Software Asset Management (SAM)

Управление лицензиями на ПО как активом предприятия

Термин Software Asset Management (SAM) – управление лицензиями на ПО как активом предприятия появился не вдруг и не сейчас. Считается, что первый более-менее целостный подход к управлению нематериальными активами компании (в данном случае программным обеспечением) был дан в библиотеке ITIL, вышедшей в 1996 году по заказу британского правительства. Десять лет спустя, благодаря усилиям крупнейших вендоров, других заинтересованных лиц и организаций, был принят уже международный стандарт ISO/IEC 19770 «SoftwareAssetManagement» (SAM).

По данным аналитических исследований, технология SAM способна обеспечить экономию до 30% от бюджета на ПО уже в первый год применения. В последующие годы можно снижать затраты на 5-10% и, что не менее значимо, добиться максимальной эффективности эксплуатации ПО для основного бизнеса компании. Источник данных: «IT Asset Management: Moving to Higher Ground», Frances O'Brien, Gartner ITAM Conference, 2003.

Внедрение и постоянное использование SAM приносит компании следующие выгоды:

• Эффективное управление ресурсами. SAM – это в том числе и финансовая оптимизация. Вы контролируете IT – бюджет;
• Эффективное использование ПО. При избыточном лицензировании вы несете ощутимые финансовые потери;
• Эффективное обеспечение безопасности. Четкое представление о размещении программного обеспечения позволяет выявить слабые места в обеспечении Вашей информационной безопасности;
• Соблюдение требований к IT-инфраструктуре. Единые стандарты к наполнению рабочих мест программным обеспечением заметно снижают стоимость поддержки всей инфраструктуры;
• Лицензионная чистота. Вы несете существенные юридические и финансовые риски в случае проверок правообладателей и правоохранительных органов;
• Управление рисками непрерывности бизнеса. Любые юридические риски влекут за собой простои ваших бизнес-процессов.

Компонентами SAM являются:

• Процедуры учёта лицензий, ПО и его использования;
• учёт и актуализация правоустанавливающих документов (таких как бухгалтерские документы, лицензионные договоры и соглашения, сертификаты, свидетельства и т. д.);
• регламент закупки и продления ПО;
• политика ввода в эксплуатацию и вывода из неё;
• эксплуатация ПО;
• оптимизация использования ПО (состав, количество и сроки).

Качественное управление ПО расширяет возможности по стратегическому планированию инфраструктуры; предотвращает избыточное лицензирование и выявляет излишки оборудования; позволяет добиваться значительной экономии не только на прямых расходах на ПО, но и на сопутствующих процессах и затратах на инфраструктуру; снижает расходы по администрированию; позволяет получать точную информацию о текущем состоянии используемого ПО; минимизирует юридические риски, позволяет быть уверенным в эффективном использовании имеющихся программных продуктов, и, в итоге иметь более устойчивый, более предсказуемый, а, следовательно, и более прибыльный бизнес.TAdviser Security 100: Крупнейшие ИБ-компании в России 58.8 т

Управлять программным обеспечением – значит твердо знать в каждый момент времени, какие программы и лицензии на ПО используются в организации. Управление включает в себя регулярную инвентаризацию лицензий и используемых программ, введение стандартов использования ПО, централизованные закупки и многое другое.

Управление программными активами — это операционная дисциплина. У нее, как и у бизнес-деятельности, есть определенные результаты. Если результаты бизнеса — это продукты или услуги, то результаты SAM — это сервисы. SAM обеспечивает распределение и установку программного обеспечения на компьютерах, управление его использованием, удаление ПО, когда оно перестает быть нужным. Таким образом, SAM создает сервисную инфраструктуру, поддерживающую весь жизненный цикл ПО для бизнеса.

Очень часто SAM отождествляют с выполнением регулятивных норм в отношении лицензий ПО. Это неверно. Как всякая операционная деятельность, SAM обязательно включает в себя функции управления рисками, в том числе обеспечение соответствия, однако это нельзя сводить только к обеспечению соответствия лицензий нормативным требованиям. Есть другие типы соответствия, например корпоративным политикам использования программного обеспечения. Если в вашей компании всех сотрудников обязывают для совместной работы применять только Lotus Notes, то в рамках SAM должно проверяться выполнение этой политики — на рабочих местах не могут появляться продукты Microsoft или системы с открытым кодом.

Цели единой политики управления лицензиями

• Повысить эффективность работы и шагать в ногу со временем В организациях, где программное обеспечение приобреталось бессистемно и бесконтрольно, зачастую сосуществуют разные версии одних и тех же программ и разные программные платформы. Это ведет к проблемам совместимости форматов файлов, следствием чего являются простои и трата времени на выполнение рутинных операций. Так, если бухгалтерия компании привыкла работать с пакетом Microsoft Office 97, а сотрудники отдела маркетинга предоставляют ей данные в формате Microsoft Office XP, то для их использования бухгалтерией потребуется дополнительная конвертация.
• Управление лицензиями позволит добиться введения единых стандартов на используемое программное обеспечение во всей организации, даст возможность поддерживать высокий технологический уровень, что поможет достичь поставленных перед организацией целей и не отстать от конкурентов.
• Оптимизировать и планировать расходы на развитие информационной системы, а также обосновывать необходимость инвестиций Умелое управление лицензиями поможет разобраться, какие программы нужны организации, а какие — нет, понять какая программа лицензирования наиболее эффективна для данной организации. Кроме того, оно позволяет воспользоваться программами корпоративного лицензирования, предоставляющими скидки и возможность рассрочки платежей на оптовые закупки лицензий.
• Заблаговременно позаботившись об управлении лицензиями, можно вычислить, какова отдача инвестиций в программное обеспечение. Этот анализ позволит определить, в каких подразделениях нужно обновление старого или переход на новое ПО, и запланировать будущие инвестиции.
• Сделать бизнес более устойчивым за счет снижения рисков

Задача проекта: обеспечить непрерывный контроль за лицензиями внедрив процесс управления программными активами и средства его автоматизации, модифицировать существующие процессы для предоставления необходимой информации.

Развитие стандартов SAM

2012: Gartner Predicts

Согласно серии отчетов Gartner Predicts 2012, оптимизация стоимости ИТ-сервисов остается чрезвычайно актуальной для большинства ИТ-директоров. Увидев эффект от антикризисной оптимизации ИТ-бюджетов, руководство компаний не желает прекращать усилия в этом направлении. Но разумеется, пожертвовать качеством предоставляемых услуг бизнес также не готов. Наоборот, ИТ-департаментам постоянно повышают планку.

Аналитики отмечают, что такое положение вещей, выражающееся в известной формуле more value for less spend, приведет к очередному витку внимания к проблеме управления ИТ-активами. Если с «железом» многие компании успели разобраться, то с управлением программными активами (software asset management, SAM) положение зачастую мало отличается от ситуации двух-трехлетней давности. Именно в оптимизации лицензионной стоимости и модели приобретения ПО, а также сокращении затрат, связанных с аудитом и рисками, в Gartner видят наиболее перспективное направление дальнейшего развития.

Значимость методологии SAM признали и в IDC, выделив соответствующие продукты в отдельный рынок и начав его мониторинг. Согласно оценкам компании, мировой рынок средств управления программными активами в 2011 году достиг 3,5 млрд долл.

В целом ситуация выглядит следующим образом: более-менее оптимально ПО используется лишь в половине компаний. Все остальные его либо недоиспользуют, либо используют избыточно, нарушая лицензионные соглашения.

2008

В 2008 году корпорация Microsoft, как крупнейший в мире разработчик ПО, развила идеи, заложенные в ISO/IEC 19770, и предложила собственную модель зрелости ИТ-инфраструктуры - Infrastructure Optimization Model (Microsoft IOM).

Уровень зрелости имеет неоценимое практическое значение и характеризует состояние ИТ-инфраструктуры, ее развитие и эффективность. Для оценки уровня зрелости существуют специальные опросники, разработаны рекомендации по переходу от одного уровня к другому. При этом несложно сформировать и экономическое обоснование, т.к. для каждого из уровней зрелости рассчитаны финансовые характеристики: совокупная стоимость владения (TCO) и другие. Недавно в Microsoft IOM включена и область управления программными активами – SAM Optimization Model (SOM).

2006: ISO 19770-1

В 2006 году был принят стандарт ISO 19770-1, описывающий процессы управления программными активами. Это был первый стандарт в области SAM. Вначале он не привлек большого внимания, однако к настоящему времени интерес к стандарту значительно вырос, и сообщество профессионалов заинтересовано в его развитии.

Сейчас завершается работа над новой версией стандарта, определяющего четыре возможных уровня SAM в организации. Все процессы, описанные в исходной версии стандарта, остаются без изменения, но сгруппированы по различным уровням не просто области процессов, но определенные детали областей. В результате компании получают возможность выбирать подмножества процессов и получать сертификацию на соответствие стандарту только по определенному уровню.

Например, первый уровень включает в себя процессы, которые позволяют получить достоверные данные о том, какое ПО есть в компании и как оно используется. Это первый шаг к построению эффективного управления программными активами. Чтобы достичь этого уровня, компания должна провести определенный объем работы и таким образом обеспечить себе четкие и понятные преимущества.

Замысел первой версии стандарта был слишком грандиозный: фактически в нем описываются все процессы стандарта ISO 20000-1 по управлению ИТ-сервисами в применении к SAM. В результате организации, которые хотели сертифицироваться по этому стандарту, должны были соответствовать огромному числу детальных требований. Первая версия стандарта написана как спецификация продукта — «да/нет, да/нет, да/нет». Это не вполне оправданно с точки зрения системного управления. Сертификация по второй версии стандарта даст компании возможность оценивать соответствие относительно заданных целей — чего необходимо в целом достичь в конкретной процессной области, а не относительно точных, предельно детализированных результатов. Например, на первом уровне вы должны показать наличие процессов, обеспечивающих точность и достоверность данных об используемом в компании ПО. Это подход стандарта системного управления, а не стандарта спецификации продукта. Хотя при желании компании смогут сертифицироваться по разным уровням SAM и в соответствии с подходом, принятым в первой версии.

Окончательное голосование по новой версии стандарта запланировано на 24 марта. Но уже ведется работа над следующей версией, тем самым положено начало общему процессу приведения стандартов управления к единообразному виду. Сейчас существует несколько стандартов ISO, описывающих процессы управления в разных областях: очень популярный стандарт систем менеджмента качества ISO 9001, ISO 14010 по управлению окружающей средой, ISO 27000 по управлению информационной безопасностью, ISO 20000 по управлению ИТ-сервисами. Все они в принципе описывают сходные процессы, но совершенно по-разному. И если компания хочет реализовать структурированный подход к управлению, она должна в одной области следовать одним принципам, в другой — несколько другим, в третьей — третьим и т. д. Это похоже на сумасшедший дом.

Чтобы исправить ситуацию, был образован специальный комитет для создания единого фреймворка под названием Guide 83, которому должны будут следовать все стандарты управления. Это будет означать, что организация, реализовавшая один стандарт, сможет реализовать другие без необходимости осваивать новые сложные детали процессов и создавать специальную документацию.

Стандарт процессов SAM тоже будет переписан в соответствии с Guide 83.

Фактически ISO 19770 — это стандарт управления всеми ИТ-активами. Хотя в его названии фигурирует аббревиатура SAM, де-факто он охватывает управление ПО и всеми связанными с ним активами, поскольку невозможно управлять программным обеспечением в отрыве от аппаратного. В работе над этим стандартом самое деятельное участие принимает Международная ассоциация управления ИТ-активами IAITAM. Очередная встреча нашей рабочей группы пройдет в октябре на конференции ассоциации.

Содержание и перспективы частей данного стандарта

• ISO/IEC 19770-1: SAM Processes — сосредотачивает внимание на процессах SAM, реализация которых в организации необходима для эффективного управления программными активами. Стандарт опубликован 9 мая 2006 года.
• ISO/IEC 19770-2: SAM Tag — делает акцент на способах идентификации программного обеспечения и управления им. Целевая аудитория этой части стандарта — производители программного обеспечения, в том числе средств аудита. Стандарт находится в состоянии Final Draft.

В разработке и в планах ещё две части стандарта:

• ISO/IEC 19770-3: Software Entitlements — концентрируется на способах отслеживания прав на использование программного обеспечения. Стандарт находится в состоянии предварительного обсуждения.
• ISO/IEC 19770-4: SAM Maturity Assessments and Incremental Conformance —упор на методах оценки зрелости SAM в организациях, а также сертификации организаций на соответствие стандарту.

Процессный подход, на котором построен стандарт ISO/IEC 19770 SAM, акцентирует внимание предприятия на достижении поставленных целей, анализе ключевых показателей эффективности (KPI), а также на ресурсах, затраченных на достижение этих целей.^[1]

После того, как в названии стандарта впервые появилось слово «Management», стало окончательно понятно, что лучшие мировые практики выделили рассматриваемую дисциплину из компетенции исключительно ИТ-служб и частично соединили с подразделениями, отвечающими за финансы, безопасность и юриспруденцию. Это в целом. А в тех вертикальных рынках, где существует давление регуляторов, соединение произошло также со специалистами по риск-менеджменту и соблюдению нормативных актов (compliance).

Software Asset Management доказал, что результаты управления таким объектом нематериальных активов, как программное обеспечение, могут быть прогнозируемыми и измеримыми. Это ставит стандарт в один ряд с иными широко применяемыми на практике процессными стандартами, например, ISO 9000, ISO 20000, ISO 27000, BS 25999 и т.д. Что это даёт? Унификацию подходов и синергию от совместного использования, что подразумевает экономию и добавление конкурентных преимуществ бизнесу.

Какие бывают SAM-проекты?

Каждый бизнес сталкивается с собственными проблемами и вызовами, поэтому Microsoft предлагает несколько вариантов SAM-проектов, в зависимости от потребностей компании^[2].

• SAM Baseline/Оценка состояния. Разработан с целью дать Заказчикам полномасштабный детальный обзор текущего состояния инфраструктуры Microsoft, развернутого программного обеспечения и соответствия его имеющимся правам и лицензиям.
• SAM Cybersecurity/Оценка ИТ-безопасности. Разработан с целью предоставить Заказчикам базовый анализ ИТ-безопасности с учетом развернутого программного обеспечения Microsoft, его использования и соответствующих лицензионных прав. Анализ послужит основой для высокоуровневой оценки состояния ИТ-безопасности, предоставив данные о том, где и какое установлено программное обеспечение, и какие с этим связаны риски.
• SAM Deployment Planning/Планирование внедрения. Пилотное внедрение средств инвентаризации и управления программными и аппаратными активами Microsoft. Планирование развития SAM в части процессов установки программного обеспечения, измерений использования, инвентаризации и контроля активов посредством проведения пилотного проекта с применением System Center, Windows Intune или MAP.
• SAM Cloud Ready/Оценка готовности к использованию облачных сервисов. Обследование ИТ-инфраструктуры Заказчика на предмет готовности к модернизации с использованием облачных технологий. Происходит оценка текущего использования облачных технологий рассчитанных с учетом целей и задач Заказчика, включая оценку компонентов и служб, которые можно мигрировать в Office 365 и Azure.

Этапы внедрения технологии управления лицензиями

Как проходит SAM-проект?

Обычно SAM-проект проходит в 4 этапа: планирование, сбор данных, анализ данных, рекомендации

• Планирование. Определение целей и задач проекта, обеспечение доступа для сбора и анализа данных.
• Сбор данных. Инвентаризацию программных активов, сопоставление данных инвентаризации с данными об использовании и лицензионных правах.
• Анализ данных. Обработка и оценка полученной информации, анализ зрелости ИТ-системы и подбор подходящего SAM-проекта (Подготовка к переходу в облако, оценка кибербезопасности и др.). Уже на этапе подготовки будут разработаны цели и стратегии развития вашей ИТ-инфраструктуры.
• Итоговая презентация. На завершающем этапе проекта партнер представляет результаты работы, рекомендации и дальнейшие действия, включая набор подробных отчетов. Подробнее о том, какие отчеты вы должны получить по итогам проектаSAM, изложено далее в разделе «Результаты работы».

• Сбор необходимой начальной информации - На первом, по сути подготовительном этапе необходимо собрать информацию, требуемую для внедрения управления лицензиями в организации. Информация включает в себя такие составляющие как: количество персональных компьютеров в организации, количество серверов, используемое программное обеспечение, ответственный за закупку, использование и утилизацию программного обеспечения.
• Инвентаризация ПО - Результатом этого этапа является получение полного перечня программных продуктов, установленных на компьютерах, рабочих станциях, серверах и других устройствах, используемых организацией и оформление его в виде отчета. Вы можете провести инвентаризацию вручную или автоматически, с помощью средства инвентаризации ПО.
• Сопоставление установленных программных продуктов с имеющимися лицензиями - После анализа используемого ПО осуществляется сопоставление лицензий и программного обеспечения. Таким образом, можно выяснить, все ли лицензии у вас есть, и нет ли среди них лишних.
• Анализ стратегий и процедур - Результатом четвертого этапа должны стать правила, процедуры и политика закупок программного обеспечения, правила распространения ПО внутри организации, его использования, постановки на баланс и списания. Кроме того, в организации должны появиться внутренние стандарты на используемое программное обеспечение и аппаратные средства. Целью четвертого этапа является разработка и описание этих правил, процедур и стандартов.
• Разработка плана управления лицензиями - По результатам инвентаризации определяется состояние дел в области ПО на текущий момент времени, а по результатам разработки стратегических подходов в области управления лицензиями на программное обеспечение определяется желаемое состояние, которого организации необходимо достичь. Теперь, на пятом этапе, разрабатывается план, позволяющий перейти из состояния, которое есть, в состояние, которое необходимо. Это и есть план управления лицензиями на предприятии, позволяющий сделать программное обеспечение активом, эффективно эксплуатируемым компанией.

Процесс SAM

• Сопровождает ПО на всех этапах его жизненного цикла
• Тесно связан с остальными процессами ИТ
• Не является внутренним процессом ИТ, так как затрагивает бухучет, закупки и проектный офис
• Существующие процессы задеты минимально
• Обеспечивает контроль за выполнением всех необходимых процедур

Уровни зрелости ИТ-инфраструктуры применительно к SOM по данным Microsoft

• Basic SAM (базовый) - минимальный уровень развития. Фактически процессы управления программными активами отсутствуют, инвентаризация ПО осуществляется редко, лицензирование ПО выполняется время от времени. В основном процессы проявляются как реакция на возникшую проблему (проверка правоохранительными органами, требование бизнес-партнера, претензия от производителя ПО, чрезмерно большие расходы на ПО и т.д.).
• Standardized SAM (стандартизированный) - в организации выполняется инвентаризация ПО, развернуты соответствующие программные средства, создан репозитарий ПО. Возможно, выделен ответственный за лицензирование, внедрены некоторые стандарты и процессы управления программными активами. Однако SAM не влияет на принятие решений.
• Rationalized SAM (рационализированный) - уровень, при котором выделятся активное управление программными активами, методология SAM внедрена в полном объеме. Назначен сотрудник или отдел, ответственный за управление программными активами и лицензирование. Процессы SAM интегрированы с другими процессами (ITIL, Microsoft Operations Framework - MOF). В организации существует план развития ПО и он согласован с планом развития бизнеса и всей ИТ-инфраструктуры.
• Dynamic SAM (динамический) - высший уровень развития, при котором управление программными активами реализовано в режиме реального времени. ПО, как часть ИТ-инфраструктуры, рассматривается не как средство обеспечения работоспособности бизнеса, а как актив предприятия.

Open source как решение проблем легализации ПО

Перейдя полностью на open source, можно разом решить все проблемы и не «заморачивать» менеджеров вопросом легализации софта.

Это жестокое заблуждение. Налоговый кодекс РФ относит подобное ПО (если не предпринят ряд шагов) к категории подарков, с которых берётся соответствующий налог, величина которого зависит от стоимости аналогичного по функционалу проприетарного софта. Как говорится, незнание закона не освобождает от ответственности.

Дополнительным фактором риска в случае с open source является еще и то, что в один прекрасный день он может стать проприетарным. К примеру, очень много людей во всем мире с замиранием сердца следят за сообщениями из корпорации Oracle, поглотившей SUN Microsystems вместе с её технологиями Java, mySQL, Solaris и т.д. А вдруг кто-то еще купит веб-сервер Apache и PHP за компанию…

Но, учитывая тот факт, что ни одна компания не может миновать стадию Basic SAM, имеет смысл чуть подробнее остановится на аудите, как краеугольном камне внедрения этой методологии на любом уровне зрелости.

Итак, в компании сложилась определенная ИТ-ифраструктура. Требуется систематизировать всю общую информацию, которая относится к софту— количество компьютеров, серверов, структура сети, расположение PC территориально (офисы, филиалы, мобильные сотрудники). Затем требуется изучить элементы жизненного цикла программного обеспечения в организации.

Сюда входит: приобретение, инсталляция, настройка, использование, обновление, удаления, хранение ПО и т.д. При этом критически важно определиться - кто персонально отвечает за все эти процессы.

Инвентаризацию ПО можно проводить несколькими способами:

• вручную методом создания списка установленного софта и осмотра содержимого жёстких дисков;
• полуавтоматически — используя локальные сканеры;
• автоматически — установив на всю сеть программный комплекс для сбора и консолидации актуальных данных

Параллельно с инвентаризацией ПО юристы и финансисты собирают факты, подтверждающие право на использование ПО: сертификаты, лицензионные соглашения, коробки, наклейки на корпусах, установочные диски, серийные номера в электронном виде, накладные и т.п.

В конечной фазе аудита проводится выяснение и ликвидация расхождений между фактически установленным ПО и наличием прав на его использование. В заключение необходимо разработать внутренние документы и положения, которые будут регламентировать весь жизненный цикл программного обеспечения в организации.

Обычно, это - пошаговые инструкции, прописывающие действия должностных лиц и пользователей в конкретных ситуациях. Например, что должен делать сотрудник, если ему понадобилось новое ПО? Как оно должно попадать на баланс организации? Как с ним обращаться в процессе эксплуатации: установка, использование, хранение, списание и т.п.

Система оценки уровня возврата инвестиций, вложенных при внедрении SAM

Специалисты департамента SAM (Software Asset Management) на основании ряда внедренных проектов разработали особую методологическую систему оценки уровня возврата инвестиций, вложенных при внедрении SAM. Результаты применения новой методики позволяют с уверенностью говорить, что вкладывая средства в SAM-проекты, можно экономить: так, при внедрении процессов управления программными активами, ROI для компании, которая имеет 1 000 ПК, составляет 316,46 % за три года.

Возникает вопрос: как проводится расчет?

Методика оценки возврата инвестиций основана на признанных международных метриках, таких как Microsoft SAM Optimization Model; Management by objectives (key performance indicators – KPI); CoBiT; ITIL и ISO 19770.

«Расчет индекса возврата инвестиций в настоящее время является наиболее широко применимой методикой для калькуляции финансовой эффективности. В рамках же управления ИТ этот расчёт позволяет принимать взвешенные и инвестиционные решения. Адаптировав методику расчета ROI для управления программными активами, мы можем с уверенностью констатировать, SAM – это инвестиция, причем приносящая реальный весомый финансовый дивиденд», – говорит Максим Мельситов, консультант по бизнес-процессам департамента SAM компании Softline.

Большой опыт специалистов департамента SAM в выполнении проектов говорит о том, что данная технология имеет окупаемость 950% за 3 года при высокой степени оценки юридических активов. Если брать в расчет только финансовую экономию, то при внедрении процессов управления программными активами ROI для компании, которая имеет 1 000 ПК, составляет 316,46 % за три года.

Смотрите также

• Пиратское ПО в России (Нелицензионное ПО)
• Stop Online Piracy Act (SOPA, Акт против интернет-пиратства)
• Лицензирование ПО
• Авторское право в интернете
• Microsoft Software Assurance

• SAM в основе всего