Обзор системы «тор сэд». обязательный минимум эдо для госсектора

Описание процесса оказания услуг по развитию системы

Процесс развития системы начинается с момента инициации работ, сформированных на основании требований бизнес-пользователей системы к изменению или расширению функционала прикладного ПО. Процесс состоит из следующих этапов:

• Инициация работ
• Взятие запроса в работу
• Оценка запроса
• Обработка запроса
• Приемо-сдаточные работы
• Гарантийная поддержка результатов работ

Процесс обработки запросов на доработку в Jira в общем случае выглядит следующим образом, но может быть скорректирован совместно с Заказчиком:

1. Инициация работ

   Заявка на оказание услуги по развитию системы производится путем направления контактным лицом Заказчика перечня запросов на доработку следующим способом:

   • Отправка письма на электронную почту контактного лица нашей компании
   • Регистрация обращения в системе Service Desk Заказчика (либо в нашей системе Jira) с типом «заявка на доработку» (предложение по улучшению), с указанием контактного лица Заказчика, ответственного за запрос.

   В заявке на оказание услуги инициатор указывает по каждому запросу на доработку:

   • Тема: краткое описание запроса
   • Родительская задача: Если данный запрос является продолжением другого или связан с другим запросом, его номер необходимо указать
   • Описание: полное описание запроса, достаточное для оценки работ
   • Файлы: к запросу возможно прикрепить документы

2. Взятие запроса в работу

   Мы подтверждаем получение запроса и достаточность данных для проведения оценки.

   В случае отсутствия необходимой информации для оценки запроса мы указываем, какие данные необходимы для проведения оценки.

   Срок оценки учитывается по каждому запросу на доработку отдельно.

   Гарантированные сроки:

   • Время подтверждения регистрации: 2 рабочих дня
   • Время оценки: 5 рабочих дней

   Отсчёт времени подтверждения регистрации и оценки начинается с момента регистрации запроса в системе Service Desk Заказчиком.

3. Оценка запроса

   Стоимость и срок выполнения работ по запросу определяется исходя из наших трудозатрат, согласованных с Заказчиком по ставкам наших специалистов.

4. Обработка запроса

   Работа ведется в рамках каждого запроса на доработку. В случае необходимости может быть запрошена дополнительная информация.

   При необходимости, мы проводим ежедневное информирование Заказчика о статусе реализации Заявки.

   Работы распределяются на консультантов-аналитиков и разработчиков, в зависимости от способа реализации требования (стандартный функционал платформы/программирование).

   После реализации всех требований по задаче производится комплексная отладка составных компонентов решения, подтверждается работоспособность функционала.

   По мере выполнения каждой задачи релиза, мы производим перенос реализованного и отлаженного функционала на тестовое окружение заказчика.

5. Приемо-сдаточные работы

   По мере переноса реализованного функционала на тестовое окружение, мы осуществляем проверки реализованной функциональности (прогон тест-кейсов).

   Все обнаруженные дефекты фиксируются, исправляются разработчиком и повторно проверяются тестированием.

   Мы осуществляем регрессионные проверки на окружениях, развернутых в нашей зоне.

   При необходимости, осуществляется проведение демонстрации реализованного функционала специалистам Заказчика.

   Все создаваемые в рамках запроса на развитие программные изделия передаются Заказчику, как в виде готовых модулей, так и в виде исходных кодов, представляемых в электронной форме.

6. Гарантийная поддержка результатов работ

   В случае, если в процессе эксплуатации выявляются дефекты, то нашими разработчиками вносятся правки на всех окружениях. Гарантийная поддержка выполненных доработок осуществляется в течение не менее 3 месяцев с момента подписания сторонами актов приема-передачи доработки.

ЕВФРАТ

Данная система электронного документооборота разработана в полном соответствии с требованиями стандарта качества ISO 9000 и российских ГОСТов в области делопроизводства. От своих «коллег по цеху» «ЕВФРАТ» отличается наличием множества собственных уникальных программных разработок, которые нельзя встретить в конкурирующих СЭДах. Чисто технологически данная система является одной из самых «продвинутых» на современном российском рынке СЭДов.

Плюсы

• В комплект поставки этой системы входит встроенная СУБД «Ника», что автоматически освобождает организацию-пользователя от приобретения дополнительного программного обеспечения.
• Дружелюбный интерфейс, обладающий приятным запоминающимся дизайном.
• Встроенный механизм ролей для управления правами доступа.

Минусы

• Довольно медленная скорость работы, особенно на слабых компьютерах.
• Периодические сбои в работе и нерасторопная техподдержка.

Сколько стоит?

Стандартная лицензия с установкой системы на собственный сервер организации стоит от 5200 до 7300 рублей на одно рабочее место, больше пользователей – ниже цена. Однако имеется также вариант размещения серверной компоненты на оборудовании компании-производителя. В этом случае применяется система абонентской платы – четыре тарифа, стоимостью от 10 000 до 95 000 рублей в месяц.

EMC Documentum

Данная платформа для автоматизации процессов документооборота разработана мировым лидером IT-индустрии, компанией EMC. Мощный функционал вкупе с гибкой настройкой отдельных инструментов делают EMC Documentum лучшей иностранной СЭД из доступных на российском рынке.

Плюсы

• Высокая степень удобства управления проектно-конструкторскими документами.
• Внедрение механизма check-in/check-out, позволяющего управлять распределением прав доступа.
• Наличие функции, позволяющей реализовывать процедуру согласования на нескольких уровнях.
• Поддержка устройств сканирования и распознавания документов.

Минусы

• Работа только с браузером Internet Explorer.
• Отсутствие в открытом доступе технической и практической документации по системе.
• Частые «тормоза» и лаги при высокой загруженности системы.

Сколько стоит?

Фиксированных цен на использование данной платформы нет. Стоимость ее внедрения обговаривается индивидуально с каждым заказчиком.

Контроль динамики инцидентов

В случае возникновения инцидентов мониторинг осуществляется
в нескольких направлениях. В первую очередь мы анализируем лог-файлы системы. Собирать
их рекомендуется централизованно, и затем обрабатывать с помощью автоматических
инструментов.

Некоторые ошибки фиксируются в логах в фоновом режиме и не
требуют каких-то действий от пользователя, но влияют на длительность выполнения
операций. Наша задача отслеживать те ошибки, которые возникают достаточно часто
и могут критичным образом повлиять на систему. Разовые ошибки, которые
происходят примерно в одно и то же время у большого количества пользователей, нуждаются
во вмешательстве команды сопровождения. Это же касается большого количества
однотипных ошибок за короткий промежуток времени. Также стоит контролировать
объем файлов с логами – как правило большой объем говорит о наличии какой-то
проблемы.

На этапе сопровождения системы в службу Service Desk поступают
обращения пользователей. Здесь отслеживается два направления:

●   Обращения,
связанные с длительностью операций. Эта информация анализируется вместе с
результатами профайлинга;

●   Непосредственно
инциденты. Здесь мы также вычисляем средние значения их количества (в
день) для сравнения с целевым показателем. Если в ходе развития СЭД мы отмечаем
рост числа инцидентов по одной компоненте или бизнес-процессу, значит,
последние доработки могли оказать негативное влияние, и нужно оптимизировать работу
системы.

Проанализировав характер обращений, выделяем топ
«проблемных» компонент и топ «проблемных» пользователей. А также объединяем
инциденты по месту возникновения (отдел, филиал, здание). Исходя из этой информации,
мы можем выяснить первоисточник проблем, который не всегда очевиден при
реактивной работе с обращениями. Пользователи могут прийти к одной и той же ошибке
за счет разных операций и по-разному их описать. Классификация даст возможность
решать 1000 инцидентов от 1000 пользователей за счет избавления от объединяющей
их проблемы.

* * *

В целом, существует два подхода к поддержке и сопровождению
системы. Мы можем решать уже возникшие проблемы по мере поступления (реактивно)
или предсказывать и предупреждать их с помощью описанных инструментов (проактивно).
Второй подход позволит уменьшить количество нештатных ситуаций, накопить
исторические данные, и спрогнозировать, как будет вести себя система при тех
или иных изменениях. Проактивный подход более эффективен в долгосрочной
перспективе и может быть реализован с помощью доступных средств. Наш опыт
работы с крупными компаниями целиком это подтверждает.    

Трехзначные миллионы

Сколько стоит минута простоя информационной системы для ритейлового бизнеса? По данным компании IDC, которая опросила игроков из топ-1000 на западном рынке, стоимость одного часа простоя бизнес-приложений в сумме доходит до $1 млн. За год суммарно потери от сбоев бизнес-приложений обходятся бизнесу в $2,5 млрд. Если рассматривать конкретные примеры, то стоимость 1 минуты простоя в Amazon равна $165 тыс.

Как дела обстоят в России? Алексей Акопян, руководитель направления мониторинга компании «Инфосистемы Джет» приводит следующие цифры: «Мы опросили топ-10 компаний из сферы ритейла и выяснили, что средняя стоимость одного часа простоя составляет от ₽20 млн до ₽50 млн. В среднем, потери компании от сбоев работы бизнес-приложений составляют от ₽300 млн до ₽800 млн в год».

Петр Асратян, руководитель управления автоматизации внутренних процессов компании «Яндекс» отмечает: «Мы классифицируем инциденты по степени принесенных убытков, выясняя, к каким именно финансовым потерям привел конкретный инцидент. Например, банковский шлюз дал сбой и 2 минуты не принимал карточные платежи. Мы смотрим сумму прошедших транзакций за то же время в другие дни и четко оцениваем потерю. Но нужно отметить важный момент: для некоторых сервисов случившиеся потери не безвозвратные. Скажем, клиент размещает рекламу. Даже если в тот момент сервис был недоступен, человек в 95% случаев вернется обратно. Но есть и другие примеры: если покупатель приобретает билеты в кино и у него что-то не получается, он уйдет к нашим конкурентам. Вот это уже безвозвратная потеря. Мы приняли для себя принципиальное решение: сразу будем считать, что в период сбоя потеряли деньги. Даже если клиент вернулся обратно, наша репутация пострадала, поэтому любой инцидент требует пристального изучения».

Далеко не везде принята практика оценки стоимости инцидентов. Кроме того, это не всегда является непререкаемой необходимостью. Евгений Комаров, руководитель управления развития ИТ ЦУМ объясняет: «Мы учитываем простои, но не считаем их стоимость. Наша политика в отношении сбоев крайне проста: в бизнес-критичных приложениях их вообще быть не должно».

Законодательное регулирование

Российское законодательство в течение последних нескольких лет начинает активно проявлять интерес к высоким технологиям. Однако пока мы идем с отставанием, по сравнению с рядом зарубежных стран, в области правового регулирования информационных технологий и документооборота в частности. Последним прямо настоящим прорывом было принятие федерального закона от 10 января 2002 «Об электронной цифровой подписи». В нем ЭЦП приравнена к собственноручной подписи при соблюдении соответствующих условий указанных в законе и даже может рассматриваться заменой печати организации, естественно так же при соблюдении соответствующих условий. Помимо указанного ФЗ «Об ЭЦП» сейчас электронный документооборот в нашей стране регулируется рядом следующих законов: ФЗ «Об информации, информатизации и защите информации», который содержит формальные определения таких понятий, как «информация», «документированная информация», «документ», «информатизация», «информационные ресурсы».

Федеральный законы «О связи» и «Об участии в международном информационном обмене» также определяют понятия «документированная информация», «информационные ресурсы», «информационные продукты», «информационные услуги». Например, под «документом» здесь понимается «зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать». Косвенно электронного документооборота также касается закон «О лицензировании отдельных видов деятельности», устанавливающий обязательность лицензирования деятельности по выдаче сертификатов ключей ЭЦП, регистрации владельцев ЭЦП, оказанию услуг, связанных с использованием ЭЦП, и подтверждению подлинности ЭЦП.  Здесь же предусмотрено лицензирование деятельности: по распространению шифровальных (криптографических) средств, по техническому обслуживанию шифровальных (криптографических) средств, по предоставлению услуг в области шифрования информации, по разработке, производству шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем.

Кроме того, есть целый ряд ГОСТов. ГОСТ 6.10.4-84 «Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники», определяющий требования к составу и содержанию реквизитов, придающих юридическую силу документам на машинных носителях, информации, создаваемым средствами вычислительной техники, а также порядок внесения изменений в указанные документы; ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритмы криптографического преобразования»;  ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма».

Список законов и государственных стандартов представлен здесь не полно, кроме указанных существует еще ряд постановлений, указов, писем, стандартов, для описания которых потребуется, наверное, отдельный выпуск журнала. Следует заметить, что работа в правом регулирования области ИТ продолжается и сейчас. В Государственной думе во втором чтении был принят законопроект нового закона «Об информации, информационных технологиях и о защите информации». Данный проект закона определяет порядок сбора, передачи, производства и распространения информации в РФ, использования информационно-телекоммуникационных сетей, устанавливает ответственность за нарушения в сфере информтехнологий и коммуникаций. Вводятся новые понятия («обладатель информации», «информационная технология», «оператор информационной системы» и другие), обеспечивающие однозначное толкование законодательных норм. За обладателем информации закрепляются исключительные права на определение доступа к информационным ресурсам и их использование. Законопроект вводит классификацию информации по критериям доступности и способам распространения. Фиксируется «презумпция открытости информации о деятельности государственных органов и органов местного самоуправления». В проекте закона записано, что «право на доступ к какой-либо информации не может быть использовано для насильственного изменения основ конституционного строя, нарушения территориальной целостности РФ, создания угроз обороне страны, безопасности государства и охране правопорядка». Поправки о запрете использования импортного программного оборудования (ПО) на стратегических объектах России были отклонены депутатами Государственной Думы.

Программная система мониторинга ИТ-инфраструктуры

Данная система, основанная на программной платформе с открытым исходным кодом, обеспечивает эффективное управление динамичной распределенной ИТ-инфраструктурой, включая ее физические компоненты (серверы, системы хранения данных и др.), виртуальные и облачные среды. Она дает возможность не только отслеживать состояние ИТ-инфраструктуры, но и контролировать бизнес-сервисы, определять влияние ИТ-проблем на бизнес-процессы.

Среди потенциальных заказчиков системы — государственные структуры, банки и финансовые компании, промышленные предприятия и предприятия розничной торговли. Для них система выполняет актуальные задачи, представленные в таблице.

К основным функциональным возможностям системы относятся:

• Автоматическое обнаружение объектов мониторинга в сети.
• Визуализация взаимозависимостей между объектами ИТ-инфраструктуры.
• Автоматический анализ событий и выявление первопричин проблем в ИТ-инфраструктуре.
• Устранение аварийных ситуаций посредством автоматизированных действий.
• Автоматическое оповещение службы технической поддержки о сетевых инцидентах.
• Определение трендов в работе сетевого оборудования.
• Мониторинг доступности и производительности серверов и сетевого оборудования с использованием программ-агентов или без них.
• Применение многочисленных технологий сбора информации о работе сети и состоянии ее элементов (SNMP, NetFlow, IPMI, WMI и др.).
• Предоставление информации о сетевом трафике на основе данных Netflow.
• Контроль выполнения соглашений об уровне обслуживания (SLA) в масштабе реального времени.
• Мониторинг параметров окружающей среды в ЦОДе, контроль работы систем электропитания и охлаждения в ЦОДе.

Предоставляя объективную информацию о состоянии ИТ-инфраструктуры, данная система способствует повышению качества ИТ-услуг. Система обнаруживает назревающие проблемы в ИТ-инфраструктуре до того, как они повлияют на работу пользователей, способствует снижению финансовых потерь из-за отказа критически важных ИТ-решений.

От мониторинга ИТ к мониторингу бизнес-процессов

Сбои невозможно свести к нулю, но можно хотя бы приблизиться к этому. Именно поэтому бизнес внедряет системы мониторинга. Отслеживать работу инфраструктуры — золотой стандарт ритейла. В тоже время мониторинг ИТ-инфраструктуры не отвечает на все вопросы. Тоже самое касается и мониторинга приложений, который позволяет держать руку на пульсе по ключевым параметрам, но не дает картины по бизнес-процессу в целом. Кроме того, работающие компоненты ИТ не гарантируют приемлемого клиентского опыта. А обеспечение этого, по мнению экспертов из ритейла, сверхцель любой системы мониторинга.

Крупные компании зачастую имеют в своем распоряжении несколько систем мониторинга, порой их число превосходит десяток. В тоже время и они остаются далеки от мониторинга того или иного критичного для себя бизнес-процесса.

«Сервисный подход в мониторинге как раз и позволяет перейти от контроля работы отдельных компонентов ИТ к мониторингу состояния бизнес-процесса. Это эталон, к которому многие компании стремятся сейчас, — объясняет Алексей Акопян. — Реализовать у себя сервисный подход в мониторинге еще несколько лет назад было крайне сложно. Теперь же есть решения основанные на методах машинного обучения и аналитики больших данных для обнаружения аномалий в технологическом стеке приложений и ИТ-инфраструктуры в режиме реального времени

Эталонный мониторинг приложений включает в себя четыре блока. Во-первых, это мониторинг пользовательского опыта — как приложение работает со стороны клиента, как производительность соотносится с доступностью и временем отклика. Во-вторых, это автоматическое построение топологии обнаружения сервисов, которое контролирует все транзакции на уровне приложений до уровня кода. В-третьих, это элементы ИИ, позволяющие находить аномалии в производительности в контексте топологии приложения. И четвертый блок — блок аналитики, который сможет наглядно продемонстрировать как коррелируют между собой технические и бизнес-показатели. В такой функциональности система мониторинга способна стать частью контроля бизнес-процесса и улучшить клиентский опыт.

Система контроля качества услуг связи

Успешная деятельность многих организаций в значительной мере зависит от качественного предоставления услуг связи, поэтому так важно, чтобы сервис-провайдер гарантировал выполнение необходимых (для достижения нужно уровня качества услуг) технических требований, оговариваемых в SLA.

Предлагаемое решение по контролю SLA, представляющее собой систему активного мониторинга сети, позволяет найти ответы на следующие вопросы:

• Обеспечивается ли выполнение соглашений SLA на арендуемых каналах связи?
• Какие участки сети передачи данных оказывают наибольшее влияние на функционирование сервисов?
• Вызваны ли перебои в функционировании рабочих процессов деградацией каналов связи?
• Удовлетворяют ли характеристики каналов связи потребностям используемых сервисов?
• Имеется ли резерв пропускной способности для ввода в эксплуатацию новых сервисов?

Централизованное управление процессами: от SOC к 360-view и зонтичному мониторингу

SecOps — это прежде всего централизованное управление процессами. Традиционно в ИБ концепция единого центра управления безопасностью — SOC — подразумевает изолированную от других подразделений работу. Тем не менее для эффективного обеспечения ИБ нужны инструменты консолидации, агрегации и анализа данных, а также управления событиями и инцидентами, относящимися как к ИТ, так и к ИБ.

Объединение потоков данных ИТ- и ИБ-мониторинга в едином «зонтичном» центре агрегации данных может решить эту проблему.

Объединение потоков данных ИТ и ИБ расширяет возможности Security Operations Center (SOC)

Создание единого центра управления всей информационно-технологической деятельностью организации выгодно и для ИТ, потому что дает возможность выстроить концепцию 360-view. Это взгляд со всех сторон на ИТ-инфраструктуру и ИТ-услуги предприятия для обеспечения их качества, надежности, безопасности и стабильности. Такой взгляд на ресурсы, пользователей и происходящие события также полезен для решения задач ИБ.

Концепция 360 важна для выстраивания эффективной работы как ИТ-, так и ИБ-подразделения

Объединить потоки данных в ИТ- и ИБ-подразделениях помогает зонтичный мониторинг и единая система управления бизнес-процессами.

Минус системы, плюс для бизнеса

С точки зрения устройства мониторинга мало кто из ритейлеров может похвастаться идеальной системой. Как правило, компании имеют несколько ИТ-решений. Появляясь однажды под разные задачи, теперь он образуют причудливый ИТ-узор. В отдельных случаях их число даже переваливает десяток. При таком подходе затруднительно получить единую и достоверную картину по работе ИТ-систем и приложений. Алексей Акопян делится своим наблюдением на этот счет: «Многие компании сейчас подошли к тому, чтобы оптимизировать свой мониторинг. У них нет цели перейти на одну систему, но хотя бы сократить число ИТ-решений до 3-5, проработать элементарные интеграции, сделать удобным их управление и получить наконец общую картину по предприятию — это возможно».

Какое же конкретное ПО выбрать? Вопрос логичный. Решения по мониторингу производительности приложений от AppDynamics (входит в состав компании Cisco) несколько лет подряд называются одними из лучших. Так считают аналитики Gartner. Это программное обеспечение позволяет контролировать распределенную инфраструктуру приложения, сервера, сети, базы данных, веб-сервера и другие программные компоненты.

Неважно, где именно возникает проблема. Время на ее поиски существенно сокращается благодаря комплексному подходу

«Мы хотели, чтобы наша e-com команда тратила меньше времени на устранение проблем и сосредоточилась на задачах развития и повышения качества кода. Спустя шесть месяцев после внедрения AppDynamics, мы уже наблюдаем значительные успехи на оперативном уровне», — говорит Бернард Тьерри, ИТ-директор компании Kiabi.

Системы мониторинга приложения держат руку на пульсе бизнеса и, подобно хорошему доктору, предлагают профилактику вместо лечения, то есть дают возможность проактивного реагирования в случаях замедления тех или иных транзакций.

Система задает динамические пороговые значения как технических параметров, так и бизнес-метрик. Помимо этого, компонент встроенной аналитики Business IQ от AppDynamics помогает отслеживать клиентский опыт. Вы сами видите, какое влияние оказывает работа приложения на опыт пользователя. Таким образом, компании получают полное представление о том, как работа ИТ влияет на главные бизнес-показатели. «Одним из ключевых преимуществ, которые мы получили при использовании Business IQ, является то, что система предоставляет возможность как бизнес-подразделению, так и ИТ-командам сотрудничать вместе, имея в своем распоряжении единый источник истинных фактов», — говорит Джон Хилл, ИТ-директор компании Carhatt.

Материал создан на основе круглого стола Business Critical: мониторинг бизнес-процессов в условиях неопределенности, организованного Digital Академией.

Остались вопросы по теме материала? Пишите на [email protected]!

Концепция зонтичного мониторинга ИТ+ИБ

В зонтичном, или комплексном, мониторинге данные из всех систем мониторинга и управления ИТ-инфраструктурой, которые используются в компании, собираются в едином центре. Информация анализируется, очищается от незначительных и некорректных событий и привязывается к ресурсно-сервисной модели ИТ-систем и услуг. Данные SIEM обогащаются информацией о состоянии ИТ-инфраструктуры и релевантных ИТ-событиях, поступивших в зонтичный мониторинг, и собираются в единой системе управления бизнес-процессами. Это помогает однозначно идентифицировать любое событие с конкретным учетным объектом и с определенной информационной системой, в рамках которой этот объект используется. В результате сотрудники ИТ- и ИБ-подразделений получают оперативную аналитику в виде дашбордов, а также площадку для взаимодействия в решении или расследовании инцидента.

Реализация зонтичного мониторинга на примере Naumen Business Service Monitoring

Таким образом, связь данных технологических систем мониторинга и управления, систем управления информационной безопасностью, SIEM-систем и процессных систем управления ИТ-подразделениями помогает создать некий единый центр мониторинга. С его помощью можно наблюдать инфраструктуру с технологической и бизнес-стороны, со стороны безопасности и управления.

Lotus Domino.Doc

Данная СЭД является приложением к известной платформе Notes/Domino, обладающей высокоуровневой системой обеспечения безопасности данных. Также Lotus Domino.Doc имеет продвинутый электронный архив, который позволяет реализовать объемное хранилище корпоративной документации.

Плюсы

• Наличие уникальных систем репликации, предназначенных для комплексного решения задач по управлению потоками документов в распределенной среде.
• Возможность поиска документов по отдельным частям хранилища информации.
• Каталоги LDAP масштабируются вплоть до уровня корпораций.

Минусы

Недостатки данной системы в основном вытекают из ее западного происхождения – имеются определенные вопросы к интерфейсу и реализации некоторых функций.

Сколько стоит?

Стоимость пользовательских и серверных лицензий рассчитывается индивидуально на сайте платформы.