Новости

«Охота на риски» является одним из методов, применяемых в рамках комплексного подхода к управлению охраной труда и производственной безопасностью, внедряемого на всех предприятиях «Металлоинвеста» с 2020 года. Сотрудников учат «сканировать» окружающее пространство, замечать потенциальные риски в привычной обстановке и находить возможности для их устранения. Это формирует культуру ответственного поведения, осознанного лидерства в вопросах безопасности, способствует переходу от реактивного реагирования на произошедшие несчастные случаи к проактивной работе по их предотвращению.

Приложение устанавливается на смартфон, с помощью которого работник предприятия фотографирует место или ситуацию, потенциально опасную для жизни или здоровья его коллег. Заполнив короткую форму, он отправляет информацию на специальную внутреннюю платформу, где потенциальный риск фиксируется, назначается ответственное за его устранение лицо, определяется предварительный список необходимых мер и срок решения вопроса. После завершения задачи сотрудник получает уведомление и фотографию, подтверждающие проведенные мероприятия.

Новый функционал для «охоты за рисками» уже доступен в корпоративном приложении у сотрудников «Уральской Стали», которые предварительно прошли необходимое обучение. До конца года планируется внедрить решение на остальных предприятиях «Металлоинвеста».

В 2020 году «Никамед» начал формировать новый план развития розничной ортопедической сети «Ортека». Заявленные темпы необходимо было поддержать автоматизацией процессов для ежедневной корректировки и принятия управленческих решений. Облачные инструменты SAP IBP помогли компании организовать процесс планирования продаж и закупок на 12 месяцев с учетом целевого запаса, рассчитанного системой.

У компании появился инструментарий для ежемесячного пересмотра, анализа и коллегиального согласования плана продаж и закупок, возможность автоматически рассчитывать страховые и целевые запасы по каждому ортосалону. Разработано более 60 уникальных отчетов для всех групп и уровней планирования. Система планирования продаж и закупок теперь связана с бюджетным годовым планом компании.

Снизилось влияние человеческого фактора на снабжение торговых точек. Пользователи работают в единой облачной системе, и данные доступны в удаленных офисах и на мобильных устройствах.

Кодекс этики провозглашает человеко-ориентированный и гуманистический подход при развитии технологий ИИ, принципы недискриминации, безопасности работы с данными и информационной безопасности, идентификации ИИ в общении с человеком и уважения автономии воли человека, ответственности за последствия применения ИИ. Приверженность кодексу этики станет ключевым элементом социальной ответственности компаний, разрабатывающих и внедряющих технологии ИИ в России.

Планируется, что Кодекс этики в сфере искусственного интеллекта станет рекомендательным документом по этике для всех участников рынка ИИ: государства, бизнеса, российских и иностранных разработчиков. Кодекс устанавливает общие этические принципы и стандарты поведения, которыми могут руководствоваться участники отношений в сфере искусственного интеллекта.

В качестве инструмента реализации вышеупомянутых принципов и положений кодексом предусмотрено создание Национальной комиссии по этике ИИ, назначение уполномоченных по этике, а также возможность создания коллегиальных отраслевых органов по этике. Альянс также займется разработкой методических рекомендаций и свода наилучших практик решения возникающих этических вопросов в жизненном цикле ИИ.

Согласно прогнозам IDC, 90% компаний в мире в своем ИТ-развитии в 2022 году будут опираться на микс локальных элементов инфраструктуры, выделенных частных облаков и публичных облачных платформ. По данным маркетингового исследования Mordor Intelligence, глобальный рынок гибридных облаков оценивался в 52 млрд долл. в 2020 году и, как ожидается, достигнет 145 млрд долл. к 2026 году. Сегодня гибридные архитектуры становятся моделью ИТ-инфраструктуры по умолчанию, поскольку бизнес и организации выбирают решения, которые оптимально соответствуют характеру рабочих нагрузок и потребностям развития.

Исследование, проведенное IBM Institute for Business Value, показало, что к 2023 году организации будут использовать не менее 10 различных облачных платформ и сервисов, но только 27% компаний имеют целостную стратегию управления гибридными облаками. Для организаций становится критически важным разработать целостную облачную стратегию и архитектуру, чтобы оставаться конкурентоспособными.

Как отмечают в Linxdatacenter, в России популярны гибридные ИТ-решения под конкретный проект. Например, онлайн-ретейл запускает тестовую акцию с производителем для определения уровня интереса покупателей на предлагаемые товары. Поскольку это нетипичная для них нагрузка, то весь трафик и задачи управления им переводятся в выделенную ИТ-среду, оптимально – облачную. Облака позволяют тестировать любые проекты, в том числе служб маркетинга и клиентского обслуживания, не вмешиваясь в работу основных ИТ-систем компании.

Также за пределы периметра основной ИТ-системы сегодня часто выносят тестовые среды для разработки новых сервисов и продуктов, «песочницы» для задач ИБ и т. д.

Еще одним трендом, характерным для России, является спрос на гибридные схемы подключения к облакам со стороны государства. Отечественные госструктуры достаточно развиты с точки зрения присутствия в Сети и возможностей цифрового взаимодействия с бизнесом и гражданами. Соответственно, сейчас они активно изучают возможности облачных решений.

«Гибрид» становится основной моделью ИТ-инфраструктуры. В следующем году стоит ожидать больше внимания к разработке стратегий по адаптации гибридного облака. Все больше компаний будут использовать стратегические преимущества гибридного подхода, который позволяет сбалансировать затраты, производительность, безопасность и требования к управлению ИТ-системами.

По оценкам Linxdatacenter, бизнес и госсектор увеличат объемы использования гибридных облачных решений на 30% в 2022 году – этот показатель растет по мере того, как ИТ-департаменты учатся подбирать оптимальные сочетания текущих рабочих нагрузок и соответствующий среды.

В ходе исследования пытались узнать, считают ли сотрудники биометрию наиболее удобным или безопасным методом идентификации, готовы ли они подписать согласие на обработку их биометрических персональных данных внутри организации, и с чем связаны их основные опасения. В согласии на обработку биометрических персональных данных, которое подписывает работник, существует обязательная информация — цель обработки этих данных. Выяснилось, что 38% респондентов не готовы предоставить работодателям свою биометрию ни под каким предлогом. Около 55% респондентов готовы это сделать, но ответ зависит от цели использования биометрии, и лишь 8% согласны предоставить данные для каждой из задач. Все может говорить о невысоком доверии опрошенных к использованию биометрии в их компаниях. В то же время 53% опрошенных считают эту технологию удобнее других методов идентификации.

В пятерку самых распространенных видов биометрии входят отпечаток пальца, изображение лица, голос, радужная оболочка глаза и рисунок вен ладони. Среди биометрических характеристик, согласие на обработку которых россияне готовы подписать, лидируют «Отпечаток пальца» (41%) и «Изображение лица» (35%). В пользу этих вариантов может говорить более широкое распространение технологий — их используют в смартфонах, персональных компьютерах и при получении виз.

Биометрия активно развивается, но еще является относительно новой технологией, поэтому у людей достаточно опасений на ее счет. Безусловно, лидируют опасения насчет кражи биометрических данных, причем как в общей картине, так и в выборке пользователей, не готовых предоставить свою биометрию. Низкие результаты ответов «У меня мало информации о том, как это работает» и «Биометрические данные легко подделать» могут говорить о том, что респонденты в целом знакомы с тематикой опроса. Интересно, что вариант «Биометрические данные слишком личные, не хочу ими делиться» в общей выборке показывает средний результат. Однако среди тех, кто не готов подписать согласие, это один из лидеров с результатом около 50%. Это одна из ключевых преград, с которой необходимо справиться руководителям бизнеса.

Чтобы преодолеть большинство страхов сотрудников, компаниям необходимо больше внимания уделять защите биометрических персональных данных в системах и регулярно информировать пользователей о принятых мерах защиты. Около 30% тех, кто сейчас не готов подписать согласие на обработку биометрических персональных данных, согласятся на это при выполнении организациями дополнительных условий. Наиболее популярными среди условий, при которых работники готовы предоставить свои биометрические данные, являются использование биометрии совместно с другими методами и проведение семинара, на котором будет подробно рассказано об использовании биометрии. Во-первых, это говорит о том, что люди не хотят резко менять сложившийся порядок и готовы пробовать биометрию только вместе с другими, более привычными решениями, такими как пароли, коды или карты. Во-вторых, из-за относительной новизны технологии пользователи хотят больше узнать о ней, прежде чем принимать окончательное решение.

Последние 15 месяцев не похожи ни на одно другое время. В начале февраля прошлого года аналитики предсказывали, что к 2023 году на 30% больше сотрудников будут работать из дома. Это было бы значительным увеличением доли удаленной рабочей силы и, возможно, считалось довольно смелым прогнозом. Но не прошло и месяца, как мир полностью изменился, и большинство офисных работников действительно стали работать из дома.

Директора по ИБ не понаслышке знают о суматохе тех первых двух месяцев. Практически в мгновение ока они перестали понимать, какие ИТ-устройства, методы подключения и программное обеспечение были в достаточной степени безопасными. Вместо этого им было поручено принять экстренные меры для поддержания непрерывности и безопасности бизнеса, в то время как все рабочее пространство менялось на глазах. Затем, в конце 2020 года, многие были ключевыми игроками в планировании постпандемического будущего наших компаний. Это будущее потребует целостного видения кибербезопасности, за которое большинство из нас ратовало еще до пандемии.

Погрузитесь в «Новую реальность»

По мере того, как во второй половине 2021 года мы вступаем в дивный новый мир, будет полезно взглянуть на три аспекта роли CISO – все они в той или иной степени расширились в результате пандемии.

1. Технологическое измерение: ускорение цифровых инноваций

Цифровые инновации уже активно внедрялись, но пандемия заставила и без того ускоряющуюся тенденцию развиваться еще быстрее. Проекты, реализация которых была запланирована на несколько лет вперед, внезапно стали критически важными для бизнеса. Компании больше не могли просто поддерживать существующий уровень работы, вместо этого им требовалось обеспечить функционирование нового поколения сетей, средств взаимодействия сотрудников и облачных сервисов с широко распределенной архитектурой – и одновременно защитить их. Другими словами, приходится делать две, казалось бы, противоречивые вещи: защищать и подключать. Таким образом, CISO становится все более важной частью этих процессов.

По мере выхода из пандемии никто не ожидает, что потребность в цифровых инновациях снизится. Но для гладкого внедрения этих инноваций все большее значение приобретает комплексный подход к кибербезопасности. Именно поэтому COVID-19, возможно, вбил последний гвоздь в крышку гроба подхода, основанного на выборе «точечных продуктов». Этот подход подразумевал подбор решения для каждого элемента сети или архитектуры безопасности, без учета того, как эти разрозненные продукты будут работать вместе. В конечном итоге, кто-то должен «склеивать» все это. При этом, как правило, большое количество работы нужно выполнять вручную: например, сопоставлять информацию, исходящую от разных решений.

Комплексный подход подразумевает построение всей архитектуры в виде единой структуры. Это позволяет организациям одновременно внедрять цифровые инновации и обеспечивать безопасность за счет уже встроенных инструментов. Надо отметить, что целостность не обязательно должна быть монолитной: чтобы воспользоваться преимуществами интегрированной защиты, не обязательно избавляться от уже существующей базовой инфраструктуры. Однако элементы безопасности следует выбирать так, чтобы они изначально работали вместе.

Комплексный подход имеет ряд преимуществ, которые соответствуют сегодняшним требованиям к рационализации. Прекрасным примером является массовое внедрение защищенных программно-определяемых глобальных сетей (защищенный SD-WAN). Спрос на эту технологию растет благодаря ее повышенной гибкости и снижению стоимости в сочетании с полной прозрачностью трафика. Умные компании внедряют сетевой подход, основанный на безопасности, поскольку они воспринимают необходимость внедрения сетевых инноваций и обеспечения передовой безопасности как единое целое. Это позволяет объединить две ранее разрозненные функции, повысить эффективность обеих и превратить безопасность в инструмент цифровых инноваций.

Еще один элемент комплексного подхода – адаптивная облачная безопасность. Облако – одна из важнейших ИТ-тенденций нашего поколения, обеспечивающая невероятную вычислительную мощность без значительных капитальных затрат. Некоторые предприятия пытались сосредоточиться на едином общедоступном облаке, потому что так проще обеспечить безопасность. Но это также заставляет предприятие следовать определенной технологической дорожной карте и будущей структуре затрат, которые оно может не контролировать. С другой стороны, если безопасность находится на вершине распределенной многооблачной инфраструктуры, у предприятия есть свобода выбора лучшего облака для каждой услуги.

Третий столп этого подхода – доступ к сети с нулевым доверием. При таком подходе доступ к ресурсам предоставляется динамически и переоценивается в зависимости от контекста в реальном времени и поведения запрашивающей стороны. Поскольку миллиарды новых устройств пытаются получить доступ к нашему подключенному миру, приходится постоянно противодействовать всем нежелательным попыткам подключения к сети и различным ресурсам в ней.

2. Коммуникационное измерение: объяснение того, что произошло и что поставлено на карту

Более десяти лет назад CISO был руководителем с относительно низкой позицией, команда которого в основном занималась антивирусным администрированием. В то время не было необходимости в навыках публичного общения. Сегодня даже генеральный директор обращается к руководителям службы безопасности, когда приходит время объяснить заинтересованным сторонам нарушение, ответить прессе или обосновать позицию службы безопасности фактами.

Директор по ИБ даже становится частью процесса принятия решений при слияниях и поглощениях. Объект приобретения с плохо развитой структурой кибербезопасности может вызвать серьезные проблемы для более крупной организации, потенциально сводя на нет ценность, которая будет получена от сделки. Мнение руководителей служб безопасности все больше и больше включается в процесс комплексной проверки.

Во время пандемии умение коммуницировать стало еще важнее, чем раньше. Кибератаки участились во многих отраслях, и CISO было поручено их объяснять. Также они должны были подготовить план восстановления компании таким образом, чтобы успокоить сотрудников, клиентов и акционеров. Внутри компании становится все более важным сообщать причину внедрения любой новой инициативы в области безопасности, особенно если она требует дополнительного внимания со стороны сотрудников.

3. Экономическое измерение: переход от центра затрат к центру создания стоимости

Десятилетие или два назад директора по ИБ были хорошо изолированы от финансовой и управленческой сторон бизнеса. С точки зрения финансового директора, их деятельность была центром затрат – необходимым для бизнеса, но не защищенным от инициатив по оптимизации затрат. С точки зрения управления рисками, хотя инструменты CISO были необходимы для достижения контрольных показателей риска, они были простыми и в некоторой степени товарными, и поэтому не принимали участия в обсуждении стратегии.

Опять же, пандемия усилила необходимость перемен. Руководители служб безопасности должны были научиться говорить на языке бизнеса, чтобы объяснить, почему их команда является центром ценности для организации и жизненно важной частью стратегии управления рисками, а не центром затрат. Это было сложно для некоторых CISO, которые часто работали на своих должностях с технологической стороны, а не со стороны бизнеса. Но за последний год многие руководители служб безопасности оказались в ситуации, когда они могут вкладывать больше средств. Они также получили право голоса в корпоративных инвестициях, поскольку продемонстрировали, что понимают, что такое управление рисками.

Выгоды от инвестирования для снижения конкретного риска вычислить относительно легко. Если конкретный инцидент может происходить два раза в месяц, и связанные с этим убытки каждый раз составляют 1 млн долл., компания несет ежегодный риск в 24 млн долл. В таком контексте имеет смысл потратить десятую часть этой суммы, и 2,4 млн долл. станут очень ответственным вложением. Существует большая разница в том, чтобы сформулировать этот бюджетный запрос именно таким образом, а не просто запросить дополнительные бюджетные ассигнования. По мере того, как директора по ИБ учатся говорить на языке управления рисками, они заводят влиятельных друзей в совете директоров и получают свою долю внимания высшего руководства.

Связующая нить «Новой реальности»: человеческое измерение

Другим большим трендом, ставшим частью «новой реальности» в результате пандемии COVID-19, стали изменения в том, как организации нанимают, управляют и удерживают сотрудников. Это верно для всех отделов, но, возможно, особенно верно в отношении кибербезопасности, поскольку речь идет о постоянной нехватке навыков.

По сути, сейчас приходится набирать сотрудников иначе, чем в прошлом. Раньше искали людей с определенными навыками – например, специалистов по нейронным сетям. С помощью автоматизации человек освобождается от повторяющихся действий и может заниматься более интересной работой. В описании должностных обязанностей есть не только технологии, но и сотрудничество человека с другими отделами. Экономический аспект кибербезопасности становится частью сферы его компетенции. После автоматизации повторяющихся задач людям предлагается более стратегически подходить к своей повседневной работе. Это дает компаниям возможность отдавать предпочтение таким навыкам, как критическое мышление, коммуникация и деловая хватка, а не только техническому опыту.

В 2021 году и в последующие годы идеальные лидеры в области безопасности будут технологическими, коммуникационными и финансовыми партнерами бизнеса. Они будут предоставлять последовательный и согласованный контент для кризисного управления и постоянный опыт для управления рисками организации. И они будут создавать системы, которые сделают гиперподключенный мир более безопасным местом, независимо от кризиса.

Ранее «Совтех» использовал для автоматизации сервисного обслуживания решение Creatio. С учетом стоимости лицензий компания приобретала их только для офиса и не могла подключить к системе выездных монтажников.

Кроме того, почти любые дополнительные настройки или доработки решения биллинговались отдельно и увеличивали затраты на автоматизацию. Руководство «Совтеха» решило найти более доступную по цене систему, которая бы не уступала по функциональным возможностям. В итоге была выбрана специализированная система Okdesk.

Внедренное решение позволяет сотрудникам вести учет заявок в привязке к определенным объектам обслуживания – транспортным средствам, на которых установлено телематическое оборудование. Okdesk изначально интегрирован с платформой мониторинга транспорта Wialon, поэтому компании не пришлось нести дополнительные расходы и на синхронизацию систем. Интеграция позволяет не только синхронизировать данные по обслуживаемым транспортным средствам каждого клиента, но и вести полную историю всех работ и выездов.

Выездные монтажники стали на 100% мобильными. С помощью полнофункционального мобильного приложения Okdesk они получают заявку со всей необходимой информацией. В рамках выполнения работ специалисты используют чек-листы, фиксируют затраты. А по итогам выполнения заявки прикладывают фотографии объекта до и после ремонта, формируют акты выполненных работ.

«Уралкалий» создал единую экосистему коммуникаций с поставщиками и подрядчиками, в которой все взаимодействия переведены в цифровой формат, и которая обеспечивает максимальную прослеживаемость данных и исключает влияние человеческого фактора. В результате внедрения компания добилась снижения закупочных цен на 7% за счет повышения конкуренции среди поставщиков и подрядчиков.

Как отметил Дмитрий Бояркин, директор по закупкам «Уралкалий», до старта проекта закупочный процесс в основном состоял из ручных операций и неавтоматизированной обработки данных: вручную рассылались приглашения поставщикам, рассматривались коммерческие предложения, выполнялась подготовка документов, создание заказов и формирование договоров. Все это отрицательно сказывалось на прозрачности процедур, повышало трудоемкость и провоцировало ошибки, а также сильно затягивало весь цикл закупки. Компании была необходима система, которая бы позволила цифровизировать взаимодействие служб внутри компании и перевести работу с внешними контрагентами в электронную форму. В результате остановились на решении SAP Ariba.

Использование облачного решения значительно сократило сроки на развертывание и ввод в эксплуатацию: системой начали пользоваться уже через 6 месяцев после старта проекта, кроме этого, она доступна в удаленном режиме. Теперь потребность в закупке передается в систему автоматически, категорийные менеджеры консолидируют потребности в закупочные процедуры, затем специалисты отделов закупок собирают заявки по категориям и проводят закупочные проекты по настроенным шаблонам, после чего создается заказ и формируется договор.

Все эти операции не требуют от специалистов «Уралкалия» ручного переноса данных, это сокращает трудоемкость и сроки проведения закупок, исключает ошибки ручного ввода. Данные сохраняются в закупочном проекте и доступны для дальнейшего анализа и контроля. Одновременно в едином решении пополняется и поддерживается в актуальном состоянии база поставщиков. В дальнейших планах компании – настройка шаблонов закупочных проектов по категориям закупок, а также создание маркетплейса на базе SAP Ariba.

SberCloud предоставляет востребованную клиентами услугу и оптимизирует затраты на управление кластерами благодаря автоматизированному сервису, который по одному клику создает кластер Red Hat OpenShift в течение получаса. В ближайшее время возможности сервиса будут расширены: пользователи смогут самостоятельно определять не только базовые параметры создаваемого кластера на портале самообслуживания. Аналогичными по функциональности решениями обладают мировые гиперскейлеры, такие как Amazon и Microsoft. На российском рынке подобных аналогов нет.

На момент окончания разработки услуги Managed OpenShift в SberCloud уже обратились несколько клиентов с открытого рынка. Это большой шаг вперед для бизнеса компании и клиентов, которые хотят развивать микросервисные приложения, обгоняя конкурентов по времени вывода систем.

Как отмечает Михаил Лобоцкий, заместитель генерального директора SberCloud, в компании понимали, что создание сервиса не будет простым. Готовых решений для автоматического развертывания кластера OpenShift для платформы VMware vCloud Director, которая используется в SberCloud для управления виртуальной инфраструктурой, не существует. Поэтому было принято решение пойти по пути разработки собственной ИТ-системы.

Разработка системы велась совместно двумя командами. SberСloud взял на себя разработку бэкенда платформы, портала самообслуживания, а также интеграцию с сервисной платформой. Был разработан и доработан ряд сервисных контроллеров и коннекторов к подсистемам виртуализации и серверов доменных имен. Инженеры «Инфосистемы Джет» отвечали за архитектуру решения в целом и реализацию специфических для OpenShift подсистем.

Почти в трети компаний (31%) возникают вопросы, как защищать корпоративные данные на личных устройствах сотрудников, 29% испытывают трудности с обеспечением безопасности в связи с тем, что на одного сотрудника приходится несколько рабочих устройств, а 27% называют проблемой недостаток цифровой грамотности среди сотрудников. Каждая четвертая компания сталкивается с тем, что сотрудники не соблюдают правила информационной безопасности при ведении переписки по электронной почте, а каждая пятая (22%) — с тем, что они не всегда используют собственный отдельный логин и пароль для входа в системы. Для 19% компаний одна из основных проблем в области ИБ — обеспечить соответствие своих ИТ-систем законодательным требованиям.

Опрос показал, что представители небольших компаний нуждаются в советах по кибербезопасности. Так, 42% хотели бы понимать, как бороться с утечками, 29% — как избежать атак программ-вымогателей и что делать, если они произошли, 26% — как обеспечивать безопасность облачных сервисов.

В то же время более четверти (27%) опрошенных до сих пор не уверены в том, что существует реальный риск пострадать от кибератаки или столкнуться с потерей либо кражей ценных данных. При этом по данным другого исследования среди столкнувшихся с утечками данных, общий годовой ущерб МСБ-компаний России от такого рода происшествий составляет 32 тыс. долл.

Как отмечают аналитики, у каждой организации, независимо от ее размера и отрасли, есть ценная для злоумышленников информация – например, интеллектуальная собственность, финансовые или персональные данные. Нередко маленькие компании являются частью цепочки поставок, и злоумышленники стремятся использовать доступ к их сетям в рамках многоэтапных операций по проникновению в сети более крупных организаций. Но бизнесу угрожают не только целевые атаки: очень часто заражение происходит из-за массовых рассылок вредоносного ПО, нацеленных на случайных жертв. А поскольку обычно небольшие компании защищены хуже, чем корпорации, это делает их легкодоступной мишенью.