Корпорация Microsoft больше, чем любой другой производитель, сделала для популяризации средств визуального программирования. Инструментарием разработки Microsoft, и в первую очередь Visual Basic и Visual Studio, за последние два десятилетия воспользовались миллионы программистов.

Но во время откровенной дискуссии о будущем программирования, состоявшейся на прошедшей в Лос-Анджелесе конференции Professional Developers Conference, ведущие разработчики самой корпорации высказались в поддержку методов старой школы создания программного обеспечения.

"Я готов драться с каждым, кто попытается удалить мой текстовый редактор", - заявил Дон Бокс, ведущий инженер Microsoft.

"Хотят ли люди программировать, рисуя картинки? Думаю, да, - продолжал Бокс, работающий в Microsoft над созданием декларативных языков и инструментальных средств. – Но если вы посмотрите, как программирую я сам, то увидите, что я пишу текст. И, как мне представляется, мы напрасно так легкомысленно относимся к утрате старых навыков".

"Среды визуального программирования удобны, когда бесполезны, но неудобны, когда они могли бы быть полезны, - заметил Джеффри Сновер, еще один ведущий инженер Microsoft и автор PowerShell, инструмента создания скриптов для Windows. – Если у вас на экране есть пять объектов, их еще можно 'переварить' в текст. Но когда таких объектов становится 500, визуальное программирование оказывается совершенно бесполезным. При увеличении какого-то одного объекта теряется весь контекст".

"Несмотря на то что визуальному программированию научиться проще и оно помогает разработчикам писать более производительно, с ним проще всего впасть в самообман", - считает Баnлер Лэмпсон, заслуженный сотрудник Microsoft. Например, по его словам, никто даже не может толком объяснить, что такое UML-диаграмма.

Лэмпсон за свой вклад в программную инженерию получил в 1992 году премию Тьюринга, присуждаемую Association for Computing Machinery, и является соавтором девяти языков программирования.

Microsoft довольно поздно начала поддерживать Unified Modeling Language. Эта возможность появится только в следующей версии Visual Studio 2010, которая должна быть выпущена в будущем году.

Помимо средств визуального программирования и UML, Microsoft поддерживает использование управляемого кода посредством своей технологии Common Language Runtime. Управляемый код работает внутри виртуальной машины. Как утверждают сторонники этой технологии, он упрощает и убыстряет написание программ и отличается большей защищенностью.

"Управляемый код позволяет разработчикам делать вещи, выходящие за рамки их компетенции, - заметил Сновер. - Управляемый код – своего рода тормоза с антиблокировочной системой".

Как в шутку предположил Сновер, программирование становится настолько абстрактным, что разработчикам вскоре придется использовать игровой контроллер с датчиками движения, разрабатываемый в Microsoft в рамках проекта Project Natal, для того чтобы писать программы путем интерпретации танцевальных па.

Другие авторитетные программисты, такие как Херб Саттер, главный архитектор языка программирования C++/CLI, предсказывают, что написание кода, работающего на "голом железе", может вновь в скором времени войти в моду, едва производители полупроводниковых компонентов столкнутся с невозможностью поддерживать наращивание скоростей процессоров нынешними темпами.

"Думаю, закон Мура будет действовать еще лет пять–десять, - сказал он. – Оптимизация станет очень востребована, когда люди поймут, чем мы платим за абстракции".

Кроме того, как заметил Саттер, программистам приходится начинать писать приложения, оптимизированные для параллельного выполнения на ПК с многоядерными процессорами, появившимися в последние несколько лет.

Однако сначала, как заметил Бартон Смит, технический специалист Microsoft и эксперт по языкам параллельного программирования, необходимо серьезно усовершенствовать языки программирования с учетом многоядерности. "Сейчас для создания программ, рассчитанных на многоядерные архитектуры, мы имеем в своем распоряжении языки программирования довольно низкого уровня. Они не отличаюстя большой производительностью и требуют серьезного внимания и усилий от разработчиков", - сказал Смит.

По его прогнозам, пройдет еще немало времени, прежде чем параллельное программирование станет массовым. "Из-за наклонности программировать последовательно мы сможем развить в себе уверенные навыки параллельного программирования лет через 12", - заявил он.

Пользователи сервисов вычислений в облаке сталкиваются с самыми разными проблемами, в числе которых потеря контроля над данными, трудности с выполнением нормативных требований и дополнительные юридические риски при передаче данных другой организации. Таковы выводы European Network and Information Security Agency, европейского агентства, специализирующегося на вопросах сетевой и информационной безопасности.

Специалисты ENISA выделили именно эти проблемы, поскольку они имеют самые серьезные последствия и чаще других возникают у организаций, использующих сервисы вычислений в облаке.

В ENISA проанализировали активы, которые предприятия подвергают риску при обращении к модели cloud computing (в том числе пользовательские данные и собственная репутация); уязвимые места в облачных сервисах; риски, которым эти уязвимые места подвергаются; вероятность возникновения этих рисков.

При переходе на облачный сервис компании фактически вынуждены передать его провайдеру известную степень контроля и над собственной ИТ-инфраструктурой, что может негативно сказаться на уровне их безопасности. Например, по условиям контракта провайдеру может быть не передано сканирование портов, оценка уязвимости или проведение глубокого тестирования. В то же время ответственность за эти вопросы может остаться неурегулированной и в соглашениях об уровне обслуживания. В результате, как отмечается в отчете ENISA, в обеспечении безопасности остаются значительные пробелы.

Серьезные проблемы могут возникнуть и в связи с выполнением нормативных требований, если провайдер не предоставляет необходимых уровней сертификации или схема сертификации не адаптирована к облачным сервисам.

Одно из преимуществ облачных сервисов состоит в том, что данные можно хранить в разных местах, что позволяет сэкономить немало времени в случае, если в одном из центров обработки данных произойдет сбой. Однако это может создавать и серьезные риски, если центры обработки данных расположены в странах, где ответственность за сохранность данных законодательно не урегулирована должным образом.

Не меньшее беспокойство вызывают также привязка к производителю, сбой в механизмах, отделяющих данные разных компаний друг от друга, возможность доступа хакеров к интерфейсам управления, некорректное удаление данных и злонамеренные действия самих сотрудников.

Для того чтобы минимизировать эти риски, в отчете приводится список вопросов, которые компании следует задать потенциальным провайдерам облачных сервисов. Например, каким образом провайдер гарантирует, что пользовательские ресурсы полностью изолированы, какую обучающую программу по вопросам информационной безопасности провайдер предлагает для своих сотрудников, какие принимаются меры для того, чтобы гарантировать выполнение уровней обслуживания, требуемых третьими сторонами, и т. д.

В конечном итоге, как утверждается в отчете, грамотно составленный контракт позволяет снизить риски. Компании должны уделять особое внимание своим правам и обязанностям, связанным с передачей данных, доступом к данным на законных основаниях и уведомлениям об изъянах в системе безопасности.

Однако нельзя сказать, что отчет ENISA выдержан исключительно в пессимистической тональности. В нем также говорится о том, что использование облачных сервисов позволяет организовать более надежную, масштабируемую и экономически эффективную защиту от определенных видов атак. Например, возможность динамически резервировать ресурсы помогает обеспечить более надежную защиту против распределенных атак на отказ в обслуживании.

Термин "информационный работник" я впервые услышала в начале 90-х годов прошлого века, когда футурист Элвин Тоффлер рассуждал об экономике знаний. На самом же деле об информационном работнике -- knowledge worker -- еще в 1959 году говорил Питер Друкер.

Но даже и спустя три десятилетия от данного словосочетания веяло ветром научной фантастики. Вместе с тем оно внушало некоторое беспокойство, поскольку сигнализировало о грядущих изменениях в способах осуществления американской мечты. Будущее должно принадлежать тем, кто привык работать головой, а не руками.

Сегодня термину Друкера исполнилось полстолетия, а в мире, где глагол "гуглить" понятен едва ли не всем и каждому, навыки информационного работника во многих случаях уже входят в число обязательных требований. Все это заставило меня задуматься о том, какой образ приобретет информационный работник в своей следующей "версии", какими навыками специалисты в области ИТ должны владеть в совершенстве уже сейчас и какие потребуются через несколько лет.

И вот что я думаю по этому поводу.

Деловая хватка. Хороших навыков в области ИТ еще недостаточно. Их следует воспринимать лишь как необходимый фундамент. По-настоящему же ценным сотрудником или подрядчиком вас сделает способность понимать, как решать проблемы, стоящие перед бизнесом. Работая над новым проектом, подумайте: какие перспективы он открывает с точки зрения бизнеса? В чем заключается позитивное влияние ваших идей на бизнес? Каким образом с помощью информационных технологий можно решить задачи, стоящие перед бизнесом? Проанализировав все факторы на макро- и микроуровне, вы получите возможность принять участие в более масштабной дискуссии.

Мышление с точки зрения открытого кода. Рассматривая феномен Linux с чисто человеческой точки зрения, можно заметить, что речь здесь идет о получении доступа к знаниям своих коллег и создании сетей обмена опытом. Если вы проявите качества лидера, умеющего использовать идеи других и создавать отличные решения путем извлечения всего самого лучшего из человеческой системы (то есть из вашей команды), вы сможете подняться выше тех, кто сконцентрирован исключительно на своем индивидуальном вкладе.

Сверхобщительность. Призывы к общению обрушиваются на нас так часто, что мы перестали на них реагировать. Мой старый приятель по цеху как-то заметил: "Я пришел в сферу ИТ потому, что не хотел общаться с кем бы то ни было, и что же в итоге?!" А тем, кто надеется преуспеть без хороших навыков общения, хочу открыть еще более горькую правду: одного только общения окажется недостаточно. Нужно быть сверхобщительным. Повторяйте одно и то же разными словами, пока не достучитесь до людей. От вас требуется передать большой объем информации, и, если вы хотите, чтобы сообщение дошло до адресата, оно должно быть простым, понятным и часто повторяемым. Помните, что нельзя хоронить суть на дне длинного электронного послания!

«Забудьте все, чему вас учили». Адаптация невозможна, если мы продолжаем делать все так же, как раньше -- особенно в меняющейся среде. Как сказал Эйнштейн, нельзя решать проблемы, опираясь на тот же тип мышления, с которым эти проблемы создавались. Для того чтобы добиваться успехов и двигаться вперед, нужно уметь забывать то, чему вы научились ранее. Не возводите в абсолют все, что узнали вчера. Будьте открыты для новых возможностей, о которых сегодня вам еще ничего не известно.

Эволюционное управление. Все мы любим вычеркивать из списка выполненные пункты, но в действительности мало что из этого решено раз и навсегда, ведь мир продолжает развиваться. Возьмем, к примеру, Web-сайт. Многие говорят, что им хочется всего лишь "доделать" свой сайт до конца. Но каждый, кто когда-нибудь управлял подобным проектом, знает, что этого не произойдет никогда. Посмотрите внимательнее на выполняемую работу и свою роль в ней -- проекты находятся в постоянном движении, понятия окончательной готовности здесь просто не существует. Вместе с тем это не означает, что отсутствуют промежуточные этапы, позволяющие устанавливать цели и оценивать достигнутый прогресс. Однако финишная черта постоянно сдвигается по мере изменения окружающей обстановки.

Предпринимательский дух. Чем заметнее ваша деловая жилка, тем лучше, даже если вы работаете на какую-то компанию. Предприниматели находятся в постоянном и быстром движении. Они являются проводниками изменений. Их жизнь проходит в непрерывном поиске новых возможностей -- не только для себя, но и для людей, с которыми и на которых они работают. С учетом набирающего силу ИТ-аутсорсинга развитие и совершенствование своих предпринимательских качеств поможет вам вырваться с обочины на центральные роли и получить преимущество перед окружающими.

Мастерство управления проектами. Я часто повторяю, что управление проектами -- это искусство выполнения намеченного. Что люди ценят в любой экономике? Результаты. Независимо от того, над чем вы сейчас работаете, вам нужно сконцентрироваться на поисках путей достижения успеха и своей роли в управлении этим успехом. Если вы не чувствуете, что обладаете достаточными навыками в области управления проектами, рассмотрите возможность получения сертификата PMP. Это особенно важно для ИТ-специалистов, работающих по договору подряда на государственные организации или крупные предприятия, для которых сертификат PMP является весомым подтверждением компетентности в области управления проектами.

Управление виртуальной командой. Сегодня многие команды разработчиков рассеяны по разным часовым поясам и объединяют людей различной культуры. В таких условиях специалисты, умеющие успешно управлять другими на расстоянии, в условии отсутствия ежедневных контактов, зарабатывают дополнительный авторитет и выходят на передний план. Большое значение также приобретает понимание различий между представителями разных культур. Пройдите курс межэтнического общения и поинтересуйтесь у людей их собственными предпочтениями. Если вы работаете в виртуальной команде, регулярно проводите телеконференции или электронные совещания. Следите за достигаемыми результатами и делитесь этой информацией с командой. Не скрывайте успехов и провалов. Вовлекайте членов команды в поиск путей совершенствования взаимодействия и повышения эффективности. Людям нравится, чтобы решения принимались с учетом их мнения, поэтому не стоит думать, что только вы обязаны знать ответы на все вопросы.

Именно такой подход помог мне добиться успеха. Благодаря ему я прошла путь от офицера вооруженных сил до научного сотрудника, а теперь занялась еще и предпринимательской деятельностью. Попробуйте примерить мои рекомендации на себя и оценить, что из перечисленного помогает адаптироваться к изменению ситуации и открывает новые перспективы для дальнейшего движения вперед.

В условиях роста репрессий против торрент-трекеров (одним из них является, к примеру, ресурс The Pirate Bay) пираты, незаконно распространяющие программные продукты, переместили свое внимание на Web-сайты, предоставляющие услуги файлового хостинга.

Такие сайты, как RapidShare, Megaupload и Hotfile, позволяют анонимным пользователям бесплатно загружать в свои хранилища большие файлы самого разного содержания, в том числе и взломанные программы.

"Ссылки на эти программы распространяются пиратами через другие Web-сайты, системы мгновенных сообщений или сети микроблогов типа Twitter, -- отметил Вик де Маринес, директор компании V.I. Labs, специализирующейся на антипиратском программном обеспечении. -- Использовать такие механизмы невероятно просто. По сути, вы получаете в свое распоряжение собственный частный FTP-сервер".

Позволяя загружать файлы бесплатно, такие сайты, как RapidShare, предлагают и платные сервисы, дающие пользователям определенные привилегии. Платный доступ в течение 30 дней, который у Rapidshare стоит 6,99 евро, предоставляет клиентам возможность загружать файлы без предварительного ожидания и без ограничения скорости.

Торговля цифровым контрафактом, будь то фильмы, музыка, электронные книги или программное обеспечение, -- вот что способствует росту популярности и развитию бизнес-модели проектов, подобных RapidShare. В начале года в интервью The New York Times представители RapidShare заявили, что объем информации, хранимой у них на сайте, достиг 10 петабайт, а количество посетителей, загружающих файлы на свои компьютеры, на тот момент составляло порядка 3 млн человек.

По оценкам Ассоциации американских издателей, почти половина пиратских книг, обнаруженных ее членами, размещена именно на RapidShare.

"Подобные сайты получают довольно большие деньги, -- подчеркнул де Маринес. -- И если бы не пиратская продукция, я не уверен, что они смогли бы получать ощутимый доход".

Проведенное недавно V.I. Labs исследование способов нелегального распространения программного обеспечения, принадлежащего 43 производителям, показало, что на RapidShare можно найти 100% их продукции.

Пресс-секретарь компании RapidShare, штаб-квартира которой находится в Швейцарии, отказалась комментировать отчет V.I. Labs, сославшись на то, что ей нужна дополнительная информация.

Согласно статистике Alexa, RapidShare входит в первую двадцатку наиболее популярных сайтов в мире. А аналитики немецкой компании Ipoque утверждают, что на долю Rapidshare сейчас приходится почти 5% глобального трафика Internet.

RapidShare уже предъявлено несколько судебных исков с обвинением в пиратской деятельности, однако, по мнению де Маринеса, привлечь пиратов, облюбовавших этот ресурс (равно как и другие файлообменники), к ответственности будет непросто, потому что процедуры регистрации и авторизации от распространителей информации не требуется. Кроме того, отказавшись от фильтрации и мониторинга информации на своих серверах, RapidShare пытается тем не менее дистанцироваться от любых обвинений в намеренном распространении пиратской продукции.

"Для нас существуют всего лишь файлы, и мы не имеем представления об их содержимом", -- заявила пресс-секретарь компании в мартовском интервью, данном The Times. По словам де Маринеса, RapidShare неукоснительно соблюдает положение о "надежном убежище" (Safe Harbor Provisions) американского закона Об авторском праве в цифровую эпоху (Digital Millennium Copyright Act, DMCA), оперативно удаляя пиратские файлы при получении соответствующего уведомления от правообладателей.

Компания даже представляет некоторым организациям прямой доступ к своим ресурсам, благодаря чему они имеют возможность находить и удалять гиперссылки и пиратские файлы самостоятельно.

Что касается одноранговых (Peer-to-Peer, P2P) сетей, то они по-прежнему остаются крупнейшим каналом распространения пиратских программ, фильмов и другого цифрового контента. По данным Ipoque, в зависимости от конкретного региона на их долю приходится от 43 до 70% общего объема пиратских ресурсов.

Наиболее популярным инструментом остается сервис BitTorrent. К нему обращаются шесть из десяти пользователей P2P-технологий.

На втором месте с заметным отставанием находится файлообменная сеть eDonkey. Несмотря на наличие 900 тыс. пользователей и 77 млн файлов, на ее долю приходится лишь 20% пиратского трафика. Популярная когда-то Gnutella с несколькими процентами занимает третью строчку.

Сайты файлового хостинга развиваются гораздо быстрее. В зависимости от конкретного региона на их долю приходится уже от 15 до 35% пиратского контента.

По мнению де Маринеса, в конечном итоге сайты файлового хостинга вытеснят одноранговые сети. "Ресурсы P2P постепенно приходят в упадок, -- подчеркнул он. -- Они слишком заметны, и организации, следящие за соблюдением авторских прав, намерены добиваться закрытия торрентов".

Популярность других методов распространения пиратского контента как минимум не растет или даже снижается. Группы новостей Usenet, к примеру, теряют пользователей из-за большого количества порнографии и вредоносных программ, интегрированных в пиратское программное обеспечение.

Конференции Internet Relay Chat (IRC) тоже практически не используются для передачи файлов, хотя количество сообщений и ссылок на файлы, размещенные на хостинговых сайтах, здесь увеличивается.

Согласно отчету, недавно опубликованному SANS Institute, изъяны в безопасности клиентского программного обеспечения и Web-приложений куда опаснее всех остальных видов уязвимостей. При этом предприятия не уделяют им должного внимания и вместо того, чтобы вкладывать средства с целью понизить данные риски, фокусируются на менее значимых аспектах безопасности.

Анализ данных, полученных из нескольких тысяч организаций с марта по ноябрь этого года, позволяет авторам исследования утверждать, что предприятия не уделяют достаточного внимания сегодняшним рискам и подвергают свои информационные системы опасности, ограничиваясь пакетами обновлений операционных систем и другими устаревшими мерами по защите информационной безопасности. Данные о кибератаках были получены с использованием программного обеспечения компании TippingPoint, установленного на исследуемых сайтах, а данные об уязвимостях - с помощью сервисов сканирования компании Qualys.

Авторы исследования делают неожиданный вывод, что наибольшую угрозу для сетевой безопасности представляют уязвимости клиентского программного обеспечения, а вовсе не операционных систем, безопасность которых традиционно находится в поле зрения и к которым регулярно выпускаются пакеты обновлений. Как утверждается в отчете, большинство атак целевого фишинга (spear-phishing) как раз и использует уязвимости в широко распространенном программном обеспечении типа Adobe PDF Reader, QuickTime, Adobe Flash или Microsoft Office.

Согласно отчету, в большинстве крупных организаций устранение уязвимостей клиентского программного обеспечения затягивается по крайней мере вдвое больше, чем установка обновлений операционных систем. При этом угрозам с меньшими рисками присваивается более высокий приоритет.

По мнению исследователей из SANS, еще одним источником риска являются уязвимости Web-приложений, которые заслуживают самого пристального внимания сотрудников отделов информационной безопасности. Согласно отчету, 60% всех атак в Internet приходится на Web-приложения. Злоумышленники широко используют уязвимости Web-приложений, превращая "добропорядочные" сайты в источники эксплойтов - вредоносного программного кода, которые доставляются пользователю вместе с контентом и внедряются в его клиентское программное обеспечение.

Согласно результатам исследования, внедрения SQL-кода, межсайтовый скриптинг (Cross-Site Scripting), а также недостаточно хорошо защищенное заказное программное обеспечение составляют более 80% всех известных уязвимостей. Несмотря на массовый характер, который приобрели сетевые атаки, и доступность информации об основных видах уязвимостей, многие владельцы не производят тщательного тестирования своих сайтов на безопасность, становясь невольными пособниками киберпреступников в инфицировании компьютеров пользователей, доверяющих контенту таких сайтов.

Оба вида выявленных рисков при сложившейся ситуации, когда отделы безопасности не уделяют им должного внимания, создают благодатную почву для распространения киберинфекции. Наличие огромного числа кое-как защищенных Web-сайтов и приложений с дырами в безопасности делает возможным доставку вирусов через обычные браузеры. Достаточно пользователю зайти на такой с виду "добропорядочный" сайт, скачать или даже просто открыть документ, проиграть музыкальный или видеоконтент - и эксплойт уже проник на его компьютер, использовав дыру, возможно, не в самом браузере, но в модуле расширения для него.

Как отмечают авторы отчета, некоторые эксплойты даже не требуют, чтобы пользователи открывали документы. Достаточно просто зайти на инфицированный Web-сайт, и ПО пользователя "подхватывает" вирус. Зараженный компьютер затем используется для распространения киберинфекции на другие внутренние компьютеры и серверы, которые ошибочно считаются защищенными от неавторизованного доступа извне. Во многих случаях конечная цель злоумышленников - выкрасть у организации данные, которые могут представлять интерес, а также попутно установить программы для получения повторного доступа к системе.

Что касается уязвимостей операционных систем, то авторы делают вывод о том, что количество сетевых червей, действующих по удаленному принципу, за последнее время уменьшилось. Кроме Conficker/Downadup, за отчетный период не было обнаружено других червей для операционных систем. Однако количество атак, использующих уязвимость переполнения буфера в Windows, с июля по август возросло в три раза по сравнению с периодом с мая по июнь и составило 90% всех атак на эту операционную систему.

Авторы отмечают также увеличение количества атак, пытающихся использовать так называемые «уязвимости нулевого дня» (zero-day) - дыры, которые обнаруживают хакеры и для которых еще не выпущено исправлений или о которых ничего не известно соответствующим службам безопасности компаний. По данным многих независимых экспертов, за последние три года наблюдается значительное увеличение числа людей, занимающихся обнаружением таких уязвимостей. Некоторые уязвимости остаются неустраненными в течение двух лет.

Министерство обороны США готово предложить своим подразделениям сервисы на базе облака, которые, по словам представителей военного ведомства, обеспечивают более высокую надежность и безопасность, чем коммерческие сервисы Google. Управление информационных систем Министерства обороны США (Defense Information Systems Agency, DISA) объявило о предоставлении пользователям возможности переводить свои основные приложения в облако, которая получила название RACE (Rapid Access Computing Environment).

Платформа RACE была запущена в эксплуатацию в прошлом году и до сих пор предназначалась для тестирования и разработки новых приложений, но не для выполнения основных операций. Теперь же военные утверждают, что RACE вполне готова к обслуживанию самых современных и актуальных приложений Пентагона.

Генри Сенкевич, директор технических программ DISA Computing Services, принимавший участие в разработке RACE, утверждает, что платформа обеспечивает более высокую надежность и безопасность, чем коммерческие облака. У Google, к примеру, довольно часто случаются простои. Например, в сентябре на некоторое время прекратилось функционирование основных сервисов Gmail и Google News.

"У нас подготовлены соглашения, регламентирующие уровень обслуживания для всех наших сервисов и всех предоставляемых клиентам приложений, -- сообщил Сенкевич. -- Для RACE характерны те же самые методы SLA, что и для обычных компьютерных сред. Показатели готовности у нас достигают 99,999%".

Для сравнения -- Google в отношении своих приложений Google Apps обещает только 99,9%. "DISA выдвигает одинаково жесткие требования к готовности и производительности всех приложений, в том числе программ расчета зарплаты, финансовых и логистических программ, - подчеркивает Сенкевич. - Точно такие же требования предъявляются и к среде RACE".

Сотрудникам DISA удалось сократить продолжительность процедуры сертификации программных систем с точки зрения обеспечения информационной безопасности. Если раньше она занимала в среднем примерно 80 дней, то теперь -- около 40. Сроки уменьшились благодаря использованию на платформе RACE встроенных элементов управления защитой информации.

"Мы должны учитывать, что обслуживаем множество держателей информации. Работу в управлении необходимо организовать исходя из требований, предъявляемых к защите информации, -- пояснил Сенкевич. -- Как правило, пользователи имеют возможность самостоятельно выбирать в облаке необходимые им приложения. Нам же нужно уметь разграничивать сферу действия этих приложений. С этой целью нами разработана политика, позволяющая отделять приложения, базы данных и Web-серверы друг от друга".

В DISA провели аудит приложений, работающих в облаке, по стандарту SAS 70 (целью аудита по данному международному стандарту является независимая оценка уровня анализа рисков корпоративных процедур и информационных технологий, а также степени внедрения соответствующих контрольных процедур. - Прим. ред.). В случае удаления приложения с платформы RACE оно подвергается тщательному контролю, а на виртуальном сервере и в среде хранения запускаются процедуры очистки.

"В облаке мы должны обеспечить такой же уровень безопасности и такую же степень доверия, что и в любой другой компьютерной среде DISA, -- заметил Сенкевич. - Безопасности у нас уделяется первоочередное внимание, и именно этим мы отличаемся от многих других поставщиков сервисов в облаке".

Платформа RACE была запущена в эксплуатацию 1 октября 2008 года. С того момента на ее виртуальных серверах были развернуты и протестированы сотни военных приложений, включая системы командного управления, системы организации сопровождения и прикрытия, а также спутниковые программы.

"Нам удалось добиться достаточно весомых успехов, -- заявил Сенкевич. -- Отдачу от внедрения новой платформы можно оценивать по-разному. Имеют ли теперь пользователи доступ к порталу самообслуживания? Да. Хотят ли они выйти на новый уровень стандартизации? Хотят ли оперировать на портале утвержденными правительством кредитными картами в режиме реального времени? И здесь ответ положительный".

Сегодня DISA предлагает таким клиентам возможность использовать платформу RACE для запуска приложений, разработанных специально для облака. Конечная же цель заключается в том чтобы ускорить ввод в строй новых приложений военного назначения. "Наше главное оружие -- умение опережать противника в скорости и качестве принятия решений, -- отметил Сенкевич. -- А платформа RACE как раз и является одним из способов поддержать процесс проектирования приложений на высоком уровне".

В качестве среды исполнения приложений используется программное обеспечение VMware, работающее на серверах-лезвиях HP. Пользователи могут самостоятельно выбрать либо Microsoft Windows, либо Red Hat Linux и сконфигурировать виртуальный сервер, объединяющий до четырех процессоров, до 8 Гбайт оперативной памяти и до терабайта дисковой памяти с шагом приращения в 10 Гбайт.

Стоимость аренды серверов в тестовом режиме составляет 500 долл. в месяц, а в производственном режиме -- 1200 долл. в месяц. Ежемесячное обслуживание предусматривает выделение необходимых ресурсов, поддержку в течение 24 часов 7 дней в неделю, доступ к незащищенной IP-сети Пентагона и выполнение соглашений об уровне обслуживания.

С помощью RACE военные разработчики покупают ресурсы виртуальных серверов с использованием Web-портала и одобренных кредитных карт. DISA гарантирует запуск виртуального сервера в тестовой среде в течение 24 часов, а в производственной среде -- в течение 72 часов. В DISA признают: клиентов, обслуживаемых на платформе RACE на производственном уровне, у них пока нет, потому что процедура обеспечения безопасности приложений подразумевает анализ программного кода вручную, а это отнимает довольно много времени.

"На сертификацию отводится 40 дней, и мы надеемся, что за это время задача будет решена, -- заметил Сенкевич. -- Автоматизировать же этот процесс полностью вряд ли возможно".

Следующим этапом для DISA должен стать перевод на платформу RACE приложений, циркулирующих в защищенной IP-сети. Это планируется осуществить в первом квартале 2010 года. В DISA надеются также перенести на платформу RACE приложения доставки контента и ERP-приложения.

Индустрия финансовых услуг является вторым после здравоохранения по объему продаж рынком для американского производителя программного обеспечения InterSystems. Впрочем, ее доля в общей выручке компании (264 млн долл. в 2008 году) не достигает и 10%. Возможно именно поэтому, хотя конференция "InterSystems Симпозиум 2009" была в основном посвящена здравоохранению, Андреас Дикоу, главный менеджер департамента стратегического планирования, счел нужным рассказать в первую очередь о внедрении основного продукта InterSystems -- высокопроизводительной объектной СУБД Caché -- финансовой группой Credit Suisse. Ранее процесс торговли обыкновенными акциями был автоматизирован в этой финансовой организации с помощью СУБД собственной разработки, функционирующей в оперативной памяти. Однако со временем поддерживать эту систему становилось все тяжелее; близился предел масштабируемости и производительности, предопределенный особенностями архитектуры. Рассмотрев вариант СУБД Caché с использованием механизма распределенного кэширования на базе фирменного протокола ECP (Enterprise Caché Protocol) и библиотеки Light C++ binding, обеспечивающей высокоскоростной обмен между процессами, в Credit Suisse остановились именно на нем. В результате производительность увеличилась в три—пять раз, повысилась стабильность работы и вдвое сократились затраты на аппаратное обеспечение.

Выпущенный год назад инструментарий для бизнес-аналитики DeepSee (см. "Новый игрок на поле BI", Computerworld Россия, 2008, № 36) еще не успел занять заметного места в объеме поставок продукции InterSystems, однако встретил на рынке, как выразился Дикоу, "исключительно благожелательное отношение". А растущие потребности организаций в бизнес-аналитике и то преимущество DeepSee, что для его работы не требуется отдельного хранилища данных, позволяют компании надеяться на стабильный рост продаж этого пакета. В беседе с обозревателем Computerworld Россия Дикоу привел пример уже из области медицины, наглядно показывающий ценность средств бизнес-аналитики,. Исследователи из сети больниц в Бостоне обнаружили, что некий препарат весьма эффективен при определенной форме рака, однако лишь для 10% пациентов. Всякий раз, чтобы определить пригодность этого препарата для конкретного больного, требовалось проводить пробный курс лечения. Применив к данным о пациентах, получавшим такое лечение, метод "добычи данных" (data mining), исследователи обнаружили, что препарат эффективен в тех случаях, когда ДНК пациента содержит определенный ген. После этого стало возможным определять применимость препарата на основе анализа ДНК.

Дикоу привел несколько примеров использования DeepSee для решения бизнес-аналитических задач в реальном времени. В частности новозеландский филиал Tata Consultancy Services, разрабатывающий ПО для финансовой индустрии, применяет этот пакет для управления продажами. Поскольку DeepSee – совсем новая разработка, производитель, естественно, имеет обширные планы по совершенствованию его функциональности. Во-первых, будут упрощены конструирование моделей данных и управление ими. До сих пор аналитические модели данных были ограничены имеющимися определениями классов, в новой же версии для одного определения класса можно будет создавать несколько моделей данных. Иными словами, аналитические модели можно будет конструировать независимо от операционных. Кроме того, планируется поддержка стандартизированного OLAP-языка запросов MDX. Для повышения производительности будут реализованы параллельное выполнение запросов и многоуровневое кэширование результатов. Также в планах интеграция с AJAX-библиотеками Intersystems Zen, поддержка средств отчетности Zen и другие нововведения.

Следующую версию платформы интеграции и разработки приложений Ensemble, функциональность которой была расширена в очередной раз совсем недавно (см. "InterSystems выпустила новую версию Ensemble"), компания планирует выпустить в начале будущего года. Стратегические направления ее совершенствования таковы: дальнейшее повышение производительности и масштабируемости, ускорение разработки приложений (в частности, благодаря расширенной поддержке стандартов и введению механизма программирования конечным пользователем посредством определения правил), повышение характеристик высокой готовности, включая улучшение возможностей модернизации без останова работы системы, и расширенные средства безопасности. Дикоу сравнил сложность задачи модернизации информационной системы на ходу с проведением операции на сердце спортсмену, пока тот бежит марафон. Что же касается производительности применительно к медицинским приложениям, то, например, результаты тестирования скорости передачи сообщений по протоколу обмена медицинской и управленческой информацией HL7 версии 2 для Ensemble версии 2009.1 показали: обычный сервер на четырехъядерном процессоре Intel Xeon X5570 может обрабатывать 89 входящих и 356 исходящих сообщений в секунду (с преобразованием данных и применением правил), или 16,02 млн сообщений за 10 часов. Такая производительность вполне достаточна для поддержки больших информационных систем лечебно-профилактических учреждений.

Вопросом, как быть в условиях ограниченных сроков и бюджетов, определялось основное содержание конференции "Защита персональных данных на предприятии: от законодательных актов — к практическим шагам", проведенной агентством корпоративных коммуникаций OSP-Con и еженедельником Computerworld Россия 24 сентября (см. также "Права или данные?", Computerworld Online, 5 октября 2009 года). Маловероятно, что правительство перенесет сроки исполнения закона "О персональных данных", однако Алексей Катрич, директор по ИТ национального банка "Траст", предположил, что в осенних парламентских слушаниях будет возможность "как-то ослабить" этот закон через воздействие отраслевых ассоциаций. Он назвал поликлиники и загсы "единственной надеждой" и "спасательным кругом" финансового блока. Подобные бюджетные учреждения хранят данные, которые нужно защищать по высшему классу, а финансируются, как правило, недостаточно. Между тем известно, что Минздравсоцразвития РФ объявило конкурс на разработку методических указаний для лечебно-профилактических учреждений. По словам Олега Симакова, директора Департамента информатизации Минздравсоцразвития РФ, эти документы призваны "уменьшить уровень нарушений в рамках 152-ФЗ". "Результаты проекта мы надеемся согласовать с проверяющими органами", — сказал Симаков на конференции "InterSystems Симпозиум 2009". В то же время Катрич не подвергает сомнению целесообразность закона, признавая недопустимым факт, что через Internet легко найти личные адреса и телефоны граждан. "С этим надо бороться", — заявил он.

Серьезную проблему для банков представляет обеспечение соответствия законодательным требованиям специализированных банковских программ для ЭВМ, в особенности тех, которые разрабатываются самостоятельно. Катрич считает, что многие банки будут вынуждены прекратить использование программных продуктов, разработанных собственными силами. Впрочем, даже не все производители банковского ПО согласились модифицировать свои продукты с учетом требований закона. Среднюю сумму, необходимую банку для приведения информационных систем в надлежащее состояние, Катрич оценил в 10 млн руб.

Что касается стратегии, избираемой организациями в ожидании вступления закона в силу, то Денис Муравьев, генеральный директор "Бюро профессиональных услуг 4x4", считает, что малые компании, чья главная задача в текущих экономических условиях — выживание, станут относиться к несоответствию закону всего лишь как к одному из многочисленных рисков, а поскольку организаций много и штат проверяющих невелик, могут рассчитывать, что к ним не придут с проверкой. Средние компании, по его мнению, ограничатся разработкой внутренней нормативной документации. Маловероятно, что они начнут полномасштабные проекты по внедрению средств управления идентификацией, предотвращения потери данных и т. п., из-за высокой стоимости — 300-500 тыс. долл., что, по оценкам Муравьева, равняется примерно четверти годовой прибыли средней компании. Выходом для них Муравьев считает аутсорсинг (уже есть организации, предлагающие услуги по хранению и обработке персональных данных) либо вынос персональных данных за границу, желательно в страну, которая ратифицировала конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных ETS № 108. Евгений Тихонов, директор по производству компании One Agile Interactive, сооббщил, что представители регулирующих органов предупреждали: трансграничная передача информации, например о 100 тыс. лиц призывного возраста, может угрожать обороноспособности страны. Муравьев заявил, что прецедентов мотивированных подобным образом запретов нет и что ему известно по меньшей четыре организации федерального уровня, которые имеют информационные системы персональных данных за границей.

Конкретные шаги для каждой организации Катрич сформулировал следующим образом: во-первых, должна быть создана рабочая группа и все сотрудники, кто имеет отношение к обеспечению исполнения закона, приказом должны быть назначены ответственными за результат. В группу должен войти юрист, которому должна быть предоставлена информация обо всех компонентах информационных систем персональных данных. Он должен будет оценить риски организации и выдать рекомендации, его задачей будет встреча проверяющих и защита прав организации в суде, если потребуется. Затем предстоит определить меру участия организации в проекте, при необходимости проконсультироваться со специализированными фирмами. "Компании, которые занимаются информационной безопасностью, поддерживают постоянный контакт с регуляторами и достаточно серьезно продвинулись не только в предложении тех или иных програмных продуктов, но и собственно в консультировании", — заявил Катрич и заметил, что в этих компаниях уже возникла отраслевая специализация. Мероприятия по обеспечению соответствия определяются на основе оценки рисков невыполнения закона.

Дмитрий Яковенко, партнер департамента консалтинга Deloitte, напомнил организациям о необходимости обеспечить осуществление субъектами персональных данных своих прав: ни одна из опрошенных Deloitte организаций не закончила внедрение формализованного процесса для обработки обращений субъектов персональных данных.