Современные небольшие и тонкие мобильные телефоны внешне все больше напоминают кредитные карты, а в будущем кредитные карты могут стать похожими на мобильные телефоны – с дисплеями и клавиатурой. Если же, конечно, кредитные карты сначала не объединят с этими cамыми телефонами. И тот, и другой вариант был представлен на выставке Cartes & IDentification, состоявшейся в начале ноября в предместьях Парижа.

Новая кредитная карта, продемонстрированная компанией Visa, обладает двумя новыми функциями обеспечения безопасности в дополнение к обычной защищенной от подделки полоски для подписи и встроенной микросхеме - 8-дюймовым дисплеем и 12-кнопочной клавиатурой. Эти новые средства должны увеличить уровень безопасности при осуществлении платежей по сети.

Нажатием кнопки владелец карты может инициировать генерацию одноразового защитного кода для подтверждения легитимности выполняемой в онлайне транзакции. Для этого держатель карты должен набрать персональный идентификационный номер из четырех цифр, который обычно вводят при использовании карты в банкоматах, но в данном случае его невозможно перехватить. Впрочем, одноразовый код, даже будучи перехваченным, окажется бесполезен.

Эта же карта может удостоверять личность на сайте электронной коммерции до совершения транзакции с помощью механизма "вызов – ответ", когда пользователь вводит код, отображаемый на сайте, и карта сообщает, подлинный ли он.

Интегрированная в карту батарейка рассчитана на три года, если совершать 20–30 транзакций в неделю, как заметил представитель компании Дэвид Мейн.

Банку известно, легитимен ли одноразовый код, поскольку эти коды формируют часть последовательности псевдослучайных чисел на основе источника, уникального для каждой карты и известной только банку. При этом соответствующая система банка отслеживает, сколько кодов сгенерировала карта, и может прогнозировать, каким должен быть следующий код в последовательности. Если очередной пришедший код не соответствует ожидаемому ( например, потому, что держатель карты сгенерировал несколько неиспользованных, чтобы показать, как это происходит, своим друзьям), эта банковская система сможет "просмотреть цепочку дальше" для того, чтобы выяснить, есть ли код, предъявленный для аутентификации, в последовательности данной карты, и, если есть - принять его.

При монтаже всех этих электронных модулей в карту (включая батарейку с предполагаемым сроком работы три года), которая тоньше многих так называемых "карманных калькуляторов размером с кредитную карту", необходимо принять во внимание некоторые моменты. В данном случае это касается номера, вытесненного на лицевой стороне карты (в процессе штамповки могла быть повреждена батарейка), поэтому новые карты нельзя использовать там, где до сих пор они изготавливались вручную.

Некоторые банки в скором времени начнут тестирование "Visa Card с одноразовым кодом": MBNA в Великобритании, Corner Bank в Швейцарии, Cal в Израиле и IW в Италии. Мейн также назвал среди тестеров компанию BarclayCard.

Не останавливаясь на объединении карт и аппаратных ключей, Visa также намерена превратить "бесконтактные" карты, которые она уже выпускает на некоторых рынках, в проездные билеты.

Карты PayWave, выпускаемые Visa (а также аналогичные карты, предлагаемые MasterCard) содержат плоские антенны, способные получать радиоволны, передаваемые на небольшое расстояние от модуля считывания, чтобы приводить в действие тонкую микросхему, которая служит для аутентификации транзакций. Та же самая технология используется в Лондоне и в Париже для замены билетов в общественном транспорте. Взмахните картой - и турникет откроется. Разница здесь вот в чем: когда турникет передает сообщение на карту PayWave, спрашивая: "Это действительный билет?", ответ будет: "Нет".

Visa совместно с London Transport и с RATP в Париже работает над модификацией турникетов таким образом, чтобы за этим первым отказом следовал еще один электронный запрос: "Это кредитная карта, с помощью которой хотят заплатить за поездку?" Компания продемонстрировала работающий турникет из парижского метро, который принимает билеты Navigo и карты PayWave.

Карта OysterCard, выпускаемая London Transport, представляет собой пополняемую карту, на которую пассажир должен регулярно докладывать деньги. BarclayCard уже провела испытания кредитной карты, объединенной с OysterCard, но эти две функции карты независимы. Деньги, хранящиеся на компоненте OysterCard, могут быть потрачены только на оплату поездок на транспорте, и как только там закончились средства, чтобы заплатить за поездку с помощью кредитной карты, ее владелец должен посетить киоск и положить на OysterCard деньги. Проект Visa предусматривает расширение такой интеграции, что позволит снимать деньги за поездку непосредственно с карты оплаты.

Японцы уже могут оплачивать проезд на поезде или платить за некоторые виды товаров и услуг с помощью своих мобильных телефонов, но в Европе такие транзакции пока невозможны.

Visa ведет исследования, посвященные тому, как встроить микросхемы, используемые в их кредитных картах, в сотовые телефоны, при этом связать эти микросхемы с мобильной телефонной сетью и обеспечить безопасность данных, хранящихся в телефоне. Это могло бы позволить держателям карт и телефонным абонентам платить непосредственно, используя беспроводной дойступ к Internet.

Сейчас разрабатывается аппаратное обеспечение, необходимое для того, чтобы такие транзакции стали возможными. Один из производителей, проводящий исследования в данном направлении - компания STMicroelectronics. Она продемонстрировала телефон от LG Electronics, модель KU380-NFC, модифицированную таким образом, чтобы в ней можно было установить ее новую микросхему NFC (Near-Field Communication — "связь на очень коротких расстояниях"). Сам по себе ST21NFCA действует как своего рода маршрутизатор безопасности между телефоном, его SIM-картой и антенной NFC. На рынке уже есть телефоны, поддерживающие NFC, но представители STMicro подчеркивают, что их микросхема может заставить телефон действовать и как аппаратный ключ, и как модуль считывания. Они показали, как телефон может использоваться для оплаты – и также считывать информацию с другой карты и отображать эти данные на экране.

Компания Gartner назвала виртуализацию первой из стратегических технологий наступающего года не за ее "совершенно очевидную" возможность виртуализации серверов, а за то, что она открывает новые возможности виртуализации других компонентов в центрах обработки данных.

Большая часть технологий из ежегодного рейтинга Gartner, представленного во время Gartner Symposium ITxpo, была и в прошлогоднем списке. Однако аналитики компании несколько изменили свой список список с учетом темпов развития этих технологий и отзывов клиентов и исследователей. Некоторые технологии из опубликованного рейтинга, как считает аналитик Gartner Дэвид Сирли, потенциально могут оказать негативное воздействие на вашу ИТ-среду (или рынок, на котором вы работаете). Вот рейтинг Gartner на 2009 год.

1. Виртуализация (пятое место в рейтинге прошлого года). По тому влиянию, которое виртуализация может оказать на сокращение затрат на ИТ, Gartner относит ее к технологиям, необходимым практически любой организации. Но для того чтобы попасть в список стратегических технологий, виртуализация должна обладать и другими достоинствами, к которым, в частности, относится возможность применять ее не только к серверам.

Еще один аналитик Gartner Карл Клаунч подчеркнул, что в системах хранения, например, виртуализация позволяет объединять различные виды и поколения технологий хранения. Это, по словам Клаунча, дает пользователям свободу выбора, позволяя объединять и использовать технологии с учетом конкурирующих предложений.

2. Вычисления в облаке (новичок в рейтинге). Если бы это был список самых ажиотажных технологий, то вычисления в облаке (cloud computing), весьма вероятно, возглавили бы рейтинг, заметил Сирли. Его комментарий вызвал смех у участников конференции: "Куда ни плюнь – обязательно попадешь в того, кто говорит о вычислениях в облаке".

Однако Gartner рассматривает вычисления в облаке как технологию, способную кардинально изменить ситуацию не только в роли платформы для программного обеспечения как сервиса, но и как поставщик инфраструктуры вычислений и хранения, а также оболочка для информационных и бизнес-процессов.

3. Вычислительные структуры (восьмое место в рейтинге прошлого года). Серверные технологии достигли в своем развитии той точки, когда вы покупаете только те физические ресурсы, которые вам нужны, будь то память, системы ввода/вывода или процессор, и объединяете их вместе для того, чтобы создать пулы ресурсов. "Вычислительная структура (computing fabric) объединяет эти ресурсы, предоставляя их вам, когда они вам нужны", - заметил Клаунч. В соответствии с этой моделью компании смогут обходиться без автономных пулов небольших, средних и крупных серверов. Лезвийные серверы в какой-то степени обладают такой же возможностью – возможностью переносить ресурсы памяти и процессора, – но они ограничены тем, что есть на шасси.

4. Архитектура, ориентированная на Web (новая технология в рейтинге, но она похожа на "Web-платформу", занимавшую седьмое место в прошлом году). В прошлом году в Gartner рассказывали о том, что Web станет моделью для доставки сервисов. В этом года аналитики компании рассматривают ситуацию под углом архитектурного подхода, обсуждая, как Web-модели повлияют на сервисно-ориентированные архитектуры (Service-Oriented Architecture, SOA). Эта архитектура, как следует из ее названия, опирается на Web-стандарты, идентификаторы, форматы и протоколы.

5. "Коллажи" приложений корпоративного уровня (шестое место в рейтинге прошлого года). Коллажи (mashup) представляют собой серьезный корпоративный инструментарий, с помощью которого пользователи могут применять общедоступные API, быстро компонуя разные сервисы, функции и информационные ресурсы. Инструментарий компоновки контента дает бизнес-пользователям возможность самостоятельно сочетать внутренние данные и информацию, поступающую извне.

6. Специализированные устройства (новичок в рейтинге). Классический пример – маршрутизатор Cisco, но существуют специализированные устройства (appliance) для Java-приложений, для хранения данных и для поддержки других задач. Этот подход может в определенных случаях привести к сокращению затрат и, как заметил Клаунч, может стать масштабной тенденцией.

7. Социальное программное обеспечение и социальные сети (десятое место в рейтинге прошлого года). Инструментальные средства такого рода, по словам Клаунча, позволяют действовать, не ограничиваясь рамками организации и динамически формируя коллективы, соответствующие текущим задачам.

8. Унифицированные коммуникации (второе место в рейтинге прошлого года). По прогнозам Gartner, в результате применения унифицированных коммуникаций в течение ближайших пяти лет число различных производителей коммуникационных решений может сократиться, по крайней мере, на 50%.

9. Бизнес-аналитиз (новая технология в рейтинге). Едва ли эту технологию можно назвать новой для предприятий, но по мере увеличения вычислительных ресурсов у компаний появляется возможность расширять сферу применения бизнес-аналитиза (business intelligence), например, использовать BI непосредственно в бизнес-процессах.

10. "Зеленые ИТ" (первое место в рейтинге прошлого года). Уже превратившись в привычную стратегическую технологию, которая никуда не исчезнет, экологичные ИТ нисколько не потеряли своей значимости. Экологичность остается одним из приоритетов в сфере информационных технологий, и сюда относится все, что может помочь уменьшить счета за электроэнергию и снизить расход топлива.

Почти скрывшись за массивной кафедрой, исследователь Кристина Боргман стояла на сцене перед двумя сотнями специалистов по вопросам электронного обучения и излагала им свои взгляды.

На проходившей в Орландо ежегодной конференции Educause Боргман продемонстрировала, какие черты приобретет система образования в 2015 году (то есть всего лишь семь лет спустя), если преподаватели, исследователи и авторы программ обучения будут идти в ногу с интенсивно развивающимися технологиями. К этим тенденциям относятся всеобщее распространение высокоскоростных беспроводных сетей, организация обработки данных на основе концепции cloud computing, стремительный рост объемов хранилищ цифровой информации, где помимо всего прочего размещаются сведения, собираемые подключенными к сети датчиками, а также результаты работы аналитических инструментов.

В основу презентации лег отчет, опубликованный недавно рабочей группой по вопросам электронного обучения при Национальном научном фонде США, председателем которой является Боргман. С отчетом Fostering Learning in the Networked World: The Cyberlearning Opportunity and Challenge ("Развитие концепции обучения в сетевом мире: проблемы и возможности электронного обучения") можно познакомиться в Internet.

Профессор Боргман возглавляет программу исследований в центре Center for Embedded Networked Sensing Калифорнийского университета в Лос-Анджелесе, специалисты которого занимаются разработкой беспроводных сенсорных систем и изучением их влияния на различные научные и социальные процессы. Недавно вышедшая в свет книга Боргман, выпущенная издательством MIT Press, называется Scholarship in the Digital Age: Information, Infrastructure, and the Internet ("Образование в цифровую эпоху: информация, инфраструктура и Internet").

Боргман напомнила своим слушателям, что сегодняшние студенты, которых она назвала "обитателями цифрового мира", уже сейчас активно используют многие из этих средств, чтобы расширить свое понимание окружающего мира и повысить эффективность обучения. Зачастую это принимает весьма нетрадиционные формы, не имеющие никакого отношения к официальным образовательным структурам. Аудитории же, в которых занимаются сегодняшние студенты, в большинстве своем ничем не отличаются от тех, где учились их родители или даже бабушки и дедушки. Занимая место на скамье рядом со своими однокурсниками, студенты словно перемещаются назад во времени, обрывая уже привычные для них коммуникации в реальном времени с Web, друзьями и информацией.

По словам Боргман, в 2015 году доступ к обучающим ресурсам, в отличие от "классического" образования, станет возможным не только в учебных аудиториях, но и дома, и в других местах. Имитационные модели, виртуальные лаборатории и среды визуального отображения информации позволят студентам манипулировать огромными объемами данных. Они получат доступ к большому количеству интерактивных хранилищ цифровой информации. Дома студенты смогут обращаться к любым ресурсам, поддерживая виртуальные отношения со своими однокурсниками, преподавателями и другими людьми. Преподаватели получат возможность следить за тем, как усваивается учебный материал, своевременно выявлять проблемы и помогать студентам.

Таковы перспективы электронного обучения, определенные рабочей группой Национального научного фонда США, предлагающей перейти к "обучению с широким применением сетевых компьютеров и коммуникационных технологий". Это определение является отражением тезиса, прозвучавшего в предыдущем отчете фонда: электронная инфраструктура представляет собой набор сетевых и телекоммуникационных технологий, предназначенных для создания новых типов "организаций и сред распространения научных и инженерных знаний".

Основой для революционных преобразований в системе образования рабочая группа считает применение технологий cloud computing и формирование сетей образовательных ресурсов. "Мы просто физически не в состоянии построить необходимое количество учебных заведений и аудиторий, отвечающих потребностям образования XXI века", -- пояснила Боргман.

Сразу после своего создания рабочая группа вступила в полемику с критиками, утверждавшими, что "технологии не могут стать определяющим звеном в системе образования". Члены группы подготовили широкий обзор ранее опубликованных исследований, посвященных применению информационных технологий в образовании, и пришли к твердому выводу: "При правильном внедрении и использовании технологий создаются все условия для повышения качества образования и расширения его границ".

Однако сформулированный постулат еще предстояло раскрыть. Это выразилось в пяти итоговых рекомендациях рабочей группы.

Первая рекомендация предполагает создание сообщества.

"Нужно сформировать сообщество людей, которые хорошо понимали бы суть электронного обучения, -- подчеркнула Боргман. -- В его ряды должны войти исследователи, преподаватели всех уровней, представители администрации учебных заведений, разработчики программного обеспечения, а также персонал ИТ-служб. Сообщество необходимо для проведения экспериментов, обобщения передового опыта, формулировки путей профессиональной переподготовки. Все это потребует времени".

Второй важной задачей является "создание платформы" -- ориентация на совместно используемое, интероперабельное, расширяемое, приспособленное для тестирования и проведения необходимых испытаний оборудование и программное обеспечение. В Калифорнийском университете в Лос-Анджелесе обнаружили у себя более 25 разрозненных приложений управления учебным процессом. Подобному дублированию следует противопоставить масштабируемость и интероперабельность, присущие концепции Web 2.0. Платформа должна служить местом внедрения, интеграции, развития и совместного использования инноваций.

Третье -- это использование "преобразовательной силы" технологий в интересах образования на всех уровнях. В результате развития информационных и коммуникационных технологий в академические и образовательные программы будут внесены определенные изменения. Финансирование исследований ускорит перемены, а также поможет наладить преподавание соответствующих дисциплин как в аудиториях, так и в средах виртуального обучения.

Четвертая рекомендация направлена на создание и последующую популяризацию открытых образовательных ресурсов.

"Одной из причин неудач при попытках внедрения новаторских методов в прошлом были ограничения, обусловленные необходимостью соблюдения авторских прав, -- отметила Боргман. -- Это мешало созданию интероперабельных, повторно используемых компонентов, которые в свою очередь можно было бы объединять с другими компонентами, поддерживающими новые функции и возможности. Так, при финансировании исследовательских проектов Национальный научный фонд должен обязать разработчиков распространять результаты проектов в соответствии с лицензиями Creative Commons. В этом случае права группируются и лицензируются с учетом ваших потребностей".

Наконец, необходимы меры, направленные на поддержку, координацию и эффективное совместное использование результатов будущих исследований в области электронного обучения.

"К примеру, у Национального научного фонда нет базы данных, в которой было бы представлено то, что уже сделано, -- подчеркнула Боргман. -- А без нее организовать эффективное взаимодействие групп исследователей очень сложно".

В последние годы конференцию Educause стали упрекать за неформальную и бессистемную выдачу подобных рекомендаций. Как и в ходе большинства других технических конференций, презентации Educause объединяются по тематике: "преподавание и обучение", "сетевые решения и инфраструктура", "безопасность и конфиденциальность". В каждом из таких направлений представлены самые разнообразные по стилю выступления преподавателей, исследователей и ИТ-специалистов. И каждое из таких выступлений посвящено новым и интенсивно развивающимся технологиям.

В отчете рабочей группы Национального научного фонда США содержится призыв к систематизации предпринимаемых усилий. Необходимо осуществлять финансирование и координировать действия заинтересованных сторон в рамках всей отрасли.

"Сроки проведения назревших мероприятий ограничены, -- предупреждает Боргман. -- Время обитателей цифрового мира уже началось. И их среди нас становится все больше".

Многие специалисты по безопасности ИТ-систем скептически относятся к идее организации доступа и управления идентификацией на основе механизма ролей, считая, что она непомерно сложна в воплощении. Дело в том, что определение ролей осуществляется по большей части вручную, что сильно снижает возможности их масштабирования, а динамическая природа ролей заставляет постоянно синхронизировать их настройки с изменившейся реальностью.

Процедуры изучения уже существующих ролей, определения новых, организации связи ролей с инфраструктурой ИТ, обеспечения выполнения нормативных требований и управления ролями на протяжении их естественного жизненного цикла являются слишком сложными и неудобными для того, чтобы применять их на практике. В результате многие считают концепцию управления ролями ошибочной. Но вместе с тем роли имеют весьма большое значение в процессе управления, а их правильное определение и соответствующее ограничение доступа заметно облегчают жизнь системному администратору, отвечающему за безопасность.

Для успешного применения разграничения доступа на основе ролей и соответствующего управления идентификацией необходимо соблюдать три условия.

1. Люди, отвечающие за управление ролями, должны четко понимать их. Определение ролей следует описывать в бизнес-терминах достаточно ясно, чтобы у специалистов по безопасности, аудиторов и бизнес-руководителей не возникало разночтений в отношении того, что разрешено делать сотрудникам, которым присвоена та или иная роль.

2. Роли должны упрощать пользователям понимание работы механизмов разграничения доступа. Тем, кто использует систему управления доступом на основе ролей, должно быть ясно, кто и к каким функциям имеет доступ, а также в какой степени это отвечает потребностям организации (прослеживается ли четкое соответствие между предназначением роли и определенными в ней правами; быть может, предоставленных прав недостаточно или, напротив, их слишком много, что приводит к нарушению предъявляемых к системе требований).

3. Роли должны способствовать повышению эффективности управления доступом. В общем случае роли ускоряют присвоение пользователю необходимых ему прав, поскольку при добавлении нового пользователя или изменении ранее определенных прав достаточно выбрать требуемые роли, что упрощает администрирование. Система ролей облегчает также соблюдение установленных норм, потому что соответствие и несоответствие прав доступа становится абсолютно прозрачным. При добавлении к роли новых прав или объединении ролей решение должно приниматься с учетом предварительного анализа возникающих рисков и возможного нарушения нормативных требований.

Для соблюдения перечисленных условий и определения ролей, в наибольшей степени подходящих вашей организации, необходимо придерживаться следующих правил.

Вовлекайте в определение ролей людей, отвечающих за разграничение прав доступа. Их точка зрения очень важна при формировании структуры разграничения доступа к информационным ресурсам, а также при проведении анализа и моделирования ролей. Сформулированные абстракции должны быть тесно связаны с конкретными особенностями бизнеса, регламентирующими должностные обязанности, бизнес-процессы и нормативные требования, а также с техническим контекстом, который зависит от особенностей инфраструктуры ИТ. При использовании ролей в уже введенных в эксплуатацию продуктах шансы на успех значительно возрастают в случае конструктивного взаимодействия специалистов по безопасности ИТ и представителей бизнеса.

Проводите регулярную инвентаризацию существующих прав доступа у всех пользователей. Это мероприятие имеет решающее значение для создания автоматизированной системы управления доступом, которая могла бы извлекать информацию о правах из любого хранилища данных, обеспечивать нормализацию и обобщение полученных сведений и размещать их в бизнес-контексте с дружественным интерфейсом.

Особое внимание уделите проектированию ролей, сочетанию технических и бизнес-ролей. Эффективный подход к моделированию ролей требует создания бизнес-ролей (должностных, ролей в бизнес-процессах или процедурных ролей), размещаемых поверх ролей технических (прикладных, системных или сетевых). Подобный гибридный подход обеспечивает нисходящую привязку бизнес-ролей к различным информационным ресурсам. В результате создается общий язык определения прав доступа, хорошо понятный всем заинтересованным сторонам, принимающим участие в процессе управления правами доступа (специалистам по безопасности ИТ, представителям бизнеса, командам, следящим за соблюдением нормативных требований и осуществляющим проведение аудита).

Начиная данный процесс, не забывайте о том, что сведение к минимуму количества ролей, как правило, способствует достижению более высокой эффективности. Не волнуйтесь, если с первой попытки вам не удастся добиться идеального результата. Формируйте свою первую ролевую модель на основе сведений, поданных заинтересованными сторонами. Проведите тестирование, сопоставив свои роли с реальными правами доступа, получаемыми пользователями, которым присвоена та или иная роль. Задача заключается не в том, чтобы немедленно достичь совершенства, а в том, чтобы извлекать уроки из допущенных ошибок, неуклонно продвигаясь вперед. Чем раньше вы приступите к моделированию и тестированию, тем быстрее придете к желаемой цели.

Анализируйте полученные результаты. Особое значение здесь имеет автоматизированная система моделирования ролей. Когда у вас в голове сложится общая картина распределения пользователей между определенными вами ролями, можно будет приступать к анализу каждой роли, отвечая на следующие вопросы.

- В какой степени роли упрощают процесс контроля прав доступа? Посмотрите, какому количеству пользователей присвоена данная роль. Роли, которые не присвоены ни одному пользователю, следует удалять, а роли, объединяющие минимальное число пользователей, являются первоочередными кандидатами на удаление.

- Насколько точно определена роль? Следует стремиться к минимизации количества недостающих ролей. Выявляйте пользователей, роли которых не в полной мере соответствуют их должностным обязанностям, а также тех, кто не использует права, предоставленные присвоенной им ролью.

- Является ли роль уникальной? В том случае, если имеются роли, охватывающие одних и тех же пользователей или описывающие одни и те же права доступа, вероятно, имеет смысл объединить их.

- Можно ли расширить границы роли? Поищите неохваченных пользователей, которые отвечают критериям выбранной роли, и рассмотрите возможность включения в нее новых общих прав доступа.

- Какие права доступа остаются не охваченными вашей ролевой моделью? Попытки полного избавления от них обычно приводят к чрезмерному разрастанию ролей. Наличие слишком большого числа прав, не вписывающихся ни в одну из ролей, порождает дополнительную работу. Ищите рациональное соотношение.

Периодически пересматривайте определение ролей. Моделирование ролей -- итерационный процесс. Даже если результаты внедрения первоначальной модели далеки от идеала, с каждой последующей итерацией вы приобретаете необходимый опыт и постепенно избавляетесь от недостатков. Время от времени имеет смысл проводить тонкую настройку ролей, объединяя или корректируя их с учетом числа пользователей, которым присвоена та или иная роль, количества прав доступа, не охваченных ролевой моделью, рисков, обусловленных присвоением ролей, и упрощения процедур администрирования.

Установите принадлежность ролей. В процессе перехода от технического взгляда на разграничение доступа к бизнес-представлению -- посредством применения языка бизнес-ролей, усиления ответственности и контроля за выполняемыми операциями, а также путем сертификации ролей -- соответствующие процедуры выводятся из-под крыла ИТ-службы и передаются в бизнес-подразделения. Поддержка ролей в бизнес-подразделениях представляется более логичной, потому что управляющие бизнесом лучше понимают, какой уровень доступа требуется для выполнения конкретной работы или бизнес-процесса и какое отражение изменения, происходящие в бизнесе, должны найти в изменении ролей.

Осуществляйте постоянное управление ролями на протяжении всего их жизненного цикла. Важно понимать, что управление ролями -- это не проект, имеющий свое начало и конец, а непрерывный процесс. Частые изменения являются неотъемлемым свойством самой организации, используемых ею технологий и делового климата, в условиях которого приходится работать людям. Следовательно, язык ролей и их определение также должны меняться в соответствии с происходящими вокруг переменами, с тем чтобы обеспечить адекватное отражение ролями объективной реальности в данный момент времени.

Упрощайте. Попытки внедрения ролевых систем в условиях реальной жизни без учета контекста существующей среды, политик компании, требований регулирующих органов и используемых бизнес-процессов обречены на провал. В отрыве от контекста мы получим систему, которая окажется не в состоянии угнаться за меняющимися потребностями бизнес-пользователей и будет подвергать организацию неоправданно высоким рискам.

Придерживаясь перечисленных рекомендаций, вы повышаете тем самым вероятность успешного определения набора ролей, что позволит вашей компании уменьшить риски, связанные с разграничением прав доступа, распространить созданную модель в масштабах всего предприятия и снизить нагрузку на специалистов, отвечающих за безопасность ИТ.

В октябре на ежегодной конференции пользователей в Лас-Вегасе компания Epicor Software объявила, что система планирования ресурсов предприятия Epicor 9 будет выпущена до конца этого года.

Эта последняя версия объединяет лучшие возможности различных линеек программных продуктов Epicor в "суперпакет следующего поколения" на основе сервис-ориентированной архитектуры и включает в себя такие функции, как управление отношениями с клиентами (CRM), управление отношениями с поставщиками (SRM), управление бизнес-процессами (BPM), систему регулирования, управления рисками и обеспечения соответствия нормативным требованиям (GRC),а также управление деятельностью предприятия (EPM).

Пользователи предыдущих версий смогут внедрять новые приложения по своему усмотрению, не испытывая необходимости переходить на другую платформу, как сообщили представители Epicor, традиционно ориентированной на рынок среднего бизнеса и подразделения крупных предприятий.

Аналогичные цели преследуют и в Oracle, реализуя стратегию Fusion Applications, которая объединяет возможности таких линеек продуктов, как J.D. Edwards, Siebel и E-Business Suite. Данная стратегия также перекликается с проектом Microsoft Project Green, в рамках которого корпорация стремится теснее интегрировать ERP-приложения Dynamics.

Epicor 9 отличает высокий уровень согласованности с такими программными системами Microsoft, как Office 2007 и SharePoint. Пользователи могут получать доступ к ERP-системе с помощью различных средств, от стандартных форм приложений до офисных приложений и мобильных устройств. Оболочка Epicor Everywhere Framework выявляет атрибуты пользовательского интерфейса, описанные в виде метаданных XML, что гарантирует единообразие внешнего вида приложений на клиентских устройствах различных типов.

Первоначально Epicor 9, как предполагается, будет поддерживать 20 языков. Эту систему можно будет приобрести как автономный продукт, а также на условиях "программное обеспечение как сервис".

В целом выпуск нового продукта станет важной вехой в истории Epicor, которая, как утверждается, насчитывает свыше 20 тыс. пользователей более чем в 140 странах. В 2007 финансовом году доходы компании приблизились к 430 млн долл.

Epicor планирует и дальше поддерживать свои более старые системы, но, как заметил аналитик AMR Research Брюс Ричардсон в своем блоге, "Epicor 9 станет шагом к приобретению новых пользователей в сфере промышленного производства, дистрибуции, розничной торговли и сферы услуг. Работа под единым брендом потенциально способна увеличить эффективность в области продаж, маркетинга, консалтинга и сервисов, а также в разработке продуктов".

"Производители, подобные Epicor, могут долго оставаться незамеченными на фоне столь известных компаний, как Oracle и SAP, однако, если выпуск Epicor 9 окажется успешным, то уже к концу года позиции компании укрепятся", - считает Ричардсон.

Между тем, вполне возможно, что компанию ждет смена собственника. Члены совета директоров рассматривают предложение о недружественном поглощении, сделанное хедж-фондом Elliott Associates.

Тот же Ричардсон совсем недавно предположил, что Epicor может быть приобретена другим производителем, например, таким активным и удачливым покупателем, как корпорация Oracle, даже несмотря на явную привязку продуктов компании к технологиям Microsoft.

Причиной этого, по словам Ричардсона, является тот факт, что в Oracle осознали, что легче купить конкурента, чем самостоятельно привлекать новых клиентов и добиваться их лояльности. Кроме того, по его мнению, рынок среднего бизнеса по-прежнему остается перспективен для производителей ERP-систем старшего класса.

Истинные масштабы влияния ИТ на финансовый шторм на Уолл-стрит неизвестны, но уже сейчас звучат призывы к тому, чтобы воспрепятствовать повторению сложившейся ситуации. Один из предлагаемых планов реализации этих призывов базируется на складывающейся в мире ИТ тенденции -- росте популярности программного обеспечения с открытым кодом.

Старший преподаватель права из университета штата Нью-Мексико Эрик Джердинг, долгое время занимавшийся изучением юридических тонкостей, касающихся ценных бумаг, и причин возникновения мыльных пузырей раздутой стоимости фондовых активов, отметил, что, отталкиваясь от существующих компьютерных моделей, Комиссия по ценным бумагам и биржам США фактически отдала вопросы финансового регулирования на откуп самим компаниям, предоставляющим финансовые услуги и опирающимся в этом на закрытые программные системы.

Какой же выход видится из сложившейся ситуации? Необходимо предоставлять заинтересованным лицам доступ к кодам программ, как это делают представители сообщества Open Source, с тем чтобы повысить прозрачность финансовых услуг, к которым прибегают при расчете рисков.

Модели финансовых рисков оперируют тысячами переменных и не менее сложны, чем модели систем прогнозирования погоды. Для их функционирования требуются огромные вычислительные мощности, что подтверждается затратами по отрасли. В 2003 году компании, специализирующиеся на предоставлении финансовых услуг, потратили на высокопроизводительные системы 169 млн долл. К 2007 году, по оценкам аналитиков IDC, затраты достигли 305 млн долл.

По мере расширения возможностей и увеличения мощности технологий инвестиции приобретают все более комплексный характер. В качестве примера здесь можно привести ценные бумаги ипотечных компаний. Уверенность регулирующих органов в этих инструментах возросла настолько, что Комиссия по ценным бумагам и биржам США внесла ряд фундаментальных изменений в процесс регулирования. Под давлением поставщиков финансовых услуг 28 апреля 2004 года Комиссия ослабила существовавшие ранее нормы, согласившись использовать при оценке рисков компьютерные модели этих фирм. Данному событию, которому в то время уделялось недостаточно внимания, недавно была посвящена большая статья в New York Times. В предварительном варианте своего документа, опубликованного в сентябре, Джердинг заметил, что повышение уровня рисков вполне устраивало регулирующие органы, потому что было видно, какие кредиторы уже находятся на грани убытков.

"По мнению многих представителей регулирующих органов, применяемые модели оценки рисков позволяли кредиторам и игрокам на финансовых рынках точнее назначать цены и более грамотно осуществлять управление рисками. Комиссия по ценным бумагам и биржам принимала соответствующие решения в то время, когда вера в технологию не подвергалась сомнению. При наличии каких-то поводов для беспокойства эти моменты наверняка были бы затронуты в выступлениях Алана Гринспэна, бывшего руководителя Федеральной резервной системы США, ушедшего в отставку в 2005 году (см. также "Алан Гринспэн: в кризисе виноваты компьютерные модели"). По его словам, технологии и новые модели оценки кредитоспособности предоставили заимодателям "эффективные средства расширения своей деятельности и охвата самого широкого круга потребителей".

А кто же входил в этот "широкий круг" потребителей? Заемщики, оформлявшие субстандартные ипотечные кредиты. "Если раньше ненадежным клиентам просто отказывали в выдаче кредита, то теперь у ипотечных банков появилась возможность эффективно оценивать риски, связанные с каждым конкретным претендентом, и выражать их в денежной форме", -- пояснил Гринспэн.

Однако утверждение Гринспэна, что у кредиторов появилась техническая возможность достаточно точно оценивать риски, оказалось неверным. По данным компании RealtyTrac, в этом году из-за проблем с погашением кредитов своих домов лишатся до миллиона людей. В 2007 году таковых насчитывалось около 400 тыс. В конце прошлого года Гринспен объявил об увеличении вероятности начала рецессии.

Отрицательные последствия выдачи кредитов ненадежным заемщикам усугубляются особенностями функционирования финансовой системы. Наряду с размещением займов кредитное учреждение проводит и целый ряд других инвестиций, вследствие чего риски значительно возрастают. Человеческий фактор, в частности выдача так называемых "кредитов лжецам" (займов, основанных на неподтвержденных доходах), в моделях рисков, как правило, не учитывается. Ожидается, что возникновение таких ситуаций приведет к росту инвестиций в управление рисками.

По мнению Джердинга, ответ на возникшие трудности лежит в открытии кода финансовых приложений, что позволит банкам и рейтинговым агентствам контролировать функционирование моделей, определяющих требования к размещению капитала, и методику оценки рисков.

"В случае применения программного обеспечения с открытым кодом другие пользователи смогут копировать эти модели и вносить в них изменения исходя из своих потребностей", -- подчеркнул Джердинг. Кроме того, проведенные исследования показывают, что в программном обеспечении с открытым кодом меньше ошибок.

Компании с Уолл-стрит уже сейчас являются крупнейшими пользователями программного обеспечения категории Open Source. Однако Лайза Кэш, исполнительный вице-президент компании DFA Capital Management, разрабатывающей финансовые приложения, указывает, что очень сложно вывести на рынок даже высококачественный программный продукт без сильного бренда. "Попробуйте найти желающих потратить деньги на это", -- заметила Кэш.

В отличие от регулирующих органов США, их европейские визави проводили аудит моделей рисков, что повышало уровень прозрачности и доверия.

"Чем прозрачнее ситуация, тем лучше для нашего бизнеса, -- подчеркнула Кэш. -- В Европе регулирующие органы изучали программный код, но согласились не раскрывать его".

Впрочем, некоторые специалисты полагают, что повышение прозрачности -- более сложная задача по сравнению с открытием кода. Президент и директор по технологиям компании Keane Business Risk Management Solutions Питер Тойтен заметил, что в управлении рисками нет общих стандартов. Там нет "универсальных нагрузочных тестов", за исключением простейшего набора сценариев рисков.

Эффективность использования модели Open Source вызывает у Тойтена сомнения, потому что это повлечет за собой множество децентрализованных разработок. Однако уже можно наблюдать, что кризис начал стимулировать внедрение открытых стандартов.

Несмотря на то что в США обманная реклама запрещена законом, в рекламной сети Yahoo для размещения на Web-сайтах предлагается несколько категорий объявлений, среди которых есть и специальная категория для тех, что вводят пользователей в заблуждение.

Владельцы Web-сайтов при использовании системы Direct Media Exchange компании Yahoo Right Media могут отбирать объявления по критерию "обманности" и по желанию либо показывать их на своих сайтах, либо блокировать.

К подобным объявлениям относятся графические изображения, имитирующие сообщения об ошибках или о начале загрузки, а также полностью копирующие диалоговые окна Windows. В эту же категорию входят объявления с фальшивыми кнопками закрытия окна или открытия меню, которые на самом деле переадресуют пользователя на рекламируемый сайт.

Кроме того, система Direct Media Exchange отбирает обманные объявления по их содержанию. Размещающие рекламу могут отфильтровывать объявления с "обманными или сомнительно реалистичными предложениями", а также "бесплатными предложениями", не раскрывающими условий, которые должен выполнить потребитель, чтобы получить это самое "бесплатное предложение". Обо всем этом рассказывается на сайте Direct Media Exchange.

Цель оправдывает средства

Согласно приведенным на сайте данным, доля рекламных объявлений с бесплатными предложениями без раскрытия условий в отдельные периоды доходит до 18% всех предложений по размещению рекламы в Right Media.

Рекламодателям нравится эффективность подобных объявлений. Результаты опубликованного месяц назад исследования сотрудников университета Северной Каролины говорят о том, что пользователям очень трудно отличать фальшивые сообщения об ошибках в Windows от настоящих. В эксперименте, в котором участвовали 42 студента университета, почти две трети из них нажимали "OK" в любом случае, неважно, было ли выскочившее сообщение реальным или поддельным.

В Right Media утверждают, что такая классификация объявлений представляет собой чисто техническое средство, разработанное с целью создания открытого рынка для рекламодателей и публикаторов. "Direct Media Exchange не дает оценок этому типу объявлений, - пишет представитель Yahoo Кристин Вэрхем. - Решение о выборе типа объявлений, который будет показываться на его страницах, остается за публикатором".

Не оправдывают, но и не запрещают

Доцент факультета бизнеса Гарвардского университета Бен Эдельман, изучающий методы маркетинга в Internet, считает, что Yahoo следует отказаться от размещения в своей сети обманных объявлений. "Трудно найти оправдание тактике, используемой этими объявлениями. Они предназначены для введения в заблуждение, и, судя по всему, им это удается, - заявил Эдельман. - Им не должно быть места в рекламной сети Yahoo".

Yahoo приобрела компанию Right Media в прошлом году за 700 млн долл., пытаясь укрепить позиции в борьбе за рекламные бюджеты с компанией Google. Сеть Right Media предоставляет владельцам Web-сайтов со свободными местами для размещения рекламы возможность продажи мест рекламодателям на аукционе.

Официальные лица, отвечающие за соблюдение законодательства в области рекламы, считают, что, хотя рекламные объявления на Direct Media Exchange бывают сомнительными, нарушения все-таки не настолько серьезны, чтобы вводить принудительные меры.

"Любое рекламное объявление, которое способно ввести в заблуждение разумно действующего в данных условиях потребителя, может считаться обманным", - пояснил заместитель директора подразделения методов рекламы Федеральной комиссии США по торговле Рик Кваресима.

Но Комиссия рассматривает каждое рекламное объявление отдельно, добавил он. Объявления, обманом завлекающие пользователя на сайт, многих раздражают, однако главной проблемой являются те объявления, которые обманывают покупателя с целью продажи ему фальшивого или вредоносного продукта – например, вредоносных антишпионских программ. "Нас гораздо сильнее беспокоят те случаи, в которых обманная реклама может привести к ущербу здоровью или имуществу потребителя. Здесь мы сосредоточиваем главные усилия".

Прокуроры в раздумьях

Заместитель генерального прокурора штата Вашингтон Кэтрин Тэсси полагает, что обманная реклама представляет определенную дилемму для Right Media.

С одной стороны, фильтрация объявлений такого типа является услугой для публикаторов. С другой стороны, это ставит компанию в уязвимое положение, поскольку она фактически способствует распространению обманных объявлений.

Если же Right Media просто прекратит фильтрацию, это ухудшит положение потребителей и поощрит стремление недобросовестных рекламодателей пропихивать на рынок обманные объявления.

Тем не менее правоохранительные органы, в том числе и прокуратура штата Вашингтон, по всей видимости, будут считать, что за обманные объявления отвечает не рекламная сеть, а сами рекламодатели.

"Обманную рекламу надо вообще запретить", - считает директор интерактивных сервисов музыкального сайта Supernova.com Сэнфорд Лиу. Но Right Media, по его мнению, ведет себя правильно. "В том, что касается фильтров, которые можно использовать, они поступают очень прямо и открыто. На большинстве других сайтов такого нет", - добавил он.

Всем специалистам по информационной безопасности, желающим, чтобы именно их алгоритм был выбран в США в качестве нового государственного стандарта криптографического хэширования, надо срочно подать свои заявки. Но ждать результата придется долго: новый алгоритм безопасного хэширования (Secure Hash Algorithm) планируется выбрать не раньше 2012 года.

Улучшить хорошее

С помощью алгоритмов хэширования реализуется множество важных для безопасности функций: электронные подписи, верификация контента, сканирование на вирусы и так далее. Используемые в настоящее время алгоритмы SHA-1 и SHA-2 (Secure Hash Algorithm, варианты 1 и 2) пока, как считается, вполне надежны, но уже некоторое время известно несколько методов серьезных атак на их ядра. Надеясь найти алгоритм получше, в прошлом году Национальный институт стандартов и технологии США (NIST) объявил об организации публичного конкурса на новый стандарт.

Одну из заявок подала группа специалистов по безопасности во главе с Брюсом Шнайером. В нее вошли Нильс Фергюсон, Стефан Лакс, Дуг Уайтинг, Михир Белларе, Тадаеси Коно, Джон Каллас и Джесси Уокер. Их алгоритм называется Skein.

Авторы работают вместе в свободное время, а основными местами их работы являются, соответственно, Microsoft, Веймарский университет (Германия), BT Group, Hifn, Калифорнийский и Вашингтонский университеты, PGP и Intel.

Хотя на первый взгляд кажется, что Skein является плодом трудов какого-нибудь "мощного отраслевого консорциума", в заявке на 75 страницах авторы указывают, что это совсем не так. "Наши работодатели любезно предоставили нам возможность заниматься этой работой, но большая ее часть была проделана в свободное время", - пишут создатели Skein.

Быстрый и гибкий

"Skein - очень быстрый и очень гибкий алгоритм, - заявил директор по технологиям безопасности BT Group Брюс Шнейер. - Кроме того, он прост и надежен".

Семейство алгоритмов Skein рассчитано на длину ключей от 256 до 1024 бит. Основной вариант длины – 512 бит. "Skein-256 – это вариант для малого объема памяти, - говорится в заявке, - а Skein-1024 – наш сверхконсервативный вариант". Skein основан на блочном шифре Threefish.

Всего в конкурсе алгоритмов хэширования, проводимом NIST, примет участие около 40 заявок. Начало процессу публичного рецензирования представленных на конкурс алгоритмов будет положено на конференции NIST, которая запланирована на будущий год. Окончательный выбор нового стандартного алгоритма хэширования в NIST планируют сделать в 2012 году, после полного публичного рецензирования алгоритмов-финалистов, которым удастся устоять перед тщательным критическим анализом экспертов всего мира.

Такой длительный процесс, отмечают в NIST, дал хороший результат при выборе в 2002 году нового алгоритма шифрования с симметричным шифром AES (Advanced Encryption Standard) на замену устаревшего DES (Data Encryption Standard).

Сегодня разговоры о переменах стали главной темой не только в политике. По мнению аналитиков Gartner, четыре развивающихся тенденции в ИТ изменят наше представление о программной отрасли в целом и о способах доставки программных продуктов и сервисов, а производителям программного обеспечения придется столкнуться с серьезными трудностями.

"Четыре глобальные тенденции повлекут за собой принципиальные изменения в использовании информационных систем, -- отметила ведущий аналитик Gartner Ивонн Дженовезе в ходе своего выступления на конференции Gartner Symposium/ITxpo, проходившей в Орландо. -- Каждая из этих тенденций требуют отдельного изучения, призванного дать ответ на вопрос о том, какое воздействие они окажут".

"Достигающие все большей степени зрелости программные решения предполагают ориентацию на пользователя, ориентацию на Web, ориентацию на услуги и использование новых моделей доставки программ, к которым относятся направление cloud computing и модель 'программное обеспечение как сервис'", -- пояснила Дженовезе. Речь идет о следующих тенденциях.

№ 1: Возникновение новых и консолидация существующих технологий. "Рынок ИТ вступил в период ускоренных изменений, появления новаторских способов применения информационных технологий, а также их доставки корпоративным клиентам и конечным потребителям, -- утверждается в отчете Gartner. -- Технологические изменения, которые ранее были нацелены на переход к сервис-ориентированной архитектуре, теперь дополняются новыми особенностями, среди которых следует отметить решение задач, связанных с управлением бизнес-процессами, расширение сферы использования портативных устройств и появление приложений-"коллажей" (mashup), черпающих информацию из различных источников".

По прогнозам аналитиков Gartner, к 2010 году гибридные mashup-технологии превратятся в "доминирующую модель", на основе которой будет строиться большинство составных корпоративных приложений.

"Популярность приложений-коллажей объясняется простотой их проектирования, -- пояснила Дженовезе. -- Поскольку они создаются буквально на лету, возникает целый класс новых программ с коротким жизненным циклом, не удовлетворявших ранее требованиям к программам, в которые было целесообразно вкладывать средства на корпоративном уровне. Еще одно преимущество заключается в том, что пользователи легко могут настраивать информационное наполнение таких приложений. Mashup-технологии позволяют решать вопросы интеграции контента, а также обеспечивать корпоративным клиентам индивидуальную гибкость при объединении данных, находящихся как внутри, так и вне предприятия".

№ 2: Изменение организации и характера деятельности пользователей и службы технической поддержки программного обеспечения. Изменения порядка, места и времени выполнения сотрудниками своих задач, внедрение новаторских методов применения компаниями программного обеспечения с использованием ресурсов Internet принципиально меняют структуру бизнеса. К 2015 году ни одна из компаний не сможет сохранять конкурентоспособность, не уделяя достаточного внимания совокупности индивидуальных усилий, социальной динамики и взаимодействия.

"Большая часть существующего программного обеспечения нацелена на удовлетворение общих потребностей предприятия, а не конкретных нужд пользователей, -- подчеркнула Дженовезе. -- А между тем, перед руководителями бизнеса и ИТ-служб, понимающими, какое воздействие индивидуализация работ оказывает на бизнес, на критически важные процессы, инновации и взаимодействие между предприятиями, открываются совершенно новые возможности. Следует отметить, что более половины от общего объема программного обеспечения, оборудования и услуг, приобретаемого ИТ-службой, определяется предпочтениями пользователей".

№ 3: Революционные изменения в программном обеспечении и характере его использования. Согласно прогнозам Дженовезе, к 2010 году более 80% новых критически важных приложений и бизнес-процессов в том или ином виде будут функционировать под знаком SOA.

"Результирующая среда приложений станет более дифференцированной, всеохватывающей и гибкой, что будет способствовать ускорению процессов построения, интеграции, настройки и повторного использования программных систем", -- говорится в отчете Gartner.

В течение 2008-го и 2009 годов руководители бизнеса должны "радикально пересмотреть свои процедуры, характер управления и дисциплину, с тем чтобы инициировать соответствующий переход", а также провести оценку внешних программ и приложений, находящихся за пределами предприятия, и наладить контроль их доставки.

"Популярность Web-платформ, программного обеспечения, предоставляемого в качестве сервиса, и предложений в модели utility computing неуклонно растет, -- отметила Дженовезе. -- Соответственно, растут и аппетиты покупателей, желающих иметь доступ к новым функциям и услугам. В такой период самые серьезные изменения затрагивают всех действующих лиц и исполнителей на ИТ-рынке, включая клиентов, поставщиков, инвесторов, предприятия, специалистов в области ИТ и конечных потребителей".

№ 4: Движение рынка программного обеспечения в сторону масштабных экосистем, поддерживаемых крупными поставщиками. Еще раз подтвердился тезис о том, что на целом ряде рынков клиенты не могут планировать свои затраты без учета влияния крупных поставщиков программного обеспечения (в частности, SAP и Oracle). "Крупные поставщики пытаются обеспечить себе доминирующее положение как в области корпоративных архитектур, так и в части интеграции портфелей нескольких производителей, -- отметила Дженовезе. -- Вместе с тем, поставщикам специализированных средств (лучших в своем классе) приходится поддерживать мирное сосуществование с другими приложениями и корпоративными архитектурами.

"Хотя перевод коробочных приложений в рамки SOA в совокупности с манипулированием метаданными процессов по сути должен минимизировать требования к программному обеспечению следующего поколения, основные ресурсы все равно будут сосредоточены в руках крупных производителей, а побудительные стимулы - исходить от поставщиков специализированных средств, -- подчеркнула Дженовезе. -- К сожалению, производители лучших в своем классе продуктов в течение долгого времени вынуждены ждать, пока следующее поколение открытых составных приложений займет свое место на рынке и откроет его более широкой когорте поставщиков.

Мы видим, как быстро меняются технологии в отрасли, которая казалась достаточно зрелой. Поставщики ориентируются в большей степени на "бизнес программного обеспечения в целом", чем на конкуренцию между отдельными продуктами. Пользователи, сталкивающиеся с растущей мощью поставщиков и снижением гибкости ценообразования, со своей стороны начинают заниматься поиском альтернативных вариантов, стратегий сдерживания и путей снижения стоимости перехода к другому поставщику. Поэтому изменения в характере конкуренции на рынке в течение ближайших пяти лет будут определяться реакцией поставщиков на нарастающее давление и происходящие перемены".

По словам вице-президента IBM Software Group Джона Месберга, концепция Smart SOA подразумевает использование сервис-ориентированной архитектуры в разных контекстах бизнеса разной сложности. В IBM разработали модель, которая охватывает различные ситуации, начиная с базовых и заканчивая реализацией возможностей динамической адаптации среды SOA. Однако самое главное в концепции Smart SOA состоит в том, что IBM предлагает простые подходы к решению проблем заказчиков. По мнению Месберга, ИТ-компании часто продвигают слишком сложные, комплексные решения там, где в этом нет никакой необходимости. Джон Месберг комментирует предлагаемые IBM подходы к реализации сервис-ориентированной архитектуры.

- Вы рекомендуете пять «точек входа» в SOA, соответствующих пяти простым способам перехода к сервис-ориентированной архитектуре на предприятии. Почему IBM предлагает именно такие стартовые шаги?

Напомню их — это повторное использование программных компонентов, обеспечение взаимодействия (интеграция), люди, процессы, информация. IBM работала в основном с ИТ-отделами своих заказчиков, создавала решения в области ИТ. Поэтому первые две «точки входа» в SOA — повторное использование и интеграция — имеют отношение в первую очередь к ИТ.

Применение этих способов может быть весьма успешным в целом ряде случаев, однако сегодня мы видим, что большинство проектов не занимаются технологиями ради технологий. Это бизнес-проекты, призванные принести реальную коммерческую пользу. Поэтому остальные три «точки входа» — люди, процессы, информация — затрагивают те области, которые связаны с SOA с точки зрения бизнес-руководства. Во-первых, люди. Лидеры бизнеса сегодня стремятся наладить эффективную совместную работу своих сотрудников, причем не только в рамках предприятия, но и за его пределами, в географически распределенном контексте. Далее, процессы — здесь рассматривается все то, что касается моделирования и развертывания гибких адаптируемых бизнес-процессов на предприятии. И, наконец, информация — в этой «точке входа» мы говорим о возможностях совместного использования информации, получения нужных данных в любом месте в любое время.

- Каковы наиболее серьезные препятствия, мешающие компаниям успешно пройти эти «точки входа» в SOA?

В реализации сервис-ориентированной архитектуры одна из самых серьезных проблем возникает со стороны поставщиков «коробочных» приложений. Они часто говорят о поддержке SOA, но на практике только некоторые возможности своих продуктов способны предложить в качестве сервисов, предпочитая продавать приложение в целом, а не отдельные модули, как это нужно в SOA.

Еще одна проблема состоит в том, каким образом определять сервис. Скажем, в компании есть финансовый отдел и отдел продаж, и тот и другой хотят получить информацию о клиентах. В обоих случаях мы, казалось бы, должны реализовать один и тот же сервис. Однако, запрашивая информацию о клиентах, разные отделы имеют в виду разные вещи. Финансовому отделу нужны данные о контрактах, оценка кредитоспособности клиента и прочее. А специалистов отдела продаж интересует, например, имя директора, день рождения его жены, чтобы вовремя послать подарок и т. д. Таким образом, хотя с технической точки зрения на высоком уровне абстракции все выглядит одинаково, конкретное наполнение сервиса оказывается совершенно различным.

Третий момент — проблема мастер-данных. В «чистой» SOA, как ее определяют в университетах, работа идет по принципу «запрос-ответ». При этом сервис выглядит как черный ящик, и внешнему миру неизвестно, что происходит внутри него. Сервис должен быть полностью автономным, так чтобы все необходимое для получения ответа определялось запросом. В результате запрос может оказаться очень сложным, содержать огромное количество мастер-данных и т. д. В простых XML-сообщениях трудно отправлять такой объем данных, поэтому в конкретных реализациях помимо обращения к сервису подразумевается направление запроса в базу данных. Таким образом нарушаются базовые принципы классической SOA.

IBM способна предложить решения этих проблем.

- Являются ли эти решения технологическими или включают в себя методологические аспекты?

И то, и другое. Вернемся к примеру двух отделов, запрашивающих информацию о клиентах. При решении этой проблемы необходимо прийти к согласию по поводу терминологии. Можно, конечно, для разных отделов определить разные сервисы получения информации о клиентах, но это приведет к такому объему сервисов, с которым будет очень трудно работать. Необходимо сделать так, чтобы был один сервис, но его практические реализации для разных отделов могли отличаться друг от друга. Для этого нужна единая терминология, соглашения о формате наименований, общие библиотеки. Это методологический аспект решения проблемы, есть и соответствующие технологические механизмы.

- Предложенные пять шагов являются исчерпывающими для успешной реализации SOA? Или для наиболее продвинутых компаний вы можете порекомендовать дополнительные «точки входа»?

Хотя эти пять подходов достаточно широки, нельзя заявлять, что они являются полностью исчерпывающими. Вполне могу представить появление заказчика, который реализует SOA способом, не попадающим ни в одну из перечисленных категорий.

Но я и не хочу сказать, что достаточно выбрать одну из этих пяти «точек входа», и успех вам обеспечен. Существует очень много других факторов, влияющих на реализацию SOA. Важно определить общее направление, но дальше появятся новые варианты выбора. Например, какое программное обеспечение промежуточного слоя использовать? На успех влияют и такие факторы, как эффективность руководства ИТ (IT Governance), приверженность топ-менеджмента компании данному проекту.