Участники конференции "Управление бизнес-процессами: концепции, технологии, инструменты", прошедшей 24 сентября, подтвердили высказанный на открытии мероприятия тезис, что для российских предприятий время ликбеза по BPM (Business Process Management - "управление бизнес-процессами") прошло, на повестку дня встают вопросы практики. Конференция уже в третий раз проводится агентством маркетинговых коммуникаций OSP-Con и журналом "Открытые системы". И если на первых двух форумах аудиторию интересовало прежде всего, что дает предприятию методология и инструментарий BPM и как реализовать пилотный проект по управлению бизнес-процессами, то к нынешней конференции на повестку дня встал вопрос, как трансформировать отдельные практики управления бизнес-процессами в систему.

По мнению исполнительного директора информационного портала Finexpert.ru Вадима Репина, ВРМ является последней надеждой оптимизации компании. Почему? Всякая организация, отметил Репин, представляет собой сложную систему, к пониманию всех компонентов которой и существующих между ними взаимодействий можно прийти только через описание сквозных бизнес-процессов, а к повышению эффективности работы этой системы — через управление такими процессами. На практике же в компаниях доминирует отсутствие стратегического видения бизнес-процессов, лоскутные описания отдельных процессов, слабые связи между подразделениями, а подчас и полный вакуум между ними. Суть BPM, как считает Репин, как раз и заключается в выявлении сквозных процессов и управлении ими, что позволяет менеджменту понять свою организацию как систему, а персоналу — свое место в этой системе и мотивацию для достижения бизнес-целей.

Сквозной процесс возникает, если деятельность одного подразделения дает важный для бизнеса результат и связана с другими подразделениями. Как отмечает Репин, не все сквозные процессы в компании требуют оптимизации и автоматизации, но прежде всего те, которые задействуют значительные ресурсы, связаны с большими потоками информации, постоянно повторяются, используют различные программные решения. Президент компании "Бизнес-консоль" Анатолий Белайчук советует для систематизации управления бизнес-процессами сформировать "портфель" процессов, выявляя те 20% из существующих, которые оказывают наибольшее влияние на эффективность компании, и используя готовые шаблоны процессов - универсальные, которые предлагают, например, специалисты PricewaterhouseCoopers, или отраслевые, как в известной модели eTOM для операторов связи.

Что касается инструментария автоматизации BPM, то, по мнению Белайчука, сегодня востребованы комплексные платформы, объединяющие моделирование и выполнение бизнес-процессов. Примером такой платформы может служить линейка BPM-продуктов компании Oracle, о которой рассказал директор по технологиям Oracle СНГ Глеб Ладыженский. Возможности своего "движка" бизнес-процессов BPEL Process Manager в Oracle дополнили средствами проектирования и моделирования компании IDS Sheer, продвигаемыми в рамках платформы Oracle Business Process Analysis Suite по OEM-соглашению между двумя компаниями. А после приобретения BEA в семейство BPM-продуктов Oracle вошло решение Aqualogic BPM, которое поддерживает выполнение бизнес-процессов, интегрирующих не только программные системы, но и работу пользователей.

На участие сотрудников компаний в автоматизированных бизнес-процессах ориентировано и решение TaskSpace в составе BPM-платформы EMC Documentum Process Suite, представленное директором по развитию бизнеса подразделения CMA в российском представительстве EMC Романом Сидоренко. Помимо таких брендов, как Oracle, EMC, Microsoft, Software AG, участникам конференции было рассказано о технологических особенностях и примерах внедрения решений BPM менее известных на российском рынке производителей — компаний Lombardi Software и Unify.

"Ложку дегтя в бочку меда" докладов вендоров внес директор по разработке ПО компании "Крок" Алексей Добровольский, по мнению которого индустрия систем BPM находится сейчас в фазе быстрого роста и зрелостью не отличается. Практика "Крока" по внедрению решений BPM на различных платформах приводит, по словам Добровольского, к выводу, что универсальных систем, удовлетворяющих всем необходимым требованиям, пока не существует. Среди наиболее важных ограничений существующих решений Добровольский назвал необходимость участия программистов в процессах настройки, малую полезность встроенных средств отчетности, отсутствие возможности нагрузочного тестирования для оценки масштабируемости, недостаток полноценных механизмов развертывания и т. д.

Представьте, что в вашем распоряжении есть подробные данные обо всех играх между университетскими командами по американскому футболу за последние четыре года и вам нужно предсказать результаты оставшихся в этом сезоне матчей. Как бы вы подошли к созданию программы, которая дала бы самый точный прогноз?

Главное в написании программы для определения победителя не выбор языка программирования или методики разработки. Все начинается с алгоритма. Ни один программист не может начать писать код, пока не будет ясна логика работы приложения. Если алгоритм ошибочен, программа будет работать неэффективно, выдавать неточные результаты и тому подобными способами не оправдывать ожиданий.

Приятное с полезным

Разговоры по поводу оптимизации старых алгоритмов и создания новых, скажем честно, по большей части довольно скучны. Заниматься извлечением и анализом скучных старых корпоративных данных, конечно, важно, но иногда жизнь подбрасывает и гораздо более интересные задачи. И конечно, конкурс, который спонсирует телесеть ESPN, а организует компания TopCoder, должен привлечь внимание многих разработчиков. Хотя бы из-за размеров предлагаемых призов.

Задачка очень любопытная как с технической точки зрения, так и с точки зрения бизнеса.

"Мы пытаемся создать алгоритм, который предсказывал бы результаты матчей на основе данных о предыдущих выступлениях команд", - объясняет менеджер по проекту ESPN из компании TopCoder Билл Этвуд. В ESPN планируют применить полученные результаты для прогнозов результатов, которые будут передавать и во время трансляций, и в предварительных обзорах игр. Точность прогнозов позволит ESPN привлечь к экранам и на свой сайт больше зрителей и обойти конкурентов, указывает Этвуд.

Другими словами, проект не только сам по себе интересный, но у него есть и реальные деловые приложения, а полученные результаты можно будет без труда применить и к более скучным задачам ИТ. Можно было бы и сразу построить его на таком материале, но вряд ли это вызовет энтузиазм у программистов.

С точностью 77%

Как подробно объясняется на сайте ESPN, разработчикам будет предоставлен огромный объем данных: подробные описания всех матчей университетской лиги за четыре сезона.

Конкурс пройдет в четыре этапа. Предварительный этап уже прошел во время первой части футбольного сезона. Участники конкурса TopCoder усердно поработали. "За первые две недели мы получили фантастические результаты", - заявил старший вице-президент TopCoder Майк Моррис. Десятка лидеров конкурса предсказала 77% победителей игр, а это сопоставимо с наилучшими прогнозами букмекерских контор, утверждают в TopCoder.

"За первую неделю мы предсказали поражение Теннесси от Калифорнийского университета, тогда как по букмекерским ставкам Теннесси шел впереди со спредом 7,5 очка, - с гордостью заявил Моррис. - Во вторую неделю мы точно предсказали Мэриленду победу над Средним Теннесси с отрывом в 13 очков".

Сейчас участники конкурса проводят настройку алгоритмов для официального зачета.

"Вот вам схема, я пошел"

Организаторы используют любопытную бизнес-модель, которую Этвуд называет "мудрость наилучшего". Люди, которые способны придумать блестящий алгоритм, не всегда оказываются хорошими программистами для выполнения повседневных задач, а изобретение такого алгоритма может понадобиться только один раз в году. После этого разработка идет своим чередом, код пишется, и для алгоритмического гения больше нет работы. Конкурсы, подобные этому, позволяют компании заплатить только за один самый важный ответ. Другими словами: "Вот вам самая лучшая схема, а я пошел".

Конкурсы алгоритмов, которые проводит TopCoder (их много), нацелены именно на эту специфическую нишу, пояснил Этвуд. Поскольку разработчики соревнуются в написании лучшего алгоритма (лучшего — в данном случае дающего самый точный прогноз), то клиент может быть уверен, что алгоритм, за который он платит, действительно качественный. Это, как считает Этвуд, очень эффективная модель.

Она привлекательна и для разработчиков. Приз за первое место составляет 50 тыс. долл., и его дадут автору лучшего алгоритма - того, который покажет лучшие результаты по всему сезону университетской лиги (за исключением первых двух недель). Суммарный призовой фонд составляет 100 тыс. долл., и остальные деньги будут распределены между теми, кто займет места со второго по пятое.

Впрочем, задача эта не только для любителей американского футбола. В тройке лучших в таблице лидеров — участники из Польши, Египта и США. Чтобы объяснить разработчикам, как все устроено в американском футболе, Уилл Харрис из ESPN ведет блог Football 101, где помещаются обзоры игр, советы и справочная информация по этому виду спорта. Технической стороной проекта занимаются сотрудники TopCoder.

Специалист по вопросам информационной безопасности Кевин Финистерр предупреждает: доступ к компьютерам, управляющим системами промышленной автоматизации, требует особой защиты. Хакеры, по мнению Финистерра, имеют потенциальную возможность проникать в системы водоочистительных станций, нефтеперерабатывающих заводов, компаний, предоставляющих коммунальные услуги, и других предприятий.

В начале сентября Финистерр опубликовал разработанный им образец кода, который делает возможным такое проникновение. Он пошел на такой шаг, чтобы предупредить об уязвимости подобных систем, поскольку разработчики систем промышленной автоматизации, по его мнению, часто предпочитают замалчивать проблему.

"Они уверяют своих клиентов об отсутствии проблем; между тем, их программное обеспечение используется в критически важных приложениях", - считает Финистерр, руководитель исследований в области информационной безопасности компании Netragard, специализирующейся на тестировании информационных систем.

Финистерр оформил свой код как дополнительный модуль для инструментария Metasploit, позволяющего выявлять неустраненные уязвимости в подключенных к сетям компьютерах, который широко применяется хакерами. Как считают эксперты по вопросам информационной безопасности, Финистерр, сделав это, значительно упростил для хакеров применение своего кода.

"Такой шаг поможет злоумышленникам осуществлять их атаки, - заявил Сет Бромбергер, менеджер по информационной безопасности корпорации Pacific Gas and Electric. – Теперь можно просто загрузить Metasploit и начать атаку".

Данный код использует дефект в CitectSCADA, системе диспетчерского управления и сбора данных (Supervisory Control And Data Acquisition, SCADA), который впервые был обнаружен специалистами Core Security Technologies. Информация об этой "находке" была опубликована в июне. Citect выпустила тогда заплату, и теперь, по словам представителей компании, риск существует только для тех предприятий, которые подключают свои системы к Internet напрямую, без межсетевых экранов, то есть работают в условиях, на которые это программное обеспечение никогда рассчитано не было. К тому же, атака будет успешной только в том случае, если активирована вполне определенная функция базы данных CitectSCADA.

Хакерам весьма не просто приобрести и анализировать программные комплексы управления промышленными процессами, а потому им трудно отыскивать в них дефекты защиты. Однако за последние годы системы SCADA все чаще создаются на основе хорошо известных операционных систем, таких как Windows и Linux, поэтому находить и использовать изъяны в системе их безопасности становится и проще, и дешевле.

К сотрудниками ИТ-подразделений нередко обращаются для того, чтобы установить заплаты, но промышленные компьютерные системы – это не ПК. Поскольку простой в работе водоочистительной станции или энергосистемы может привести к катастрофическим последствиям, инженеры весьма неохотно вносят изменения в соответствующее программное обеспечение или соглашаются отключить компьютер от сети, чтобы установить обновления программ.

Из-за этого часто возникают разногласия между ИТ-профессионалами, как Финистерр, которые понимают, что информация об уязвимых местах системы безопасности замалчивается, и инженерами промышленных предприятий, несущими ответственность за непрерывную работу вверенного им оборудования.

"Сохраняются глубокие культурологические противоречия между 'полевыми' инженерами, управляющими технологическими процессами, и специалистами по ИТ", - подчеркнул Боб Радвановски, независимый исследователь, поддерживающий Internet-форум по проблемам безопасности SCADA, на котором разгорелись весьма нешуточные споры по этому поводу.

В Citect утверждают, что ни одно предприятие не сообщило пока об удачной хакерской атаке, использующей данную уязвимость. Тем не менее, компания планирует в скором времени выпустить новую версию CitectSCADA с более развитыми функциями защиты. Эта версия появится не очень скоро. Финистерр уверен, что в программном обеспечении CitectSCADA есть и другие похожие ошибки.

И, несмотря на то, что системы SCADA можно изолировать от систем, работающих в других компьютерных сетях предприятий, они по-прежнему остаются уязвимыми. К примеру, в начале 2003 года сообщалось, что компьютеры атомной электростанции Davis-Besse были инфицированы червем SQL Slammer.

"Многие специалисты, работающие в промышленности, считают, что они вправе не придерживаться тех правил, которыми руководствуются в традиционных ИТ-системах, - заметил Финистерр. – В общем, в области промышленной автоматизации еще мало знают о хакерстве и хакерах".

Молодые специалисты, поступая на работу, воспринимают социальные сети и мгновенный обмен сообщениями примерно так же, как более старшее поколение относится к телефону. По мнению профессора Университета Райерсона (Онтарио, Канада), современным руководителям необходимо особое внимание уделять подобному "цифровому разрыву", иначе они рискуют отстать от технического прогресса.

Опросив более 2 тыс. старшекурсников, Эвнер Левин, руководящий кафедрой в бизнес-школе Университета Райерсона, пришел к выводу, что 90% из них регулярно пользуются социальными сетями. Помимо большой популярности этих инструментов, Левин обнаружил, что молодые пользователи социальных сетей рассчитывают на высокий уровень конфиденциальности, когда они обмениваются информацией в онлайне.

"Когда молодежь помещает что-то в Facebook, рассчитывая на то, что эта информация будет доступна только их друзьям, они искренне полагают, что эта информация останется конфиденциальной, - подчеркнул Левин. – Более старшее поколение в это не верит. Они придерживаются мнения: если какие-то сведения были опубликованы в Сети, то их можно считать общедоступными".

По словам Левина, представители более старшего поколения за многие годы привыкли хранить свою личную и профессиональную информацию вне Сети, в то время как молодежь теперь считает, что то же самое можно делать в Web. По мере того как число представителей нового поколения на рынке труда растет, способность компании заинтересовать и принять на работу молодых специалистов приобретает важнейшее значение для развития ее бизнеса и ликвидации явственно обозначившейся цифровой пропасти.

"ИТ-руководителям нужно понять, как молодежь использует новые технологии", - утверждает Пенелопа Транк из компании Brazencareerist.com, сайт которой посвящен подбору и обучению молодых специалистов. Активное изучение их навыков и предпочтений может даже помочь ИТ-подразделениям в достижении своих целей, особенно по мере того, как бизнес все больше начинает зависеть от новых технологий.

"ИТ-директор может погубить свою карьеру, если он будет игнорировать молодежь", - добавила Транк. Самые сложные проблемы для руководителя ИТ-подразделения связаны с набором персонала и обучением сотрудников новейшим технологиям. Обе эти проблемы, по словам Транк, можно решить, если принимать на работу специалистов, которые лучше других знают самые эффективные ИТ-инструменты, а это именно те, кто вырос в эпоху Internet.

Левин согласен с этим утверждением, подчеркивая, что предприятиям нужно действовать с опережением и искать пути внедрения новых средств коммуникаций. "Компании должны понимать, что они не смогут больше запрещать использовать чат и мгновенный обмен сообщениями, - сказал он. – Молодежь рассчитывает на то, что сможет общаться со своими коллегами по работе с помощью этих приложений".

Он добавил, что самые прогрессивные представители корпоративного сектора начали развертывать собственные социальные сети, что избавляет сотрудников от необходимости выходить за межсетевой экран и использовать популярные внешние сетевые ресурсы. По мнению Левина, немаловажное значение имеет также выработка четкой политики, регулирующей использование средств мгновенного обмена сообщениями.

Некоторые ИТ-руководители не спешат внедрять инструментарий социальных сетей, опасаясь риска безопасности, который могут создать эти средства, однако Транк считает, что тот же самый аргумент можно было бы отнести и к уже устоявшимся коммуникационным бизнес-решениям.

"Ваш сотрудник может набрать телефонный номер и прочитать корпоративные документы конкурентам, но компании, безусловно, не могут существовать без телефонов", - сказала она. Поэтому предприятиям необходимо активно приглашать на работу молодежь и реализовывать проекты социальных сетей. В противном случае им будет крайне трудно удержаться на уровне тех технологических изменений, которые происходят вокруг них.

Профессор Мартин Айгнер – всемирно известный эксперт по вопросам управления жизненным циклом изделия (Product Lifecycle Management, PLM), управления данными об изделии (Product Data Management, PDM) и САПР. Айгнер известен как разработчик PLM/PDM систем Eigner+Partner и Agile, в настоящее время является руководителем факультета виртуальной разработки изделий университета города Кайзерслаутерн (Германия). Кроме университетской практики Айгнер участвует в работе международных организаций, связанных с корпоративным применением ИТ-решений, а также является приглашенным консультантом по вопросам PLM в крупных промышленных компаниях, таких как BMW, Siemens, Airbus, Magna Steyer, Faureca, Miele, Continental и др. После покупки компанией Oracle фирмы Айгнера Agile он основал собственную консалтинговую компанию Engineering Consult, специализирующуюся на проблематике внедрения крупных PLM-проектов.

Нынешним летом профессор Айгнер провел технические семинары для сотрудников конструкторских, технологических, производственных и маркетинговых подразделений "Группы ГАЗ", где рассматривается возможность применения методологии PLM в условиях российского производства автомобилей. В интервью Computerworld Россия он поделился своими оценками мирового и российского рынка PLM.

- Поясните, пожалуйста, что вы сегодня понимаете под термином PLM?

Если быть до конца честным, то, как мне представляется, ни один из ведущих мировых поставщиков пока не может предложить полнофункциональную систему PLM. Я также не знаю никого в промышленности, кто смог бы ответственно заявить, что на его предприятии установлена полностью интегрированная система PLM. Сегодня управление жизненным циклом изделия - это некоторая «философия», или, если хотите, набор решений, позволяющий объединять новые внедряемые системы с уже существующими и освоенными на предприятии. Мой опыт свидетельствует, что современная промышленность еще не готова к полной интеграции систем автоматизации инженерной деятельности, охватывающих все стороны современного промышленного производства.

Даже в таких отраслях, как автомобилестроение и авиастроение, мы имеем дело с отдельными изолированными решениями, которые используются на ранних и поздних этапах процесса разработки изделия, например, с системами управления требованиями заказчика. А все так называемые "PLM-решения" по сути основаны на использовании систем PDM с добавлением к ним системы управления документооборотом, систем подготовки и выпуска спецификаций, систем управления внесением и сопровождением изменений, систем технологической подготовки производства и выпуска изделий.

Интегративной основой системы PLM служит единая модифицируемая наращиваемая структура изделия, которая применяется на всех этапах разработки и выпуска самого изделия. Это означает, что вся информация об изделии формируется как компоненты такой структуры, преобразовываясь в процессе разработки и выпуска от составления технического задания к утверждению функциональной структуры и далее к подготовке и выпуску конструкторских и конструкторско-технологических спецификаций и спецификаций обслуживания. Таким образом реализуется интеграция систем по всему жизненному циклу изделия. Кроме того, система PLM должна собрать различные типы подсистем самого изделия в единую структуру данных, например механику, электрику, электронику, программное обеспечение, а также интегрировать поставщиков комплектующих. Основанная на таком понимании интеграции подсистем и федерализации данных система PLM представляет собой существенно более широкое по спектру приложений средство, чем PDM. В такой системе можно решать задачи управления портфелем заказов, управления программами выпуска изделий, управления требованиями заказчика, выполнять статистический анализ производства и т.д. Я ожидаю, что в течение ближайших нескольких лет ведущие мировые поставщики САПР и PDM выпустят профессиональные решения PLM, которые будут более соответствовать реальным потребностям промышленного производства и степень готовности которых существенно снизит трудоемкость их полного внедрения.

- Ваш визит в Россию вы совершаете в новом качестве независимого консультанта по PLM крупных межнациональных промышленных проектов. Какова причина вашего приезда в нашу страну?

Факультет виртуальной разработки изделий университета Кайзерслаутерн, который я возглавляю, а также моя консалтинговая компания Engineering Consult выполняют работы по оптимизации инженерных процессов и рационализации внедрения решений в области PDM/PLM. Современный российский рынок в этом отношении предоставляет широкие возможности. Что требуется в качестве предварительного условия для перехода к внедрению систем PDM/PLM на каждом из предприятий, так это глубже и яснее представлять себе, какие бизнес-процессы и в какой последовательности передавать под управление такого рода систем.

- Какова, на ваш взгляд, ситуация в области систем PDM/PLM в России?

На мой взгляд, принципиального отставания России от Запада по степени освоения ИТ не существует. Общеизвестно, например, что многие западно-европейские производители программного обеспечения используют российских специалистов. Не очень высокий уровень готовности России воспринять PLM/PDM проявляется в другом. Так, производство промышленных изделий здесь еще не учитывает постоянно меняющиеся запросы рынка по комплектациям, особенно касающиеся разнообразия сочетаний агрегатов, узлов и вариантов механотроники, как это имеет место в Западной Европе. Скажем, теоретически возможное количество вариантов комплектации только по автомобилю Mercedes E Class составляет 10²⁹ вариантов. Отсюда и существенно более низкая потребность в PLM на российских предприятиях. Типовые процессы, для которых в PDM/PLM уже давно существуют типовые решения, здесь, в России либо еще не установились, либо пока не применяются. Примеры таких процессов - ведение системы обозначений, автоматизация перехода «конструкторский состав изделия – технологический состав изделия – поставляемая комплектация изделия», управление внесением и ведением изменений, отслеживание хода выполнения проекта, автоматизация сборок и т.д. При этом некоторые процессы должны иметь ограничения и определяться на государственном уровне, например, должны существовать отраслевые единые системы ведения обозначений.

На российских предприятиях отсутствует четкое понимание того, какие из типовых бизнес-процессов должны быть выбраны в качестве структурной основы системы PLM/PDM. Проще говоря, сначала должны быть ясно определены и оптимизированы хотя бы основные процессы разработки изделия, а только потом на эти процессы должна быть «наложена» внедряемая система PLM/PDM. Также надо отметить, что для уровня топ-менеджмента не предусматривается наглядность иллюстративного материала PLM/PDM по состоянию изделия в ходе выполнения проекта.

Очень важно, что на западных предприятиях в отличие от России само внедрение системы PLM/PDM всегда входит в зону ответственности руководящего органа предприятия, но ни в коем случае не ИТ-руководителя! Уровень ответственности ИТ-департамента машиностроительного предприятия – это поддержание системной и аппаратной инфраструктуры, соответствующей актуальным задачам, поставленным руководством предприятия. Кроме того, должен заметить, что в России на данный момент отсутствует рынок экспертных консалтинговых услуг.

- Сейчас в российской промышленности (особенно в автомобилестроении) все более популярна интеграция в глобализационные процессы. Наши предприятия активно участвуют в предоставлении ресурсов под развертывание сборочного производства мировых брендов, таких как Ford, Toyota, Volkswagen, General Motors и др., ищут более прогрессивные формы кооперации с этими производителями. При этом им необходимо применять те же самые или аналогичные методы работы в промышленности вообще и в ИТ, в частности, какие применяют их возможные партнеры. Что, по вашему мнению, необходимо сделать российским предприятиям для выравнивания подходов в области PLM/PDM?

В международной промышленной кооперации существует возможность перенимать PLM/PDM решения непосредственно от партнера по кооперации. Однако я бы порекомендовал следовать такому простому правилу: даже если вы планируете развернуть на предприятии систему PLM, то начинать надо с отработки базовых PDM-функций, таких как управление документооборотом (3D-модели в САПР и сканированные «бумажные» документы); подготовка и выпуск электронных конструкторских спецификаций на изделие (E-BOM); управление внесением и сопровождением конструкторских и производственных изменений (Engineering Change and Release Management); интеграция с уже имеющимися на предприятии системами САПР, ERP и офисными системами; подсистема обмена данными с поставщиками комплектующих и заказчиками.

При таком подходе заранее на предприятии должны быть ясно и четко определены базовые бизнес-процессы: ведение системы обозначений, классифицирование, ведение структуры изделия, внесение и проведение изменений.

Что касается темпов внедрения, то тут управляющим структурам предприятий следует руководствоваться следующим эмпирическим правилом: «Разработка изделия составляет только 10% от стоимости предприятия, но ответственна за 80% его стоимости».

Российская промышленность способна быстро обучаться и воспринимать опыт «западной» индустрии по PLM/PDM, причем как хороший, так и плохой. 

Специалисты центра Center for Internet Security (CIS) заняты созданием стандартов, по которым компании смогут оценивать состояние дел в области информационной безопасности. Оценка будет зависеть, например, от количества систем, на которых установлены необходимые обновления программ, а также срока восстановления нормальной работы после происшествий, связанных с безопасностью.

CIS является некоммерческой организацией и специализируется на разработке средств тестирования реализации систем компьютерной безопасности. Директор CIS Берт Миуччо заявил, что новые стандарты оценки безопасности корпоративных компьютерных систем будут опубликованы к концу года.

Для однозначного ответа

"Различные системы оценок создавались сообществом специалистов по безопасности и раньше, - пояснил Миуччо. - Как правило, по форме это были списки вещей, подлежащих оценке с точки зрения безопасности. Среди них, например, технические параметры, процедуры и подготовка работников. Но что по-прежнему вызывает трудности, так это определение реальной отдачи от вложений в безопасность и оценка состояния дел с безопасностью на предприятии".

Стандарты безопасности, разрабатываемые в Центре, позволят дать на эти вопросы однозначный ответ, считает Миуччо. Они основываются на восьми ключевых параметрах:

• среднее время между инцидентами в области безопасности;
• среднее время восстановления нормальной работы после инцидентов в области безопасности;
• доля систем, сконфигурированных в соответствии с принятыми стандартами;
• доля систем, на которых установлены обновления в соответствии с правилами;
• доля систем с установленными антивирусными программами;
• доля бизнес-приложений, по которым проведен анализ рисков;
• доля бизнес-приложений, по которым проведен анализ уязвимостей или путей проникновения.
• доля кода приложений, по которому перед производственным развертыванием проведен анализ безопасности, анализ модели угроз или обзор кода.

"Центр по безопасности Internet продолжит работу над средствами тестирования безопасности компьютерных программ, - добавил Миуччо. - В четвертом квартале выйдут новые средства для проверки безопасности конфигурации Microsoft Office и SharePoint, драйверов принтеров, пакета с открытым кодом Tomcat и трех браузеров: Internet Explorer, Opera и Firefox".

Доказать себе и другим

Некоторым организациям стандарты безопасности нужны для того, чтобы доказать и себе, и своим деловым партнерам, что в их деятельности действительно реализованы методы обеспечения безопасности.

Например, компания Pacific Gas & Electric применяет у себя так называемую "Модель зрелости функциональности средств обеспечения информационной безопасности" (Information Security Assurance Capability Maturity Model, IA-CMM). Она была разработана Агентством национальной безопасности США.

"IA-CMM предназначена для оценки эффективности организации в деле обеспечения безопасности клиентов, то есть всех, кто пользуется ее услугами", - пояснил менеджер по информационной безопасности PG&E Сет Бромбергер. Для оценки по IA-CMM приглашается уполномоченная сторонняя фирма. Она проводит тщательное обследование того, как в организации документированы процедуры безопасности и как они выполняются.

"Почетная" тройка

Оценку безопасности в PG&E выполнила в конце прошлого года фирма Security Horizon. По пятибалльной шкале PG&E получила три.

Хотя на первый взгляд оценка невысока, надо учесть, что, по словам Бромбергера, до сих пор только одной компании удалось набрать четыре балла. Это была компания International Network Services. Система оценок IA-CMM очень жесткая, и "тройка" означает, что процедуры документирования и исполнения политики безопасности в организации "четко определены". Бромбергер считает, что можно гордиться тем, что его компании вообще удалось пройти проверку по IA-CMM и достичь такой итоговой оценки.

"Это повышает доверие к заявлениям относительно наших программ безопасности, - полагает Бромбергер. - Особую важность это имеет при переговорах с федеральными ведомствами и муниципальными службами об обмене информацией по поводу безопасности. С практической точки зрения это инструмент, обеспечивающий руководству уверенность. Ведь мы производим электроэнергию и относимся к важнейшим элементам национальной инфраструктуры".

Не хватает обратной связи

"В области безопасности очень мало четко определенных стандартов", - утверждает Бромбергер. Он знаком с разработками CIS в области тестирования безопасности программ, и для него они являются авторитетным источником. Бромбергер с удовольствием воспринял известие о предстоящей публикации стандартов по безопасности и добавил, что "без сомнения, рассмотрит возможность их применения в PG&E, если, конечно, разумно будет расширять нашу собственную программу тестирования безопасности".

Что же касается Миуччо, то для него модель IA-CMM представляется отличным средством для планирования и разработки стратегии, но недостатком ее является отсутствие "обратной связи по данным". Стандарты, создаваемые в Центре по безопасности Internet, будут дополнять IA-CMM, полагает он.

"Наши стандарты выведут модель на новый уровень", - обещает Миуччо.

Корпорация SAP в рамках собственной глобальной академической инициативы SAP University Alliances запустила в России и странах СНГ программу «Интеграция бизнес-процессов». Ее реализация началась только прошедшим летом. Россия, как один из наиболее перспективных рынков для SAP, оказалась в числе первых стран, в которых запущена программа. Раньше обучение «Интеграции бизнес-процессов» началось только в ЮАР, Великобритании и, разумеется, в Германии.

Программа предназначена только для студентов очного отделения. Однако непосредственное их обучение будут осуществлять штатные преподаватели тех университетов, в которых они учатся. Представители SAP не будут иметь непосредственного контакта с учащимися вузов.

Корпорация берет на себя бесплатную подготовку преподавателей, а также контроль сертификации. После обучения по программе «Интеграция бизнес-процессов» студенты получат квалификацию Associate Consultant и соответствующий сертификат, если, конечно, успешно пройдут тестирование.

Первая группа из 24 преподавателей прошла подготовку в августе в санкт-петербургском представительстве корпорации. Примерно столько же слушателей планируется и в студенческих группах; срок обучения будет стандартным - десять дней. Таким образом за короткий срок знания о SAP распространятся среди сотен студентов, причем не только в Москве и Санкт-Петербурге, но и в регионах, где нехватка квалифицированных специалистов, знающих SAP, ощущается в большей степени. Обучение в центрах при университетах планируется начать уже в сентябре-октябре.

Первая группа преподавателей, прошедших подготовку по программе, представляла университеты различной направленности, от чисто технических вузов до Московского государственного института международных отношений. По словам Виктора Таратухина, директора программ партнерства с вузами компании SAP в регионе СНГ, Скандинавии и Балтии, программа «Интеграции бизнес-процессов» не имеет жесткой привязки ни к экономике, ни к ИТ. Поэтому она предназначена для широкого круга будущих управленцев и технических специалистов.

В рамках данной программы студенты изучают применение программных решений SAP для управления ключевыми бизнес-процессами. Предполагается, что по окончания десятидневного курса они получат представление о том, как работает крупная компания и корпоративная информационная система на базе решений SAP. Кроме того, уже смогут работать в этой системе.

Если для преподавателей обучение бесплатное и проводится за счет SAP, то взимание платы со студентов в большинстве случаев, скорее всего, будет. Назначение этой платы – покрытие расходов на преподавание. Получение прибыли не предполагается. SAP рекомендует брать со студентов 450 евро (эта сумма покрывает обучение и сертификацию), но университеты могут освободить обучающихся от оплаты, по крайней мере, частично.

Несмотря на платную основу обучения, в SAP уверены - недостатка в слушателях не будет.

«Наш сертификат значительно повышает стоимость выпускника университета на рынке труда. Кроме того, стоимость обучения для студентов относительно невысока. Для остальных она составляет 2500 евро», - говорит Таратухин.

Для SAP запуск программы в России и странах СНГ обойдется в несколько сотен тысяч долларов (рассчитать точную сумму затруднительно, поскольку велики непрямые затраты).

Коммерческий банк «Транспортный», существующий с 1994 года, является финансовым центром группы «Новые транспортные технологии», объединяющей более 20 предприятий различных отраслей российской экономики. В 2006 году руководством банка, который ранее был ориентирован в основном на работу с корпоративными клиентами, было принято решение о развитии дистанционного банковского обслуживания физических лиц с целью занять лидирующие позиции в этом секторе.

«Многие банки говорят о том, что в их продуктовой линейке есть дистанционное обслуживание, но при ближайшем рассмотрении обнаруживается, что оно ограничивается стандартным Internet-банком, через который клиент может посмотреть остатки по своим счетам и остатки задолженности по кредитной карте», - считает Александр Арифов, президент банка «Транспортный».

С помощью консалтинговой компании Roland Berger Strategy Consultants была разработана стратегия развития банка до 2012 года, общий объем инвестиций в которую составил около 15 млн долл, а окупаемость вложений, по прогнозам специалистов банка, около четырех лет. На первом этапе ее реализации был подготовлен продукт «Удобно», который сегодня служит основным элементом привлечения клиентов и позволяет им пользоваться всеми каналами дистанционного банковского обслуживания. Это Internet-банк, мобильный банк, пополнение счетов через сети платежных терминалов «Элекснет». Включение в продукт возможности бесплатного снятия наличных средств в любом банкомате мира определенное количество раз в месяц позволяет банку не расширять собственную банкоматную сеть.

Приобретая пакет услуг «Удобно», клиент, вместе с двумя пластиковыми картами, получает возможность, будучи клиентом одного банка, осуществлять платежи за услуги сотовой связи и ЖКХ, денежные переводы, получать информацию о состоянии счетов и много другое.

«Клиенту дается возможность получить 99% банковских услуг дистанционно. В Internet-банк будут заведены операции с ценными бумагами, доверительное управление, возможность покупать страховые продукты», - отметил президент банка.

Активно продаваемый с 1 июля 2008 года пакет услуг «Удобно» ежедневно выбирают порядка 100 клиентов. Как рассчитывают в банке, к концу года их число, составляющее на сегодняшний день 1263 человека, достигнет 20 тыс. человек. Уже открыто четыре дистанционных офиса в Москве и один в Мытищах.

Поскольку стратегические задачи по наращиванию клиентской базы успешно выполняются, руководство банка решило перейти к развитию перекрестных продаж банковских услуг. Понятно, что это потребовало внедрения системы CRM, которая позволила бы накапливать и анализировать информацию о клиентах и управлять процессами продаж и оказания банковских услуг.

По результатам проведенного банком тендера генеральным подрядчиком была выбрана компания «Инфосистемы Джет», которая с сентября 2007 года не только занимается внедрением CRM, но и является поставщиком оборудования, а также отвечает за обеспечение информационной безопасности. Кроме того, с компанией заключен контракт на аутсорсинговое обслуживание.

В качестве базового решения выбрана система Oracle Siebel CRM.

В основе решения лежит единая база клиентов, вокруг которой разработаны блоки системы, реализующие различные сервисы для решения конкретных задач бизнеса: сервисы продаж, контроля рисков, маркетинга, составления отчетности, планирования. В процессе внедрения осуществлена интеграция CRM-системы с подсистемами заднего плана: АБС Diasoft и решениями компании Compass Plus для управления кредитными картами - TranzWare Card Management System и TranzWare Online. Для реализации услуги «Мобильный банк» используется решение компании «Оникс Капитал» - клиенту достаточно иметь телефон, поддерживающий технологию Java.

Ряд особенностей данной ИТ-платформы характерны только для российского бизнеса. Речь идет, например, об использовании специфических внешних справочников (классификатор адресов КЛАДР, справочники утерянных паспортов, база террористов и т.п.). Благодаря интеграции с ними сотрудники при заполнении карточки клиента могут отследить совпадения его данных с их данными. Также были произведены работы по интеграции с национальным бюро кредитных историй НБКИ, в результате чего из интерфейса системы возможно оформить запрос и получить отчет практически моментально.

Специалисты компании «Инфосистемы Джет» постаралась максимально упростить интерфейс рабочего места пользователей фронт-офиса банка, так как ротация кадров велика и молодые специалисты должны максимально быстро к нему адаптироваться. Диалог построен в виде вопросов и ответов. При заполнении клиентской карты от операциониста требуется только отвечать на вопросы системы и нажимать на кнопку «далее» для перехода на следующий этап бизнес-процесса.

Вся работа происходит в режиме онлайн, благодаря чему клиент, заключив договор в точке продаж, имеет возможность практически воспользоваться всеми услугами продукта «Удобно». Процесс оформления занимает всего 10-12 минут.

«Для нашей компании этот проект интересен, прежде всего, своей комплексностью», - подчеркнул Дмитрий Никитин, заместитель директора Центра банковских технологий компании «Инфосистемы Джет». В рамках проекта компания не только внедрила CRM-систему, но и обеспечила ее надежное функционирование: спроектирован и построен отказоустойчивый серверный комплекс, произведена модернизация сетевых решений, внедрены решения по информационной безопасности; построенный аппаратный комплекс взят компанией на обслуживание, осуществляемое в режиме 24х7х365.

В настоящее время в «Инфосистемы Джет» занимаются автоматизацией процесса перекрестных продаж банковских услуг. В качестве инструмента сегментирования клиентской базы было выбрано решение Oracle Business Intelligence, позволяющее выделить группы клиентов, которые далее в виде списков обрабатываются в Oracle Siebel CRM. Здесь же реализован скоринг, определяющий величину кредитного лимита для конкретного клиента.

«Выстроена масштабируемая ИТ-платформа, позволяющая бизнесу органично развиваться, гибко и бесперебойно решать бизнес-задачи», - уверен директор департамента информационных технологий банка «Транспортный» Александр Кан.

В планах руководства банка увеличить количество точек продаж по Москве до двух десятков. Кроме того, проводится тестирование продукта «Удобно» на базе рязанского филиала банка, и результаты тестирования показывают, что данный продукт интересен клиентам в регионах. В 2009 году планируется открытие филиала в Санкт-Петербурге.

В результате к 2012 году предполагается сформировать клиентскую базу порядка 250 тыс. человек.