Software Asset Management

Майкрософт и официальная поддержка тегов идентификации ПО

Fri, 20 Apr 2012 14:16:00 +0400

Долго же мы этого ждали, и это неизбежно должно было произойти. На страничке раздела SAM сайта корпорации Майкрософт официально объявлено о поддержке стандарта ISO/IEC 19770-2:2009.

Несмотря на то, что стандарт был принят ещё три года назад, а принятию предшествовали многие годы его разработки и согласований, реальные действия вендоров мы видим только в 2012 году. Поддержку тегов идентификации ПО уже имеют или объявили как ближайшие планы производители лидирующих инсталляторов под Windows-платформу: Advanced Installer, InstallShield и WiX. Новость о последнем можно найти на сайте официального регистратора идентификационных тегов — TagVault.org. Я вообще советую изучить материалы этого сайта и отслеживать новости на нём тем, кто серьёзно интересуется инвентаризационной составляющей Software Asset Management.

Непосредственно Майкрософт объявляет о скорой поддержке SWID-тегов в продуктах System Center и Microsoft Assessment and Planning Toolkit.

Особую благодарность необходимо высказать в адрес Хизер Янг (Heather Young) за её SAM-инициативы внутри Майкрософт, и в данном случае — за эту. Плюс, конечно, это результат работы огромной команды людей, среди которых хочется отметить Дейва Велша (Dave Welsh) и Стива Клоса (Steve Klos).

Прилагаю быстрый и немного вольный перевод часто задаваемых вопросов (FAQ) по теме со страниц сайта Майкрософт:

Какие клиенты, по вашему мнению, в наибольшем выигрыше от использования тегов?

Как корпорации, так и государственные организации любого размера скорее всего найдут использование тегов идентификации ПО хорошим подспорьем в управлении ИТ-окружением. Малый и средний бизнес также получит преимущества от упрощения процедуры инвентаризации ПО за счёт использования SWID-тегов.

Какую информацию содержат теги?

Теги идентификации программного обеспечения — это небольшие файлы формата XML, устанавливаемые вместе с пакетом ПО. Они содержат следующие обязательные данные: наименование продукта, версия продукта, разработчик ПО, правообладатель данного ПО, автор тега, уникальный идентификатор ПО, а также поле, несущее информацию о необходимость это ПО лицензировать (Entitlement Required — Yes/No).

Кому доступна информация в тегах? Передаётся ли эта информация в Microsoft?

Теги являются XML файлами, устанавливаемыми вместе с ПО. Это простые описания установленного ПО, которые облегчают вашим ИТ-специалистам задачу распознавания ПО, установленного в сети. Теги не передают информацию в Майкрософт и не определяют, лицензионное ли это ПО или нет. Они призваны служить инструментарием для клиентов, помогающим снижать трудоёмкость и стоимость управления активами программного обеспечения.

Помогут ли теги в расчётах необходимых лицензий клиентского доступа (CAL)?

Теги являются XML файлами, устанавливаемыми вместе с ПО. Т.е. они находятся там же, где и установленное программное обеспечение (например, на сервере, где установлено соответствующее серверное ПО). В комплекте подавляющего большинства серверных продуктов ничего не устанавливается на рабочие станции, так как для работы с сервером это не требуется. Таким образом теги идентификации используемого серверного ПО не будут установлены на пользовательские компьютеры. Для расчёта необходимых CAL мы советуем использовать MAP Toolkit и информацию по этой ссылке.

Содержат ли теги информацию о том, как именно лицензировано соответствующее ПО?

Теги Software ID помогают добиться высокой точности инвентарной информации об установленном ПО. Они не содержат информацию о конкретных соглашениях или переданных по ним правах, о метриках, связанных с лицензионными правами. Однако наличие точной информации об установленном ПО — это фундаментальный шаг в расчётах лицензионного соответствия.

Чем отличаются ISO/IEC 19770-1 и ISO/IEC 19770-2?

ISO/IEC 19770 — это группа стандартов, определяющих требования к Software Asset Management (SAM). Каждая часть 19770 обладает собственным суффиксом. В настоящий момент официально доступны две части. Часть 1 (ISO/IEC 19770-1:2012) описывает процессы управления программным обеспечением. Часть 2 (ISO/IEC 19770-2:2009) содержит структуру тегов идентификации ПО, которые могут быть использованы для повышения точности инвентаризации развёрнутого программного обеспечения.

Где скачать копию стандарта?

Полные копии стандарта ISO/IEC 19770-2:2009 можно приобрести здесь и здесь.

Четыре редакции Windows 8

Tue, 17 Apr 2012 18:29:00 +0400

Уже не будет новостью, новость облетела сегодня все возможные ИТ-издания, что у Windows 8 будет меньше редакций. Их всего... четыре. Четвёртую как-то все упустили поначалу, в том числе и я. Итак, четыре редакции:

Windows 8
Windows 8 Professional
Windows 8 Enterprise, только для клиентов с Software Assurance
и Windows 8 RT для ARM-платформы

Отличия Windows 8 Pro:

BitLocker and BitLocker To Go
Boot from VHD
Client Hyper-V
Domain Join
Encrypting File System
Group Policy
Remote Desktop (host)

Ссылка на источник.

Как всегда, клиенты с Software Assurance в выигрыше, и переход на новую версию для них будет достаточно простым. Windows Enterprise > Windows Enterprise. Аминь.

Новая редакция ISO/IEC 19770–1: планируемые изменения и дополнения

Sun, 08 Apr 2012 14:27:00 +0400

По договорённости с журналом Information Management публикую свою статью, вышедшую в номере, посвящённом стандартам ISO в области SAM, в текстовом виде, в редакции Константина Зимина.

Принятие в 2006 году стандарта ISO/IEC 19770-1 в его первой редакции дало рынку долгожданную, признанную на международном уровне, методическую основу для оценки качества процессов управления программным обеспечением. Однако, при практическом применении стандарта обнаружился главный недостаток первой редакции: организация либо полностью соответствует описанным требованиям, либо не признаётся соответствующей стандарту.

На практике это оборачивается необходимостью долгосрочных проектов с полноценной реализацией всех требований, часто фундаментально изменяющих не только практику работы с программным обеспечением и связанными активами, но и затрагивающих широкий спектр связанных процессов основной операционной деятельности, бюджетирования, учёта и управления. Такая работа требует поэтапного подхода, тщательного планирования и выстраивания нововведений (внедряемых процессов) в логическую и взаимосвязанную последовательность с учётом многочисленных факторов. «За бортом» также остаются организации, которые желают показать зрелость своего подхода в управлении программным обеспечением, но в силу различных обстоятельств не могут реализовать все требования стандарта. Типичным примером являются небольшие компании, которые могут построить систему управления активами ПО, полностью соответствующую ISO/IEC 19770-1:2006 , но накладные расходы (финансовые, временные, кадровые) на поддержание всех описанных в нём процессов выходят за приемлемые для компании рамки.

Рынок немедленно отреагировал появлением нескольких моделей оценки зрелости SAM и поэтапного выхода на соответствие стандарту, которые сделали частные разработчики (среди которых, например, компания Microsoft). В свою очередь, рабочая группа по разработке стандарта также приступила к разработке новой редакции стандарта, так называемого Tiered Software Asset Management (Уровней управления программными активами), которая призвана заменить редакцию 2006 года. На момент написания данной статьи предлагаемая многоуровневая модель SAM описана в финальном черновом варианте ISO/IEC FDIS 19770-1:2012. Выход новой редакции стандарта ожидается уже в середине 2012 года.

Преемственность

Перечень и структура процессов управления программными активами не претерпели никаких изменений по сравнению с текущей редакцией стандарта. Требования к результатам, ранее изложенные в виде списка, в новой редакции организованы в таблицы. В перечень требований к нескольким процессам внесены несущественные уточнения, однако в целом сохранена полная преемственность предыдущей редакции. Организации, уже сертифицированные на соответствие ISO/IEC 19770-1:2006, не будут обязаны вносить фундаментальные изменения в уже внедрённую практику.

Четыре уровня соответствия

Как и ожидалось, основное новшество планируемой к выходу версии стандарта 19770-1 — четырёхуровневый подход к внедрению управления активами ПО. Процессы сгруппированы в четыре кумулятивных уровня (tier), где каждый последующий уровень включает предыдущие (рис 1).

В ожидаемой новой редакции стандарта уровни разработаны таким образом, чтобы организация, постепенно переходя с младшего на старший, постоянно поддерживала стандартизированные процессы SAM. Четвёртый уровень — это полное соответствие всем требованиям стандарта, аналогично сертификации на соответствие ISO/IEC 19770-1:2006 (текущей версии). Опишем подробнее уровни, которые, как предполагается, будут определены новой редакцией.

Уровень 1. Надёжные данные. Достижение этого уровня означает постоянное наличие у компании полноценных данных об активах, которыми она управляет. Не имея информации об установленном программном обеспечении и лицензиях на него, невозможно ими управлять. Достижение лицензионного соответствия (license compliance) и снижение рисков, прежде всего юридических — один из мотивов внедрения управления активами ПО. Данные, которые компания получает в результате достижения первого уровня — основа для точной оценки лицензионного соответствия, основа спокойствия ее руководства.

Уровень 2. Практическое управление. Достижение этого уровня даёт усиление управленческого контроля и позволяет получить первые выгоды от управления активами ПО. В реальной практике менеджеры и ответственные сотрудники начинают всерьёз управлять программными активами только после того, как будут выявлены все риски, потери и нештатные ситуации, связанные с отсутствием точных данных. Достижение предыдущего уровня как раз даёт необходимые данные. В результате обнаруживаются «тонкие места», возможности их устранения, снижения рисков, экономии бюджетных средств. Уровень 2 описывает базовые требования к управлению, включая политики, должностные роли и ответственность. Он также нацелен на достижение первых результатов («быстрых побед» — quick wins) от внедрения управления активами ПО.

Уровень 3. Операционная интеграция. Этот уровень нацелен на повышение эффективности и результативности управления активами ПО. Работы по его достижению сосредоточены в основном в области подгруппы процессов главы 4.6 стандарта, именуемые «Операционные процессы управления и взаимодействия для SAM». Это части операционных процессов управления ИТ: управления отношениями и контрактами, финансами, уровнем обслуживания и безопасностью, связанные с SAM.

Уровень 4. Полное соответствие ISO/IEC. Это наивысшей уровень управления активами ПО в организации, которое, в свою очередь, глубоко интегрировано в стратегические процессы всей деятельности предприятия. Он предполагает сертификацию на соответствие всем требованиям ISO/IEC 19770-1.

Согласно проекту новой редакции стандарта компания может быть сертифицирована на соответствие любому из этих 4 уровней. Отметим, что при сертификации, проводимой авторизованным аудитором, проверке подлежат все процессы, включённые как в целевой, так и в предыдущие уровни. К примеру, при проверке соответствия второму уровню аудитор будет обязан оценить также процессы первого уровня, даже если организация ранее была успешно сертифицирована на первый уровень. Это связано не только с необходимостью проверки управления активами ПО на соответствие заданному уровню как единого, взаимосвязанного комплекса процессов и их результатов, но также с тем, что требования к ряду процессов отличаются для различных уровней. К примеру, требования к выходным результатам процесса «Проверка учётных записей активов ПО» для разных уровней показаны в таблице 1.

Новые главы

Как ожидается, в новую версию стандарта будет добавлена глава, кратко в виде таблиц описывающая, какие процессы необходимы для достижения каждого из четырёх уровней. На рисунке ниже приведён пример требований для достижения уровня 2.

Приложения

Кроме того, как ожидается, новая версия стандарта будет содержать целый ряд полезных приложений:

сводную таблицу требований ко всем процессам стандарта и соответствия их четырём уровням;
расширенную трактовку и толкование некоторых понятий и терминов, применяемых в стандарте, а также краткие рекомендации по управлению документами SAM, отсылающие к стандартам ISO 9001:2000 и ISO/IEC 20000-1:2005;
таблицы соответствия ISO/IEC 19770 передовому индустриальному опыту, некоторым локальным стандартам и частным разработкам, включая: IAITAM Best Practice Library, ITIL v3 Guide to Software Asset Management, SAM Standard and Evaluation Criteria (www.samac.or.jp) и CobiT;
краткое описание планов развития требований к процессам в группе стандартов ISO/IEC 19770;
краткий обзор ведущих практик и стандартов по оценке зрелости процессов (ISO/IEC 15504/33000, CobiT, модель зрелости BPMM, модель оптимизации SAM компании Microsoft (Microsoft SOM), модель оценки IAITAM 360, модель зрелости SAMAC) и рекомендации по их применению совместно со стандартом.

Заключение

В результате принятия новой редакции стандарта можно будет выбрать желаемый уровень и пройти соответствующую процедуру сертификации на соответствие управления активами ПО выбранному уровню. Появится близкая реальной практике возможность внедрить процессы в том количестве и на том уровне, который действительно необходим и который организация сможет поддерживать в рабочем состоянии, не беря на себя невыполнимые обязательства и не превращая управление активами ПО в обузу. К примеру, компании малого и компактного размеров могут сертифицироваться только на уровень 1 или 2 и на этом приостановить развитие SAM, тем не менее, получив сертификат соответствия ISO. В свою очередь, крупная корпорация, в которой внедрение управления активами ПО — это долгосрочный проект, получит возможность пройти через несколько этапов сертификации, фиксируя промежуточные результаты и выходя год за годом, постепенно, на полное соответствие требованиям ISO/IEC 19770-1.

Эксперты об ISO 19770

Sun, 01 Apr 2012 14:05:00 +0400

Вышел номер издания «Information Management», в значительной части посвящённый стандартам ISO/IEC 19770 Software Asset Management.

Помимо основного материала, подготовленного главным редактором Константином Зиминым, в журнале опубликована экспертная статья Владимира Разуваева «Рекомендации по применению стандарта ISO 19770–1 в современных условиях» и моя (Александр Голев) статья «Новая редакция ISO/IEC 19770–1: планируемые изменения и дополнения», посвящённая финальному драфту ISO/IEC FDIS 19770-1:2012, предлагающему концепцию четырёх уровней SAM-сертификации, разделения процессов SAM на четыре уровня. Каждый следующий уровень SAM включает в себя процессы предыдущих уровней кумулятивно, высший уровень — четвёртый — включает в себя все процессы стандарта.

С моей статьёй вы можете ознакомиться, скачав PDF: ISO-IEC-FDIS-19770-1-2012-review.pdf (305,66 kb)

Иногда они это делают

Fri, 30 Mar 2012 09:10:00 +0400

Не знаю, насколько положительное влияние оказывают вот такие письма Симантека клиентам на объёмы продаж. У меня они вызывают как минимум печаль:

Цитата: «Согласно нашим записям, срок действия контракта на поддержку Symantec Backup Exec™ закончился. Для обеспечения соответствия законам и нормам важно, чтобы Вы использовали программное обеспечение, на которое распространяется действующее соглашение о поддержке.»

Как вы, наверное, догадались, отказ от продления поддержки не противоречит лицензионному соглашению на продукт, а на территории Российской Федерации нет таких законов, которые бы обязывали продлевать поддержку. Возможно, в США мы найдём какие-нибудь требования, например, SOX, связанные с резервным копированием, а поддержка нам гарантирует, что мы будем более лучше (pun intended) соответствовать этим требованиям. Возможно. Но почему-то категорически кажется, что это введение клиентов в заблуждение.

10 лет IAITAM

Fri, 09 Mar 2012 10:48:00 +0400

Международной ассоциации управленцев ИТ-активами исполнилось уже 10 лет, с чем мы их от души поздравляем. SAM является частью ITAM, неотъемлемой и неотрывной настолько, что организации, внедряющие SAM так или иначе распространяют со временем процедуры управления на все ИТ-активы.

Где ROI зимуют

Thu, 23 Feb 2012 01:35:00 +0400

ROI — англ.: Return on Investment, возврат инвестиций. Показатель скорости, с которой вы «отобьёте» потраченные деньги.

Навеяно одним топиком на форуме, где автор сокрушается, что, потратив на систему учёта лицензий 1 млн евро, компания сэкономила только около 10 тысяч. И тут же пишет, что никаких процессов не формализовали и не наладили. Наивный. Интересно, откуда он даже эти 10 тысяч-то нарисовал.

Коллеги, в SAM деньги можно «отбить» только постоянной, регулярной работой.

Как возвращаются деньги?

«Компания наладила процесс обновлений, назначила за него ответственных, ведёт автоматизированный реестр лицензий с точными данными об использовании и инвентаризации. В результате перестала терять 600 тысяч рублей ежегодно на (простых, но обидных) опозданиях продления maintenance».

«Компания поддерживает постоянные знания в области лицензирования (наладила процесс!), и успела ухватиться за промо перед очередным true-up. Сэкономила на лицензиях 200 тысяч рублей. А на переходе на процессорные лицензии экономия составила уже 2 миллиона рублей».

«Компания не только поддерживает точные данные, но и анализирует их (назначены люди, у них есть расписание работ, инструкции), в результате экономит ежегодно на закупках 5%, что при её бюджете на софт составляет 50 тысяч долларов в год». Хинт: просто переплачивать перестали.

«Компания наладила и поддерживает единый стандарт на рабочие места, в итоге снизила затраты на поддержку на 200 часов в месяц. Это один сотрудник, если вы умеете считать. И как отдельное удовольствие снизила технологические сбои рабочих станций в 6 раз (люди не простаивают), и снизила юридические риски практически к нулю.» А юридические риски при их размере составляли по самым низким оценкам 60 млн. рублей.

«Компания ведёт регулярный мониторинг использования программных средств пользователями. В результате по итогам года, при продлении EAS, удалось перераспределить 1,5 млн. рублей с редко используемых программных продуктов на средства централизованного управления и мониторинга».

А теперь как деньги не возвращаются

«Компания установила себе средство учёта и инвентаризации, позволяющее вести учёт и инвентаризацию по последнему слову технологии, разработанное профессиональными разработчиками в сфере учёта и инвентаризации». Конец кейса.

Не возвращаются в этом случае деньги. Если просто поставили, настроили и запустили любой инвентаризационный и учётный софт, никакие деньги не вернутся.

К софту надо приставить людей, обучить их работе с данными, технологиями, цифрами и документами, снабдить их инструкциями и спрашивать с них результаты работы, наказывать рублём и кормить пряниками за заслуги.

Желание «поставить и забыть» близко и понятно

Поймите меня правильно, я только за. Ставьте, внедряйте, настраивайте. Это ваш первый, крайне важный шаг на пути к SAM. Я против того, чтобы при этом ждали чудес. Не надо обманывать себя, клиентов, начальство и инвесторов.

Не ждите ROI от «внедрения тулов» по принципу «поставили и забыли» (между нами, я сам из сисадминов вырос, «поставили, обмыли и радостно забили»). Возврата вложенных денег при таком подходе не будет. Окупаемость заключается в постоянной работе с данными, в том числе полученными при помощи этого самого инструмента.

Неужели это настолько неочевидно?

Похоже да, потому что объяснять эти прописные истины приходится по несколько раз в неделю. Но всё равно мы будем объяснять. Снова и снова.

P.S. Видел давеча коммерческое предложение на внедрение системы инвентаризации и учёта без единого слова о постановке процессов. И там был «нарисован» возврат инвестиций. Так вот это ложь.

Зрелость восприятия SAM

Wed, 01 Feb 2012 15:16:00 +0400

Воспроизвожу в оригинальном тексте свой пост на LinkedIn. Перевод пока не планировал, но откликнусь даже на единственную просьбу перевести на русский.

Обновление от 08 февраля 2012 года: Перевод, несколько доработанный, приведён в конце текста по вашим просьбам.

We all know a number of various SAM maturity models. But this topic is about a different one. A fundamental one.

After about eight years in SAM I surrendered. I am tired of selling SAM processes to customers lacking basic SAM understanding and motivation. So last summer I simply remembered and wrote down every successful and unsuccessful sale. Every successful and unsuccessful project.

It appeared very clear that there are three stages, three maturity levels of SAM acceptance.

1) «We need to know our position» — the «need to know» phase. It’s where they call an auditor and/or deploy a tracking tool.

2) «Ok, we’ve got numbers, now what?» — the «how to save (money, company, reputation)» phase. At this acceptance level they are ready to pay for licensing insight and optimization bundled with basic policies.

3) «Oh, we missed that opportunity again» — the «prevent the fires» stage. The final one at which there’s a beginning of their ISO compliance way.

It appeared that unless a customer is ready, unless their SAM acceptance level is high enough, it isn’t advisable to push «pure and proper SAM». They don’t buy it. In every sense. Either the project won’t start or the post-project stages will be one absolute failure.

I still discuss the whole full-bodied SAM concept with my customers but now I bear in mind this simple model and try to adopt to their SAM acceptance maturity level. 50% better sales in the last six months. No project success stats yet though.

---

Мы, профессионалы в нашей области, знаем о существовании различных моделей зрелости SAM. Есть SOM, есть японская модель, есть самостоятельные, проприетарные разработки некоторых экспертов и т.п.. Но этот топик совсем о другой модели. Я бы сказал, о фундаментальной.

После примерно восьми лет в управлении программным обеспечением я, можно сказать, сдался. Устал продавать процессы SAM клиентам, у которых отсутствует базовое понимание самой методологии и достаточная мотивация этим заниматься. И вот летом 2011 я решил вспомнить и подробно классифицировать все успешные и неуспешные продажи. Все успешные и неуспешные проекты. Свои, а также тех друзей, кто был готов раскрыть, хотя бы частично, информацию о своих продажах и проектах SAM.

По итогам этого анализа стало очевидно: существуют три стадии, три уровня зрелости восприятия SAM. С акцентом на слове «восприятие». Вот они:

1) «Что у нас есть в наличии?» — фаза «хотим знаний». На этом уровне клиенты зовут аудиторов подсчитывать ПО и/или устанавливают программу для инвентаризации. Это самый базовый, начальный уровень.

2) «Ок, у нас есть цифры, теперь что?» — фаза «как сохранить (деньги, компанию, репутацию)». На этом уровне восприятия клиенты готовы платить за детальное изучение лицензионных соглашений и их оптимизацию в комплекте с базовыми политиками. Для перехода на этот уровень нужно «пожить с цифрами», посмотреть на них, покопаться в них, привыкнуть к факту, что они есть. И захотеть их применить с пользой.

3) «Ох, мы опять пропустили возможность [экономии]» — фаза «давайте будем предупреждать пожары вместо его тушения». Это последний, высший, уровень восприятия, начало пути к соответствию стандарту ISO. На эту фазу переходят, чертыхаясь, что в очередной раз что-то невовремя продлили, переплатив 20-25%. Или внезапно вспомнили, что надо обновлять Enterprise Agreement, а позицию для переговоров с Microsoft не выработали.

Стало очевидным, что пока клиент не готов, пока его уровень восприятия SAM ещё недостаточно высок, неразумно «проталкивать чистый и правильный SAM». Они его не покупают и не понимают. Или проект не начнётся, или пост-проектные работы будут заброшены, а пост-проектное состояние покажет бесспорный провал всех потраченных усилий, и никто никогда не признает этот проект успешным.

Естественно, я всё ещё продолжаю рассказывать и объяснять клиентам, как выглядит полноценный SAM, но теперь я держу в уме эту простую модель и стараюсь подстроиться под их текущий уровень восприятия. В итоге, количество успешных продаж увеличилось на 50%. Статистики по успешным проектам пока не предоставлю, впрочем, ибо только начал.

ГОСТ на свободное ПО. С новым годом, дорогие разработчики.

Sun, 25 Dec 2011 14:46:00 +0400

С нового года вступает в силу новый гост Р 54593-2011 «Информационные технологии. Свободное программное обеспечение. Общие положения». Новость из новостей. Участников рынка разработок просто поставили перед фактом.

Разработал ГОСТ концерн «Сириус» (принадлежит госкорпорации «Ростехнологии») и инновационный фонд «Росиспытания», говорится на сайте Росстандарта. Опубликован ГОСТ будет через 30 дней после вступления в силу, и в течение года с ним можно будет ознакомиться бесплатно.

В общем, ГОСТ есть. Теперь дело за малым — соответствовать ему. Если учесть, что с разработчиками СПО в РФ его не обсуждали, то я теперь хочу посмотреть на последствия.

Впрочем, с точки зрения управления лицензиями ничего толком не изменится. Лицензирование никто не отменял. Передача права как осуществлялась, так и будет. Лицензии надо продолжать учитывать.

по материалам www.vedomosti.ru
http://www.vedomosti.ru/tech/news/1461017/nevidannyj_standart

Сегодняшний вебинар, отчёт онлайн

Thu, 15 Dec 2011 18:07:00 +0400

Коллеги, запись вебинара доступна на сайте SmartSourcing.ru.