей?

Ситуация усложняется из-за того, что некоторым организациям агрессивный характер сотрудников приносит пользу, отмечает Гэри Нами, который основал Workplace Bullying Institute (Институт изучения проблемы издевательств в трудовых коллективах). Различия между тираном и «пробивным», высокопродуктивным, инициативным работником, который приносит компании прибыль, трудноуловимы, особенно если сотрудника уже поощряли за агрессивное поведение, подчеркивает Нами.

«Многих из тех, кто притесняет сослуживцев, при других обстоятельствах хвалят за аналогичное поведение, – продолжает он. – Они настойчивы, ни перед чем не останавливаются, хитры и готовы на все, чтобы идти вперед и победить, и это помогает и им, и бизнесу. В большинстве случаев тираны на работе действительно приносят пользу вопреки своим недостаткам: те же качества, за которые их ненавидят, оказываются преимуществом при выполнении рабочих обязанностей. Поэтому жертвам приходится вступать в неравный бой, когда они пытаются заставить начальство увидеть, что именно скрывается за высокой результативностью такого человека».

Что делать

Один из способов – действовать через менеджера, отвечающего за вопросы этики и внутренний контроль. Но этот сотрудник должен подчиняться либо генеральному директору или другим представителям высшего руководства, либо совету директоров, чтобы были гарантии беспристрастности и объективности.

«Такой сотрудник должен быть независим; у него должна быть возможность принимать непростые решения – например, уволить агрессивного сотрудника или наложить на него дисциплинарное взыскание, причем эти решения не могут быть отменены или проигнорированы», – подчеркивает Мориарти.

Можно предусмотреть механизмы, позволяющие анонимно пожаловаться на издевательства; правда, в таком случае расследование может затянуться и провести его будет труднее.

«В большинстве организаций в подобных случаях положено обращаться к начальнику, но если такое невозможно (например, он и есть обладатель дурного характера), идите в кадровый отдел, – продолжает Мориарти. – В открытых акционерных компаниях нередко есть горячая линия или механизм приема жалоб». Если же подобные средства отсутствуют или неэффективны, быть может, придется обратиться за юридической помощью вне организации.

Статистика WBI показывает: даже когда на подобных сотрудников жалуются, примерно в 44% компаний ничего не делают для исправления ситуации. Возможно, в ближайшей перспективе подобная тактика и принесет пользу компании, но долгосрочный ущерб от таких работников будет гораздо больше.

«В компаниях, где ничего не предпринимают для борьбы с отравителями рабочей атмосферы, предпочитают сиюминутную выгоду и не думают о потерях в будущем, – говорит Мориарти. – Когда же ущерб станет заметным, станет уже слишком поздно. Ваши сотрудники всегда будут помнить, что в компании предпочли краткосрочную прибыль, а не оздоровление трудовой атмосферы. И ваш бизнес из-за этого будет страдать».

– Sharon Florentine. Why your business can't afford toxic employees. CIO. March 21, 2016

О знаменитом хакере Кевине Митнике, за которым в 70, 80 и 90-е годы гонялось ФБР, слышал, наверное, каждый, кто связан с компьютерными технологиями. (Если же подробности совершенных Митником взломов вам неизвестны, почитайте его книгу «Призрак в проводах: мои приключения в качестве самого разыскиваемого в мире хакера».)

Большинству экспертов известно также, что после освобождения из тюрьмы Митник зарабатывал на жизнь, устроившись консультантом по безопасности. Но знаете ли вы, что он никогда не оставлял и свои хакерские занятия?

Митник всегда подчеркивал ту важную роль, которую играет для хакера социальная инженерия. А между тем в большинстве рекомендаций по укреплению безопасности об этом ничего не говорится. Сам же он сегодня не оставляет попыток достучаться до тех, кто пытается оценить существующие риски.

Безопасность и конфиденциальность – это не то, о чем можно забыть навсегда, приняв один раз необходимые меры предосторожности. Важно учиться не только у экспертов по безопасности, но и у хакеров, знающих, как проникнуть в ваш телефон или компьютер с помощью методов социальной инженерии.

О знаменитом хакере Кевине Митнике, за которым в 70, 80 и 90-е годы гонялось ФБР, слышал, наверное, каждый, кто связан с компьютерными технологиями. (Если же подробности совершенных Митником взломов вам неизвестны, почитайте его книгу «Призрак в проводах: мои приключения в качестве самого разыскиваемого в мире хакера».)

Большинству экспертов известно также, что после освобождения из тюрьмы Митник зарабатывал на жизнь, устроившись консультантом по безопасности. Но знаете ли вы, что он никогда не оставлял и свои хакерские занятия?

Митник всегда подчеркивал ту важную роль, которую играет для хакера социальная инженерия. А между тем в большинстве рекомендаций по укреплению безопасности об этом ничего не говорится. Сам же он сегодня не оставляет попыток достучаться до тех, кто пытается оценить существующие риски.

Кевин Митник заставляет людей задуматься о таких вещах, которые раньше даже не приходили им в голову

Достучаться до людей Митник пробует в том числе и путем взлома (естественно, получив предварительно разрешение на это). Корпоративное обучение зачастую кажется пользователям слишком скучным. Поэтому Митник просто взламывает системы своих клиентов, демонстрируя, как легко они могут стать жертвами злонамеренных хакеров.

В настоящее время Митник является директором компании KnowBe4 по вопросам взлома и пишет книгу «Искусство невидимости», в которой рассказывает, как обеспечить безопасность и конфиденциальность в нынешнем мире хакеров и эксплойтов. Работая в KnowBe4, Митник помогает компаниям предотвращать и ликвидировать последствия наиболее деструктивных и сложных взломов, организуемых через атаки фишинга.

Фишинг – одна из разновидностей социальной инженерии и приемов, заставляющих получателя электронного письма или сообщения поверить в то, что оно пришло из заслуживающего доверия источника (например, из PayPal или от одного из руководителей компании, в которой работает жертва атаки). Доверившись отправителю, пользователь открывает приложение, загружает файл, в ответ пароль, сообщает и другую важную информацию или посещает веб-сайт, с которого на его компьютер устанавливается вредоносная программа.

Как говорит Митник, «взломать человека гораздо проще, чем компьютер», поскольку компьютеры четко следуют инструкциям и изменить здесь что-либо практически невозможно, а люди эмоциональны, у них многое зависит от настроения и ввести их в заблуждение не так уж сложно, особенно если они ни разу не обжигались.

Смартфоны

Митник заставляет людей задуматься о таких вещах, которые раньше даже не приходили им в голову. «Человеческая лень открывает перед хакерами самые широкие возможности», – подчеркивает он. Многие люди, разблокируя свой телефон, вместо длинного пароля вводят просто четырехзначный цифровой код. На первом этапе хакер таким образом выбирает себе цель, ведь подобрать четырехзначный цифровой код гораздо проще.

Рекомендации по укреплению безопасности мобильных устройств от Митника просты: лучшая защита против фишинга – не антивирус и не межсетевой экран, а обучение, образование и осведомленность.

Митник использует обычный смартфон, а не телефон с повышенным уровнем защищенности и новейшей системой безопасности – что-то вроде Blackphone 2 или Turing. «Безопасность обеспечивается вашим выбором и поведением, – поясняет он. – А это гораздо важнее даже самого защищенного оборудования».

Митник использует длинный пароль, включающий в себя буквы и цифры, а не четырехзначный цифровой код, как большинство из нас. При опасности принудительного разблокирования телефона, например при возвращении в США из зарубежной поездки, он перезагружает телефон, после чего сенсорный датчик, считывающий отпечаток пальца, становится неактивным (сразу после перезагрузки телефон разблокируется только в случае ввода пароля). В США суд может заставить вас разблокировать телефон, приложив к нему палец, но у него нет права заставить вас сообщить свой пароль.

Но, по признанию Митника, стопроцентно безопасных устройств просто не существует.

Портативные и настольные компьютеры

Митник рассказал, как защитил компьютер своей матери, воспользовавшись преимуществами цифровой подписи Apple.

Раньше мать звонила ему каждую неделю и просила почистить свой компьютер, который то и дело заражался вирусами. Она была настоящим «лакомым кусочком» для атак социальной инженерии, и Митнику приходилось еженедельно переустанавливать операционную систему.

И тогда он купил ей iMac, установил на него антивирусную утилиту и заблокировал компьютер.

Он также изменил настройки безопасности магазина приложений Mac App Store, с тем чтобы она имела возможность загружать только приложения, одобренные Apple. Настройки по умолчанию, говорит Митник, не обеспечивают должной безопасности, ведь «разработчиком можно стать всего за сто баксов».

Таким образом Митник решил проблему загрузки вредоносных программ. Но при этом отметил, что, хотя такое простое решение и обеспечивает защиту от обычных атак фишинга, оно неспособно защитить пользователей от АНБ и других более опытных и целеустремленных хакеров.

Флешки и другие векторы атаки

На конференциях по безопасности Митник охотно демонстрирует хакерское искусство. Например он показал, как, подключив флешку, хакер получает полный контроль над машиной, в том числе над ее камерой и микрофоном, а также возможность запустить любую программу. В процессе демонстрации компьютер распознавал подключаемую флешку как клавиатуру, а не как устройство хранения. Это позволяло хакеру вводить любые последовательности нажатия клавиш, как если бы в руках у него оказалась настоящая клавиатура.

Такой прием был показан потому, что «люди считают USB-устройства безопасными, ведь функция автозапуска у них отключена». На самом же деле компьютер не защищен от флешки.

Многие полагают, что PDF-файлы тоже безопасны. Чтобы развеять эту иллюзию, Митник продемонстрировал визуальные инструменты, с помощью которых хакер, использующий файл PDF, может получить контроль над атакуемой машиной.

Еще один показанный прием моделировал действия хакера в кофейне с бесплатным выходом в Интернет через маршрутизатор Wi-Fi. Хакер подает маршрутизатору команду отключить всех от сети, после чего предлагает пользователям подключиться уже к собственной сети Wi-Fi с тем же именем. После подключения пользователей на их устройства рассылается вредоносный код.

Вы не должны позволять подключать к своему компьютеру чужие флешки и загружать на него PDF-файлы, даже если доверяете источнику (существуют методы социальной инженерии, которые заставят вас ему довериться). И следует избегать публичных точек доступа Wi-Fi.

В то время как специалисты по безопасности заняты изучением хакерского программного кода, Митник делает упор на социальную инженерию. Потому что именно таким образом хакеры получают доступ к вашей системе.

Другими словами, безопасность и конфиденциальность – это не то, о чем вы можете забыть навсегда, приняв один раз необходимые меры предосторожности. Важно учиться не только у экспертов по безопасности, которые владеют соответствующими инструментами, но и у хакеров, знающих, как проникнуть в ваш телефон или компьютер с помощью методов социальной инженерии.

Теперь, обладая такими знаниями, вы просто обязаны изменить свое поведение! Будьте благоразумны. Проявляйте осторожность, граничащую с паранойей.

– Mike Elgan. Surprising tips from a super-hacker. Computerworld. March 7, 2016

Услуга «ИТ как сервис» (IT as a service, ITaaS) – операционная модель, при которой корпоративный ИТ-департамент работает как отдельный бизнес, производя ИТ-продукты и оказывая услуги бизнес-подразделениям. По сути ИТ-департамент является для бизнес-заказчиков лишь одним из множества конкурирующих между собой поставщиков услуг. ITaaS подразумевает ориентацию на потребности заказчиков и их запросы. Важно понимать, что, несмотря на то что аббревиатуры типа XaaS принято применять к различным облачным сервисам, в данном случае речь идет не про облака, а про специфическую модель работы ИТ-подразделения.

Эта модель полностью меняет правила игры: ИТ-департамент перестает быть центром затрат, также появляется дополнительная выгода, поскольку ИТ приближаются к бизнесу. Такой сервис способствует повышению гибкости, облегчает построение модели затрат на основе потребления и упрощает организацию управления по запросам. И может показаться, что переключение на ITaaS открывает невиданные возможности. Но возникает резонный вопрос: все выглядит как-то слишком гладко, в чем подвох?

ITaaS способствует повышению гибкости, облегчает построение модели затрат на основе потребления и упрощает организацию управления по запросам

«Нет ничего труднее, опаснее и неопределеннее, чем руководить введением нового порядка вещей», – писал Макиавелли. А ИТ в качестве сервиса – именно новый порядок вещей, радикально иной способ управления ИТ.

От ИТ-директора переход на эту модель требует переосмысления организации ИТ, инвестиций в технологии, процесса управления талантами, экосистемой и выстраивания взаимоотношений с бизнесом. Такие изменения не даются легко, быстро и дешево. И риски исключить практически невозможно.

Альтернатива «большому взрыву»

Неудивительно, что ИТ-директора в первую очередь интересуются способами снижения рисков. Главный совет таков: не стоит противопоставлять ITaaS уже имеющимся решениям и прибегать к стратегии «всё или ничего».

Структура традиционного ИТ-обслуживания в модели «ИТ как сервис» не работает. Но это не значит, что нужно отказаться от такой структуры полностью. В качестве альтернативы можно рассматривать переход к ITaaS только в областях, представляющих особую ценность, – там, где ИТ необходимо срочно приводить в соответствие с потребностями бизнеса. Эти области связаны с цифровой темой – сферой, где бизнес-подразделения используют технологии для изменения взаимодействия с клиентами и укрепления конкурентоспособности.

Внедряя ITaaS первым делом в высокоприоритетных областях и отказываясь от подхода «большого взрыва», меняющего все, вы получаете три ключевых преимущества в части минимизации рисков:

• ограничиваете область изменений;

• потенциально избегаете расширения инвестиций;

• изучаете новую организационную структуру на начальном этапе, прежде чем переносить ее в другие области.

Предостережения

Такой ограниченный подход имеет ряд недостатков. Хотелось бы предостеречь от ошибок, связанных с внедрением ITaaS в уже существующую структуру традиционных ИТ. Чтобы внедрять ITaaS только в областях, представляющих высокую ценность, требуется создать параллельную организацию с дублирующими функциями. Но это уменьшает риски, сопряженные с подходом «большого взрыва».

Еще одно предостережение обусловлено тем, что внедрению новой модели сопротивляются сотрудники ИТ-службы. Они стараются отстоять традиционные стандарты и сохранить прежний менталитет. Модель ITaaS нуждается в серьезной поддержке, которую нужно организовать совместно с бизнес-подразделениями. Наверняка между двумя существующими ИТ-моделями возникнут трения. А ИТ-директор должен управлять этими процессами.

Консервативный вариант

Есть и третий вариант – не переходить на ITaaS вовсе. Тогда придется повышать гибкость ИТ-услуг, что, в свою очередь, создаст условия для процветания теневых ИТ. Бизнес-подразделения, где ИТ имеют важное значение, часто недовольны качеством обслуживания, когда внимание уделяется возможностям ИТ-службы, а не приведению технологий в соответствие потребностям бизнеса.

Ставка на ограниченный подход. Что дальше?

После внедрения в высокоприоритетных областях дальнейший выбор организации и вероятность перехода на новую модель будут зависеть от достигнутых результатов, эффективности предлагаемой структуры и восприятия ее бизнесом.

– Peter Bendor-Samuel. How to shape your IT-as-a-Service strategy. CIO. Apr 26, 2016

Первым «ИТ-специалистом», как правило, становится руководитель компании, и в его обязанности на начальном этапе входят закупка ИТ-продуктов, организация работы локальной сети и ИТ-поддержка, планирование, маркетинг и развитие бизнеса. Со временем все меняется. Но когда и каким образом?

На примере условного технологического стартапа (назовем его Joe’s Widget Shop) поясним характер жизненного цикла ИТ. Расскажем о том, когда компаниям имеет смысл обратиться за консультацией к специалисту по управлению ИТ и какие моменты при этом следует учитывать, на что нужно обратить внимание при приеме на работу ИТ-менеджера, какие качества от него требуются.

Прослеживая историю Joe’s Widget Shop, остановимся на всех этапах развития компании, дадим рекомендации, как улучшить структуру ИТ для удовлетворения существующих потребностей и стимулирования дальнейшего роста. Рассмотрим, как компания:

1) нанимает своего первого технического специалиста – консультанта по ИТ;

2) назначает первого ИТ-руководителя;

3) внедряет формальные ИТ-политики и процедуры.

Все это может стать основой плана действий для компаний, в которых слабо представляют себе вопросы управления ИТ в условиях расширяющегося бизнеса.

Только что генеральный директор Joe’s Widget Shop Джо Смит нанял 15-го сотрудника и подписал договор об аренде офиса. И теперь он думает, как организовать ИТ-поддержку, чтобы наладить работу офиса и обеспечить развертывание сети и прочей инфраструктуры.

Когда становится необходима консультация по ИТ

Для стартапов приглашение специалистов по управлению ИТ, как правило, не является первоочередной задачей, и причины совершенно понятны. Первые сотрудники обычно работают на своих личных устройствах, в простейшей сети Wi-Fi, в каком-нибудь небольшом помещении. А многообразие доступных решений SaaS позволяет с легкостью поддерживать все необходимые бизнес-операции. И иногда компании достаточно обойтись внештатным системным администратором.

Однако, по мере расширения компании, ИТ становятся критически важной частью бизнеса. Требуются новые инвестиции – на переезд в новый офис, на развертывание офисной сети, на телефонную систему помимо личных сотовых телефонов, на внедрение сервиса Active Directory.

Развернуть Active Directory в Joe’s Widget Shop намеревались, когда число работников достигнет 25-50 человек. Возможно, в других технологических компаниях это происходит раньше, но в компании Смита большинство сотрудников не нуждались в централизованном управлении и поддержке.

Привязка сотрудников к одному домену сулит целый ряд преимуществ: у компании появляется возможность централизованно управлять политиками и обновлением систем. Стандартизировав оборудование и сервисы, легко определить, в какие моменты проводится обновление, а это, в свою очередь, помогает сотрудникам иметь самые лучшие и последние версии инструментов.

Что должен уметь инструктор-консультант по ИТ

Если компания все же решила обратиться к техническому специалисту, то ей нужно исходить из того, что инструктор-консультант по ИТ должен уметь удовлетворить специфические потребности компании в зависимости от ее размеров и прогнозируемого роста. Приглашая такого специалиста, в первую очередь следует определить, какие именно задачи на него будут возлагаться. На начальном этапе в Joe’s Widget Shop первого технического специалиста хотели привлечь для помощи в развертывании и управлении локальной сетью и управлении настольными и портативными компьютерами. Все остальные инструменты планировалось использовать в качестве облачных сервисов.

От кандидатов требовалось четко сформулировать технические спецификации, которые отвечали бы видению руководства компании, а также активно взаимодействовать с пользователями, представляющими как техническое, так и все прочие направления компании, и следить за развитием и состоянием их ИТ-систем.

Когда имеет смысл создавать собственную ИТ-службу

Требуется технический специалист или нет – зависит от характера бизнеса. Компании, не имеющие технической направленности и сотрудников с опытом работы в сфере ИТ, от приглашения такого специалиста на раннем этапе, скорее всего, выиграют в большей степени, потому что их собственные сотрудники не обладают необходимыми навыками. То есть бухгалтерской фирме из 15 человек, пожалуй, есть смысл принять ИТ-консультанта в штат, чтобы иметь в своем распоряжении технического специалиста постоянно.

Когда численность персонала достигает 50-70 человек, нагрузка на бизнес возрастает настолько, что штатный технический специалист становится выгоднее, чем приглашенный. Прежде чем взять на работу такого специалиста, Смит намеревался проанализировать, действительно ли этот сотрудник будет занят весь рабочий день.

Залог успеха ИТ-проектов

К приглашению ИТ-специалистов следует относиться серьезно, поскольку от этого зависит, будут ли компанией успешно реализованы инициативы в области ИТ. Привлекать необходимо грамотных ИТ-специалистов, разбирающихся в сложных технологиях и обладающих необходимыми знаниями и опытом для того, чтобы обеспечить эффективную и согласованную работу всех систем и сотрудников.

А теперь обсудим важность роли ИТ-руководителя и те качества, которыми должны обладать кандидаты на эту должность.

Назначение ИТ-руководителя

При найме ИТ-руководителя определяющее значение имеет правильно выбранное для этого время, поскольку его главная задача заключается в том, чтобы заранее продумывать разработку и внедрение ИТ-инициатив. Но, если он пришел слишком поздно и столкнулся к тому же с не отвечающими сложившейся ситуации технологиями и процессами, поправить дело будет сложно. Чем своевременнее в компании появится ИТ-руководитель, тем раньше каждый ее сотрудник начнет свои действия нацеливать на повышение эффективности бизнеса. Но большинству компаний трудно понять, когда еще слишком рано, а когда чересчур поздно. Важно понять, когда «приобретение» ИТ-руководителя станет действительно ценным для компании.

И вот наш гипотетический стартап Joe’s Widget Shop переходит на следующий этап жизненного цикла ИТ. Расскажем о том, на что нужно обратить внимание при приеме на работу ИТ-руководителя и какие качества ему должны быть присущи.

Правильно выбранное время

Небольшие компании часто допускают ошибку, принимая на полный рабочий день специалиста, не наделяя его полномочиями ИТ-руководителя, но возлагая на него удовлетворение технологических и операционных потребностей бизнеса. И когда станет ясно, что эффективность ИТ в вашей компании падает (системы рушатся, взаимодействие оставляет желать лучшего), знайте: с поиском ИТ-руководителя вы уже опоздали. Руководители бизнеса, как правило, не знают всех лучших систем и технологий, которые могли бы помочь внедрить успешные бизнес-процессы, а ИТ-директор способен исправить положение.

Смит рассчитывает заняться поиском ИТ-руководителя, когда у него будет примерно 50 сотрудников и бюджет позволит взять в штат такого профессионала, поскольку хорошо понимает, что, когда число сотрудников перевалит за сотню, компания не будет работать с должной эффективностью.

ИТ-руководителю предстоит заниматься подбором подходящих для компании продуктов SaaS, их интеграцией и оценкой потребностей бизнеса в целом. Всем ясно, что без ИТ-руководства технические решения в компании будут внедряться от случая к случаю, по запросу определенных сотрудников, а это чревато мешаниной из плохо взаимодействующих друг с другом систем, дублированием их функций и увеличением времени, затрачиваемого на техническую поддержку, другими словами – возникновением факторов, мешающих росту бизнеса. Даже если вам удастся удовлетворить индивидуальные потребности сотрудников, что-то придется постоянно латать, а это непросто.

Какими качествами должен обладать ИТ-руководитель

Если говорить упрощенно, ИТ-руководителю должны быть присущи любовь к технологиям и к вашему бизнесу. ИТ-руководитель обязан хорошо знать продукты и решения, имеющиеся на рынке, изучать в свободное время складывающиеся в отрасли тенденции. Он должен понимать, как существующие технологии влияют не только на снижение затрат и рост общей эффективности процессов, но и на увеличение продаж компании.

ИТ-руководитель должен рекомендовать лучшие из имеющихся на рынке решений, а не заниматься внедрением давно устаревших технологий. Смит хочет быть уверен в том, что его подразделения маркетинга и продаж используют инструменты CRM самого последнего поколения и с их интеграцией нет никаких проблем.

Если повезет, то удастся найти такого руководителя с опытом разработчика. Человек, имеющий опыт разработки программного обеспечения, лучше понимает нюансы интеграции различных облачных систем. Он знает возможности каждой из систем и их сочетания с точки зрения получения настраиваемых отчетов. Он может получать некоторые отчеты самостоятельно. ИТ-руководитель с хорошей технической подготовкой обладает практическим опытом внедрения ИТ-политик и управления командами ИТ-специалистов.

Внедрение ИТ-политик

Для успешной деятельности компании необходимо соблюдать определенные ИТ-политики и процедуры, а наша небольшая компания растет, и в ней появляется все больше и больше сотрудников.

По мере развития компаний руководителям бизнеса всегда необходимо уделять особое внимание корпоративным активам. Внедрять ИТ-политики нужно как можно раньше, с тем чтобы они соответствовали стандартам и ожиданиям сотрудников, использующих корпоративные технологии и управляющих корпоративными данными.

Итак, Смит видит, что его компания развивается, и намерен вложить существенные средства в ИТ. Для всех сотрудников приобретены портативные компьютеры, развернута офисная сеть. Теперь Смит думает, когда и как выстраивать формальные ИТ-политики, определяющие правила и стандарты, которым обязаны следовать сотрудники.

Когда внедрять формальные ИТ-политики

Появление новых законов, технологий, регламентов и операционных или нормативных требований – это основание для разработки политик, но важно понимать, что ответ на вопрос «когда?» зависит от конкретной отрасли и не всегда определяется исключительно численностью персонала. Например, крупной строительной компании, у которой в офисе работают всего несколько человек, а все остальные находятся на объектах, не нужны те же ИТ-политики, что и маленькой Joe’s Widget Shop, все сотрудники которой на протяжении всего рабочего дня просиживают за компьютерами.

При внедрении формальных ИТ-политик важно определить структуру и критерии для всех политик, руководств и стандартов, разбив их на категории. Необходимо описать процедуры для инициирования, изучения, утверждения и пересмотра ИТ-политик. Сюда относится план управления ролями и зонами ответственности, связанными с разработкой и поддержкой ИТ-политик.

Одна из распространенных ошибок – бездумный перенос готовых примеров политик в области ИТ и безопасности, найденных в Интернете или «позаимствованных» на предыдущей работе. Политика должна быть построена таким образом, чтобы учитывались потребности конкретного бизнеса.

Как установить правила

Без политик, изложенных в письменном виде, никаких стандартов существовать не может. Важно, чтобы политики определяли критерии «приемлемого использования» технических средств, принадлежащих как компании, так и непосредственно ее сотрудникам.

Но одного лишь определения политик недостаточно. Важно, чтобы сотрудники следовали правильным процедурам и протоколам, увязывая их с общей стратегией безопасности организации. При утверждении ИТ-политик следует обратить внимание на требования к паролям, уровням доступа, конфиденциальности, ограничению сферы применения теневых приложений, а также использовать передовой опыт защиты от вредоносных программ.

Наряду с изложением правил следует создать полные руководства по конфигурированию сети, привлечению новых сотрудников и определению уровней доступа для них. Нужно описать процедуры для решения конкретных вопросов, связанных с ИТ, и передать сотрудникам контакты для технической поддержки, сопровождения, установки новых средств и долгосрочного технического планирования.

***

Чтобы обеспечить соблюдение всеми сотрудниками установленных норм, важно разъяснять, почему приняты именно такие правила и такая структура. Тогда сотрудники будут тщательнее следить за их выполнением. Необходимо акцентировать внимание на том, что установленные правила призваны защищать бизнес и активы компании.

Зачастую политикам и процедурам уделяется очень мало внимания, и ситуация начинает меняться лишь после того, как что-то пойдет не так

Зачастую политикам и процедурам уделяется очень мало внимания, а ситуация начинает меняться лишь после того, как что-то пойдет не так. Но дожидаться этого не стоит. Избежать проблем, на ликвидацию которых понадобятся немалые средства, можно, если заранее определить политики, способные помочь организации обеспечить защиту ее активов и соблюдение нормативных требований.

– Jonathan McCormick. How to manage IT in a growing business. Network World. April, 2016

Методология agile приобретает все больше сторонников в корпоративной среде, но ряд заблуждений еще остаются – и хуже всего то, что они сохраняются у ИТ-руководителей. И эти стойкие заблуждения мешают более широкому распространению методологии.

Заблуждение 1: Методология agile вносит сложности в бюджет

Как рассказывает Джон Дусет, вице-президент по консультационной деятельности компании Magenic – поставщика заказного программного обеспечения, ИТ-директора весьма далеки от того, чтобы корректировать бюджеты капитальных затрат с учетом agile-проектирования.

Преобразования в стиле agile не окажутся успешными, если в них не будут учтены все аспекты вашей организации. Для того чтобы весь цикл проектирования ПО действительно ускорился, гибкое проектирование должно подкрепляться капитальным, а не операционным бюджетом. Это позволит учесть изменение объемов незавершенных работ.

«Вряд ли ИТ-директору понравится годовой бюджет ИТ-службы в размере 25 млн долл., из которых 15 млн долл. приходится на незавершенную разработку ПО, – подчеркнул Дусет. – Массовый переход на методологию agile можно только приветствовать, но, поскольку бюджеты по-прежнему верстаются исходя из методологии водопада, возникает много трудностей с продуктами и бюджетированием,. Для реального ускорения необходимо внедрять agile-подход, причем в отношении как мэйнфреймов и унаследованных приложений, так и современного ПО и новых продуктов».

Заблуждение 2: Переход к agile-методологии проводится по указанию сверху

«Я не раз сталкивался с ситуацией, когда ИТ-директор из компании, входящей в список Fortune 500, прочитав статью об agile-разработке, сразу загорается этой идеей, – говорит Мэнни Гонсалес, генеральный директор компании Scrum Alliance. – После того как соответствующее указание доходит до одного из ИТ-менеджеров, вызывают нас, приглашают нашего консультанта и пытаются проводить необходимые преобразования. Но это не agile-подход – это указание, исходящее сверху. Мы ощущаем разрыв в знаниях и определенное сопротивление: люди просто не понимают принципов методологии, которую предстоит внедрить в масштабах всей организации».

В какой-то степени это объясняется отсутствием четкого представления о важности agile- проектирования на всех уровнях организации, а в какой-то – боязнью перемен и обвинений в несоответствии занимаемой должности. Если компания стремится к гибкому менталитету самоорганизующихся команд, к повышению их независимости и «плоской» организационной структуре, возникает вопрос: а для чего тогда нужны менеджеры и руководители?

На управленческом уровне люди ощущают угрозу своей роли и зоне ответственности: «команды переходят к самоуправлению, но я не знаю, каким образом мне следует изменить свой управленческий стиль». И сотрудники начинают думать о том, как бы не остаться без работы.

Консультант способен помочь преодолеть возникающий страх и неуверенность. Организации, успешно внедрившие у себя методологию agile, сумели справиться со страхом и неуверенностью на управленческом уровне и переосмыслить роль менеджеров и руководителей в процессе разработки.

Заблуждение 3: Переход к agile-методологии прост

«Существует ошибочное представление о том, что переход к agile-методологии прост, – указывает Дэйв Уэст, владелец ресурса Scrum.org. – Принципы и постулаты agile-проектирования легки для понимания, но их сложно реализовать на практике. Необходимо полностью поменять в организации менталитет всех сотрудников снизу доверху, изменить их подход к выстраиванию своей карьеры, к оценке своей работы и своей роли».

Одной лишь отправкой нескольких человек на обучение или сертификацию здесь не обойтись. Приглашения инструктора или консультанта, который проведет в компании необходимые преобразования, тоже недостаточно. Необходимо отойти от традиционной методологии водопада и освоить совершенно иное гибкое мышление, предполагающее итерационный подход и взаимодействие.

И вовсе нет гарантии того, что прошедшие обучение люди готовы менять все кардинально, а организация тут же начнет работать эффективнее. На понимание принципов agile-проектирования, внедрение их в организации и переход к agile-методологии в целом потребуется время. Первый шаг вроде бы уже сделан, но целостная картина сложится далеко не сразу.

– Sharon Florentine. 3 misconceptions CIOs have about agile. CIO. Apr 25, 2016

Неудачи случаются даже у очень опытных маркетологов: бывает, что онлайн-кампании, проводимые ими, не приносят желаемых результатов. Можно увеличить шансы на успех, если избегать перечисленных ниже ошибок.

1. Отсутствие у кампании четких целей. Одна из серьезнейших ошибок – перед запуском кампании не определиться предварительно с желаемыми результатами. Чтобы отслеживать успех, нужно задать количественные цели (число продаж, заполнений форм, звонков, регистраций и т. п.) и позаботиться о верном контроле их достижения.

Если этого не сделать, будет трудно оценивать результативность кампании с точки зрения объема продаж продукта или услуги, тональности откликов и числа заинтересованных заказчиков. Поэтому нужно установить цели и задачи и учитывать опыт, полученный в ходе прошлых кампаний.

2. Отсутствие направленности на нужную целевую аудиторию. Даже с самой убедительной рекламой своей продукции можно упустить массу возможностей, если не донести сообщение в нужное время до нужной аудитории. Все каналы цифровой рекламы сегодня становятся шумными, а чтобы пробиться через шум и заставить заметить ваш контент, придется постараться и вложить определенные средства.

При этом целевую аудиторию следует определять не только по описаниям в профилях, но и по поведению пользователей. Нужно пользоваться следящими пикселами и cookie, чтобы обращаться к людям, которые заходили к вам на сайт или подписались на рассылку. При адресации надо учитывать не только возраст, пол, образование и интересы, но и желание покупать те или иные товары, а также происходящие в жизни объекта важные события.

3. Отсутствие клиент-ориентированного подхода. Маркетинг играет ключевую роль в том, чтобы привлекать, подталкивать к покупке, заинтересовывать продолжением отношений и удерживать клиентов. Компании, не торопящиеся брать на вооружение клиент-ориентированный подход, окажутся в отстающих. Персонализация, таргетинг, планирование цикла взаимодействия и анализ данных помогают находить к каждому покупателю индивидуальный подход, который ему понравится и заставит возвращаться.

4. Обезличенная (или неверная) персонализация – ошибки в имени, в определении пола, интересов и т. д. Это происходит сплошь и рядом, можно даже вести специальную «папку плохого маркетинга» и собирать в нее примеры неверно персонализированных предложений, чтобы избегать подобных ошибок. Многим, наверное, знакома ситуация, когда вы искали подарок для члена семьи противоположного пола, после чего вас бомбардируют баннерами с предложениями, ориентированными на покупателей того же пола. Этого легко избежать, если пользоваться технологиями аналитики, которые помогают маркетологам верно выбирать предложения и скидки, чтобы заинтересовать клиента следующей покупкой.

5. Игнорирование мобильных платформ. Сегодня для потребителей мобильные устройства стали предпочтительными: по данным comScore, за ними проводят 62% всего «компьютерного» времени и больше половины времени, уделяемого мобильным гаджетам, уходит на использование приложений. Поэтому мобильная стратегия просто необходима.

Начать следует с того, чтобы проанализировать, как имеющиеся пользователи взаимодействуют с вашим сайтом через мобильные устройства, и постараться понять, как улучшить обслуживание. Если мобильной стратегии еще нет, необходимо оценить, подойдет ли мобильное приложение в качестве платформы общения с заказчиками, а после его создания обеспечить своевременную доставку значимого для ваших пользователей контента, который поможет укрепить отношения с ними.

Нужно также позаботиться о совместимости вашего сайта со всеми мобильными устройствами и проследить, чтобы объявления о распродажах и специальных предложениях корректно отображались на мобильных платформах.

6. Отказ от маркетинга через электронную почту. Сегодня много шумихи вокруг новых маркетинговых каналов – мобильных платформ и социальных сетей, но отказ от традиционных рассылок по электронной почте может стать дорогостоящей ошибкой. Границы между продажами, обслуживанием и маркетингом размываются, однако электронная почта остается «соединительной тканью» цикла взаимодействия с заказчиком. Недавний опрос, проведенный MarketingSherpa, выяснил, что 91% взрослых американцев любят получать рекламные рассылки от компаний, чьими клиентами они являются. Из них 86% готовы получать их раз в месяц, а 61% – еженедельно или чаще. Кроме того, пользуясь знаниями о клиентах, полученными по всем каналам взаимодействия, в том числе в социальных сетях и с помощью мобильных устройств, маркетологи могут обеспечить высокий уровень персонализации рассылок.

7. Отказ от проведения A/B-тестирований (A/B-тестирование позволяет измерять предпочтения аудитории и влиять на ключевые показатели эффективности сайта, включая конверсии, время пребывания пользователей на странице, среднюю сумму заказа, показатель отказов и другие метрики). Они необходимы, чтобы обеспечить максимальную эффективность рассылок. В процессе подготовки рассылки можно, например, отправить ее тест-группе в двух разных версиях. В финале выберите версию, которая принесла больше результатов. Принимайте решения, руководствуясь не интуицией, а реальными данными.

8. «Асоциальное» поведение в социальных сетях. Многие маркетологи забывают, что социальные СМИ – это инструмент диалога и взаимодействия, а не рупор широкого вещания. Нужно реагировать на публикации участников сообщества, отвечать на вопросы и делиться соображениями – это поможет выстроить более тесные взаимоотношения, которые положительно повлияют на бизнес в долгосрочной перспективе.

9. Покупка фальшивых подписчиков. Большое число подписчиков у ваших аккаунтов в социальных сетях не должно быть самоцелью. Цифры, несомненно, делают вас в глазах других популярным и заслуживающим доверия. Но люди начинают со временем больше разбираться в социальных сетях и по некоторым признакам могут определить, что вы купили фальшивых подписчиков. А как только это произошло, по всей сети немедленно расходится сообщение, что доверять вам не стоит. Поэтому вместо накрутки липовых подписчиков лучше формировать сеть из реальных людей, которые потенциально могут стать вашими клиентами.

10. Наем третьей стороны для репрезентации вашего бренда в социальных СМИ. Распространенное оправдание этого – нехватка собственных ресурсов или умения работать с социальными платформами. Но никто не знает ваш бренд лучше, чем ваши собственные сотрудники. Пусть они и займутся распространением новостей компании, а не студенты, работающие из дома за низкую зарплату, и не дорогостоящие PR-агентства. Это порочная практика, однако во многих компаниях все же предпочитают отдать свой голос в социальных сетях на аутсорсинг, вместо того чтобы заниматься социальным маркетингом самостоятельно.

11. Автоматизированная рассылка якобы личных сообщений. Ничто не вызывает такого неприятия у пользователя, как автоматически тиражируемые личные сообщения.

Подобная навязчивая безличная реклама раздражает, немедленно заставляя нажать «отписаться». Тем не менее это все еще распространенная практика.

12. Игнорирование покинутых корзин покупателя. В поиске лучших предложений при веб-шопинге покупатели нередко кладут что-то в корзину, потом отвлекаются и уходят с сайта. Необходима продуманная стратегия, которая позволит вернуть и снова заинтересовать таких посетителей позднее – с помощью напоминаний, скидок и специальных предложений.

К примеру, если покупатель оставил свой адрес электронной почты, отправьте ему в течение суток напоминание о завершении покупки, при этом предложите, скажем, 10-процентную скидку. Можно также с помощью системы прогнозной аналитики распознавать, что покупатель готов покинуть сайт, и выводить сообщение вроде «Подождите, не уходите» с добавлением специального предложения, чтобы подтолкнуть к переходу к оплате.

13. Отсутствие взаимодействия с отделом продаж. Не требовать информации от отдела продаж – одна из самых больших ошибок, которые совершают онлайн-маркетологи. Чтобы получить качественный поток потенциальных покупателей, цифровым маркетологам нужно совещаться с отделом продаж как минимум ежемесячно.

14. Отсутствие измерений результатов. Необходимо всегда следить за тем, чтобы средства и силы, затраченные на кампании цифрового маркетинга, окупались. Для этого можно использовать Google Analytics или другие аналитические инструменты. После анализа результатов подправьте стратегии и работайте над улучшением эффективности. Вы никогда не узнаете, действенна ли ваша стратегия, если не будете следить за показателями эффективности маркетинговой и рекламной деятельности.

– Jennifer Lonoff Schiff. 14 digital marketing mistakes and how to avoid them. CIO. January 18, 2016

Когда в 2010 году в компании Akamai закладывали основы своего нишевого цифрового бизнеса, директору по маркетингу Брэду Ринклину приходилось периодически общаться с ИТ-отделом. У Akamai, оператора сети доставки контента, тогда не было ИТ-директора, и Ринклин мог обратиться в отдел ИТ за помощью в настройке сайта или установке системы анализа продаж, но для решения более серьезных задач в маркетинговом отделе прибегали к помощи облачных инструментов и внешних сервис-провайдеров.

С расширением цифровых маркетинговых инициатив Akamai трудностей у Ринклина становилось все больше. Отдел ИТ был ограничен в ресурсах, выполнял просьбы слишком долго и ориентировался на технологии, а не на бизнес. «Сотрудники ИТ-отдела подходили к заданиям как к чисто техническим проектам, думали о том, к примеру, как заставить работать сеть или API, но не заботились о влиянии на бизнес и важности того, чего мы пытаемся добиться», – жаловался Ринклин.

Ситуация изменилась в 2011 году, когда в Akamai появился первый ИТ-директор, Кумуд Калиа, который сразу начал взаимодействовать с Ринклином, стремясь согласовать деятельность отделов маркетинга и ИТ, чтобы вместе вести Akamai в цифровое будущее. «Нам были готовы помогать, – говорит Калиа. – В Akamai уже много лет длился переход на циыфровой маркетинг, при этом на отдел ИТ из-за его медлительности не полагались».

Цифровой маркетинг нужен всем

Модернизация клиентского обслуживания и цифровой бизнес – приоритетные направления для современных компаний, в связи с чем во многих из них наращивают инвестиции в технологии, помогающие проводить в жизнь новые маркетинговые стратегии. Среди участников опроса Computerworld Forecast 2016, посвященного приоритетам ИТ-служб, 13% указали, что маркетинг стал одним из главных объектов инвестиций. А 16% опрошенных в числе важнейших задач назвали повышение удовлетворенности клиентов и качества обслуживания, этот пункт оказался на четвертом месте среди инвестиционных приоритетов, тогда как в прошлом году он находился на последнем месте.

Та же тенденция выявилась в ходе опроса CIO.com 2016 State of the CIO: 32% респондентов сообщили, что в 2016 году в бюджете отдела маркетинга предусмотрено финансирование технологических инвестиций, а 32% указали, что так будет и в следующие три года.

«Качество обслуживания заказчиков становится приоритетом не только для директора по маркетингу, но и для остальных топ-менеджеров, – подчеркивает Шерил Паттек, аналитик Forrester Research. – Заказчики ожидают, что их будут “узнавать”, с какого бы устройства они ни заходили и через какой бы канал ни взаимодействовали. Добиться такого можно, только если вкладываться в технологии».

Поскольку обслуживание заказчиков и технологии теперь неразделимы, отделам ИТ и маркетинга придется работать гораздо теснее, как и их руководителям. Сегодня отношения между директорами по ИТ и маркетингу обычно сложно назвать приятельскими, но, согласно опросу CIO.com, есть признаки потепления: 49% респондентов сообщили, что в последние три года взаимодействие между руководителями стало несколько теснее, а 43% указали, что все осталось как раньше.

Обе стороны признают необходимость координации и наличия общего стратегического плана, но, если судить по докладу Forrester от ноября 2014 года, директора по ИТ и маркетингу по-разному видят степень своего участия в общем деле. Согласно этому исследованию, которое проводилось под руководством Паттек, 70% топ-менеджеров в обеих группах считают, что нужно стремиться оптимизировать поиск, удержание и повышение лояльности заказчиков. Только 61% маркетологов сообщили, что ИТ-директор активно вовлечен в эти процессы, тогда как среди самих ИТ-руководителей так считают 76%.

Кроме того, 70% маркетологов и 66% технических руководителей согласны с тем, что планы по технологиям для маркетинга с большей вероятностью будут одобрены и профинансированы, если они разрабатываются директорами по ИТ и маркетингу вместе. Но только 51% опрошенных указали, что эти руководители действительно совместно работают над выбором и внедрением маркетинговых технологий.

Чаще происходит так, что директора по маркетингу, как в Akamai, работают с внешними технологическими партнерами или пользуются размещаемыми приложениями, причем применение «теневых ИТ» не только не облегчает работу, но и приносит результаты, обратные желаемым. «В какой-то момент оказывается, что точечные решения совершенно не интегрируются и не обеспечивают единства обслуживания, – поясняет Паттек. – Маркетологи ищут помощи и в итоге обращаются к ИТ-директору».

Партнерство в действии

Ринклин был рад, что в Akamai появился ИТ-директор: ему нужен был стратегический партнер, который помог бы спланировать цифровую трансформацию бизнеса компании. Применяя принципы кросс-функционального руководства и совместного финансирования ключевых инициатив, топ-менеджеры смогли успешно изменить организацию труда в компании, сблизив два отдела. Теперь они проводят общие собрания, а у отдела маркетинга появился свой руководитель по ИТ. Он несет ответственность за достижение целей, намеченных для каждой маркетинговой инициативы, причем его доход зависит от выполнения ключевых задач бизнеса. В отделе ИТ Akamai работают почти 400 специалистов по всему миру, и около десятка из них сотрудничают со 150 маркетологами, находящимися в подчинении Ринклина.

Отделы ИТ и маркетинга работают в координации уже около двух лет, и это взаимодействие оказалось чрезвычайно успешным. В Akamai сумели произвести технологический переворот за относительно короткий период времени – раньше подобное было бы невозможно, уверен Ринклин: «Команда по ИТ помогла отделу маркетингу в запуске сайта с новыми системами управления контентом и автоматизации маркетинга. Вдобавок мы преобразовали все основные маркетинговые процессы и интегрировали новые системы с имевшимся движком автоматизации продаж на платформе Salesforce. Все эти проекты были проведены за один календарный год без остановки бизнеса. Буквально за день мы переключились со старой системы на новую, и все прошло без запинки. Работая в одиночку или время от времени обращаясь с просьбами в отдел ИТ, команда маркетинга с этими проектами не смогла бы справиться. Нам необходимо было тесно сотрудничать».

Избавление от трения

В компании SAS Institute, разрабатывающей ПО для бизнес-анализа, скоординированная работа отделов маркетинга и ИТ является одним из главных факторов, позволяющих организовать процесс привлечения заказчиков «без трения», объясняет исполнительный вице-президент, ИТ-директор SAS Кит Коллинз. По его словам, речь не о какой-то конкретной стратегии, связанной с социальными СМИ, автоматизацией маркетинга или контактного центра, а о том, чтобы все секции бизнеса работали вместе над устранением «трения» при взаимодействии с заказчиком, полируя процесс обслуживания до блеска.

Скоординированная работа ИТ и маркетинга дает возможность анализировать данные из основных систем предприятия и благодаря этому четко отслеживать поведение клиентов и знать, какие покупки они совершают. В ходе опроса Forrester, посвященного взаимодействию директоров по маркетингу и ИТ, 46% маркетологов и 51% ИТ-руководителей сообщили, что им удалось получить полный обзор сведений о покупателях по всем точкам контакта и этапам взаимодействия.

«Поскольку работа теперь ведется совместно, во всех бизнес-подразделениях меняется структура инвестиций, – отмечает Коллинз. – Когда задействуются “теневые ИТ”, отдел маркетинга может анализировать только свои взаимодействия с заказчиком, но общего обзора нет. А отдел ИТ работает со всеми остальными и имеет возможность обеспечить общий обзор сведений о заказчике и интегрированных бизнес-процессах».

Чтобы способствовать координации и улучшить взаимодействие, Коллинз проводит регулярные совещания с директором по маркетингу и другими представителями двух отделов, а также с сотрудниками юридического департамента. Цель этих совещаний – помочь SAS придерживаться курса на цифровую трансформацию.

Как подчеркивает Коллинз, координацию важно налаживать не только между членами руководства, но и между рядовыми сотрудниками. Для этого он с директором по маркетингу обучает команды, набранные из сотрудников отделов ИТ и маркетинга, внедряет методы совместного управления проектами и agile-процессы. «Важно, чтобы между директорами по ИТ и маркетингу были хорошие отношения, но еще важнее, чтобы и остальные участники проектной команды хорошо ладили между собой».

Слияние должностей

В ряде организаций, чтобы наилучшим образом скоординировать деятельность ИТ-директора и директора по маркетингу, просто назначили одного топ-менеджера сразу на обе должности. Майкл Берроуз, опытный руководитель операциями, занимал такой объединенный пост в паре компаний, последний раз – в интернет-магазине продуктов для здоровья. Недавно его повысили до вице-президента по цифровому маркетингу и информации. По словам Берроуза, объединенная должность имеет смысл прежде всего в компаниях, где приложили максимум усилий для того, чтобы использовать данные по заказчикам во благо бизнеса: «В компаниях и отраслях, где хотят знать максимум о заказчике, идеальным будет совмещать два поста. Вам ведь предстоит искать данные, которые могут означать разницу между десятипроцентным ростом и безубыточностью. Разбираться в подобных данных можно, только имея навыки в области как маркетинга, так и технологий».

Помимо объединения должностей, есть еще много мер, которые помогут наладить связь между ИТ и маркетингом. По словам Паттек, в некоторых компаниях проводят ротацию, периодически меняя местами директора по маркетингу и ИТ, это помогает отделу ИТ научиться «продавать» свои возможности внутри компании и в своей работе ориентироваться на улучшение обслуживания заказчика и выполнение требований бизнеса, а специалистам по маркетингу – лучше разбираться в технологиях. Наконец, простые вещи вроде совместных обедов и семинаров взаимного обучения способны помочь ликвидировать застарелые пробелы.

«Необходимо все делать вместе, – подчеркивает Паттек. – Задача прежде всего в том, чтобы изменить организацию труда, покончить с разрозненной деятельностью и перейти к ориентации на заказчика».

– Beth Stackpole. Meet tech’s new odd couple: the CIO and CMO. CIO. March 2, 2016