Статьи

Предложенная аналитиками Gartner концепция бимодальных ИТ подвергалась критике с момента своего появления. Причем эта критика звучала с разных сторон. Со стороны бизнес-заказчиков раздавались упреки в излишнем акценте на технологиях и недооценке необходимости трансформировать бизнес. Именно этот взгляд и раскрыт в докладе Forrester «Ложные обещания бимодальных ИТ». Не меньшей критике данный подход к построению корпоративного ИТ подвергся и со стороны технических экспертов. Так, знаменитый автор книг и работ по развитию корпоративного программного обеспечения Мартин Фаулер в своей недавней статье пишет: «...идея бимодальных ИТ базируется на противопоставлении качества программного обеспечения и скорости внесения изменений. Такая гипотеза является ложной. Одна из поразительных вещей, которой мы научились при использовании гибких методологий разработки и поставки ПО, заключалась в резком снижении количества дефектов» (Bimodal IT, Martin Fowler, 21 June 2016: martinfowler.com/bliki/BimodalIT.html).

На мой взгляд, оба лагеря критиков воспринимают предложенный Gartner подход слишком односторонне. Они видят в концепции бимодальных ИТ абстрактную целевую модель, руководство по построению корпоративных ИТ с нуля. Однако авторы идеи бимодальных ИТ опирались скорее на практику, анализ существующего положения дел в корпоративных ИТ и стремились предложить прагматичный подход к их трансформации.

За годы своего существования организации накопили огромный багаж унаследованных приложений, поддерживающих не всегда эффективные бизнес-процессы и использующих фрагментированные, неполные данные. В устаревших системах имеется колоссальный технический долг. Но большинство организаций не готовы одномоментно взять и отказаться от использования функционала и данных таких систем, а ИТ-отделы не могут их развивать и поддерживать, как того ожидают заказчики. До недавнего времени единственным способом решить такого рода проблемы были продолжительные и дорогостоящие проекты по замене унаследованных приложений. Теперь у организаций на это просто не хватает времени и средств. Кроме того, бурное развитие интернет-технологий, мобильных приложений, средств персональной бизнес-аналитики, появление облачных вычислений привели к тому, что часть важных функций оказались вне зоны ответственности ИТ-подразделений.

По сути, концепция бимодальных ИТ — это констатация свершившихся событий, попытка обеспечить понимание текущего состояния дел с информационными технологиями организации и навести хоть какой-то порядок. Предложенный Gartner подход — это новая, менее рискованная, эволюционная модель ИТ-трансформации. Организациям, готовым в одночасье отказаться от накопленных данных, построенных и автоматизированных бизнес-процессов, налаженных взаимодействий между поставщиками и заказчиками, концепция бимодальных ИТ действительно не очень годится. Но много ли существует в мире таких организаций?

— Максим Смирнов, ИТ-архитектор. В прошлом главный архитектор информационных систем Банка России и руководитель департамента ИТ-архитектуры в «ВымпелКом»

Большинство крупных компаний уже используют технологии Интернета вещей или планируют делать это в ближайшее время. Таковы результаты опроса Forrester Research «2015 Global Business Technographics Networks and Telecommunications Survey». Предприятия надеются собрать данные, которые помогут им повысить эффективность своей деятельности, улучшить обслуживание клиентов и найти новые способы ведения бизнеса.

Технологии Интернета вещей уже перестроили розничную торговлю и совершили в ней настоящую революцию, привнесли новые возможности в обслуживание клиентов, функционирование цепочек поставок и каналов продаж, открыли новые многообещающие направления. «Умные» полки, самостоятельно определяющие сокращение выставленного на них ассортимента, датчики RFID, отслеживающие прохождение товаров по цепочке поставок, системы, посылающие персонализированные цифровые купоны покупателям, которые входят в магазин, и датчики, контролирующие состояние скоропортящихся продуктов, – всё это дает предприятиям розничной торговли конкурентные преимущества.

Изменение потребительского поведения, вызванное Интернетом вещей

Современные потребители привыкли к тому, что им теперь одинаково просто приобрести интересующие их товары по любому каналу, будь то обычный магазин, сайт электронной коммерции, мобильное приложение или даже телефонный звонок с клиентского сервиса. «Технологии Интернета вещей предлагают фактически неограниченные возможности трансформации поведения розничных покупателей, – указала Наваки Навьяр, руководитель направления IoT and Innovation Go to Market в SAP. – Мы работаем со многими организациями розничной торговли, пытаясь переосмыслить свое представление о подключенном магазине. Здесь применяются самые разные новшества, начиная от электронных ярлыков на полках с динамическим ценообразованием и самопроверкой посредством смартфонов и заканчивая интерактивными цифровыми вывесками, которые самостоятельно распознают, кто перед ними стоит, и в зависимости от этого подстраивают свои предложения. Ожидается, что в ближайшие несколько лет соответствующие технологии будут развиваться очень быстро и полностью изменят поведение потребителей».

Одной из таких технологий должны стать сети Wi-Fi с дальним радиусом действия и низким энергопотреблением. «Что касается взаимодействия с клиентами, то Wi-Fi и другие решения, используемые в помещениях, позволят розничной торговле рационально интегрировать Интернет вещей в магазины, – указал Дэн Митчелл, консультант SAS по взаимодействию с представителями отрасли розничных продаж. – Расширится число способов, призванных повлиять на поведение потребителей при условии сохранения необходимой конфиденциальности. Мы сможем лучше понять истинную ценность данных, собираемых датчиками, и подходить к выкладке товаров и маркетинговым мероприятиям уже с их учетом».

Оптимизация цепочек поставок

«Наряду с появившимися революционными клиентскими приложениями Интернет вещей должен сыграть важную роль в управлении цепочками поставок и доставкой товаров, – считает Джин Войцеховски, бывший ИТ-директор Walmart.com, а ныне исполняющий обязанности директора ИТ-службы компании Newgistics, которая поставляет решения электронной коммерции ведущим представителям розничной торговли. – В розничной продаже важны детали. Нужно хорошо понимать мельчайшие нюансы и соответствующим образом корректировать свои предложения. Снабжение актуальной информацией играет здесь важнейшую роль, а Интернет вещей помогает оперативно получать необходимые данные».

Технологии Интернета вещей дают возможность не только лучше владеть ситуацией (контролируя сроки доставки товара с точностью до десяти минут), но и избегать потерь, учитывая при выстраивании цепочек поставок факторы окружающей среды (например, температуру). Повреждения или порча товаров фиксируются с указанием точного времени и местоположения, что помогает выявлять виновных.

«Автоматизация и оптимизация цепочек поставок – это одна из ключевых областей применения Интернета вещей в розничной торговле, – добавила Навьяр. – Конечно, все знают, что шоколад хорош ко дню святого Валентина, а пиво – к просмотру финального матча, но нужно управлять еще и непредвиденными всплесками спроса. Чтобы товар появился на полках именно в нужный момент, требуется система управления цепочками поставок, использующая технологии Интернета вещей, наличие необходимых датчиков на магазинных полках, а также складскую систему, автоматически формирующую заказы, если снизились запасы».

Метки RFID и датчики приобретают важнейшее значение для оперативного отслеживания товарных запасов. Используя технологии RFID, организации розничной торговли могут повысить точность учета, уменьшить вероятность возникновения дефицита и существенно снизить потери. Все это ведет к повышению рентабельности продаж. Зная состояние запасов в реальном времени, можно оперативно принимать меры, помогающие более полно удовлетворить потребности покупателей.

Насущные задачи и перспективы

«Для бизнеса в целом основная трудность в эпоху Интернета вещей связана со стремительным ростом масштабов и разнообразия технологий, которые могут использоваться в подключенных экосистемах, – отметил Митчелл. – Обеспечить сохранность инвестиций в условиях постоянных изменений очень сложно».

Компаниям же, занимающимся розничной торговлей, приходится думать о том, как управлять потоками данных, как анализировать и обрабатывать сведения, поступающие со всех подключенных устройств. Уже сам по себе сбор таких огромных объемов данных представляет собой непростую задачу. А ведь нужно еще очистить их и преобразовать в полезную информацию.

Для быстрой и точной оценки поведения покупателей необходима высокопроизводительная аналитическая система, позволяющая отделять полезные сигналы от шума. Ее нужно интегрировать с системой принятия решений, обеспечив персонализацию предложений в магазине с соответствующим перемещением запасов на складе.

Настоящие преобразования начинаются там, где вы выходите за пределы четырех стен магазина и начинаете разрабатывать всеобъемлющую стратегию интеграции Интернета вещей с вашей сетью клиентов, поставщиков, активов и расширяемой экосистемой.

– Sharon Goldman. How the Internet of Things is revolutionizing retail. CIO. July 25, 2016

Из трех с лишним тысяч служащих, которые приняли участие в анкетировании, проведенном Staples Business Advantage совместно с Jacob Morgan, 91% признались, что работают больше 40 часов в неделю. Но сверхурочное время у них уходит не на то, чтобы добиваться большего, а просто чтобы справляться с обычным планом.

Опрос был призван изучить, какие изменения произошли на современном рабочем месте. Несмотря на растущую популярность удаленной работы, большинство сотрудников утверждают: офис больше способствует рабочему настрою, чем дом (см. «Удаленная работа не в моде: каждый второй молодой ИТ-специалист хотел бы работать в офисе»). Между тем бремя ответственности за организацию обстановки, способствующей удовлетворенности и продуктивному труду, лежит на работодателе. Результаты исследования указывают на то, что служащим, в сущности, многого не надо – им нужны лишь вдохновляющая на труд среда и перерывы время от времени.

«Сотрудники продуктивнее всего, когда рабочее место отвечает их требованиям, в том числе способствуя хорошему самочувствию, – поясняет Нил Рингел, исполнительный вице-президент Staples Business Advantage. – Опрос показал, что работникам для эффективного труда нужны программы оздоровления, комфортабельные комнаты отдыха, свежие закуски и напитки и наличие в офисе пространств, приспособленных для выполнения разных видов работы».

Большинство предпочитают офис

Благодаря развитию технологий сегодня много служащих работают удаленно, но 66% участников исследования считают офис наиболее продуктивным местом труда. Из них 36% указали, что, поскольку офис лучше стимулирует к работе, они предпочли бы его любым другим местам. Поэтому, даже если у вас есть сотрудники, предпочитающие работать дома, по-прежнему нужно стараться создавать побуждающую к труду обстановку для тех, кто не возражает против поездок на работу.

«Большинство опрошенных описывают обстановку в офисе как типичную, обыденную и скучную, так что в плане дизайна явно есть над чем поработать, – отмечает Рингел. – Служащие высказались за то, чтобы в офисе было естественное освещение; пространства, обеспечивающие уединение; столы, за которыми можно стоять; эргономичная, удобная мебель».

Даже если большинство ваших сотрудников работают из дома, это не причина игнорировать офисный дизайн и блага для служащих. Исследование, проведенное Gallup, показало, что в среднем служащие работают из дома только два дня в неделю. Остальные три дня они находятся в офисе и рассчитывают на комфортабельное рабочее место, которое должен организовать работодатель.

Работа выматывает

Среди опрошенных 40% признались, что чувствуют себя измученными из-за высокой нагрузки, жестких временных рамок, давления со стороны начальства и страха потерять работу. Больше половины респондентов сообщили, что устали от работы, а 65% пожаловались, что стресс, связанный с работой, влияет на их личную жизнь; 15% сообщили, что из-за рабочего стресса им пришлось брать вынужденный отпуск.

Как свидетельствуют результаты исследования, есть несложные способы избежать переутомления. По мнению 63% опрошенных, помочь мог бы более гибкий рабочий график. Среди других усовершенствований – снижение рабочей нагрузки (об этом просят 59% респондентов), поощрения к перерывам (52%) и улучшенное техническое оснащение (35%).

Какие методы действуют, а какие – не очень?

В ответ на вопрос, что работодатель может сделать, чтобы служащие стали счастливее, 68% назвали повышение зарплаты, 53% – улучшение морального духа в компании, 48% – более явное признание заслуг, а 42% хотели бы, чтобы к их мнению чаще прислушивались.

Примечательно, что в конец списка попали некоторые блага, которые, казалось бы, считаются стандартными для современных офисов технологической отрасли: 12% опрошенных сообщили, что избежать переутомления им бы помог бесплатный кофе, 21% назвали бесплатные закуски, а 25% полагают, что их мотивацию могли бы повысить более комфортные комнаты отдыха.

Выясните, чего хотят сотрудники

Повысить продуктивность позволяет наличие позитивной рабочей среды, в которой служащие работают увлеченно, с меньшим напряжением, чувствуя себя счастливыми. Но, прежде чем внедрять программы оздоровления и перестраивать офис, нужно знать, что именно нужно самим служащим.

«Некоторые работодатели просто не знают, чего не хватает их служащим, – продолжает Рингел. – Важно интересоваться, что требуется работникам, особенно представителям нового поколения, чтобы ощущать удовлетворение и желание продуктивно трудиться».

Благоприятная рабочая среда нужна не только служащим – она положительно влияет и на доход компании. Согласно опросу, 47% из тех, кто жалуется на переутомление, говорят, что именно по этой причине они начали искать другую работу. А замена служащих обходится недешево: если посчитать расходы на поиск, наем и ввод в курс дела, окажется, что выгоднее всего принять меры и держаться за специалистов, которые уже есть.

Тишина в офисе и ощущение нужности

Гибкий график и увеличение числа перерывов и отгулов хорошо помогают бороться с переутомлением, но еще сотрудникам нужно предоставлять эффективные инструменты. Они повышают продуктивность труда, но лишь 21% респондентов указали, что им предлагают самые новые технические средства. А 74% пожаловались, что их работодатели не предоставляют новейшие технологии, которые позволили бы выполнять работу максимально эффективно и рационально.

Возможно, стоит также пересмотреть планировку офиса – 56% жалуются, что им мешают работать чересчур шумные сослуживцы, а 47% отвлекаются из-за коллег, которые подходят к ним поговорить. Добавьте сюда другие отвлекающие факторы – электронную почту, собрания, социальные сети, мессенджеры и тренинги, – и времени на работу практически не остается.

Выход может быть очень простым – разъяснить высшие цели компании. Исследования показывают: служащим очень помогает в работе ощущение нужности, и они чувствуют себя более счастливыми, зная, что их деятельность приносит реальную пользу обществу. Как указали 73% опрошенных, для них важно работать в компании, придерживающейся принципов экологической чистоты, а служащие, которые участвуют в программах ресурсосбережения, трудятся более целеустремленно.

«Почти половина респондентов сообщили, что стали бы трудиться с большей охотой, если бы ощущали свою нужность, – подчеркивает Рингел. – Признание заслуг сотрудников – это не такое уж затратное дело. К примеру, весьма действенным может оказаться простая устная похвала за превосходную работу на общем собрании или слова благодарности во внутриофисной рассылке».

– Sarah K. White. Why your employees are overworked, burnt out and unmotivated. CIO. July 19, 2016

ИТ-организациям, испытывающим потребность в талантах, методология agile помогает привлекать и удерживать инженеров и разработчиков нового поколения, поскольку принципы этой методологии соответствуют факторам мотивации поколения молодых ИТ-специалистов.

Автономность, самосовершенствование и целеустремленность

Одна из отличительных особенностей молодых специалистов поколения миллениума – это потребность в автономном выполнении работы, постоянном совершенствовании и нацеленности на решение определенных задач. «Таким людям нужно видеть свой вклад в успех компаний, где они трудятся, и в развитие всего окружающего мира, – отметил владелец продукта в Scrum.org Дэйв Уэст. – Это одна из причин, по которым инженеры-программисты поколения миллениума проявляют склонность к методологии гибкого проектирования с ее упором на горизонтальное управление, саморегулируемые команды, работу в интересах бизнеса, итерационный подход и возможность быстро адаптироваться к меняющимся запросам и требованиям. Методологии agile были разработаны в 80-е годы для решения именно тех задач, с которыми стремятся иметь дело разработчики поколения миллениума. Они хотят трудиться автономно, заниматься творческой деятельностью, совместно с коллегами решать общие задачи, создавать ценности и видеть результаты своего труда. Мотивирующими факторами для них являются самосовершенствование, превращение в мастеров своего дела и стремление к достижению поставленной цели».

В agile-методологии основное внимание обращается на конечную цель проекта и на то, «почему» следует решать те или иные задачи бизнеса, а не то «как» их следует решать. Традиционный же метод водопада подразумевает другие принципы. «Строгая иерархия водопада не оставляет особого простора для творческой деятельности, взаимодействия и обмена знаниями, по крайней мере между разработчиками и инженерами, принимающими участие в реализации проекта, – указал Зубин Ирани, генеральный директор компании cPrime, оказывающей консультационные услуги по вопросам agile-трансформации. – И эти ограничения зачастую отражаются на конечном результате».

Многие технические менеджеры и инженеры старого поколения имеют опыт работы в военной сфере и придерживаются стиля управления «сверху вниз». Миллениалы в такой обстановке чувствуют себя неуютно. Эти люди тяготеют к agile-проектированию, где можно постоянно контактировать с представителями бизнес-подразделений. Они знают, что строят, почему их проект имеет более важное значение по сравнению с другими, и обсуждают с сотрудниками бизнес-подразделений идеи и предложения, которые должны способствовать успеху проекта.

В этом и состоит основное отличие от методологии водопада, когда командам разработчиков и отдельным инженерам просто говорят, что и как им следует делать. При agile-проектировании разработчики и инженеры получают больше свободы для поиска лучших и наиболее эффективных путей достижения желаемых результатов, имеют доступ к необходимой информации и знаниям, которыми обладают владельцы бизнеса.

«Работая над проектом, вы все видите изнутри, а разочарование, испытываемое многими инженерами и разработчиками, возникает из-за невозможности делиться с другими своими знаниями, идеями и сомнениями, добиваясь повышения качества выполняемой работы, – указал Ирани. – Участие инженеров и разработчиков в обсуждении насущных вопросов с бизнес-аналитиками, представителями руководства и другими заинтересованными лицами позволяет каждому выдвигать свои идеи и предложения».

Подготовка к формированию команды

Еще одной важной характеристикой agile-методологии является ориентация на саморегулируемые команды с высокой самоорганизацией. Большинство инженеров и разработчиков, особенно из поколения Y, ценят свободу выбора частей проектов, над которыми они хотели бы работать, и сроков их реализации. Agile-методология позволяет инженерам брать на себя новые, более интересные задачи, получая дополнительные знания и навыки.

«Миллениалы, или поколение Y, не очень-то хорошо чувствуют себя в авторитарной системе, где все, что нужно делать, загоняется в строгие рамки, а людям не позволяют осваивать новое в случае ошибок, – отметил Ирани. – Профессиональная разработка очень важна для этого поколения, а ориентация agile-методологии на итерационное проектирование и постоянную адаптацию идеально подходит для этого».

Agile-методология позволяет ИТ-организациям и компаниям, разрабатывающим программное обеспечение, выстраивать отличную профессиональную среду на базе итерационного подхода, автономности, самосовершенствования и стремления к достижению поставленных целей. В результате инновационные организации не только привлекают больше талантов из поколения миллениума, но и удерживают их в течение продолжительного времени.

«Agile-методология стимулирует людей оставаться в команде, поскольку методология эта ориентирована на рост и адаптируемость, – подчеркнул Уэст. – Вы что-то пробуете, что-то делаете, учитесь на своих ошибках, адаптируетесь, а затем повторяете цикл непрерывных улучшений не только в рамках отдельно взятого проекта, но и в рабочей среде в целом. Среду эту вы выстраиваете самостоятельно, исходя из ясных вам целей бизнеса, а также весьма размытых требований правительственных и регулирующих органов, и такой подход действительно помогает удерживать таланты».

Поскольку команды, занимающиеся agile-проектированием, отличаются самоорганизацией и имеют право самостоятельного выбора, связи между их участниками укрепляются и они без затруднений переходят от одного проекта к другому.

«На практике команды превращаются в своего рода семьи, становясь взаимозависимыми в хорошем смысле этого слова, – добавил Уэст. – Успешная совместная деятельность помогает им работать более эффективно, полагаясь друг на друга и делясь друг с другом важной информацией. Они стремятся совместно проводить время и вне работы. Связи становятся настолько мощными, что никто не хочет, чтобы другие ошибались, а все вопросы начинают решаться общими усилиями».

Обратная сторона agile-методологии

Конечно, у всего этого есть и обратная сторона. Если какой-то участник команды покидает компанию, это негативно отражается на моральном состоянии остальных ее членов, а иногда приводит даже к уходу из организации всей команды. И в этом есть определенный риск. Безусловно, преимущества agile-методологии в части создания сплоченной и высокопродуктивной команды оправдывают этот риск, особенно когда альтернативой является полная неспособность привлечь и удержать инженеров.

«Клиенты, не использующие agile-методологию или использующие ее модифицированные варианты, говорят нам, что набрать команду инженеров становится все труднее, – заметил Ирани. – Сообщество разработчиков открыто высказывает свое мнение, и наличие или отсутствие хорошей рабочей среды оказывает очень сильное влияние. Из дополнительных преимуществ могут фигурировать бесплатное питание, наличие химчистки и прачечной, но все это не имеет особого значения для инженеров, если они не участвуют в осмысленной работе, не поддерживают взаимодействие и не понимают, почему надо делать то, чем они занимаются».

– Sharon Florentine. How agile helps attract and retain millennial tech pros. CIO. Jun 7, 2016

Зачастую они тихонько стоят себе в углу и пылятся, всеми забытые, превращаясь в весьма удобный объект для атаки. Многие компании не утруждают себя обновлением прошивок старых моделей и не проводят аудит безопасности каждого такого устройства (например, аппарата в кабинете генерального директора). В организациях почему-то думают, что принтеры Epson или HP, едва ли не каждый второй из которых подключен сегодня к сетям Wi-Fi, совершенно не интересуют хакеров.

Принтеры действительно кажутся совершенно безвредными и безобидными, но именно поэтому, по мнению аналитиков, они и несут в себе угрозу. Ведь зачастую наилучшим направлением атаки является то, о котором никто не задумывается. Между тем опрос, проведенный IDC, показал, что 35% всех брешей в системе офисной безопасности связано с незащищенными принтерами и многофункциональными устройствами. И это ежегодно обходится компаниям в среднем примерно в 130 тыс. долл.

Почему угрозу надо воспринимать серьезно

Периферийные устройства, к категории которых относятся принтеры, обычно не являются объектами защиты. Корпоративные средства безопасности следят за состоянием сетей и компьютеров, а устаревшие принтеры, на которых установлена еще заводская прошивка, как правило, не принимаются во внимание.

«Может показаться, что принтеры не представляют опасности, но вы должны помнить, что по своей сути они являются мини-компьютерами, – подчеркнул этичный хакер Крис Викери, занимающийся исследованием вопросов безопасности в компании MacKeeper. – Контроль над принтером позволяет злоумышленнику сформировать плацдарм для будущих атак и занять удобную позицию для последующего проникновения внутрь сети».

Наиболее серьезные угрозы возникают, когда атакующий получает через принтер доступ к сети. Следует помнить и о возможности захвата любого документа, отправленного на принтер. Это способно нанести серьезный урон интеллектуальным ресурсам предприятия. Викери также припомнил недавний инцидент, когда некий документ с информацией экстремистского характера был отправлен на тысячи принтеров, у которых не был заблокирован определенный порт.

Арианна Валентини, занимающаяся исследованием проблем безопасности в IDC, заметила, что, помимо целенаправленного взлома принтера, угрозу представляют и документы, оставленные без присмотра. Во многих старых моделях нет функции, разрешающей печать только после ввода пароля непосредственно на устройстве. Сотрудники выводят документы на печать и забывают про них. В результате похищение документов становится очень легким делом для злоумышленника, который переводит их в цифровую форму и продает секреты компании.

Исследователь вопросов безопасности из Gartner Лоуренс Пингри назвал и еще одну угрозу. В организациях сферы здравоохранения и финансового сектора, где требования регуляторов значительно жестче, на принтеры следует обращать особое внимание. Ведь с ними здесь связаны не меньшие риски нарушения нормативных требований, чем с ноутбуками.По словам Викери, в какой-то степени проблема возникла из-за невнимания (принтеры безмолвно стоят в уголке), а в какой-то — из-за того, что производители не задумались вовремя о защите своих устройств. Одним из главных нововведений, укрепляющих безопасность принтеров, стала парольная защита по умолчанию (устройства поставляются с уже включенными паролями). Но это ничем не поможет миллионам пользователей старых моделей, так и не поменявших прошивки принтеров, в которых пароли не были задействованы.

Эксперты отмечают, что нарушения требований безопасности не являются особенностью каких-то конкретных брендов. Такие проблемы существуют у старых моделей Canon, Xerox, HP и многих других, в которых не используется парольная защита и которые подключены к корпоративным сетям посредством кабельных интерфейсов или Wi-Fi.

В средствах массовой информации появлялись сообщения о недостаточной безопасности принтеров HP, но, возможно, это объясняется просто высокой популярностью бренда. По словам Пингри, в последнее время компания HP заметно укрепила безопасность своих продуктов, решив заранее принять меры для блокирования потенциальной возможности взлома.

Есть информация об уязвимостях в принтерах Ricoh. В каждом из них существует лазейка, позволяющая получить доступ к учетной записи администратора. Чтобы воспользоваться этой возможностью, достаточно пройти авторизацию в качестве супервизора без пароля. После этого меняется пароль основного администратора. А получив доступ к учетной записи администратора, вы можете сменить прошивку, включив в новый вариант собственные троянские модули.

Рекомендации по укреплению безопасности принтеров

Общий совет по укреплению безопасности очень прост: замените устаревшие принтеры новыми моделями с достаточным уровнем защиты. Технологии, используемые в новейших моделях, достигли высокого уровня.

За последние полгода разработчики внедрили целый ряд весьма существенных инноваций. Модели HP PageWide используют новую технологию Sure Start, которая проверяет корректность программы BIOS. А функция HP Whitelisting позволяет убедиться в том, что прошивка не подвергалась взлому.

В марте 2016 года компания Xerox представила новую функцию, использующую шифрование для всех операций печати и сканирования. Еще одна новая функция автоматически удаляет задания на печать при включении питания. Это снижает вероятность того, что хакер сможет атаковать принтер, на котором хранятся старые задания.

«Мы вправе ожидать от производителей принтеров и разработчиков программного обеспечения новых продуктов, которые помогут организациям повысить уровень безопасности своей среды печати», – подчеркнула Валентини.

По мнению Пингри, важно также не забывать, что на самом деле принтер – это еще один сервер со своей операционной системой, подверженный атакам. А значит, о его безопасности нужно заботиться точно так же, как и о безопасности любого другого узла сети, и своевременно устранять выявленные уязвимости.

Легко упустить из виду и еще один момент. Настройкой принтера, как правило, занимается системный администратор, использующий для этого свои широкие полномочия и права доступа. Перехватывая вводимые данные, атакующий может похитить их.

Хотелось бы отметить, что существует очень много вариантов атаки. Это и загрузка неавторизованных прошивок, и захват заданий, отправленных на печать, и даже кража забытых документов из выходного лотка принтера. Важно учитывать любые возможные сценарии, даже если принтер в дальнейшем будет продолжать пылиться в углу.

– John Brandon. Think that printer in the corner isn’t a threat? Think again. CSO. May 3, 2016

Количество компаний, инвестирующих в широко разрекламированную технологию блокчейна, растет. Все говорят, что распределенный реестр обладает огромным потенциалом в части изменения ключевых бизнес-процессов. Но, как и любая другая передовая технология, блокчейн несет в себе определенные риски для бизнеса. А в Forrester предостерегают: пока что не существует даже четкого определения блокчейна.

Выступая на проходившей в Лондоне конференции Forrester Digital Transformation Europe, главный аналитик компании Forrester Research Марта Беннетт перечислила основные риски и рассказала о том, что нужно сделать, чтобы в полной мере раскрыть потенциал блокчейна.

1. Отсутствие четких определений

Прежде всего важно выработать общие соглашения в части рабочего определения блокчейна. Беннетт характеризует блокчейн как «хранилище записей, реализующее однократную запись и добавление данных». Перезаписывать их запрещено. Блокчейн, или цепочка блоков транзакций, имеет распределенную структуру и полностью или частично реплицируется.

Такой подход безопасен с криптографической точки зрения, но не эквивалентен шифрованию. По умолчанию контент блокчейна – транзакция или собственно запись – не шифруется. Криптографическая безопасность обеспечивается за счет хеширования транзакции и привязки ее к хешу. Попытки изменения сразу выявляются, поскольку хеш перестает соответствовать транзакции.

А если слово «реестр» заменить «базой данных», поводов для спора станет еще меньше. Почему это так важно? При обсуждении блокчейна убедитесь, что говорите с собеседником об одном и том же, ведь блокчейн, подобно облакам или Большим Данным, несет в себе ту смысловую нагрузку, которую вы в него закладываете.

2. Безопасность и риск

Одной из ключевых особенностей блокчейна, которую ценят поставщики финансовых услуг и страховые компании, является возможность гарантировать безопасное выполнение транзакций и снижение рисков за счет того, что любые изменения немедленно становятся заметны.

Но здесь есть и побочные эффекты. Блокчейн все выставляет напоказ, поскольку его содержимое, как правило, представляет собой открытый текст. Но даже при принятии специальных мер существуют технологии, позволяющие любому желающему получить доступ к контенту.

Между тем даже простейшие правила личной безопасности нередко не соблюдаются, а ведь в блокчейне присутствует очень много персональных данных. И мошенники могут воспользоваться ими в своих интересах. Нарушаются требования к конфиденциальности и защите данных.

Если информация обо всех торговых операциях содержится в цепочке, ее могут использовать конкуренты. Компании уже осознали это и с большей осторожностью прибегают к помощи блокчейна, стремясь сохранить коммерческую конфиденциальность и не допустить преследования со стороны антимонопольных органов. Возможным рискам, безопасности и политике доступа необходимо уделять самое серьезное внимание.

3. Управление ключами

Беннетт рассказала о недавних случаях проникновения киберпреступников в глобальную платежную систему SWIFT и о том, что блокчейн не смог бы воспрепятствовать этому.

«Вы говорите об однократных неизменяемых записях, но людям свойственно допускать ошибки, – заметила она. – В цепочке все равно появятся мошеннические транзакции, ведь там, где есть деньги, без взломщиков никогда не обходится. Благодаря цепочке обнаружить их становится проще, но полностью исключить мошенничество цепочка не в состоянии. Некоторые утверждают, что при использовании блокчейна проникновение в систему SWIFT невозможно. На самом деле это не так. Ведь мы столкнулись с кражей учетных записей, но с тем же успехом можно украсть и ключи для цепочки. Да, блокчейн помогает выявлять операции такого рода, но он не в состоянии предотвратить их».

4. Полномочия и права доступа

Здесь тоже возникает ряд вопросов, на которые ИТ-специалистам еще предстоит ответить в случае перехода к блокчейну.

Сколько наборов ключей нужно иметь для управления правами и шифрованием? Как происходит отзыв полномочий? Как работает цепочка? Какие алгоритмы и соглашения при этом используются? Сколько узлов?

Задав поставщикам эти важные вопросы, вы обнаружите, что многие не могут на них ответить.

5. Развертывание на предприятии

Сегодня технологии, позволяющие проводить платежи, денежные переводы, осуществлять послепродажную поддержку и обеспечивать соответствие журналов предъявляемым к ним требованиям, кажутся предприятиям уже достаточно зрелыми. Но это вовсе не означает, что их легко можно интегрировать в корпоративную среду. Напротив, по мнению Беннетт, технологии в целом сегодня находятся лишь в зачаточном состоянии.

«Их полномасштабного распространения можно ожидать лишь через пять-десять лет, ибо сегодня в нашем распоряжении имеется только набор весьма незрелых технологий, – констатировала она. – В компаниях их совершенствованием занимаются яркие и талантливые люди, но вопросы масштабирования, обеспечения безопасности и интероперабельности пока еще не решены».

6. Хранение

Всем, кто собрался внедрять у себя технологию блокчейна, придется задуматься об организации хранения данных.

Хранилище может быть встроено непосредственно в цепочку, может находиться где-то еще или даже размещаться в параллельном блокчейне. Все это остается предметом исследований. При интенсивной обработке транзакций и их репликации в несколько баз данных вы неизбежно столкнетесь с задержками, поэтому какую-то часть хранилища или организацию вычислений придется выносить за пределы цепочки.

7. Соответствие общим стандартам

Необходимо выработать соглашения об общих стандартах и процессах. Определенные шаги в этом направлении уже предпринимаются (образован, в частности, консорциум R3, объединивший крупнейшие финансовые организации мира), но вопросы взаимодействия по-прежнему порождают определенные трудности. «Когда в последний раз вам удавалось внедрить в 40 банках одну и ту же процедуру?» – вопрошает Беннетт.

И наконец, последний совет всем, кто рассматривает возможность внедрения у себя блокчейна. «Начинайте не с технологии, а со сценариев ее использования, – рекомендует Беннетт. – Мне жаль, когда миллионы фунтов стерлингов тратятся на проекты, которые никогда так и не будут реализованы. Поэтому надо трудиться не покладая рук, пробовать различные сценарии и смотреть, что из этого получится».

— Scott Carey. Seven reasons blockchain isn't ready for mainstream deployment. Computerworld UK. June 13, 2016

Широкое внедрение технологии блокчейна, по-видимому, произойдет только через годы. Сейчас в организациях лишь пытаются разобраться, как именно можно применять системы цифровых реестров на практике и как преодолеть сложности, связанные с регулированием, нормативной документацией и отсутствием стандартов.

Блокчейн пропагандируется венчурными капиталистами, технофилами и аналитиками как очередное грандиозное новшество компьютерной науки. На самом же деле программное обеспечение цифрового реестра, лежащее в основе биткоинов и других криптовалют, еще очень и очень далеко от массового внедрения.

Как отметил профессор МТИ Кристиан Каталини, блокчейн позволяет сторонам выполнять финансовые транзакции, заключать контракты и осуществлять иные операции с участием цифровых записей через Интернет. Но каковы потенциальные применения технологии на предприятиях?

«Честно говоря, пока что реальных применений не много, – признал Андерс Браунворт, главный инженер компании Circle, оператора потребительского сервиса защищенных P2P-платежей на основе блокчейна. – Распределенный реестр называют панацеей от всех проблем на свете, но на самом деле это не так».

Подобная прямота может стать неожиданной для тех, кто черпает сведения о технологии из прессы, где блокчейну приписывают прямо-таки культовый статус. А в некоторых крупнейших банках мира, например в Barclays, Bank of New York Mellon и UBS, полагают, что распределенный реестр – это будущее депозитарных операций. «Блокчейн как цифровой реестр серьезным образом изменит принципы работы индустрии финансовых услуг», – заявил в сентябре 2015 года ИТ-директор UBS Оливер Буссманн. И в это охотно верится, поскольку к 2025 году, по прогнозам экспертов Всемирного экономического форума, 10% валового внутреннего продукта будет храниться в блокчейнах.

Но банки – это отклонение от общей тенденции. Эксперты, подтверждая правоту Браунворта, говорят, что на сегодня реальных применений блокчейна недостаточно.

Большой ажиотаж и большие сложности

Как отметил глава PA Consulting Group Питер Никол, интерес к использованию блокчейна обусловлен также возможностью создания документального следа для цепочки поставок, который позволит удостоверяться в происхождении товаров. Мобильное приложение, реализующее функции блокчейна, позволило бы покупателям сканировать штрихкоды в магазине натуральной еды, чтобы уточнять происхождение продуктов вплоть до региона, фермы и, возможно, даже конкретных коров, которые произвели молоко, находящееся в конкретном пакете.

Но, по словам Никола, большинству потребителей нет дела до происхождения многих товаров, если не считать дорогостоящих, например бриллиантов, поэтому вряд ли на такое приложение будет спрос. А если блокчейном будут пользоваться очень мало продавцов и покупателей, то целесообразность внедрения оказывается под большим вопросом, особенно на предприятиях, где от ИТ-директоров требуют окупаемости новых технологий.

Но у блокчейна есть проблемы и помимо элементарной применимости в бизнесе. Отсутствие универсальных стандартов и нормативной документации, нехватка специалистов, имеющих навыки работы с ПО распределенного реестра, и сомнения в масштабируемости снижают заинтересованность во внедрении. На сегодня, по мнению Никола и других экспертов, блокчейн – это лишь предмет ажиотажа: слишком много обещаний, очень мало практических реализаций.

«Предстоит пройти немалый путь, прежде чем какие-либо решения, которые попадали в заголовки новостей за последние полтора года, будут готовы к внедрению на предприятиях, – полагает Марта Беннет, аналитик Forrester Research. – А появление чего-либо, требующего как согласия большого числа участников отрасли, так и единого набора процессов, может состояться еще позднее, и это даже без учета вопросов регулирования».

По словам Беннет, на сегодня еще не делалось серьезных попыток продумать сквозные процессы. Пример – уже упомянутое выяснение происхождения: одно дело – отслеживать цифровые товары, и совсем другое – физические. Если вы пытаетесь проследить что-то на пути от производителя к покупателю, где гарантии отсутствия вмешательства?

Их быть не может, по крайней мере при нынешнем положении дел. Но блокчейн – едва ли не первая новая технология, ажиотаж вокруг которой гораздо больше, чем уровень ее зрелости. По сути, все революционные технологические платформы, обладающие потенциалом широкого внедрения или сетевого эффекта, прошли подобное «испытание огнем».

Возьмем, к примеру, Hadoop – технологию анализа данных с открытым кодом, разработанную в Yahoo десять лет назад. Вначале с ней лишь экспериментировали узкие специалисты, затем несколько стартапов коммерциализовали ее, и внезапно она стала главным инструментом обработки Больших Данных. Постепенно в компаниях поняли, что им нужны специалисты по Hadoop, и что главная сила технологии – в предварительной обработке данных, а не в выдаче готовых аналитических сведений. Чтобы извлекать из Hadoop пользу, необходимы были ученые по данным. И хотя сегодня Hadoop используется множеством компаний, это не универсальное решение для всех задач Больших Данных.

Сравнение блокчейна с Hadoop в плане ажиотажа справедливо, считает Дэвид Шатски, старший менеджер Deloitte по анализу новых технологий. И блокчейн, и Hadoop открывают совершенно новые возможности. Шатски отметил, что в компаниях, оказывающих финансовые услуги, в блокчейне видят инструмент создания решений для анализа кредитной истории клиентов, а в туристической и гостиничной отрасли считают, что блокчейн поможет разрабатывать программы лояльности.

«Блокчейн действительно способен радикально повысить эффективность многих бизнес-процессов, – подчеркивает Шатски. – Но в то же время существует масса нерешенных вопросов – в частности, по поводу блокчейнов с привилегиями доступа и без таковых, по поводу руководства распределенными реестрами с поддержкой разграничения прав, а также относительно масштабируемости».

Стоит ли внедрять блокчейн

Никол рекомендует ИТ-директорам, обдумывающим планы внедрения блокчейна, озаботиться следующими вопросами: «Как «продать» блокчейн финансовому директору, если лучшее, что можно обещать, – это окупаемость через год или позже?», «Какие есть практические сценарии применения, способные заинтересовать бизнес с точки зрения инвестиций?». «Пока не появится круг конкретных сценариев применения, планировать внедрения будет сложновато», – говорит Никол.

Беннет рекомендует ИТ-директорам, думающим внедрить блокчейн, задаться вопросом, требуется ли для их конкретных задач криптографически защищенное распределенное тиражируемое хранилище записей. Затем следует проконсультироваться со специалистами из компаний, уже внедривших подобные решения, провести оценку экосистемы стартапов, занимающихся блокчейном, а также навести справки об отраслевых инициативах, консорциумах и консультантах.

Если после такой предварительной работы заинтересованность во внедрении сохранится, нужно выделить ресурсы для проведения концептуальных внедрений. «Но планировать надо комплексные проекты, фрагментарное внедрение пользы не принесет, – добавляет Беннет. – Кроме того, нужно задуматься об интерфейсе между физическим миром и блокчейном».

– Clint Boulton. Blockchain’s hype exceeds its grasp – for now. CIO. Jun 7, 2016

Невыносимые сослуживцы встречались в жизни всем: это мог быть кто-то, кто притеснял других, мешал достигать целей, присваивал себе чужой успех, подвирал или был нечист на руку. Такой человек, при всех своих отрицательных качествах, одновременно может быть очень умным, целеустремленным, высокопродуктивным, но чего это стоит вашему бизнесу? Долгосрочный ущерб слишком велик, чтобы терпеть сотрудников, которые нестерпимы. К такому выводу в своем докладе пришли Дилан Майнор, профессор Гарвардской школы бизнеса, и Майкл Хаусман, директор по аналитике компании Cornerstone OnDemand.

О том, как организациям находить и выращивать собственных «звезд», способных радикально улучшить результативность и продуктивность труда, написано немало. Но гораздо меньше говорилось о том, что же делать с сотрудниками, которых трудно терпеть остальным.

В анкетировании, проведенном Майнором и Хаусманом, приняли участие 60 тыс. сотрудников из 11 компаний в различных отраслях, в том числе в индустрии связи, потребительских услуг, финансах, здравоохранении, страховании и розничной торговле.

Во что обходятся работники, отравляющие рабочую атмосферу

«Как мы выяснили, «суперзвезда» (так мы называем 1% работников с самой высокой продуктивностью) добавляет ежегодно примерно 5 тыс. долл. к прибыли компании, а работник с дурным характером, напротив, наносит убыток около 12 тыс. долл., – пишут авторы доклада. – Таким образом, один такой сотрудник сводит на нет пользу более чем от двух суперзвезд. Получается, что работники, издевающиеся над коллегами, на самом деле влияют на компанию сильнее, чем положительные». Но в то же время выводы исследования показывают: «притеснители» работают во много раз продуктивнее, чем средние служащие, и этим, вероятно, объясняется то, что они остаются в организациях дольше, чем следовало бы.

«Ядовитые» сотрудники могут чрезвычайно негативно влиять на всю организацию, подчеркивает Жюли Мориарти, старший вице-президент по тренингам и профориентации NAVEX Global, компании, разрабатывающей программное обеспечение для управления рисками и соблюдения нормативных требований.

«Атмосфера притеснения сильно влияет на организацию в целом, – продолжает она. – Независимо от того, являетесь ли вы жертвой или свидетелем, подобная обстановка ухудшает вашу способность работать в коллективе, снижает продуктивность и может привести к тому, что компании будет трудно набирать и удерживать квалифицированных специалистов. Часто лучшие кандидаты приходят по рекомендациям, а если у вас в компании нездоровый климат, никто не станет рекомендовать ее». Возможен даже ущерб деловой репутации компании, а также не исключены громкие разбирательства, если жертвы обратятся в суд.

Есть ли выгода от притеснителей?

Ситуация усложняется из-за того, что некоторым организациям агрессивный характер сотрудников приносит пользу, отмечает Гэри Нами, который основал Workplace Bullying Institute (Институт изучения проблемы издевательств в трудовых коллективах). Различия между тираном и «пробивным», высокопродуктивным, инициативным работником, который приносит компании прибыль, трудноуловимы, особенно если сотрудника уже поощряли за агрессивное поведение, подчеркивает Нами.

«Многих из тех, кто притесняет сослуживцев, при других обстоятельствах хвалят за аналогичное поведение, – продолжает он. – Они настойчивы, ни перед чем не останавливаются, хитры и готовы на все, чтобы идти вперед и победить, и это помогает и им, и бизнесу. В большинстве случаев тираны на работе действительно приносят пользу вопреки своим недостаткам: те же качества, за которые их ненавидят, оказываются преимуществом при выполнении рабочих обязанностей. Поэтому жертвам приходится вступать в неравный бой, когда они пытаются заставить начальство увидеть, что именно скрывается за высокой результативностью такого человека».

Что делать

Один из способов – действовать через менеджера, отвечающего за вопросы этики и внутренний контроль. Но этот сотрудник должен подчиняться либо генеральному директору или другим представителям высшего руководства, либо совету директоров, чтобы были гарантии беспристрастности и объективности.

«Такой сотрудник должен быть независим; у него должна быть возможность принимать непростые решения – например, уволить агрессивного сотрудника или наложить на него дисциплинарное взыскание, причем эти решения не могут быть отменены или проигнорированы», – подчеркивает Мориарти.

Можно предусмотреть механизмы, позволяющие анонимно пожаловаться на издевательства; правда, в таком случае расследование может затянуться и провести его будет труднее.

«В большинстве организаций в подобных случаях положено обращаться к начальнику, но если такое невозможно (например, он и есть обладатель дурного характера), идите в кадровый отдел, – продолжает Мориарти. – В открытых акционерных компаниях нередко есть горячая линия или механизм приема жалоб». Если же подобные средства отсутствуют или неэффективны, быть может, придется обратиться за юридической помощью вне организации.

Статистика WBI показывает: даже когда на подобных сотрудников жалуются, примерно в 44% компаний ничего не делают для исправления ситуации. Возможно, в ближайшей перспективе подобная тактика и принесет пользу компании, но долгосрочный ущерб от таких работников будет гораздо больше.

«В компаниях, где ничего не предпринимают для борьбы с отравителями рабочей атмосферы, предпочитают сиюминутную выгоду и не думают о потерях в будущем, – говорит Мориарти. – Когда же ущерб станет заметным, станет уже слишком поздно. Ваши сотрудники всегда будут помнить, что в компании предпочли краткосрочную прибыль, а не оздоровление трудовой атмосферы. И ваш бизнес из-за этого будет страдать».

– Sharon Florentine. Why your business can't afford toxic employees. CIO. March 21, 2016

О знаменитом хакере Кевине Митнике, за которым в 70, 80 и 90-е годы гонялось ФБР, слышал, наверное, каждый, кто связан с компьютерными технологиями. (Если же подробности совершенных Митником взломов вам неизвестны, почитайте его книгу «Призрак в проводах: мои приключения в качестве самого разыскиваемого в мире хакера».)

Большинству экспертов известно также, что после освобождения из тюрьмы Митник зарабатывал на жизнь, устроившись консультантом по безопасности. Но знаете ли вы, что он никогда не оставлял и свои хакерские занятия?

Митник всегда подчеркивал ту важную роль, которую играет для хакера социальная инженерия. А между тем в большинстве рекомендаций по укреплению безопасности об этом ничего не говорится. Сам же он сегодня не оставляет попыток достучаться до тех, кто пытается оценить существующие риски.

Безопасность и конфиденциальность – это не то, о чем можно забыть навсегда, приняв один раз необходимые меры предосторожности. Важно учиться не только у экспертов по безопасности, но и у хакеров, знающих, как проникнуть в ваш телефон или компьютер с помощью методов социальной инженерии.

О знаменитом хакере Кевине Митнике, за которым в 70, 80 и 90-е годы гонялось ФБР, слышал, наверное, каждый, кто связан с компьютерными технологиями. (Если же подробности совершенных Митником взломов вам неизвестны, почитайте его книгу «Призрак в проводах: мои приключения в качестве самого разыскиваемого в мире хакера».)

Большинству экспертов известно также, что после освобождения из тюрьмы Митник зарабатывал на жизнь, устроившись консультантом по безопасности. Но знаете ли вы, что он никогда не оставлял и свои хакерские занятия?

Митник всегда подчеркивал ту важную роль, которую играет для хакера социальная инженерия. А между тем в большинстве рекомендаций по укреплению безопасности об этом ничего не говорится. Сам же он сегодня не оставляет попыток достучаться до тех, кто пытается оценить существующие риски.

Кевин Митник заставляет людей задуматься о таких вещах, которые раньше даже не приходили им в голову

Достучаться до людей Митник пробует в том числе и путем взлома (естественно, получив предварительно разрешение на это). Корпоративное обучение зачастую кажется пользователям слишком скучным. Поэтому Митник просто взламывает системы своих клиентов, демонстрируя, как легко они могут стать жертвами злонамеренных хакеров.

В настоящее время Митник является директором компании KnowBe4 по вопросам взлома и пишет книгу «Искусство невидимости», в которой рассказывает, как обеспечить безопасность и конфиденциальность в нынешнем мире хакеров и эксплойтов. Работая в KnowBe4, Митник помогает компаниям предотвращать и ликвидировать последствия наиболее деструктивных и сложных взломов, организуемых через атаки фишинга.

Фишинг – одна из разновидностей социальной инженерии и приемов, заставляющих получателя электронного письма или сообщения поверить в то, что оно пришло из заслуживающего доверия источника (например, из PayPal или от одного из руководителей компании, в которой работает жертва атаки). Доверившись отправителю, пользователь открывает приложение, загружает файл, в ответ пароль, сообщает и другую важную информацию или посещает веб-сайт, с которого на его компьютер устанавливается вредоносная программа.

Как говорит Митник, «взломать человека гораздо проще, чем компьютер», поскольку компьютеры четко следуют инструкциям и изменить здесь что-либо практически невозможно, а люди эмоциональны, у них многое зависит от настроения и ввести их в заблуждение не так уж сложно, особенно если они ни разу не обжигались.

Смартфоны

Митник заставляет людей задуматься о таких вещах, которые раньше даже не приходили им в голову. «Человеческая лень открывает перед хакерами самые широкие возможности», – подчеркивает он. Многие люди, разблокируя свой телефон, вместо длинного пароля вводят просто четырехзначный цифровой код. На первом этапе хакер таким образом выбирает себе цель, ведь подобрать четырехзначный цифровой код гораздо проще.

Рекомендации по укреплению безопасности мобильных устройств от Митника просты: лучшая защита против фишинга – не антивирус и не межсетевой экран, а обучение, образование и осведомленность.

Митник использует обычный смартфон, а не телефон с повышенным уровнем защищенности и новейшей системой безопасности – что-то вроде Blackphone 2 или Turing. «Безопасность обеспечивается вашим выбором и поведением, – поясняет он. – А это гораздо важнее даже самого защищенного оборудования».

Митник использует длинный пароль, включающий в себя буквы и цифры, а не четырехзначный цифровой код, как большинство из нас. При опасности принудительного разблокирования телефона, например при возвращении в США из зарубежной поездки, он перезагружает телефон, после чего сенсорный датчик, считывающий отпечаток пальца, становится неактивным (сразу после перезагрузки телефон разблокируется только в случае ввода пароля). В США суд может заставить вас разблокировать телефон, приложив к нему палец, но у него нет права заставить вас сообщить свой пароль.

Но, по признанию Митника, стопроцентно безопасных устройств просто не существует.

Портативные и настольные компьютеры

Митник рассказал, как защитил компьютер своей матери, воспользовавшись преимуществами цифровой подписи Apple.

Раньше мать звонила ему каждую неделю и просила почистить свой компьютер, который то и дело заражался вирусами. Она была настоящим «лакомым кусочком» для атак социальной инженерии, и Митнику приходилось еженедельно переустанавливать операционную систему.

И тогда он купил ей iMac, установил на него антивирусную утилиту и заблокировал компьютер.

Он также изменил настройки безопасности магазина приложений Mac App Store, с тем чтобы она имела возможность загружать только приложения, одобренные Apple. Настройки по умолчанию, говорит Митник, не обеспечивают должной безопасности, ведь «разработчиком можно стать всего за сто баксов».

Таким образом Митник решил проблему загрузки вредоносных программ. Но при этом отметил, что, хотя такое простое решение и обеспечивает защиту от обычных атак фишинга, оно неспособно защитить пользователей от АНБ и других более опытных и целеустремленных хакеров.

Флешки и другие векторы атаки

На конференциях по безопасности Митник охотно демонстрирует хакерское искусство. Например он показал, как, подключив флешку, хакер получает полный контроль над машиной, в том числе над ее камерой и микрофоном, а также возможность запустить любую программу. В процессе демонстрации компьютер распознавал подключаемую флешку как клавиатуру, а не как устройство хранения. Это позволяло хакеру вводить любые последовательности нажатия клавиш, как если бы в руках у него оказалась настоящая клавиатура.

Такой прием был показан потому, что «люди считают USB-устройства безопасными, ведь функция автозапуска у них отключена». На самом же деле компьютер не защищен от флешки.

Многие полагают, что PDF-файлы тоже безопасны. Чтобы развеять эту иллюзию, Митник продемонстрировал визуальные инструменты, с помощью которых хакер, использующий файл PDF, может получить контроль над атакуемой машиной.

Еще один показанный прием моделировал действия хакера в кофейне с бесплатным выходом в Интернет через маршрутизатор Wi-Fi. Хакер подает маршрутизатору команду отключить всех от сети, после чего предлагает пользователям подключиться уже к собственной сети Wi-Fi с тем же именем. После подключения пользователей на их устройства рассылается вредоносный код.

Вы не должны позволять подключать к своему компьютеру чужие флешки и загружать на него PDF-файлы, даже если доверяете источнику (существуют методы социальной инженерии, которые заставят вас ему довериться). И следует избегать публичных точек доступа Wi-Fi.

В то время как специалисты по безопасности заняты изучением хакерского программного кода, Митник делает упор на социальную инженерию. Потому что именно таким образом хакеры получают доступ к вашей системе.

Другими словами, безопасность и конфиденциальность – это не то, о чем вы можете забыть навсегда, приняв один раз необходимые меры предосторожности. Важно учиться не только у экспертов по безопасности, которые владеют соответствующими инструментами, но и у хакеров, знающих, как проникнуть в ваш телефон или компьютер с помощью методов социальной инженерии.

Теперь, обладая такими знаниями, вы просто обязаны изменить свое поведение! Будьте благоразумны. Проявляйте осторожность, граничащую с паранойей.

– Mike Elgan. Surprising tips from a super-hacker. Computerworld. March 7, 2016

Услуга «ИТ как сервис» (IT as a service, ITaaS) – операционная модель, при которой корпоративный ИТ-департамент работает как отдельный бизнес, производя ИТ-продукты и оказывая услуги бизнес-подразделениям. По сути ИТ-департамент является для бизнес-заказчиков лишь одним из множества конкурирующих между собой поставщиков услуг. ITaaS подразумевает ориентацию на потребности заказчиков и их запросы. Важно понимать, что, несмотря на то что аббревиатуры типа XaaS принято применять к различным облачным сервисам, в данном случае речь идет не про облака, а про специфическую модель работы ИТ-подразделения.

Эта модель полностью меняет правила игры: ИТ-департамент перестает быть центром затрат, также появляется дополнительная выгода, поскольку ИТ приближаются к бизнесу. Такой сервис способствует повышению гибкости, облегчает построение модели затрат на основе потребления и упрощает организацию управления по запросам. И может показаться, что переключение на ITaaS открывает невиданные возможности. Но возникает резонный вопрос: все выглядит как-то слишком гладко, в чем подвох?

ITaaS способствует повышению гибкости, облегчает построение модели затрат на основе потребления и упрощает организацию управления по запросам

«Нет ничего труднее, опаснее и неопределеннее, чем руководить введением нового порядка вещей», – писал Макиавелли. А ИТ в качестве сервиса – именно новый порядок вещей, радикально иной способ управления ИТ.

От ИТ-директора переход на эту модель требует переосмысления организации ИТ, инвестиций в технологии, процесса управления талантами, экосистемой и выстраивания взаимоотношений с бизнесом. Такие изменения не даются легко, быстро и дешево. И риски исключить практически невозможно.

Альтернатива «большому взрыву»

Неудивительно, что ИТ-директора в первую очередь интересуются способами снижения рисков. Главный совет таков: не стоит противопоставлять ITaaS уже имеющимся решениям и прибегать к стратегии «всё или ничего».

Структура традиционного ИТ-обслуживания в модели «ИТ как сервис» не работает. Но это не значит, что нужно отказаться от такой структуры полностью. В качестве альтернативы можно рассматривать переход к ITaaS только в областях, представляющих особую ценность, – там, где ИТ необходимо срочно приводить в соответствие с потребностями бизнеса. Эти области связаны с цифровой темой – сферой, где бизнес-подразделения используют технологии для изменения взаимодействия с клиентами и укрепления конкурентоспособности.

Внедряя ITaaS первым делом в высокоприоритетных областях и отказываясь от подхода «большого взрыва», меняющего все, вы получаете три ключевых преимущества в части минимизации рисков:

• ограничиваете область изменений;

• потенциально избегаете расширения инвестиций;

• изучаете новую организационную структуру на начальном этапе, прежде чем переносить ее в другие области.

Предостережения

Такой ограниченный подход имеет ряд недостатков. Хотелось бы предостеречь от ошибок, связанных с внедрением ITaaS в уже существующую структуру традиционных ИТ. Чтобы внедрять ITaaS только в областях, представляющих высокую ценность, требуется создать параллельную организацию с дублирующими функциями. Но это уменьшает риски, сопряженные с подходом «большого взрыва».

Еще одно предостережение обусловлено тем, что внедрению новой модели сопротивляются сотрудники ИТ-службы. Они стараются отстоять традиционные стандарты и сохранить прежний менталитет. Модель ITaaS нуждается в серьезной поддержке, которую нужно организовать совместно с бизнес-подразделениями. Наверняка между двумя существующими ИТ-моделями возникнут трения. А ИТ-директор должен управлять этими процессами.

Консервативный вариант

Есть и третий вариант – не переходить на ITaaS вовсе. Тогда придется повышать гибкость ИТ-услуг, что, в свою очередь, создаст условия для процветания теневых ИТ. Бизнес-подразделения, где ИТ имеют важное значение, часто недовольны качеством обслуживания, когда внимание уделяется возможностям ИТ-службы, а не приведению технологий в соответствие потребностям бизнеса.

Ставка на ограниченный подход. Что дальше?

После внедрения в высокоприоритетных областях дальнейший выбор организации и вероятность перехода на новую модель будут зависеть от достигнутых результатов, эффективности предлагаемой структуры и восприятия ее бизнесом.

– Peter Bendor-Samuel. How to shape your IT-as-a-Service strategy. CIO. Apr 26, 2016