Почему так сложно импортозаместить ПО, и как это все-таки сделать
О том, что нужно уходить с иностранного проприетарного ПО, серьезные разговоры начались еще в 2014 году. Но, за небольшим исключением, попытки импортозаместиться приводили к очевидным косметическим мероприятиям: заменить Windows на Linux, поставить «Мой Офис», перейти на СУБД Postgres. Что мешает российским компаниям, какие организационные ошибки они совершают при попытках запустить импортозамещение? И как правильно выстроить процесс, чтобы добиться результата?
Для своих клиентов мы разработали и на практике проверили алгоритм действий, минимизирующий риски провала проектов по импортозамещению. Хотим поделиться этой историей.
Сразу оговоримся, что речь пойдет о крупных организациях с развитой внутренней структурой и широким фронтом автоматизации: крупных телекоммуникационных, производственных или финансовых компаниях.
Проблемы реализации программы импортозамещения
Итак, что может сорвать процесс импортозамещения? Первая проблема – это непонимание руководством компании и участниками проекта ключевых mission- и business-critical процессов бизнес-подразделений и поддерживающих служб, их особенностей и ограничений. Выбор правильного ПО напрямую зависит от того, какие бизнес-задачи стоят перед компанией и какие процессы требуют автоматизации. В крупных организациях, особенно с низким уровнем цифровизации, процессы могут идти хаотично, с наложением сфер ответственности разных бизнес-подразделений, с дублированием или непрозрачным разделением обязанностей. И вполне может сложиться ситуация, когда запланировали сменить одно ПО на другое, выбили бюджет, ресурсы. И вдруг нарисовался огромный фронт работ в по разгребанию всего этого хаоса.
Вторая проблема – это непонимание участниками проекта функциональных возможностей, решаемых задач и особенностей реализации и функционирования ПО и инфраструктуры. Зачем установлена данная корпоративная система? Кто ею пользуется? Какие бизнес-процессы через нее идут? О каких ограничениях существующей системы известно? Почему система развернута именно так? Надо отдавать себе отчет, что программные продукты не копируют друг друга до байта, у них разный набор возможностей, разные ограничения и требования. Что при внедрении старого продукта процессы были деформированы под него, и не стоит эту деформацию брать за эталон.
Третья проблема - необходимость планирования исполнения ключевых процессов в рамках «переходного периода» в существующих ИС. Процесс импортозамещения займет какое-то время (причем существенное), и надо позаботиться о митигации рисков иностранного ПО на этот период. Грубо говоря, надо сделать все, чтобы старое ПО не смогло под конец «подложить свинью», перестав вдруг работать или обновляться.
Четвертая проблема - ограниченные компетенции у сотрудников компаний по выбору отечественного ПО к внедрению. Особенно актуальна, если есть желание, чтобы замена системы дополнительно принесла определенные выгоды и преимущества. Без привлечения внешних компаний в качестве экспертов и консультантов здесь не обойтись.
Пятая проблема также связана с возможностями сотрудников. Часто инициативы по импортозамещению разбиваются об ограниченные компетенции и кадровые ресурсы для реализации комплексных, кросс-функциональных интеграционных проектов. Замена ПО затрагивает интересы сразу нескольких участников, как внутренних: бизнес-заказчик, ИТ, ИБ, финансисты, топ-менеджмент, так и внешних: интеграторы, вендоры, консультанты. Обеспечить единый фронт поддержки проекта и скорость принятия решений очень непросто.
Когда проект уже стартовал, всплывает шестая проблема - отсутствие или неэффективная система управления реализацией программы импортозамещения. Вдруг оказывается, что зоны ответственности участников размыты, КПЭ участников плохо определены или вообще отсутствуют. И сразу же начинают срываться сроки, появляется рассинхрон в действиях, который выливается в реальные убытки.
Понятно, что сделать все и сразу невозможно. Отсюда и седьмая проблема - отсутствие приоритизации проектов импортозамещения с учетом угроз, рисков и возможного ущерба конкретного ПО в условиях ресурсных ограничений (денежных, кадровых). Распространенный алгоритм «сделать сначала то, что попроще и побыстрее», оборачивается провалом. Самые серьезные риски обычно находятся там, где затронуты business-critical процессы и требуется большой объем сложной совместной работы.
Каждая из этих 7 проблем поодиночке вполне решаемая, но вместе они становятся непроходимым барьером для проектов подобного рода.
План реализации программы по импортозамещению
У нас выработался следующий план реализации проектов по импортозамещению. Сначала проводим аудит процессов и IT-ландшафта, затем оцениваем угрозы, после планируем реализацию и, наконец, сопровождаем внедрение.
Аудит процессов и IT-ландшафта
В процессе аудита мы первым делом делаем оцениваем покрытие mission- и business-critical бизнес-процессов иностранным (санкционным) ПО и соответствующими объектами ИТ-инфраструктуры. Сюда входит анализ текущего ИТ-ландшафта в связке «бизнес-процесс – домен ИС – конкретная ИС/ модули – ИТ-инфраструктура», формирование карты покрытия бизнес-процессов ИС, а затем и категоризация групп бизнес-процессов и соответствующих ИС, исходя из критичности для бизнеса / обеспечения непрерывности операций. Также мы проводим выявление рисков прерывания критичных для бизнеса бизнес-процессов в связи с использованием иностранного ПО и объектов ИТ-инфраструктуры.
Результатом этого этапа становятся карты бизнес-процессов и соответствующих ИС, long-list угроз (рисков) для mission- и business-critical бизнес-процессов.
Оценка угроз
Следующий этап включает в себя формирование вариантов реализации угроз, связанных с иностранным ПО и объектами инфраструктуры. Что это за варианты? Например, отзыв права использования, прекращение технической поддержки, прекращение доступа к данным, блокировка использования. Отдельно прорабатываются варианты реализации угроз информационной безопасности.
Затем разрабатываются критерии категоризации возможного ущерба в разрезе уровней / приоритетов угроз, после чего проводится сама категоризация.
Для каждого объекта ПО и инфраструктуры высоких уровней критичности проводится оценка возможных уязвимостей для элементов. Сюда входят такие критерии, как доступность исходного кода, наличие известных уязвимостей, договоры на тех. поддержку.
На основе полученной информации уже возможна проработка решении по устранению выявленных угроз для объектов высокого и среднего уровня критичности. На этом шаге происходит формирование перечня отечественного ПО, которое можно использовать в качестве аналога, проводится индикативная оценка сроков и стоимости, идет разработка верхнеуровневых дорожных карт.
Результатом этапа оценки угроз становятся карты угроз для ПО и объектов инфраструктуры, включая сценарии реализации угроз, и верхнеуровневые дорожные карты внедрения.
Планирование реализации
После первых двух этапов становится понятен требуемый объем работ, поэтому можно переходить выделению ресурсов. Планирование реализации программы импортозамещения начинается с формирования проектного офиса с пулом внутренних сотрудников, непосредственно задействованных в проектах.
Параллельно силами привлеченных консультантов ведется формирование целевой ИТ-архитектуры. Определяются потенциальные вендоры для реализации целевой архитектуры и уточняется оценка стоимости. Формируются ТЗ на внедрение целевых систем. В принципе, внешние эксперты могут брать на себя максимум работы, например, поддержку в формировании закупочной документации и ведения закупочного процесса.
Не забываем на этом этапе и о существующих ИС. Требуется разработка процессов «переходного периода» с учетом выявленных угроз текущего иностранного ПО. Нужно запланировать все необходимые мероприятия для обеспечения непрерывности существующих критичных бизнес-процессов.
Результаты этапа: ТЗ на внедрение, закупочная документация, процессы/ мероприятия «переходного периода».
Сопровождение внедрения
Для повышения шансов успешного завершения проектов импортозамещения компаниям стоит использовать внешних консультантов для независимого аудита хода и промежуточных результатов работ. В процессе сопровождения внедрения сначала должна проводиться экспертиза целостности и полноты разработанных проектных артефактов, включая технический проект, интеграции и регламенты.
Затем должна быть дана оценка хода проекта и возможностей достижения целей проекта. Важно, чтобы руководители проекта в течение всего этапа внедрения были обеспечены достоверной информацией о ходе проекта. Это позволит своевременно обнаружить и устранить возникающие проблемы, а в итоге – достичь поставленного результата с заданными сроками и качеством.
Результатом этого этапа является отчет по результатам проекта с оценкой достижения поставленных целей.
Последовательное выполнение этих четырех этапов позволяет справиться с основными проблемами и сосредоточиться на конструктивной составляющей проекта импортозамещения. А главное, это значительно сокращает сроки «переходного этапа» и итоговые затраты на обретение технологической импортонезависимости.