Мы попросили наших читателей поделиться самыми грязными IT-секретами, с которыми они сталкивались на работе, — ложью из серых зон и темной стороны технологий, о которой другие совершенно не подозревают. После обработки присланных материалов мы передали эти «секреты» экспертам в соответствующих областях для анализа. Некоторые получили признание экспертов, но другие не подтвердились.
IT-специалисты часто распространяют серую ложь и ведут тёмные политические игры в IT-бизнесе, как будто ничего не произошло.
IT-специалисты часто точно знают, что стоит за проблемой, — а иногда именно они сами и стали её причиной.
Мы попросили наших читателей поделиться самыми грязными IT-секретами, с которыми они сталкивались на работе, — ложью из серых зон и темной стороны технологий, о которой другие совершенно не подозревают. После обработки присланных материалов мы передали эти «секреты» экспертам в соответствующих областях для анализа. Некоторые получили признание экспертов, но другие не подтвердились.
Достаточно ли власти у системных администраторов, чтобы стать худшим кошмаром CIO? Берут ли IT-сотрудники до сих пор оборудование компании? Могут ли данные, которые мы храним в облаке, действительно исчезнуть в никуда? Необоснованно ли высоки цены на услуги техподдержки?
Из сегодняшней статьи мы узнаем мнения обеих вовлечённых сторон и профильных экспертов.
Грязный секрет IT №1: системные администраторы держат компанию за горло
IT-проныра фактически стал привратником упитанной курицы — данных.
Тот, кто следил за историей Эдварда Сноудена, наверняка понимает, какой ущерб может причинить системный администратор. Но даже сами IT-специалисты, возможно, не представляют, насколько поразительны власть и опасность неограниченного администратора.
«Для IT-специалистов не существует такого понятия, как секрет, — сказал Пьерлуиджи Стелла, CTO провайдера управляемых услуг безопасности Network Box USA. — Я могу установить средства обнаружения на собственном межсетевом экране, чтобы перехватывать каждый пакет данных, входящий и исходящий с конкретного компьютера. Я могу видеть, что люди пишут в сообщениях, какие сайты посещают и что публикуют в Facebook. Фактически мораль — единственный фактор, который удерживает IT-специалистов от неправильного использования или злоупотребления этой властью. IT-специалисты — это по сути миниатюрное NSA, существующее прямо рядом с нами.»
Эта ситуация довольно распространена, и большинство CIO уже знают о ней, отметил Цион Гонен, директор по стратегии компании по защите данных SafeNet.
"Я оцениваю, что более 90 процентов предприятий сталкиваются с такого рода кризисом", — сказал он. "Надежность корпоративной безопасности тесно связана с надежностью ИТ-администраторов. Очень трудно точно узнать, сколько системных администраторов злоупотребляют своими правами доступа, — но одно ясно: их число достаточно велико, чтобы каждую неделю попадать в заголовки газет. Самое страшное, что угрозы безопасности часто исходят от тех самых людей, которые отвечают за назначение прав доступа сотрудникам."
Дэвид Гибсон, вице-президент поставщика решений для управления данными Varonis, также согласен, что администраторы, как правило, действительно имеют возможность доступа к данным, и никто об этом не узнает, но он приводит более конкретную цифру — 50%. Он добавляет, что эта проблема не ограничивается администраторами — большинство пользователей имеют доступ к гораздо большему объему данных, чем требуется для их работы.
Он сказал, что решение этой проблемы можно свести к двум частям: использование модели "наименьших привилегий" для ограничения возможностей доступа сотрудников и постоянный мониторинг тех, кто получает доступ к данным.
"Компании должны иметь возможность видеть, какие сотрудники получали доступ к каким данным, кому принадлежат данные и кто уже получил доступ к каким файлам", — сказал он. "На этой основе ИТ-отделы смогут напрямую взаимодействовать с владельцами данных, таким образом находя баланс между сокращением доступа и поддержанием приемлемого пользовательского опыта."
Грязный секрет ИТ #2: Сотрудники, вероятно, уносят компанию домой
Эти "списанные" ИТ-активы, вероятно, получат вторую жизнь неожиданным образом.
Устаревшее технологическое оборудование редко действительно выбрасывают в мусор; оно часто быстро находит новый дом — а иногда этот "новый дом" пересекается с собственными домами ИТ-сотрудников.
«Кража сотрудниками списанного оборудования — не новость, — сказал Кайл Маркс, генеральный директор Retire-IT, компании, специализирующейся на вопросах мошенничества и соблюдения конфиденциальности, связанных с ИТ-активами. — Я никогда не встречал ИТ-специалиста, который никогда не брал бы имущество компании для личного пользования. Для большинства людей взять немного устаревшего оборудования — не проблема. Многие не считают это угрозой безопасности — как только оборудование выводится из эксплуатации, они относятся к нему как к чему-то, что можно утилизировать по своему усмотрению.»
«Самая большая проблема с извлечением оборудования из мусорного контейнера или контейнера для переработки заключается в том, что оно всё ещё может содержать конфиденциальные данные. Если эти данные будут раскрыты, это может причинить компании огромные убытки, отметил Маркс. Конечно, даже если никаких последующих проблем не возникнет, сам поступок всё равно является кражей имущества компании.»
«Кража и мошенничество — это очень серьёзные ситуации, которые легко могут спровоцировать масштабный инцидент с конфиденциальностью, — добавил он. — Если позволить такому положению дел продолжаться, недобросовестные ИТ-сотрудники могут довести целое предприятие до грани краха. Однако в большинстве случаев человек, ответственный за то, чтобы все активы были должным образом утилизированы — то есть все данные стёрты, — часто является сотрудником ИТ-отдела. Компаниям необходимо создать процесс „обратных закупок“, чтобы гарантировать, что активы покидают свои рабочие места надлежащим образом.»
«Но действительно ли каждый ИТ-сотрудник тянет загребущие руки к устаревшему оборудованию? Опытный специалист по выводу ИТ-активов из эксплуатации, отказавшийся назвать своё имя, говорит, что реальная ситуация далека от того, что предположил Маркс.»
«Я не говорю, что кражи не существует, — пояснил он. — Я лишь говорю, что никогда не встречал ни одного практикующего специалиста, у которого была бы устоявшаяся схема обращения с устаревшим оборудованием.»
«Он также добавил, что большинство устройств исчезает в основном из-за потери или других труднообъяснимых причин — например, из-за отправки не по адресу.»
Это отчасти похоже на тотальное отрицание. На самом деле многие компании гордятся тем, что предоставляют услуги по обеспечению безопасности честно и добросовестно и придерживаются собственного подхода к работе.
Грязный секрет ИТ №3: хранение данных в облаке — опаснее, чем вы думаете
Если в дело вступают правовые нормы, никакой механизм безопасности в мире не сможет нас защитить.
Хранить данные в облаке действительно удобно, но за это удобство вполне можно дорого заплатить: в судебном споре, запутанном, как клубок ниток, наши данные могут исчезнуть.
«Большинство людей не осознают, что когда их данные хранятся в чужих системах в облаке, бок о бок с данными других компаний, и если у другой стороны возникают проблемы с законом, наши данные тоже могут пострадать и быть принудительно раскрыты», — сказал Майк Балтер, президент компании по ИТ-поддержке CSI Group.
Иными словами, ваши облачные данные, скорее всего, втянут в неприятности из-за расследований, направленных против других, — и единственная причина этому — невезение. Из-за того, что вы просто делите сервер с подозреваемой стороной, компания может понести серьёзные убытки.
Типичный случай произошёл в январе 2012 года, когда власти США и Новой Зеландии закрыли файлообменник MegaUpload Кима Доткома. Помимо множества кинофайлов, которые действительно подозревались в пиратстве, власти также изъяли данные, принадлежавшие тысячам законопослушных клиентов, и отказались их возвращать. До сих пор те несчастные обычные пользователи не могут быть уверены, удастся ли когда-нибудь восстановить их данные.
«Риск изъятия данных реален, — подтвердил Джонатан Эзор, директор Центра исследований в области бизнеса, права и технологий Юридического центра Туро. — Если у правоохранительных органов или других государственных чиновников есть какое-либо законное основание, они могут изъять устройства хранения или системы — в некоторых особых случаях может потребоваться получение разрешения, — а данные на этих системах, независимо от того, находятся ли они под подозрением, могут быть изъяты. Короче говоря, когда данные любой компании хранятся вне её собственного контроля, они неизбежно в той или иной степени становятся объектом постороннего любопытства — по крайней мере, другие имеют доступ к тому же оборудованию.»
Чтобы защититься от этого наихудшего сценария, пользователи должны точно знать, где хранятся их данные и какие правовые нормы применяются в данной ситуации, — сказал Дэвид Кэмпбелл, генеральный директор облачной компании JumpCloud.
«Наш совет — найти облачного провайдера, который может дать гарантии относительно физического местоположения серверов и данных, например Amazon, чтобы каждый мог занять проактивную позицию в контроле неизвестных рисков», — отметил он.
Эзор также добавил, что шифрование данных может эффективно помешать тем, кто их получит, успешно расшифровать их содержимое. Ещё одна хорошая идея: всегда держать под рукой резервную копию своих данных. Мы действительно не можем быть уверены, когда она может стать последней спасательной нитью компании.
Грязный секрет ИТ №4: сотрудники затягивают пояса, а начальник выписывает пустые чеки.
Хуже всего приходится финансистам.
Почти в любом среднем или крупном предприятии процесс утверждения закупок может выполняться двумя способами, — отметил Майк Микл, генеральный директор Hawkthorne Group — консалтинговой компании в области управления и ИТ. Во-первых, существует официальный процесс закупок — чрезвычайно трудоёмкий, требующий пройти через одно «огненное кольцо» утверждений за другим, словно кошки и собаки в цирке. Кроме того, есть специальный «VIP-экспресс-алмазный канал», конечно, зарезервированный лишь для нескольких «особых людей».
«Руководители высшего звена всегда имеют собственные каналы закупок», — пояснил он. «Процессы утверждения, которые у ИТ-специалистов заняли бы восемь месяцев, часто завершаются этими руководителями всего за несколько недель — и это очень скромная оценка. Я называю это VIP-экспресс-алмазным каналом. Среди всех государственных учреждений и частных предприятий, с которыми я имел дело, ни одно не смогло полностью избежать этого тайного канала закупок, существующего в тени.»
Официальный процесс намеренно создаёт трудности для сотрудников, потому что компании не хотят, чтобы они тратили корпоративные деньги, — отметил Мейкл, — если, конечно, им не удастся найти путь в этот тайный канал. Он также указал, что, к сожалению, директора по информационным технологиям (CIO) часто не имеют права вступить в этот VIP-клуб, а значит, крупные технологические закупки часто утверждаются без строгого анализа затрат или проверки ИТ-стратегии.
«Они вместе идут на обед, и поставщик нашёптывает им на ухо сладкие слова; и не успеешь оглянуться, как сотни тысяч долларов щедро выбрасываются на очередное решение для управления мобильными приложениями — эти ребята даже не понимают, что в компании уже есть такое, — возмущённо сказал он. — Теперь у нас два решения для управления мобильными приложениями — зачем нам столько, есть их, что ли?»
Но это не обязательно так, — возразил анонимный источник из военных кругов и компаний Fortune 100. Хотя многие компании, возможно, действительно обходили стандартные процессы закупок, часто речь идёт о том, что срочно нужно ИТ-отделу, — причина в том, чтобы не тратить время на бюрократическую волокиту, — сказал он.
«Нетехнические руководители просто не обладают знаниями в области IT, необходимыми для принятия важных решений о закупках, — добавил он. — Если высокопоставленный руководитель обходит процесс рассмотрения закупок, настаивает на подписании заказа на покупку и требует, чтобы поставщик отгрузил товар, то все последующие технические сбои следует вменять в вину этому человеку через механизмы подотчётности и отслеживаемости. Это как криптонит для Супермена — их величайший враг.»
Грязный секрет IT #5: На слабой стороне в балансе поддержки клиентов
Технические специалисты просто играют со скриптами
Уверен, всем знаком этот сценарий: мы общаемся по телефону с сотрудниками технической поддержки на другом конце света, но после всего нескольких слов понимаем, что их технический уровень низок и они просто читают клиенту по скрипту. Знаете что? Вероятно, именно так и происходит.
«IT-поддержка — это обычный товар, — сказал Тим Синглтон, президент Strive Technology Consulting, высококлассной фирмы технической поддержки, обслуживающей малых и средних клиентов. — Большинство инструментов, которые могут помочь, бесплатны, и компьютеры уже не требуют от пользователей столько технических знаний, как раньше. Девочка по соседству, вероятно, способна решить ваши компьютерные проблемы так же хорошо, как опытный эксперт, — как это сделала бы IT-компания.»
Но некоторые считают, что этот вывод слишком произвольный. Хотя некоторые простые проблемы могут не доказывать необходимость команды технической поддержки, профессиональная консультация всё ещё незаменима для сложных вопросов, отметил Арамис Альварес, старший вице-президент по услугам и поддержке в Bomgar, поставщике решений для удалённой IT-поддержки корпоративного уровня.
«Проблема с тем, чтобы называть ИТ-поддержку „товаром широкого потребления“, заключается в том, что мы не можем относиться ко всем техническим проблемам одинаково, — сказал Альварес. — Некоторые базовые проблемы действительно могут быть точно диагностированы подкованными в технике обычными пользователями, но более сложные ситуации, например вирусные заражения, — нет. У девушки по соседству действительно может быть много технических знаний, но в итоге она может нанести серьёзный ущерб данным на компьютере.»
В конце концов, нам приходится платить более высокую цену, чтобы расхлёбывать последствия, — добавил Джо Сильверман, генеральный директор New York Computer Help. — Эта проблема часто возникает, когда компании экономят на технической стороне или когда внутренние ИТ-отделы перегружены.
«В нашей повседневной работе мы видим, что многие офисные организации и функциональные подразделения в Нью-Йорке относятся к ремонту компьютеров или ИТ-должностям спустя рукава — привлекают людей из других компаний, сажают на эти места родственников или нанимают недоделанных друзей, — отметил он. — Иногда сотрудники финансового отдела тоже вмешиваются, чтобы решить компьютерные проблемы, но они часто слишком заняты или недостаточно опытны, чтобы починить вышедшие из строя жёсткие диски, материнские платы или блоки питания. Если сеть или сервер падает, вы действительно планируете полагаться на сотрудника финансового отдела, чтобы выполнить работу, или предпочли бы довериться старшему сетевому инженеру с двадцатилетним опытом?»
Грязный секрет ИТ №6: мы знаем гораздо больше, чем вы думаете
Собирайте данные в большом объёме, охватывайте полную картину
Думаете, что находитесь под пристальным наблюдением АНБ? По сравнению с компаниями потребительского маркетинга и брокерами данных АНБ на самом деле всего лишь мелкий игрок.
Главный виновник — казино, сказал Дж. Т. Мэтис, бывший менеджер базы данных казино, который написал и опубликовал книгу «Забрать всё: через город процветания», основанную на его личном опыте. «Когда вы входите в казино, ставка, которую вы делаете, — это гораздо больше, чем деньги: на самом деле вы ставите на кон свои личные данные». По оценкам Мэтиса, маркетинговая база данных его бывшего работодателя содержала примерно 100,000 или больше имён активных или неактивных игроков.
«С того момента, как вы входите в казино, каждое ваше движение отслеживается», — отметил Мэтис. «Если вы садитесь за игровой автомат, руководство казино знает ваше текущее местоположение, сколько раз вы дёрнули рычаг, сколько монет вставили; они знают, что вы любите есть в 4:30 и предпочитаете тарелку с лобстером. Они знают ваши любимые марки сигарет и спиртного и смотрите ли вы взрослые программы в своём номере. А когда вы вернётесь летом, они сразу поймут, что женщина с вами — не ваша прежняя жена, так что персонал может поприветствовать её по имени 'Синди', а не по имени вашей жены 'Барбара'».
Майкл Саймон, бывший руководитель казино, а ныне сотрудник Университета штата Луизиана, подтвердил рассказ Мэтиса. Но он добавил, что способ сбора данных казино не сильно отличается от CVS, PetSmart или Amazon.
«Курс MBA, который я сейчас преподаю, посвящён анализу баз данных и интеллектуальному анализу данных, и все компании, которые мы опрашивали, собирают информацию о клиентах и предоставляют услуги, исходя из личных привычек клиентов», — сказал он. Как автор книги «Моя игровая жизнь: личный взгляд бывшего руководителя казино», Саймон добавил: «Сегодня это стало обычной деловой практикой, а не каким-то секретом. Например, я привожу свою собаку в PetSmart за специальными товарами и услугами, и программы, которые они предлагают, определённо соответствуют моим личным потребительским привычкам — я этим очень доволен. С другой стороны, PetSmart на самом деле предоставляет то, что я хочу, очень эффективным способом, вместо того чтобы тратить время на подготовку вещей, которые я никогда не приму, — таких как корм для кошек со скидкой или тропические рыбы».
Но отличается только одно: Матис был уволен казино в мае 2012 года, но в то время у него всё ещё была копия базы данных. А когда он попытался вернуть копию казино, ему не повезло — они отказывались отвечать на его звонки, — поэтому он решил использовать имевшиеся у него данные, чтобы говорить об азартных играх.
Источник: http://developer.51cto.com/art/201311/415064.htm