Тор Олавсруд

Организации, работающие с документами, приобрели мощного союзника, помогающего им оптимизировать бизнес-процессы. Средства обработки естественного языка (Natural Language Processing, NLP) – направления искусственного интеллекта, ориентированного на организацию взаимодействия – позволяют таким компаниям, как Accenture, извлекать из документов ценную информацию и сокращать расходы, обращаясь в эпоху машинного обучения к текстовым, неструктурированным компонентам взаимодействия.

Имея в своей системе учета более миллиона контрактов, к которым ежемесячно добавляются тысячи новых, юридическое подразделение Accenture, насчитывающее в штате 2800 профессионалов, прилагало немалые усилия для того, чтобы найти в договорах требуемую информацию. Процесс поиска нужных сведений в документах был весьма трудоемким и утомительным.

«Поиск конкретной информации или связанных с определенными событиями, на протяжении многих лет выполнялся вручную, – указал глобальный управляющий директор Accenture по цифровой трансформации бизнеса, операциям и корпоративному анализу Майк Мареска. – Только таким образом мы могли понять в деталях, что представляют собой наши клиенты и каковы наши контрактные обязательства. В сложившейся ситуации для повышения эффективности поиска в системе учета договоров группа Internal IT Enterprise Insight решила обратиться к средствам обработки естественного языка и искусственного интеллекта».

Запуск проекта Accenture Legal Intelligent Contract Exploration (ALICE) был обусловлен двумя причинами. Во-первых, в системе Manage myRecords (MMR), где хранится более миллиона контрактов, требовалось организовать текстовый поиск. Во-вторых, компании был нужен поиск конкретных положений договоров.

«Сегодня у нас есть штат исследователей данных, моделирующих аналитические решения, которые могли бы индексировать это крупное хранилище договоров и разрабатывать специальные аналитические алгоритмы для извлечения отдельных положений и условий договоров», – сообщил Мареска.

Это непростая задача, поскольку исторически сложилось так, что условия в договорах Accenture никак не помечались. А значит, построить модель классификации здесь было невозможно. Предстояло работать с не очерченным строго набором документов и идентифицировать положения, не опираясь на помеченные данные.

Ситуация осложнялась тем, что многие контракты заключались на условиях клиентов с использованием различных формулировок и форматов представления. А значит, идентифицировать положения по шаблону – форс-мажор, обязательства, требования к конфиденциальности данных и т.д. – не представлялось возможным. Прямая ссылка на условия присутствует в контрактах далеко не всегда, поэтому нужен был поиск по ключевым словам, которые косвенно могли бы свидетельствовать о наличии того или иного положения.

Чтобы решить эту задачу, участники проекта решили обратиться к «эмбеддингу» (word embedding) – методу обработки естественного языка, в основе которого лежит предварительное преобразование слов в соответствующие им числовые вектора, позволяющие судить об их семантическом сходстве. Модель извлекает из договора список ключевых слов с оценкой их релевантности, позволяя решению выборки положений самостоятельно рассчитать, насколько релевантен каждый абзац документа положению конкретного типа.

В избранной модели документы просматриваются абзац за абзацем, выделяя ключевые слова и определяя, соответствует ли абзац конкретному положению. Слова «наводнение», «землетрясение» и «катастрофа», например, обычно ассоциируются с положением «форс-мажор».

«Средства анализа позволяют нам искать ключевые слова, условия, конкретные пункты и юридические положения сначала на английском языке, – пояснил Мареска. – На следующем уровне в действие вступают средства перевода».

Руководство компании передало проект ИТ-службе, указав конкретные сценарии использования, обеспечивающие непрерывность ведения бизнеса. 

Путь от концептуальной идеи до экспериментального проекта у команды Марески занял шесть месяцев. Тестирование проводилось на группах юристов Accenture. На основе полученных результатов был создан минимально жизнеспособный продукт, переданный группе внедрения решений для последующей доработки в масштабе всего предприятия. Спустя еще восемь месяцев появился готовый вариант.

Обязательным условием перехода от прототипа к готовому продукту Мареска назвал тесное взаимодействие между юридической организацией Internal IT Enterprise Insight Studio и командой ИТ-разработчиков. Эксперты по данным из группы MMR сыграли ключевую роль в определении структуры метаданных и формировании связей метаданных с текстом договоров. Эксперты в области юриспруденции помогали выстраивать компоненты для извлечения начальных положений. В команду разработчиков входили исследователи данных, инженеры UI/IX, инженеры-программисты и функциональные архитекторы.

Сегодня система ALICE, принесшая Accenture премию CIO 100 Award in IT Excellence, полностью развернута и заметно улучшила возможности компании в части выявления и понимания рисков. Она помогла существенно сократить время, затрачиваемое юристами на поиск интересующей их информации в договорах.

«Впоследствии ее функционал был расширен, – сообщил Мареска. – Появились, к примеру, сценарии 'что, если'. Определяли ли мы когда-либо рамки своих обязательств тем или иным способом? По мере дальнейшей эксплуатации появляются и другие сценарии. Мы находим новые способы извлечения дополнительной выгоды из тех данных, что у нас имеются».

Компания рассматривает ALICE как часть процесса более широкой цифровой трансформации своих средств юридического анализа. И с этой точки зрения, ALICE становится центральным звеном разнообразных сервисов юридической аналитики.

Наряду с социальными сетями, мобильными и облачными технологиями, анализ и связанные с ним технологии обработки данных в цифровой век превратились в одну из главных движущих сил развития бизнеса. К 2017 году многие компании стали подпитываться данными, а не генерировать их, как прежде, а сами данные и средства их анализа на многих предприятиях превратились в главный центр притяжения. В 2018 году технологии обработки данных должны привносить новые ценности. Рассмотрим подходы, роли и проблемы, которые будут сопровождать дальнейшее развитие стратегий анализа данных в нынешнем году.

Озера данных должны продемонстрировать ценность для бизнеса или уйти в небытие

На протяжении многих лет данные в больших объемах накапливались на предприятиях. Интернет вещей еще сильнее ускорил этот процесс, а источники данных из Web переместились в мобильную сферу и на уровень машин.

Гай Чарчуорд, генеральный директор компании DataTorrent, разработавшей платформу потоковой передачи данных в реальном времени, отмечает, что возникла потребность в масштабировании конвейеров данных экономически эффективным способом.

И действительно, многие предприятия, использовавшие технологии наподобие Apache Hadoop, стали создавать озера данных – корпоративные платформы управления данными для хранения всех данных организации в их исходных форматах. Озера данных призваны были ликвидировать информационную разобщенность, предоставив единое хранилище данных в масштабах всей организации, которое можно было бы использовать в самых разных целях, начиная от бизнес-анализа и заканчивая глубинной обработкой данных. Сырые и неуправляемые, озера данных преподносились как панацея и универсальное место сбора информации.

Но если в качестве хранилищ больших объемов данных они эксплуатировались достаточно успешно, то извлекать из этих данных полезные сведения оказалось весьма затруднительно.

«Озера данных идеально подходили для анализа статических данных в пакетном режиме, – поясняет Чарчуорд. – Однако уже в 2015 году стало ясно, что этой архитектурой злоупотребляют, а сегодня она превратилась в настоящую ахиллесову пяту анализа в реальном времени. Когда требовалось сразу проанализировать только что размещенные данные, это вызывало значительные неудобства. При необходимости оперативно получить представление о текущей ситуации и мгновенно принять необходимые меры компании, полагавшиеся на уже устаревшие события, теряли контроль и не имели возможности реагировать нужным образом. И это лишь одна из областей, где “достаточно хорошее” оказалось стратегически фатальным».

Генеральный директор Splice Machine Монте Цвебен поддерживает эту точку зрения: «Hadoop разочаровывает, и этот процесс идет полным ходом. Многие организации, утонув в своих озерах данных, не могут получить желаемой отдачи из-за сложности неповоротливого вычислительного механизма Hadoop».

«Чтобы выжить в 2018 году, озера данных должны доказать свою ценность для бизнеса», – подчеркнул Кен Хоанг, вице-президент по стратегии и формированию союзов компании Alation, занимающейся каталогами данных: «Новые свалки – озера данных – в последние несколько лет прошли этап экспериментального развертывания, и их ждет постепенная ликвидация, если они не докажут свою ценность. Отличительной чертой успешного озера данных является каталог предприятия, позволяющий совмещать обнаружение информации, искусственный интеллект и информационное обслуживание и помогающий по-новому взглянуть на проблемы бизнеса».

Впрочем, для озер данных еще не все потеряно. Озера данных и другие крупные центры данных могут обрести новую жизнь в так называемых суперцентрах, предлагающих «контекст в качестве сервиса» благодаря использованию методов машинного обучения.

«Развертывание в последние 25 лет крупных центров данных (хранилищ данных, систем управления основными данными, озер данных, сервисов Salesforce и систем ERP) привело к еще большей разобщенности данных. Кроме того, затруднились их понимание, поиск связей и совместное использование, – подчеркнул Хоанг. – Центр, объединяющий другие центры, позволит связать их активы и предоставить контекст в качестве сервиса. А это, в свою очередь, обеспечит еще более мощные и релевантные результаты прогнозирования, которые помогут бизнесу».

Главный архитектор приложений MapR Тед Даннинг предсказывает аналогичный сдвиг: «Когда системы больших данных превратятся в главный центр хранения, доступа и выполнения операций, организации смогут выстроить глобальную структуру данных, предоставляющую исчерпывающий доступ к данным, полученным из множества различных источников, и к вычислениям в действительно многопользовательских системах. Все больше и больше компаний будут рассматривать вычислительные системы с точки зрения потоков данных, а не просто данных, которые только обрабатываются и помещаются в БД. Эти потоки данных охватывают ключевые события бизнеса и отражают его структуру. Объединенная структура данных станет основой для построения таких крупномасштабных потоковых систем».

По мнению Лэнгли Айде, директора по стратегии компании Alteryx, занимающейся анализом данных на условиях самообслуживания, руководители ИТ-служб – не единственные, кто отвечает за извлечение ценностей из озер данных. Ответственность за это в 2018 году будут нести также производственные аналитики и директора по цифровым технологиям.

Большинство аналитиков так и не воспользовались огромными объемами неструктурированных ресурсов (данными о перемещениях, данными Интернета вещей, данными системных журналов и т. д.), которыми наводнены их озера данных. Такая ситуация возникла главным образом потому, что сделать это довольно сложно. Но, честно говоря, аналитики плохо выполняют свою работу, если оставляют эти данные нетронутыми. Многие озера данных остаются неэффективными активами – люди не знают, что там находится, как получить доступ и как извлечь из этих данных полезную информацию. В 2018 году положение дел изменится, поскольку от озер данных хотят получать более высокую отдачу.

По прогнозам Айде, в 2018 году аналитики заменят инструменты «грубой силы» наподобие Excel и SQL технологиями с более высоким уровнем программирования – в частности, каталогизацией данных, которая позволит извлекать из данных добавочную информацию и получать дополнительные ценности.

Возрастание роли директора по цифровым технологиям

В условиях нового толчка к проникновению вглубь данных, в 2018 году директор по цифровым технологиям в полной мере вступит в свои права.

«По сути, данные – это новая нефть. И директор по цифровым технологиям становится фигурой, вокруг которой вращается одна из наиболее важных проблем современных предприятий – извлечение ценностей из данных, – указал Айде. – Зачастую при бюджете менее 10 млн долл. одной из главных задач директора по цифровым технологиям становится превращение широко разрекламированной возможности самообслуживания в реальность за счет переноса корпоративных источников данных ближе к бизнес-пользователям. В 2018 году директор по цифровым технологиям начнет отходить от централизованных функций, а необходимость расширить возможности бизнес-пользователей в конечном итоге приведет к увеличению бюджетов».

Директора по цифровым технологиям, обладающие необходимыми ресурсами, навыками и функционалом, организуют быструю передачу передового опыта из центров компетенции бизнес-пользователям. И ключевую роль в этом сыграют платформы и методологии гибкой разработки.

Появление кураторов данных

Согласно прогнозам Томера Ширана, генерального директора аналитического стартапа Dremio, возглавляющего проект с открытым кодом Apache Arrow, в ближайшее время предприятиям потребуется новая роль куратора данных.

Куратор данных занимает промежуточное положение между потребителями данных (аналитиками и исследователями данных, использующими инструменты Tableau и Python для получения ответов на важные вопросы с помощью данных) и инженерами данных (людьми, которые перемещают данные между системами и преобразуют их посредством скриптовых языков Spark, Hive и MapReduce). Кураторы данных должны понимать значимость данных и применимые к ним технологии.

Куратор данных отвечает за понимание типов анализа, которые должны выполняться различными подразделениями организации, знать, какие наборы данных лучше подходят для этой работы и что необходимо предпринять, чтобы перевести данные из их исходного состояния в форму, которая нужна потребителю данных для выполнения им своей работы. Куратор данных использует различные системы, в том числе платформы самообслуживания, когда требуется ускорить сквозной процесс предоставления потребителям доступа к необходимым им наборам данных, исключив при этом их бесконечное копирование.

Стратегии управления данными станут ключевым вопросом для всех руководителей высшего звена

Общий регламент защиты данных (General Data Protection Regulation, GDPR) Европейского союза вступает в силу 25 мая 2018 года, однако далеко не все предприятия к этому готовы.

«GDPR будет применяться всеми государствами Европейского союза и радикально изменит подход компаний к сбору и обработке данных о гражданах ЕС, – пояснили юристы Global Privacy + Data Security Group компании Morrison & Foerster Мириам Вугмайстер, Локке Мерель и Джон Карлин. – Компании, ранее полагавшиеся на получение согласия для выполнения всех своих операций, больше не смогут делать этого. Им придется действовать на основе другой юридической базы (например, договорной необходимости и законного интереса). Организациям необходимо внедрять совершенно новую систему уведомлений и получения согласия».

Потенциальные штрафы GDPR весьма велики: административные штрафы могут достигать 20 млн евро или 4% общего годового оборота.

«Когда над миром нависла проблема 2000 года, все рассуждали о вероятностях и о том, придется им с ней столкнуться или нет, – заметил технический директор компании Hortonworks Скотт Гнау. – Сегодня едва ли кто-то в полной мере готов во всеоружии встретить вступление GDPR в силу. Многие компании полагаются на директора по безопасности, который должен определить правила, системы и прочие параметры, способные помочь глобальному интегратору выбрать оптимальный план действий. Ждать индивидуального подхода к каждому отдельно взятому клиенту просто нереалистично».

«Выполнение предписаний GDPR требует от руководства информированности, готовности и поддержания связей со всеми элементами организации, – указал Гнау. – Компаниям необходимо улучшить управление своими данными. Но крупные взломы – например, взлом бюро кредитных историй Equifax, о котором стало известно в 2017 году, – говорят о том, что предприятиям приходится искать баланс между предоставлением своим сотрудникам самостоятельного доступа к данным и защитой тех же самых данных от потенциальных угроз. В 2018 году управление данными станет одной из основных тем в повестке дня любой организации. Ключевой целью должна стать разработка системы, которая уравновешивала бы потребность в данных, доступе и анализе на условиях самообслуживания с регулирующими мерами. Путь, который мы изберем при проектировании архитектуры безопасности данных, отразится на каждом – клиентах в США и за границей, СМИ, ваших партнерах и т. д.».

Закари Босин, директор по маркетингу решений компании Veritas Technologies, специализирующейся на управлении данными в различных облаках, считает, что именно американская компания станет одним из первых кандидатов на штраф за несоблюдение GDPR: «Несмотря на приближающийся срок, только 31% организаций, опрошенных Veritas, заявили о выполнении требований GDPR. Штрафы будут очень высоки, а регулирование затронет каждую компанию, имеющую дело с гражданами стран Европейского союза».

Улучшение управления метаданными

Конечно, одним только GDPR дело не ограничивается. Поток данных продолжает расти, и правительства вводят все новые правила регулирования. Сотрудники организаций имеют сейчас больший доступ к данным, чем когда-либо прежде. Все это повышает важность управления данными, а также их качества, интеграции и управления метаданными.

«Необходимость улучшить управление метаданными и обеспечить конфиденциальность данных, в том числе и на основе GDPR, логично дополнит уже сформировавшиеся тенденции развития искусственного интеллекта и Интернета вещей, – подчеркнула старший вице-президент по управлению продуктами компании Infogix Эмили Вашингтон. – Предприятиям все чаще приходится искать способы оптимизации своего технологического стека, если они хотят успешно использовать большие данные и средства анализа, чтобы улучшить клиентское восприятие, достичь бизнес-целей, получить конкурентные преимущества и в конечном итоге занять лидирующие позиции на рынке».

Понадобятся гибкие, интегрированные инструменты, позволяющие пользователям быстро принимать данные, готовить их, анализировать и управлять ими. Управление метаданными будет иметь важное значение для поддержки управления данными, соблюдения действующих норм и выработки требований к управлению данными в корпоративной среде.

Повышение качества данных с помощью прогнозного анализа

По мере того как проекты, связанные с данными, переходят в производственную среду, качество данных вызывает все более серьезное беспокойство. Особенно в условиях, когда Интернет вещей открывает шлюзы их масштабным потокам. В 2018 году организации начнут активно обращаться к алгоритмам машинного обучения для обнаружения аномалий в качестве данных. Используя исторические шаблоны для прогнозирования будущих результатов качества данных, предприятия смогут динамически выявлять аномалии, которые прежде остались бы незамеченными или обнаружились с помощью ручного вмешательства гораздо позже.

В условиях, когда все больше данных генерируется техническими средствами Интернета вещей, усложняется и управление ими. Полная прозрачность ресурсов данных компании будет иметь важнейшее значение для успешной реализации аналитических инициатив, адресации управления данными и нуждами конфиденциальности, монетизации ресурсов данных и решения других задач, которые будут стоять перед организациями в 2018 году.

– Thor Olavsrud. 6 data analytics trends that will dominate 2018. CIO. MAR 15, 2018

Если вы полагаете, что 2017 год был весьма неблагоприятным с точки зрения появления брешей в системах защиты данных, дождитесь наступления 2018-го. Information Security Forum (ISF), глобальная независимая ассоциация информационной безопасности, нацеленная на обеспечение кибербезопасности и управление информационными рисками, прогнозирует увеличение числа таких брешей. И связано это будет главным образом с пятью глобальными угрозами системам безопасности, с которыми организациям предстоит столкнуться в 2018 году.

В ISF отмечают, что масштабы и темпы распространения угроз информационной безопасности порождают риски для репутации даже самых устойчивых организаций. В 2018 году мы увидим более изощренные атаки, носящие персональный и изменчивый характер, атаки будут направлены на слабые места жертв и учитывать уже предпринятые защитные меры.

Рост числа брешей в системе защиты данных прямо пропорционален объемам скомпрометированных записей. Поэтому в следующем году атаки обойдутся значительно дороже организациям любой величины. Затраты эти будут обусловлены как традиционной очисткой сетей и направлением уведомлений клиентам, так и судебными тяжбами, в которые окажется вовлечен самый широкий круг сторон. Согласно прогнозам ISF, разгневанные клиенты будут оказывать давление на правительства, требуя ужесточения законодательства о защите данных, а это, в свою очередь, повлечет за собой дополнительные расходы.

Усиление наметившихся тенденций будет сопровождаться ростом пяти основных глобальных угроз системам безопасности, с которыми компаниям предстоит столкнуться в 2018 году:

• преступления, предлагаемые в качестве сервиса (crime-as-a-service, CaaS), расширят набор доступных криминалу инструментов и сервисов;
• Интернет вещей добавит неуправляемые риски;
• цепочки поставок останутся слабейшим местом в управлении рисками;
• дополнительное регулирование усложнит управление критически важными активами;
• неоправдавшиеся ожидания руководства будут подкрепляться многочисленными инцидентами.

Преступление как сервис

В прошлом году в ISF предсказывали, что концепция CaaS совершит качественный скачок. В преступных синдикатах, как и в крупных организациях частного сектора, формируются сложная иерархия, партнерские отношения и система взаимодействия.

Прогноз сбылся: в 2017 году наблюдался существенный рост киберпреступности, особенно преступлений, предлагаемых в качестве сервиса, подчеркивают в ISF. В 2018 году этот процесс продолжится. Преступные организации будут диверсифицировать свою деятельность, охватывая новые рынки, и стандартизировать ее на глобальном уровне. Некоторые организации установят связи с существующими криминальными структурами, другие же сосредоточатся исключительно на киберпреступности.

В чем главное отличие от того, что происходит уже сейчас? В 2018 году «начинающие» киберпреступники, не обладающие глубокими техническими знаниями, будут иметь возможность покупать инструменты и сервисы, помогающие проводить атаки, которые при других условиях им бы осуществить не удалось.

Возьмем, к примеру, вирусы-шифровальщики – наиболее популярную сегодня категорию вредоносных программ. В прошлом киберпреступники использовали вирусы-вымогатели, основываясь на некой форме извращенного доверия: они блокировали компьютер, жертва выплачивала выкуп, после чего компьютер разблокировался. Но вхождение в эту сферу начинающих киберпреступников приводит к разрушению «доверия». Даже если жертва выплатит выкуп, она все равно не получит ключ для разблокирования своей собственности или же киберпреступник будет возвращаться снова и снова.

Киберпреступники становятся все более изобретательными при использовании социальной инженерии. И хотя их целями чаще всего являются индивидуальные пользователи, а не предприятия, атаки такого рода представляют угрозу и для организаций.

Интернет вещей

Применение организациями устройств Интернета вещей расширяется, но большинство таких устройств не отвечают требованиям безопасности. ISF предупреждает об отсутствии прозрачности в быстро развивающейся экосистеме Интернета вещей – возникают условия, при которых организации могут использовать персональные данные нежелательным для клиентов образом. В корпоративной среде организациям будет сложно узнать о том, что информация вышла за пределы их сети, а данные тайно захватываются и передаются на различные устройства, например на смартфоны и умные телевизоры.

При возникновении брешей в системе защиты данных или при нарушении прозрачности организации, скорее всего, будут нести ответственность перед регуляторами и клиентами. Компрометация устройств Интернета вещей в промышленных системах управления может привести к физическим повреждениям и даже гибели людей.

«Очень важно, чтобы производители знали сценарии использования, тогда они смогут лучше понять конкретные ситуации, – подчеркивают в ISF. – Но в любом случае Интернет вещей порождает гораздо больше рисков, чем имелось ранее. Как обеспечить безопасность таким образом, чтобы не только устройства, но и мы находились под контролем? Необходимо повышать уровень знаний в этой области».

Цепочки поставок

Вопросы уязвимости цепочек поставок поднимаются много лет. Организации довольно часто делятся с поставщиками весьма ценной и конфиденциальной информацией. При передаче этих сведений возникает опасность их утечки. Возрастают риски конфиденциальности, целостности и доступности информации.

В прошедшем году многие производственные организации теряли производственные возможности, когда их блокировали, затрагивая в том числе и систему поставок. Неважно, чем конкретно занимается компания. Цепочки поставок есть у всех. Вопрос заключается лишь в том, чтобы узнать, где находится информация на каждом этапе производственного цикла.

В 2018 году организациям нужно будет направить максимум внимания на самые слабые места в цепочках поставок. Необходимо действовать на упреждение. ISF рекомендует использовать надежные, масштабируемые и повторяющиеся процессы. Организации необходимо интегрировать управление информационными рисками цепочек поставок в существующие процедуры снабжения и взаимодействия с поставщиками.

Регулирование

Регулирование добавляет сложностей, и принятие Европейским союзом в начале 2018 года закона о защите данных General Data Protection Regulation (GDPR) приведет к появлению еще одного уровня сложности в управлении критически важными активами.

Речь идет не только о соблюдении нормативных требований, но и о том, чтобы иметь возможность в любое время получить доступ к любым персональным данным в масштабах предприятия и цепочек поставок и понять, каким образом осуществляются управление ими и их защита. Это нужно продемонстрировать в любой момент, причем не только регулятору, но и любому их владельцу. И если мы хотим, чтобы все было реализовано правильно, нужно менять порядок ведения дел.

ISF указывает, что выделение необходимых дополнительных ресурсов на выполнение требований GDPR приведет к увеличению сложности и стоимости управления данными, отвлекая внимание и инвестиции от других видов деятельности.

Неоправдавшиеся ожидания руководства

Расхождения между ожиданиями руководства и реальными возможностями системы информационной безопасности будут представлять в 2018 году серьезную угрозу.

Руководство компаний, как правило, не в полной мере осознает последствия работы предприятия в киберпространстве. Оно считает, что директор по информационной безопасности держит все под контролем. Зачастую руководство даже не знает, как правильно сформулировать вопросы. А директор по информационной безопасности не понимает, как разговаривать на эту тему с руководством и представителями основного бизнеса.

Руководство ждет, что одобрение увеличения бюджетов на информационную безопасность в прошлые годы даст немедленные результаты. Но полностью безопасная организация – это недостижимая цель. И даже если руководство это понимает, оно во многих случаях не понимает того, что существенное укрепление информационной безопасности требует времени.

При возникновении серьезного инцидента последствия ощутит не только организация; весьма вероятно, что они самым негативным образом отразятся на репутации членов руководства, как индивидуальной, так и коллективной.

По этой самой причине роль директора по информационной безопасности требует постоянного развития. Он должен предвидеть, каким образом появляющиеся вызовы отражаются на бизнесе, и объяснить это руководству. Хороший директор по информационной безопасности должен быть и продавцом, и консультантом.

– Thor Olavsrud. 5 information security threats that will dominate 2018. CIO. NOV 20, 2017

На протяжении многих лет организации, вдохновленные технологиями наподобие Apache Hadoop, искали пути построения озер данных – платформ управления данными в масштабах предприятия, которые позволили бы хранить корпоративную информацию в исходном формате. Озера данных помогали избежать разобщенности, формируя для всей организации единое хранилище данных, используемое в самых разных целях – начиная от поиска и выборки необходимой информации и заканчивая бизнес-анализом. Озера данных служили вместилищем сведений самого разного толка и средством на все случаи жизни.

Но, как рассказал технический директор компании Pyramid Analytics по бизнес-анализу Ави Перес, у многих его клиентов озера данных очень быстро превращались в болота – масштабную свалку, совершенно непригодную для конечных пользователей.

По словам Переса, базы данных обходятся предприятиям слишком дорого. Существующие источники и генераторы данных порождают огромные объемы информации, которую нужно где-то хранить. Озеро же данных дает фундаментальный ответ, помогающий справиться с решением этой задачи. Озера данных и все инициативы Больших Данных имеют, по сути, одну цель, формируя соответствующий рынок.

Но если некоторые наиболее успешные компании (в первую очередь Google) выстраивают на основе озер данных свой бизнес, то другие собирают информацию, не имея четкого представления о том, какую выгоду из нее можно извлечь.

«Они просто накапливают мусор, который в конечном итоге будет выброшен, – пояснил Перес. – Бюджеты, выделяемые на дорогостоящее хранение огромных объемов данных, не приносящих никакой пользы, начинают сокращаться».

Нельзя сказать, что идея, положенная в основу озер данных, плоха. Перес убежден в том, что рано или поздно все компании будут испытывать потребность в таких хранилищах. Но проектирование озер данных, к которым реально смогут обращаться конечные пользователи, требует серьезного продумывания.

Чтобы не утонуть в своем собственном озере данных, Перес рекомендует придерживаться трех основополагающих принципов.

1. Собирайте поменьше данных, по крайней мере на начальном этапе

Одна из главных ошибок организаций – это сбор слишком большого количества данных просто в силу наличия такой возможности.

Взгляните на свой смартфон. Почти наверняка в нем хранятся сотни самых разных фотографий. «В конце концов в телефоне накопится несметное число снимков, причем 99% из них представляют собой мусор, с которым можно расстаться без всякого сожаления, – заметил Перес. – А объясняется все тем, что делать фотографии при помощи телефона очень легко, и обходится это практически бесплатно. Вы, наверное, утешаете себя тем, что в один прекрасный день соберетесь с духом и все почистите, но день этот почему-то никак не наступает». И когда вам захочется показать кому-нибудь какую-то конкретную фотографию, искать ее придется среди большого количества мусора.

То же самое происходит и с озерами данных. Хранение данных в Hadoop обходится так дешево, что многие зачастую считают его бесплатным. Однако накапливающиеся объемы информации затрудняют доступ к ней и извлечение действительно полезных сведений.

Для того чтобы избежать этого, достаточно просто «перекрыть кран». Исходите из того, что дешевизна сбора данных не обязательно означает дешевизну их использования. На самом деле затраты могут оказаться достаточно велики. Прекратите собирать информацию отовсюду и постоянно. Сосредоточьтесь на наборе данных, в отношении которого у вас имеется конкретный план.

2. Внедряйте машинное обучение

Но даже при наличии набора данных с конкретной ориентацией, если его объем достаточно велик, работа с ним требует автоматизации.

Вам понадобится автоматизированная система анализа. Искусственный интеллект, машинное обучение, глубинное обучение – какой бы термин вы ни использовали, речь идет о волшебном решении, которое поможет вам справиться со своей информацией. И самым простым способом извлечь ценности из огромного 5-петабайтного озера будет построение системы обучения на основе имеющихся данных.

Для начала возьмите набор данных, который вы хорошо знаете, и подберите для него технологию машинного обучения. Чтобы решить эту задачу, вам, очевидно, потребуется переподготовить уже имеющихся сотрудников или привлечь специалистов со стороны. Машинное обучение – это настоящая черная магия. Внедрить такую систему нелегко. Вам понадобятся весьма специфичные знания.

3. Составляйте список задач

Нужно четко определить для себя бизнес-задачи, которые вы будете пытаться решить. Исходя из поставленных целей, относительно несложно сконцентрироваться на сборе необходимых данных и выборе наилучшей технологии машинного обучения, чтобы проанализировать эти данные.

Допустим, вы представляете крупную розничную сеть и хотите понять, какие покупатели приходят в ваши магазины. Фотографии клиентов можно делать на входе, после чего использовать для обработки полученных изображений сложную нейронную сеть (convoluted neural network, CNN) – разновидность нейронной сети глубинного обучения, прекрасно справляющейся с решением задач компьютерного зрения. CNN способна определять, мужчина изображен на снимке или женщина, ребенок или взрослый, регистрировать одновременно ребенка и взрослого, молодого человека и пожилого и т. д.

После того как вышеперечисленное сделано, увяжите это со своей бизнес-инициативой и предоставьте соответствующие возможности своим бизнес-пользователям. Это поможет вам сформулировать для себя текущие задачи. Нужно, например, акцентировать маркетинговые усилия на привлечении мужчин, потому что в магазины приходит мало мужчин. Необходимо заранее выработать четкую стратегию. В противном случае растущая коллекция фотографий будет только мешать оптимизации бизнес-процессов.

Выстраивая функционал с прицелом на конкретную инициативу, можно постепенно совершенствовать его и предлагать бизнесу еще более акцентированные решения. Определив, например, кто заходит в магазин, на следующем этапе вы можете использовать те же самые функции для определения того, кто проходит мимо прилавков с косметикой.

– Thor Olavsrud. 3 keys to keep your data lake from becoming a data swamp. CIO. JUN 8, 2017

Как и в предыдущие годы, инцидентов с утечками данных в 2016-м было с лихвой. Специалисты Information Security Forum, международной ассоциации по вопросам кибербезопасности и управления информационными рисками, опубликовали свой прогноз главных тенденций в области информационной безопасности на 2017 год.

«Прошедший год определенно «оправдал ожидания», – признает Стив Дербин, управляющий директор ISF. – Была масса разнообразных утечек, одна другой крупнее, мы буквально не успевали перевести дух. Мы всегда готовы к чему-то подобному, но реальные масштабы спрогнозировать никогда не удается».

Как полагают в ISF, нынешний год будут характеризовать следующие четыре тенденции в области угроз безопасности: неконтролируемые риски, связанные с Интернетом вещей и распространением сетевых соединений; стремительный рост «киберпреступлений в виде сервиса» – предоставления цифровых «услуг» криминальными синдикатами; рост правовых рисков, связанных с необходимостью выполнять новые нормативные акты; хакерские атаки все чаще будут направлены на подрыв репутации брендов и доверия к ним.

Темпы развития и масштабы кибератак продолжают расти, создавая угрозу целостности и репутации организаций, отмечают в ISF. В 2017 году ландшафт угроз станет более сложным – атаки будут целенаправленными, чтобы бить по уязвимым местам конкретной цели с учетом имеющихся средств защиты. Киберпространство сегодня – непаханое поле возможностей для хакеров-активистов, террористов и прочих представителей криминалитета, готовых сеять хаос, мошенничать, красть информацию, разрушать корпорации и свергать правительства. Поэтому необходимо готовиться к нападениям, заручившись надежными сведениями о ландшафте угроз. Только будучи тщательно подготовленными, организации всех размеров смогут справляться с непредвиденными инцидентами безопасности любого масштаба.

Тенденции из четверки, обозначенной ISF, – не взаимоисключающие. Они могут комбинироваться, порождая еще более серьезные угрозы.

Всеобщая «соединенность» и Интернет вещей создают неконтролируемые риски

На подходе – гигабитные мобильные соединения, с появлением которых начнут стремительно развиваться Интернет вещей и новые классы приложений, обрабатывающих огромные объемы данных о местонахождении, погоде, работе промышленного оборудования и т. п. Поскольку сетевые соединения сегодня обходятся дешево и широко распространены, появилась возможность повсеместно размещать датчики – формируется глобальная экосистема встроенной электроники, которую практически невозможно полноценно защитить.

Проблемы, связанные с приватностью и доступом к данным, – не единственные следствия: экспоненциально вырастет ландшафт вероятных угроз.

В нынешнем году необходимо открыть глаза на новые опасности, подчеркивают в ISF. Речь идет о повсеместных устройствах для сбора информации, в которых изначально не предусматривались защитные механизмы. Некоторые из них можно взломать относительно легко. На сегодня уже были попытки, в частности в США, убедить производителей предусматривать в подобных системах какую-либо защиту, но мешают, во-первых, проблема затрат, во-вторых, сам факт того, что такие устройства специально предназначены для соединения с сетями.

Во многих организациях не представляют себе современных масштабов применения устройств с выходом в Интернет и внедряют решения Интернета вещей без должных мер безопасности и управления рисками. Разумеется, никто не ведет речь о том, что организациям нужно вообще отказаться от таких решений, но следует знать, где именно используются соединенные устройства и к каким данным у них есть доступ, чтобы принимать соответствующие меры безопасности.

Беспокойство прежде всего вызывает критически важная инфраструктура. Если говорить о технике «умных» городов, системах управления производственными процессами и т. д. – все они базируются на Интернете вещей. Нужно понимать, какие возможные последствия это влечет. Целиком все защитить невозможно, но и избавляться от встроенных систем не нужно. Необходимо внедрить средства безопасности, которые позволят реагировать и сдерживать как можно больше угроз. Нужно реалистично взглянуть на доступные возможности в области управления применением устройств Интернета вещей.

«Киберпреступления в виде сервиса» от криминальных синдикатов набирают рост

Уже несколько лет преступные синдикаты работают подобно стартапам. И, как другие успешные стартапы, они становятся более зрелыми и расширяют свои возможности. В наступившем году появятся еще более сложные преступные иерархии, партнерства и иные структуры по аналогии с корпоративным миром. Будет происходить диверсификация – освоение новых рынков и превращение киберпреступной деятельности в ходовой товар во всем мире.

«Мы с самого начала говорим о киберпреступности как о предприятиях, стартапах, – указывает Дербин. – Сейчас происходит их взросление. Они переместились из «гаражей» в офисные здания с типичной корпоративной инфраструктурой. Они приобрели невероятное мастерство в областях, где мы не справляемся, – взаимодействие, обмен информацией, сотрудничество с партнерами для восполнения пробелов в своих умениях».

У киберпреступников уже давно есть заказчики. Некоторые организации, предоставляющие эти услуги, выросли из традиционных криминальных структур, другие занимаются исключительно киберпреступлениями, специализируясь в различных областях – от написания вредоносов до хостинга, тестирования, оказания курьерских услуг и т. д.

Их интересуют любые способы получения прибыли, в том числе путем кражи интеллектуальной собственности или личных данных, констатируют в ISF. Если на какую-то информацию есть спрос, ее будут собирать.

К услугам киберкриминала могут прибегать даже правительства, и в ISF предвидят, что вследствие этой тенденции инциденты безопасности станут более частыми и разрушительными, чем раньше.

Новые законы создают правовые риски

В ISF уверены, что объемы скомпрометированных и похищенных данных в 2017 году вырастут. Сегодня утечки начинают обходиться организациям всех размеров гораздо дороже – нужно тратиться как на очистку сетей и оповещение клиентов, так и на судебные разбирательства с участием партнеров пострадавшей компании.

Под давлением общественного мнения правительства начнут вводить более строгие законы о защите данных, что приведет к новым, непредвиденным издержкам.

Доверие и репутация бренда становятся мишенями атак

В нынешнем году объектами кибератак будут становиться не только личные данные, под угрозой также конфиденциальная информация компаний и критически важная инфраструктура. Влияние новой тенденции на организацию будет зависеть от способности ее специалистов распознавать угрозы безопасности и принимать контрмеры.

Атаки станут более организованными и изощренными, риски для репутации компаний вырастут, подчеркивают в ISF. Мишенями киберпреступников и хакеров-активистов станут репутация брендов и доверие клиентов, партнеров и поставщиков. Ставки поднимутся, речь уже идет не только о краже персональной информации. Регулярными станут атаки на тщательно охраняемые секреты компаний и критически важную инфраструктуру.

Специалисты сходятся во мнении, что самым слабым звеном систем информационной безопасности в организациях остаются люди, но эту ситуацию можно изменить. Люди могут стать самой мощной силой контроля безопасности, уверены в ISF, но для этого придется переосмыслить отношение к защите информации и принципы соответствующего обучения.

Нужно не просто разъяснять сотрудникам обязанности по обеспечению безопасности и реагированию на инциденты – надо добиваться того, чтобы в привычку вошло осмысление вероятных последствий для безопасности практически всех действий работника.

Сегодня пора осознать тот факт, что люди могут перестать быть самым слабым звеном в цепочке обеспечения безопасности, объясняют в ISF. Они могут, напротив, стать самым сильным звеном, если обеспечить более полное понимание принципов использования ИТ людьми, психологии поведения человека.

Чтобы добиться желаемого, нужно знать всевозможные риски, с которыми сталкиваются сотрудники различных уровней, и адаптировать рабочие процессы, внедрив в них соответствующие процедуры обеспечения безопасности, заключают в ISF.

– Thor Olavsrud. 4 information security threats that will dominate 2017. CIO. December 29, 2016

С наступлением эпохи Интернета управление персональными данными довольно быстро теряет практический смысл, если, конечно, не отказываться от мобильных и интернет-сервисов полностью. По мере распространения Интернета вещей и технологий Больших Данных становится все больше и больше различных способов сбора и обработки информации. И когда дело касается конфиденциальности данных, то между пользователями, государством и бизнесом возникает конфликт интересов.

«Обеспечить конфиденциальность в цифровой век весьма непросто, и одной из ключевых задач здесь становится повсеместное соблюдение политик конфиденциальности интернет-ресурсами», – подчеркнул Норман Садех, профессор Школы компьютерных наук при Университете Карнеги-Меллона (Carnegie Mellon University, CMU), являющийся также директором CMU Mobile Commerce Lab, председателем совета директоров компании Wombat Security Technologies, а ранее еще и научным директором инициативы Евросоюза в области электронной коммерции. Кроме того, Садех — один из руководителей программы CMU Master's, нацеленной на поиск компромисса между функциональностью и конфиденциальностью и на разработку новых цифровых продуктов, изначально учитывающих требования конфиденциальности.

«Политики конфиденциальности веб-сайтов должны стать фактическим стандартом, регламентирующим правила 'уведомлений и выбора' в Интернете, – добавил Садех. – Чтобы принимать осознанные решения, пользователи должны иметь возможность получать информацию о правилах обеспечения конфиденциальности на тех сайтах, которые они посещают. На практике же пользователям о политиках конфиденциальности, как правило, ничего не известно».

Даже если описания политик конфиденциальности доступны, пользователям зачастую трудно понять, что они означают на деле. С мобильными приложениями ситуация еще более запутанная. У пользователей установлено в среднем 50-100 мобильных приложений, и у каждого из них имеется от трех до пяти параметров конфиденциальности — если эти параметры пользователю вообще видны.

«А вам известно что-нибудь о настройках мобильных приложений на вашем смартфоне? – вопрошает Садех. – Оказывается, почти никто не имеет о них никакого понятия. И это просто ошеломляет».

Сложность (и несовместимость)

Сложность с обеспечением конфиденциальности обусловлена тем, что у каждого пользователя есть свои представления о возможности раскрытия информации в тех или иных целях. Все люди разные. А значит, у них разные предпочтения в отношении той информации, которой они готовы поделиться.

Эти вопросы уже пытались решать. Еще в 2002 году Консорциум World Wide Web Consortium представил Platform for Privacy Preferences Project (P3P) – протокол, с помощью которого сайты объявляли бы о возможности использования информации, собранной у пользователей. В 2010 году Федеральная комиссия по торговле США призвала создать систему, которая вообще не отслеживала бы подобные данные. Вскоре в наиболее популярных браузерах – Mozilla Firefox, Microsoft Internet Explorer, Apple Safari, Google Chrome и Opera – появилась поддержка заголовков Do Not Track (DNT), они запрашивали у веб-приложений разрешения отключить отслеживание конкретных пользователей. Сегодня W3C продолжает работать над стандартизацией DNT.

Все эти проекты направлены на разработку машинно-читаемых форматов, подчиняющихся правилам управления данными на веб-сайте, однако владельцы сайтов весьма неохотно их внедряют. Более того, никаких законов и прочих нормативных требований к внедрению P3P или использованию DNT не существует.

В 2012 году, запустив в производство Windows 8, корпорация Microsoft объявила, что поддержка DNT будет по умолчанию реализована в Internet Explorer 10 в рамках настроек Express Settings операционной системы. Это обернулось нападками со стороны представителей рекламной отрасли, которые настаивали на том, что параметры DNT могут существовать лишь в виде опции и никак не по умолчанию.

В конечном итоге ассоциация Digital Advertising Alliance разрешила своим членам игнорировать DNT: «DAA не требует от компаний учитывать сигналы DNT, зафиксированные и посылаемые производителями браузеров. Сигналы DNT, автоматически рассылаемые IE10 или другими браузерами, не подпадают под действие ни DAA Principle, ни DAA Program. Органы Council of Better Business Bureaus и Direct Marketing Association не станут наказывать компании, не реагирующие на сигналы DNT в IE10 и других браузерах».

В итоге в Microsoft были вынуждены объявить, что функции DNT не будут включаться в Windows 10 по умолчанию, предоставив четкие инструкции тем, кто хотел бы использовать такую возможность.

Управление конфиденциальностью: от сайтов к пользователям

По мнению Садеха, управление со стороны пользователей параметрами конфиденциальности не должно зависеть от степени их кооперации с владельцами сайтов. Пользователи должны иметь возможность делать все самостоятельно, а для этого им понадобится сочетать средства обработки естественного языка, моделирование настроек конфиденциальности, краудсорсинг и построение интерфейса конфиденциальности.

Чтгбы реализовать предложенное, Садех участвует в реализации двух проектов: Usable Privacy Policy Project и Personalized Privacy Assistant Project.

Первый проект финансируется Национальным научным фондом США в рамках инициативы Security and Trustworthy Cyberspace. В реализации проекта участвуют Университет Карнеги-Меллона, Центр права и информационной политики Юридической школы Фордхэм и Центр Интернета и общества Стэнфордской юридической школы.

«Цель проекта заключается в том, чтобы выяснить, в какой степени можно использовать компьютеры для полуавтоматического извлечения информации из политик конфиденциальности, – пояснил Садех. – Тогда мы получим ответы на ключевые вопросы, интересующие пользователей, и сумеем предоставлять им при помощи расширений браузеров информацию, которую будет легко понять. Соответствующие функции будут доступны благодаря машинному обучению, средствам обработки естественного языка и краудсорсинговым технологиям. Мы хотим показать, что, несмотря на результаты предыдущих исследований, свидетельствовавшие о непонимании пользователями политик конфиденциальности, есть достаточное количество энтузиастов, которые помогут получать содержательные ответы на ключевые вопросы».

Проект Personalized Privacy Assistant Project финансируется Университетом Карнеги-Меллона и направлен на создание интеллектуальных агентов, изучающих предпочтения конфиденциальности пользователей, задействуя средства машинного обучения. Агенты эти в состоянии обеспечить полуавтоматическую настройку многих параметров и готовы принимать в интересах пользователей многие решения, касающиеся конфиденциальности. Помощники в области конфиденциальности могли бы предупреждать пользователей о тех настройках, с которыми они чувствуют себя некомфортно, и время от времени подталкивать их к пересмотру ранее принятых решений в части конфиденциальности. Что касается мобильных приложениями, то такой помощник мог бы распознавать, какие приложения обращаются к пользовательским данным, не спрашивая на это разрешения.

Проект включает в себя несколько исследовательских направлений. Он призван определить ориентированные на пользователя процессы, которые преобразуют модели личных предпочтений конфиденциальности, прозрачные механизмы и диалоговые примитивы в функциональность помощника.

Выгода для бизнеса

В конечном итоге исследования принесут дивиденды и бизнесу. Хотя люди имеют разные представления о том, какой информацией они готовы поделиться, их предпочтения зачастую затрагивают относительно небольшое число сегментов.

«Есть много взаимодействующих между собой факторов, – заявил Садех. – И эту корреляцию можно эффективно использовать для помещения пользователей в разные сегменты. Тем, кто планирует собирать определенные виды информации, мы сможем сообщить, какое количество пользователей из их целевой аудитории будет чувствовать себя при этом некомфортно».

Такого рода сведения помогут организациям принимать решения о том, имеет ли смысл заниматься созданием новой функциональности.

- Thor Olavsrud. Carnegie Mellon University helps you control your privacy. CIO. September 7, 2016

Правильно выбрать аналитическую платформу очень важно, ведь эта система будет помогать принимать руководящие решения. Приведем вопросы, которые стоит задать поставщику системы еще до ее покупки.

1. Умеет ли система отвечать на вопросы, составленные не по шаблону?

Звучит элементарно, но помощь в постановке вопросов и получении ответов на них – главное, что требуется от системы.

Если вы можете использовать только заранее заданный обзор некоторого среза ваших данных, а чтобы задать новый вопрос, вам приходится обращаться в отдел ИТ или писать сложные скрипты, такая система аналитики большой пользы не принесет. Решение должно позволять задавать произвольные вопросы.

2. Есть ли у вас опыт работы с организациями моей отрасли и знаете ли вы специфику нашего бизнеса?

Компетенции только в области аналитики недостаточно. Чтобы соответствующие продукты и услуги приносили максимум пользы, необходимы отраслевые знания. Есть ли у вашего поставщика модели данных специально для вашей отрасли – банковской, страховой, потребительских товаров и т. д.?

Разработка систем аналитики и визуализации данных для конкретных отраслей требует знания соответствующих особенностей бизнеса. Поставщик не сможет предложить шаблоны, ключевые индикаторы производительности и модель данных, если не будет в курсе, что именно и с какой целью нужно измерять.

3. Захотят ли мои сотрудники пользоваться вашей системой?

Внедрение всех без исключения корпоративных систем тормозилось из-за сопротивления пользователей. Работа с аналитической системой должна быть комфортной. Любой, кто занимался внедрением новых продуктов, знает, что заставить пользователей работать с ними – один из самых сложных этапов процесса, поэтому они должны почувствовать, что задавать вопросы с помощью системы удобно. С системой будут работать активнее, если она окажется простой, интуитивно понятной и полезной.

4. Каковы возможности вашей системы?

Сколько одновременно работающих пользователей она способна обслуживать? Сколько можно завести учетных записей, сколько офисов смогут с ней работать? Каково время отклика на запросы?

Это нужно, чтобы удостовериться в том, что продукт будет справляться со своими задачами по мере роста бизнеса и темпов работы.

5. Сможет ли система работать со всеми моими данными?

Организации сегодня держат данные в облаке, локально, в хранилищах данных, в таблицах Excel, в протоколах трафика сайтов и т. п. Нужно оценить, способен ли выбранный инструментарий работать со всеми источниками данных, в том числе структурированных, неструктурированных и полуструктурированных.

Некоторые инструменты требуют переноса данных или преобразования в проприетарный формат перед анализом. Нужно подумать о том, с какими данными вы работаете сейчас, с какими будете работать через пару лет, и задаться вопросом, справится ли продукт с их поддержкой.

6. Есть ли у вас аналитические инструменты, рассчитанные на различные бизнес-функции?

Например, обеспечивает ли система полный обзор заказчика, есть ли функции планирования цепочки поставок, оценки эффективности дистрибуции, моделирования сценариев?

7. Зависят ли ваши расценки от результатов и реальной пользы?

Доступ к данным – только первый этап аналитического конвейера. Успех проекта в области аналитики определяется результатами.

Соглашения об оплате на основе реальной пользы становятся нормой. Сегодня любым коммерческим продуктам приходится соперничать с открытым кодом и бесплатным ПО. Поэтому для оправдания инвестиций необходимы расценки, зависящие от результатов.

8. Какие клиенты уже пользуются вашим продуктом и для чего?

Доверяй, но проверяй. Опытный руководитель не станет покупать продукт, который только что появился. Необходимо, чтобы это была хорошо зарекомендовавшая себя технология. Удостовериться в этом помогут отзывы уже имеющихся клиентов.

9. Какие средства безопасности предусмотрены в вашем продукте? Каким образом обеспечивается гарантия защищенности личной информации?

Защита данных – один из приоритетов, особенно в регулируемых отраслях. Так, в здравоохранении, фармакологической отрасли и пр. требуется подвергать маскировке информацию, позволяющую установить личность, и конфиденциальные медицинские сведения.

10. Каков план развития вашего продукта? Как вы помогаете клиентам с обновлением версий и переходом на новые продукты? Как управляете процессом миграции? Есть ли у вас программа обучения пользователей?

Аналитическим решениям предстоит служить компании долгое время. Как и любые другие ИТ-системы, платформы аналитики не будут статичными. Необходимо выяснить особенности графика обновлений программного обеспечения вашего поставщика и процесса управления изменениями.

– Thor Olavsrud.10 questions to ask analytics vendors (before you buy). CIO. Mar 14, 2016

Подобно мобильным устройствам и облачным сервисам, блокчейн, впервые реализованный в исходном коде биткойнов в 2009 году, обещает серьезно изменить бизнес, причем речь идет не только о финансовой сфере.

«Блокчейн позволяет переводить через Интернет деньги и другие ценности, но это еще не все: он дает возможность устанавливать доверительные отношения в цифровом мире, – объясняет Ангус Чемпион-де-Креспиньи, руководитель по стратегии в области блокчейна и распределенной инфраструктуры в отделении финансовых услуг Ernst & Young. – Как получить гарантию, что нечто является оригинальной копией какой-то информации в Интернете? До появления блокчейна такое было невозможно. А теперь, если вы хотите доказать, что нечто произошло в цифровом мире, более надежного способа нет. Как только информацию занесли в распределенную базу, ее уже нельзя будет поменять задним числом. Когда появляется подобная революционная технология, недостаточно просто прикинуть, каким образом она могла бы повысить эффективность вашего бизнеса, лучше подумать о том, отвечает ли вообще нынешняя структура вашего бизнеса требованиям нового мира».

История повторяется?

В эпоху Возрождения в Италию с востока пришли арабские цифры, и многие торговцы начали вести бухгалтерию по принципу двойной записи, которая изменила основы тогдашнего бизнеса. Благодаря новой системе владельцы лавок смогли вести учет, сверяя записи о приходе и расходе в гроссбухах. Система двойной записи применяется и по сей день.

В некоторых отношениях блокчейн – современная, радикально усовершенствованная форма цифровой бухгалтерии с двойной записью. Дон и Алекс Тапскотты, авторы книги «Революция блокчейна: как технология, положенная в основу биткойна, меняет деньги, бизнес и мир», говорят, что блокчейн – это часть «Интернета второго поколения, способная преобразовать финансы, бизнес, власть и общество».

В статье в Time они пишут: «Блокчейн – это первое естественное цифровое средство обмена ценностями по одноранговому принципу. Протокол блокчейна работает по определенным правилам, с использованием глобально распределенных вычислений и сильного шифрования, благодаря этому обеспечивается целостность данных, пересылаемых между миллиардами устройств без участия доверенной третьей стороны. Доверие “жестко закодировано” в самой платформе. Поэтому мы называем блокчейн “протоколом доверия”. Он одновременно выполняет роль лицевого счета, базы данных, нотариуса, охранной системы и расчетной палаты – все по общему согласию».

Что такое блокчейн

По сути, блокчейн – это распределенная база данных, или «сервер отметок времени», как его назвал разработчик – загадочный Сатоши Накамото в исходном научном докладе. Каждый блок в цепочке содержит набор транзакций с отметкой времени совершения и хеш предыдущего блока, выполняющий роль связующего звена. Благодаря тому, что каждая отметка времени связана с предыдущей с помощью хеша, образуется цепь. Перед созданием очередного блока каждая новая транзакция должна быть аутентифицирована распределенной сетью компьютеров, формирующих блокчейн.

«Консенсус в распределенной системе достигается за счет того, что участники взаимно проверяют работу друг друга и ставят “штамп одобрения”, разрешая транзакции и другие действия», – поясняет Чемпион-де-Креспиньи.

В блокчейне также предусмотрена технология «умных контрактов» – фрагментов исполняемого кода, которые срабатывают при выполнении определенных условий внутри блокчейна. Такой механизм позволяет автоматизировать, например, перевод платежа по выполнении некоторого задания либо отправку частичного платежа по достижении той или иной стадии работы.

Обеспечивая возможность автоматически регистрировать и заверять транзакции в одноранговой сети, блокчейн, как считают в Ernst & Young, способен упростить и ускорить бизнес-процессы, усилить безопасность и снизить потребность в доверенных посредниках (или удостоверяющих центрах) во многих отраслях.

Но, разумеется, есть и определенные трудности, в том числе технические, а также обусловленные отношением общества к биткойну, налогообложением и регулированием, не говоря уже о сопротивлении самих посреднических организаций, чьи услуги могут больше не понадобиться. Тем не менее, по словам Чемпиона-де-Креспиньи, если занять выжидательную позицию, то можно оказаться в положении тех звукозаписывающих компаний, в которых, вместо того чтобы переходить на цифровые продажи, раздумывали, как бы задействовать Интернет для увеличения продаж компакт-дисков.

Волна технической инновации будет настолько мощной, что изменит многие бизнес-модели, уверены в Ernst & Young.

В компании приводят в пример ряд ранних экспериментов с внедрением распределенного реестра. В администрации одного из районов Нью-Йорка создали приватный блокчейн-проект, который помогает домовладельцам без участия коммунальных служб делиться солнечной энергией, сгенерированной панелями на крышах. Есть и другие пилотные проекты: например, стиральные машины с подключением к Интернету вещей, которые сами заказывают моющие средства, когда те заканчиваются, и автономные сельскохозяйственные датчики, управляющие орошением полей.

Если имеющиеся проблемы удастся преодолеть, то, как полагают эксперты, внедрение блокчейна пойдет стремительными темпами и вызовет серьезные потрясения. В частности, если подтвердится, что блокчейн действительно позволяет снизить издержки при осуществлении финансовых транзакций и повысить их защищенность, то компании из финансовой сферы вполне могут взять распределенные реестры на вооружение вместо нынешних технологий обработки транзакций. При этом традиционные разработчики ПО и поставщики услуг, не подготовившиеся к новшествам, могут остаться не у дел, и это будет еще не самая серьезная перемена.

«Что, на мой взгляд, самое примечательное, так это идея превращения ценности в еще одну форму данных, а также возможность перехода финансов и платежей из вертикальной плоскости конкретной отрасли в горизонтальную – охватывающую много отраслей», – добавляет Чемпион-де-Креспиньи.

Блокчейн также обещает стать удобным механизмом распределения вычислительных нагрузок. Эта его способность повлияет на провайдеров инфраструктуры и других облачных сервисов. Кроме того, распределенный реестр способен изменить ситуацию в сфере информационной безопасности в части аутентификации и стать доверенной основой всех межмашиных взаимодействий в Интернете вещей.

«Это не тот случай, когда можно просто возложить выполнение каких-то имеющихся задач на новую технологию, – подчеркивает Чемпион-де-Креспиньи. – Нужно понимать, что она собой представляет концептуально и какое влияние способна оказать на ваш бизнес. Нужно быть готовыми к тому, что нынешние бизнес-модели и процессы придется изменить. Следует задаться вопросом: может быть, вы пользуетесь ими просто потому, что привыкли, тогда как теперь есть возможность что-то радикально изменить к лучшему?»

Оплата по факту потребления становится нормой

Эпоха облаков уже заставила многие компании перейти от схем назначения расценок за товарные единицы к моделям, основанным на потреблении, и, по-видимому, эта тенденция будет расти благодаря Интернету вещей. Блокчейн способен ускорить такой переход, уверен Грег Кудаи, руководитель направления телекоммуникаций, СМИ и технологий Ernst & Young: «Переход на расценки, зависящие от потребления, определенно изменит бизнес-процессы. В конечном счете, возможно, даже производители микросхем перестанут брать плату за каждый чип и начнут выставлять счета заказчикам в зависимости от того, как часто и в каком объеме используются процессорные мощности».

Блокчейн также сулит перспективу полностью перевернуть бухгалтерский учет и принципы контроля за соблюдением нормативных требований, снизить затраты на выполнение налоговых обязательств, сократить или даже исключить уклонение от налогов и открыть более полную информацию о компаниях.

«Сегодня составление баланса и уплата налогов осуществляются задним числом, – отмечает Ченнинг Флинн, руководитель сектора технологического консалтинга в сфере налогообложения Ernst & Young. – А блокчейн может решать те же задачи в режиме реального времени, открыто и прозрачно».

В компании перечислили еще ряд возможных сценариев применения блокчейна.

«Встроенная» медицина. Вся информационная экосистема здравоохранения может существовать в форме блокчейна, соединяющего страховщиков, поставщиков услуг и пациентов.

Предотвращение нарушений авторских прав на цифровые товары. Все манипуляции, например с музыкальной композицией, можно записывать в общедоступный блокчейн. Исполнители могут публиковать музыку в основанной на блокчейне экосистеме, контролируя целостность данных и условия их использования. При этом авторские отчисления будут распределяться с помощью умных контрактов.

Новые кредитные рынки. В Ernst & Young отмечают, что из-за транзакционных издержек существуют нижние ограничения на размер залога при получении ссуды. Благодаря блокчейну, который значительно сокращает транзакционные издержки, можно было бы давать ссуды под менее ценный залог.

Оплата в зависимости от результата. В рамках систем на основе блокчейна можно было бы с помощью умных контрактов автоматически приводить в исполнение соглашения об оплате за результат. Блокчейн способен вернуть времена, когда пиццу, доставляемую дольше, чем в течение получаса, отдавали бесплатно; можно было бы даже рассчитывать стоимость по скользящей шкале.

Государственный контроль уплаты налогов. В мире, где цифровые транзакции раз и навсегда регистрируются в режиме реального времени, незаконные операции становится крайне трудно скрывать.

«Отраслевые коллажи». Благодаря блокчейну может появиться практика заключения краткосрочных партнерских договоров нового типа. В Ernst & Young называют их «отраслевыми коллажами» и описывают как альянсы, в которых одна или более сторон для извлечения дохода пользуются активами или возможностями другой стороны, не влияя на использование тех же активов владельцем для своих нужд.

Промышленный интернет вещей. В Ernst & Young считают, что технология блокчейна поможет компаниям рациональнее использовать дорогостоящие промышленные активы путем соединения многочисленных элементов, от грузовых контейнеров до аппаратов МРТ и строительной техники, с работающими в реальном времени цифровыми торговыми площадками, которые позволят предприятиям покупать и продавать время простоя.

«Пришло время всесторонне продумать, как эффективно преобразить свой бизнес, прежде чем другие оставят вас без него, – заключает Чемпион-де-Креспиньи. – Компаниям нужно понять, какие преимущества дает блокчейн, оценить риски и спланировать изменения, которые дадут возможность занять выгодное положение на обновленных рынках».

– Thor Olavsrud. How blockchain will disrupt your business. CIO. Sep 5, 2016

В наши дни стало ясно: преобразования, диктуемые данными, не могут ограничиваться одним лишь внедрением новых технологий, они требуют изменения всей культуры организации – способа мышления, взаимодействия и совместной работы людей. Но что это значит на практике?

В последние несколько лет такие преобразования проведены на электронной торговой площадке Etsy (онлайн-ярмарка по купле-продаже вещей, сделанных своими руками, а также различных предметов старины. – Прим. перев.). «Все операции компании сегодня поддерживаются данными и тщательно продуманными метриками, – сообщил технический директор Etsy Келлан Эллиотт-Маккри. – Мы у себя говорим: “Если что-то находится в движении, измерь это. Но даже если движения нет, отметь, что его нет, – контроль все равно нужен, потому что изменения могут возникнуть в любой момент”».

Около пяти лет назад в Etsy инициировали перезапуск своего сайта и полностью изменили его технологическую архитектуру, уделив особое внимание совершенствованию возможностей поиска.

Источник фото: Etsy

Большой, но уникальный

Огромная торговая площадка Etsy уникальна в том смысле, что многие из представленных здесь товаров вы нигде больше не найдете. Релевантность поиска и новизна предложения важны для электронной коммерции любого рода, но в Etsy этим двум качествам придают особое значение. Здесь представлено 29 млн товаров, и поисковые операции составляют почти 30% общего объема трафика, а при совершении продаж их доля оказывается еще выше.

Невероятно важную роль играет своевременное установление контактов между покупателями и продавцами.

«Пытаясь решить проблему релевантности поиска, мы обращаемся к аналитике, – указал Эллиотт-Маккри. – Без нее сейчас не обходится практически ничего из того, что мы делаем».

Однако решение о внесении столь серьезных изменений далось непросто. Релевантность поиска вызывала вопросы, но при этом бизнес работал.

«Это был достаточно успешно функционирующий бизнес, отличное сообщество, которое помогало зарабатывать деньги, – вспоминает Эллиотт-Маккри. – И люди его любили. Но мы не могли проводить изменения».

При внедрении ИТ-департаментом новых функций на сайте торговой площадки часто происходили сбои, там и тут обнаруживались разобщенные и не связанные друг с другом данные.

Келлан Эллиотт-Маккри, технический директор Etsy

«Сложившаяся среда не позволяла извлекать уроки, открывать что-то новое и циклически развиваться, – пояснил Эллиотт-Маккри. – Процесс развертывания оставлял желать лучшего. Было страшно что-либо менять».

Необходимо было заставить ИТ-департамент «учиться, открывать новое и итерационно развиваться». Но учиться можно, лишь пробуя что-то новое. А освоение нового всегда сопровождается ошибками.

Обрести уверенность помогли внедрение гарантий качества и модульное тестирование.

«Благодаря этим подходам мы получили основание утверждать, что реализованный нами функционал работает именно так, как задумано, и работает достаточно устойчиво», – подчеркнул Эллиотт-Маккри.

Но модульные тесты обычно выполняются в локальной среде, тогда как портал Etsy построен на базе распределенных систем. И традиционные методы поддержки качества замедляют процесс разработки.

Использование системы метрик позволяет убедиться в надежности распределенной системы при большом числе итераций

«Мы хотели, чтобы разработчики почувствовали: именно от них зависит успех или провал процесса, – вспоминает Эллиотт-Маккри. – В распределенных системах одним из способов поддержания уверенности является определение системы показателей. Поначалу я планировал внедрить соответствующий функционал всего у одного процента пользователей, которые выполняли административные задачи и находились в США. Меняется ли что-то в общей картине? Использование системы метрик позволяет убедиться в надежности распределенной системы при большом числе итераций».

Начните с метрик

После переработки архитектуры ИТ-системы решено было начать с пяти показателей: реестра торговой площадки; объемов продаж; количества пользователей системы; количества зарегистрированных пользователей; динамики сообщений на форуме об ошибках.

Но это было лишь начало. Сегодня, по свидетельству Эллиотта-Маккри, в систему ежемесячно добавляются тысячи новых показателей.

Показатели разбиты на уровни. У Etsy имеется около 20 сервисов первого уровня. На каждом из них отслеживается от 4 до 20 показателей. Если алгоритм выявляет расхождения в одном из этих показателей, срабатывает триггер, требующий немедленной реакции. Показателям второго и третьего уровней такая срочность не нужна. На одном из этих уровней формируется обычный вызов, а на другом – сообщение, отправляемое по электронной почте.

Система метрик развивалась и продолжает развиваться по мере дальнейшего обучения, открытия нового функционала и итерационного совершенствования

Система метрик развивалась и продолжает развиваться по мере дальнейшего обучения, открытия нового функционала и итерационного совершенствования.

«Необходимо сформировать правильную культуру, – указал Эллиотт-Маккри. – У нас все началось с пяти показателей. Нам было ясно, кто мы такие и кого обслуживаем. О том, чтобы проделать все заранее, речи здесь не идет. Вы должны определить процедуры, которые будут поощрять обучение: обсуждать друг с другом свои ошибки, делиться почерпнутыми уроками и секретами профессиональной деятельности. И если у вас нет ориентированных на это процессов, сформировать действенную систему метрик вам вряд ли удастся».

Культура извлечения уроков из ошибок

В Etsy культура обучения построена на основе открытого обмена информацией об ошибках. Это позволяет понять, что пошло не так, как все происходило и какие признаки помогли лицу, совершившему ошибку, обнаружить ее.

«Совершивший особенно много ошибок получает у нас своеобразную “премию”– изображение женщины, которая связала свитер с тремя рукавами и весьма смущена этим, – улыбнулся Эллиотт-Маккри. – По итогам года мы также присуждаем ее человеку, допустившему ошибку, которая произвела наиболее сильное впечатление. Ведь тут тоже нужно обладать своеобразным талантом. Сделать такое случайно просто не получится».

Эту процедуру в Etsy называют «обнародованием без наказаний». Идея почерпнута из теории проектирования систем Just Culture, которая зародилась в медицинском сообществе в качестве способа ограничить проявление профессиональной небрежности и некомпетентности.

«Можно преследовать исключительно благие намерения, – заметил Эллиотт-Маккри, который и сам однажды получил такую премию. – Полагаясь на опыт команды, вы пытаетесь улучшить какой-то процесс. Выбор сделан. Код размещен на домашней странице. В момент выполнения этой операции я был уверен в правильности своих действий. Но что-то пошло не так, программа ушла в бесконечный цикл, и сайт перестал работать. Что придало мне уверенности в момент принятия решения? Казалось, что ничего крамольного здесь быть не должно, редактирования не требуется и никакими неприятными последствиями это не грозит».

Что ж, нужно искать корни ошибки и найти показатель, который поможет избежать аналогичной ошибки в дальнейшем.

Отказ от традиционных упреков и наказаний помог Etsy сформировать новое, более действенное отношение к ошибкам.

Новые сотрудники с удивлением отмечают, что все вокруг готовы прийти им на помощь. Все делают общее дело. Люди не боятся признаваться в том, что чего-то не знают, не боятся допустить ошибку.

«В конечном результате мы получаем гораздо больше времени для обнаружения ошибок и их устранения», – подчеркнул Эллиотт-Маккри.

Даже служба безопасности Etsy с удовольствием приняла общую философию.

«Они ведут себя вполне дружелюбно, – признался Эллиотт-Маккри. – Думаю, показательным здесь является то, что люди пишут в электронных письмах, которые они отправляют сотрудникам службы безопасности. “Послушай, со мной происходит что-то странное. Это нормально?” Большинство корпоративных служб безопасности выглядят устрашающе. Люди боятся разговаривать с их сотрудниками. Здесь же отношение совсем другое: “Наша команда, обеспечивающая безопасность, открыта и дружелюбна, они мне нравятся. И я со своей стороны тоже готов помогать им”. Возможно, во всем этом много излишнего позитива, но это приносит нужный результат».

- Thor Olavsrud. Why a data-driven transformation requires a cultural shift. CIO (US). 04/07/2015