30 ноября в Москве компании Microsoft и Softline провели семинар «Управление лицензиями на ПО – контроль, оптимизация, рост». Тема мероприятия «зацепила» всех присутствующих, возникло немало оживлённых дискуссий. Но обо всём по порядку.

Термин Software Asset Management (SAM)– управление лицензиями на ПО как активом предприятия появился не вдруг и не сейчас. Считается, что первый более-менее целостный подход к управлению нематериальными активами компании (в данном случае программным обеспечением) был дан в библиотеке ITIL, вышедшей в 1996 году по заказу британского правительства.

Десять лет спустя, благодаря усилиям крупнейших вендоров, других заинтересованных лиц и организаций, был принят уже международный стандарт ISO/IEC 19770 «SoftwareAssetManagement» (SAM).

Ольга Тютина, руководитель направления Software Asset Management в Microsoft Россия, описывает содержание и перспективы частей данного стандарта:

• «ISO/IEC 19770-1: SAM Processes — сосредотачивает внимание на процессах SAM, реализация которых в организации необходима для эффективного управления программными активами. Стандарт опубликован 9 мая 2006 года.
• ISO/IEC 19770-2: SAM Tag — делает акцент на способах идентификации программного обеспечения и управления им. Целевая аудитория этой части стандарта — производители программного обеспечения, в том числе средств аудита. Стандарт находится в состоянии Final Draft.

В разработке и в планах ещё две части стандарта:

• ISO/IEC 19770-3: Software Entitlements — концентрируется на способах отслеживания прав на использование программного обеспечения. Стандарт находится в состоянии предварительного обсуждения.
• ISO/IEC 19770-4: SAM Maturity Assessments and Incremental Conformance —упор на методах оценки зрелости SAM в организациях, а также сертификации организаций на соответствие стандарту».

Процессный подход, на котором построен стандарт ISO/IEC 19770 SAM, акцентирует внимание предприятия на достижении поставленных целей, анализе ключевых показателей эффективности (KPI), а также на ресурсах, затраченных на достижение этих целей.

После того, как в названии стандарта впервые появилось слово «Management», стало окончательно понятно, что лучшие мировые практики выделили рассматриваемую дисциплину из компетенции исключительно ИТ-служб и частично соединили с подразделениями, отвечающими за финансы, безопасность и юриспруденцию. Это в целом. А в тех вертикальных рынках, где существует давление регуляторов, соединение произошло также со специалистами по риск-менеджменту и соблюдению нормативных актов (compliance).

Иными словами, Software Asset Management доказал, что результаты управления таким объектом нематериальных активов, как программное обеспечение, могут быть прогнозируемыми и измеримыми. Это ставит стандарт в один ряд с иными широко применяемыми на практике процессными стандартами, например, ISO 9000, ISO 20000, ISO 27000, BS 25999 и т.д. Что это даёт? Унификацию подходов и синергию от совместного использования, что подразумевает экономию и добавление конкурентных преимуществ бизнесу.

В 2008 году корпорация Microsoft, как крупнейший в мире разработчик ПО, развила идеи, заложенные в ISO/IEC 19770, и предложила собственную модель зрелости ИТ-инфраструктуры - Infrastructure Optimization Model (Microsoft IOM).

Уровень зрелости имеет неоценимое практическое значение и характеризует состояние ИТ-инфраструктуры, ее развитие и эффективность. Для оценки уровня зрелости существуют специальные опросники, разработаны рекомендации по переходу от одного уровня к другому. При этом несложно сформировать и экономическое обоснование, т.к. для каждого из уровней зрелости рассчитаны финансовые характеристики: совокупная стоимость владения (TCO) и другие. Недавно в Microsoft IOM включена и область управления программными активами – SAM Optimization Model (SOM).

Итак, какие уровни зрелости ИТ-инфраструктуры применительно к SOM выделяют эксперты корпорации Microsoft? Всего их четыре:

Basic SAM (базовый) - минимальный уровень развития. Фактически процессы управления программными активами отсутствуют, инвентаризация ПО осуществляется редко, лицензирование ПО выполняется время от времени. В основном процессы проявляются как реакция на возникшую проблему (проверка правоохранительными органами, требование бизнес-партнера, претензия от производителя ПО, чрезмерно большие расходы на ПО и т.д.).

Standardized SAM (стандартизированный) - в организации выполняется инвентаризация ПО, развернуты соответствующие программные средства, создан репозитарий ПО. Возможно, выделен ответственный за лицензирование, внедрены некоторые стандарты и процессы управления программными активами. Однако SAM не влияет на принятие решений.

Rationalized SAM (рационализированный) - уровень, при котором выделятся активное управление программными активами, методология SAM внедрена в полном объеме. Назначен сотрудник или отдел, ответственный за управление программными активами и лицензирование. Процессы SAM интегрированы с другими процессами (ITIL, Microsoft Operations Framework - MOF). В организации существует план развития ПО и он согласован с планом развития бизнеса и всей ИТ-инфраструктуры.

Dynamic SAM (динамический) - высший уровень развития, при котором управление программными активами реализовано в режиме реального времени. ПО, как часть ИТ-инфраструктуры, рассматривается не как средство обеспечения работоспособности бизнеса, а как актив предприятия.

В разных странах, в отдельных вертикальных рынках может наблюдаться разный уровень внедрения SAM. Однако, по словам Ольги Тютиной, «процессы управления ПО в любой организации существуют независимо от того, знает она об этом или нет, качественные они или нет, соблюдаются ли законы или нет и т.п.

Это постоянные, непрерывные и регулярные действия. Если бизнес хочет развиваться, необходимы периодические улучшения. Ценный вклад Microsoft состоит в разработке SAM Optimization Model, которая позволяет оценить в каком состоянии находятся эти процессы (управления активами ПО) в организации и выработать рекомендации, какие шаги необходимо сделать по улучшению процессов управления».

Предположение аудитории, что слова эксперта относятся главным образом к западным странам, быстро опроверг Владимир Разуваев, кандидат юридических наук, директор по правовому обеспечению и руководитель департамента управления лицензиями компании Softline. По его словам, к настоящему времени в России вступила в силу 4-я часть Гражданского Кодекса. Новый документ позволяет по решению суда взыскивать с провинившихся до 5 млн. рублей в пользу каждого ущемленного правообладателя. При этом оборудование, на котором развернуто нелицензионное ПО, может быть конфисковано компетентными органами.

«Благодаря целенаправленной деятельности компании Microsoft по продвижению лицензионного ПО в компаниях и внедрению таких технологий как SAM, сегодня в нашей стране формируется культура IT-менеджента. Раз уж компании начали тратить деньги на лицензионное ПО, нет никакого смысла останавливаться на полпути, так как все риски пиратского ПО исчезают только тогда, когда его в организации не остается совсем. Таким образом, инвестиции в частичную легализацию не слишком разумны. Программное обеспечение нужно превратить в актив компании, обратившись для этого к специалистам», - сказал В. Разуваев.

Предвосхитим вопрос о том, что, перейдя полностью на open source, можно разом решить все проблемы и не «заморачивать» менеджеров вопросом легализации софта. Это жестокое заблуждение. Налоговый кодекс РФ относит подобное ПО (если не предпринят ряд шагов) к категории подарков, с которых берётся соответствующий налог, величина которого зависит от стоимости аналогичного по функционалу проприетарного софта. Как говорится, незнание закона не освобождает от ответственности.

Дополнительным фактором риска в случае с open source является еще и то, что в один прекрасный день он может стать проприетарным. К примеру, очень много людей во всем мире с замиранием сердца следят за сообщениями из корпорации Oracle, поглотившей SUN Microsystems вместе с её технологиями Java, my SQL, Solaris и т.д. А вдруг кто-то еще купит веб-сервер Apache и PHP за компанию…

Но, учитывая тот факт, что ни одна компания не может миновать стадию Basic SAM, имеет смысл чуть подробнее остановится на аудите, как краеугольном камне внедрения этой методологии на любом уровне зрелости.

Итак, в компании сложилась определенная ИТ-ифраструктура. Требуется систематизировать всю общую информацию, которая относится к софту— количество компьютеров, серверов, структура сети, расположение PC территориально (офисы, филиалы, мобильные сотрудники). Затем требуется изучить элементы жизненного цикла программного обеспечения в организации.

Сюда входит: приобретение, инсталляция, настройка, использование, обновление, удаления, хранение ПО и т.д. При этом критически важно определиться - кто персонально отвечает за все эти процессы.

Инвентаризацию ПО можно проводить несколькими способами:

1. вручную методом создания списка установленного софта и осмотра содержимого жёстких дисков;
2. полуавтоматически — используя локальные сканеры;
3. автоматически — установив на всю сеть программный комплекс для сбора и консолидации актуальных данных

Параллельно с инвентаризацией ПО юристы и финансисты собирают факты, подтверждающие право на использование ПО: сертификаты, лицензионные соглашения, коробки, наклейки на корпусах, установочные диски, серийные номера в электронном виде, накладные и т.п.

В конечной фазе аудита проводится выяснение и ликвидация расхождений между фактически установленным ПО и наличием прав на его использование. В заключение необходимо разработать внутренние документы и положения, которые будут регламентировать весь жизненный цикл программного обеспечения в организации.

Обычно, это - пошаговые инструкции, прописывающие действия должностных лиц и пользователей в конкретных ситуациях. Например, что должен делать сотрудник, если ему понадобилось новое ПО? Как оно должно попадать на баланс организации? Как с ним обращаться в процессе эксплуатации: установка, использование, хранение, списание и т.п.

«По опыту Softline, могу точно сказать, что процесс подготовки команды для оказания услуг SAM – весьма длительные и дорогостоящий процесс, связанный с подготовкой узкоспециализированных сотрудников. При этом нельзя не отметить активную позицию Microsoft в развитии SAM на российском рынке, благодаря которой мы имеем возможность получать громадное количество полезной информации».

«Во-первых, это стройная и уже понятная методология. Во-вторых, предлагается мощный инструментарий для получения необходимой информации об используемом в компании ПО. Сюда входят бесплатные инструменты для проведения инвентаризации: Microsoft Software Inventory Analyzer (MSIA) и Microsoft Assessment and Planning Toolkit (MAP). А также профессиональные средства для управления лицензиями: Microsoft System Center Essentials, Microsoft System Center Configuration Manager, Microsoft System Center Service Manager. Безусловно, всегда можно рассчитывать на всестороннюю помощь Microsoft. Это относится и к процессу обучения специалистов, их сертификации, а также к совместным маркетинговым акциям», — сообщил Владимир Разуваев.

Но, как и любой процессной методологии, аудит – это не есть панацея от всего и навсегда. Это всего лишь элемент непрерывной системы контроля и управления.

Всё теория. А где же практика? Самый эффективный способ изучения нового – это система кейсов, примеров практического внедрения. Этим мы займемся в следующих материалах, побеседовав с представителями Microsoft, Softline и их клиентами.