Марина отвечает за информационные технологии в компании, которая производит картонную упаковку. Есть завод за городом, офис, сайт с личным кабинетом для дилеров и учётная система, где живут заказы, остатки и цены. Всё это держится на ней, одном системном администраторе и внешних специалистах, которые годами чинят то, что ломается.
В понедельник коммерческий директор приносит письмо от крупной торговой сети. Перед договором поставки нужно заполнить опросник по информационной безопасности: доступы, резервные копии, обновления, персональные данные, реакция на инциденты. Марина открывает файл и видит, что на половину вопросов у неё нет ответа, а на вторую половину есть только предположение.
Самое неприятное в опроснике — не сами вопросы, а необходимость подтверждать ответы. Марина примерно знает, что копии делаются, а доступы ограничены, но показать журнал, регламент или настройку не может: всё держится на привычке и на нескольких людях, которые подменяют друг друга. Именно этот разрыв между «знаю» и «могу доказать» и предстоит закрыть.
На совещании решение находится быстро: нужен аудит информационной безопасности. Звучит солидно и понятно всем сразу. Марина пишет в несколько компаний короткое письмо: просим провести аудит, вот наш масштаб, нужна оценка.
Через несколько дней приходят предложения, и разброс между ними такой, что сравнивать нечего. Марина выбирает самое дешёвое: бюджет ограничен, а слово «аудит» во всех письмах одинаковое. Договор короткий: провести аудит, выдать отчёт, подписать акт.
Почему дешёвый аудит оказался бесполезным
Отчёт приходит через несколько недель и выглядит основательно. Титульный лист, введение о важности безопасности, перечень рекомендаций: разработать политику, обучить сотрудников, усилить контроль доступа, делать резервные копии. Всё это правда, и всё это Марина знала до заказа. Ни один пункт не связан с опросником торговой сети, ни один не говорит, что в компании уже есть, а чего нет, и ни один не объясняет, с чего начинать.
Формально подрядчик выполнил договор: аудит проведён, отчёт выдан, акт подписан. Пользоваться документом нельзя. Марина ищет в нём ответ на вопрос заказчика о защите данных дилеров и находит общую фразу о важности разграничения доступа. Она ищет, что исправить первым, и видит список одинаково срочных мер.
Полезный отчёт в этой ситуации выглядел бы иначе. В нём было бы видно, какие пункты опросника компания закрывает и чем это подтверждается, где ответа нет вовсе, какие меры дают наибольший эффект при нынешних ресурсах и кто внутри за них отвечает. Такой документ можно отправить заказчику почти без правок, а остаток превратить в план на квартал. Заметьте: речь не о глубине технической проверки, а о связи между проверкой и решением, ради которого её затеяли.
Соблазн объяснить это просто: подрядчик попался плохой. Но давайте проверим, что именно произошло. Марина не купила плохой аудит — она купила другое название. В самом дешёвом предложении работа была меньше: быстрый обход по шаблону, типовой отчёт, никакого разбора. Цена не была скидкой на ту же работу; она была честным отражением другого объёма, и договор этот объём закрепил.
Из этого следует неприятный вывод: проблема началась не в отчёте, а в письме из трёх строк. Подрядчик не мог угадать, какой ответ нужен заказчику и что считается результатом. Он сделал то, о чём его попросили, и сделал это в рамках того, что успел понять. Самая низкая цена — плохой критерий не потому, что дешёвое всегда плохое, а потому что она ничего не говорит о том, что вы покупаете. Чтобы написать письмо иначе, нужно сначала различить работы, которые прячутся за одним словом.
За одним словом скрываются пять разных работ
Аудит смотрит на то, как устроено сейчас, и сравнивает с требованием. Требованием может быть закон, стандарт, внутреннее правило или опросник крупного клиента — и от этого зависит, какой аудит вам нужен. Результат аудита — картина разрывов и приоритеты: что не соответствует, чем это грозит и что закрывать первым. Аудит ничего не чинит; он ставит диагноз, и в этом его ценность.
Консалтинг начинается там, где нужен не диагноз, а решение. Как построить процесс, какие меры выбрать, кто за что отвечает, что делать с наследием в виде общего пароля на всё. Результат — само решение: политики, схема, роли и план, а не перечень замечаний. Хороший консультант иногда говорит, что покупать новый инструмент не нужно, и это тоже результат.
Внедрение — это руки. Настроить, поставить, связать с учётной системой, обучить людей. Результат — работающая мера, а не документ. Тест на проникновение, который чаще называют пентестом, отвечает на другой вопрос: можно ли дойти до цели. Его результат — воспроизводимые находки, а не оценка порядка в документах. Поддержка — это постоянная работа: следить, обновлять, реагировать; её результат измеряется не отчётом, а тем, как быстро и предсказуемо решаются проблемы.
Путаница возникает не из-за невежества, а из-за устройства рынка. Компании, которые продают и внедряют решения, часто предлагают аудит как первый шаг перед сделкой, и их обследование честно устроено как разведка. Аудиторская компания, наоборот, хорошо находит разрывы, но не обязана помогать их закрывать. Оба варианта нормальны, если вы понимаете, какую работу покупаете.
Отдельная ловушка — перепутать поддержку с проектом. Поддержка хорошо чинит то, что уже работает, и плохо создаёт то, чего ещё нет; если поручить ей наведение порядка, она будет реагировать на сбои, а не менять устройство. Проект, наоборот, плохо переносит режим «сделайте нам хорошо навсегда»: у него есть начало, конец и результат, который можно принять. Поэтому вопрос «кого нанимать» почти всегда распадается на два: кто закроет разрыв сейчас и кто будет поддерживать результат потом.
В истории Марины нужны были две работы сразу: сравнение с требованиями конкретного заказчика и помощь в выборе мер. Самое дешёвое предложение не делало ни того, ни другого: оно сводилось к шаблонному осмотру. Поэтому начинать стоит не с выбора компании, а с формулировки.
Как описать задачу, чтобы её можно было принять
Хорошая формулировка задачи звучит не как название услуги, а как вопрос, на который нужен ответ, и как результат, который можно принять. Полезно назвать решение, ради которого всё затевается, — иначе подрядчик будет оптимизировать отчёт, а не вашу ситуацию. Ещё нужно очертить границы: какие системы и документы входят в работу, а какие нет.
У Марины это выглядело так. «Нужно понять, проходим ли мы проверку торговой сети по её опроснику, что именно мешает и какие меры закрыть в первую очередь. Результат — заполненный опросник с пояснениями и доказательствами, список разрывов с приоритетами и план на ближайший квартал. Границы — личный кабинет дилеров, учётная система и офисная сеть; завод пока не трогаем». Такая формулировка сразу отсекает шаблонные предложения: на неё нельзя ответить типовым отчётом.
Письменная фиксация нужна не для бюрократии, а потому что устная задача меняется по дороге. Когда формулировка лежит в переписке или приложении к договору, у обеих сторон есть одна и та же версия, и спор идёт о факте, а не о памяти. Заодно становится видно, что в задачу не входит, — а это самая недооценённая часть любого технического задания.
Дальше начинается разговор, и в нём важнее вопросы, которые задаёт подрядчик, а не те, что задаёте вы. Сильный специалист спросит, какие данные критичны, что уже пробовали, кто принимает решения, что будет считаться провалом и что нельзя трогать. Слабый пришлёт шаблон с текстом «полный аудит» и ценой. Второй вариант не обязательно плохой человек — просто он продаёт услугу, а не результат.
Про сертификаты стоит сказать отдельно, потому что на них смотрят первыми. Сертификат компании подтверждает, что у неё выстроен процесс или проверен продукт, но не говорит, кто именно приедет к вам и разберётся ли он в вашей учётной системе. Поэтому спрашивайте имена и роли тех, кто будет работать, и просите показать обезличенный фрагмент похожего отчёта. Поговорить с самим исполнителем до подписания — нормальная просьба, такая же, как посмотреть портфолио у фотографа.
Опыт проверяется не логотипами на сайте, а тем, насколько подрядчик говорит о вашем случае. Попросите описать похожий проект без названия клиента: какие системы были, что оказалось сложным, что не получилось и почему. Спросите, кто будет работать и не отдадут ли задачу на субподряд; если отдадут, попросите познакомить вас и с ними. Полезно поговорить с прежним заказчиком, но не о том, доволен ли он вообще, а о конкретном: уложились ли в срок, что было в отчёте, как решали спорные места. Подрядчик, который не может вспомнить ни одной неудачи, либо работает недавно, либо рассказывает не всё.
Если после такого разговора задача стала понятнее, а не туманнее, есть смысл переходить к договору. Именно там формулировка превращается в обязательство, а не остаётся добрым намерением. Если же ясности не прибавилось, это тоже результат: возможно, вы ещё не готовы формулировать задачу, и никакой подрядчик этого не исправит.
Договор: где заканчивается вежливость и начинается объём
Договор нужен не для того, чтобы прикрыться от проверяющих, а чтобы у слова «результат» появилось значение. Если в документе написано «проведение аудита и предоставление отчёта», результатом становится любой файл с этим названием. Поэтому в договоре описывают объём: какие системы и учётные записи подрядчик получит, какие документы изучит, с кем поговорит и что в работу не входит.
Дальше — сроки с промежуточными точками, формат отчёта и порядок приёмки. Полезно заранее договориться, что в отчёте будут доказательства: ссылки на документы, настройки, фрагменты конфигураций, а не только выводы. Отдельный пункт — конфиденциальность: подрядчик получает доступ к чужим данным, и в договоре должно быть сказано, что он с ними делает, где хранит, кому передаёт и что удаляет после работы. Ответственность тоже нужно описать: не как угрозу, а как ответ на вопрос «что будет, если срок сорван или данные ушли».
Деньги стоит привязать к принятому этапу, а не к факту подписания. Тогда оплата следует за результатом, который вы проверили, и обеим сторонам не приходится спорить о том, что считать завершением. Там же описывается, как меняется объём: что происходит, если в работе обнаружилась ещё одна система, кто согласует расширение и как это отражается на сроке. Без такого пункта любое уточнение превращается в отдельный торг, а хороший исполнитель начинает избегать сложных мест.
И почти всегда стоит начинать с небольшого первого этапа. Это не недоверие, а способ дёшево проверить совпадение ожиданий: одна система, ограниченный объём, короткий срок, понятный результат. Марина взяла в первый этап личный кабинет дилеров и управление доступами, а не всю компанию. Даже если бы она не продолжила работу, заполненный опросник и список разрывов остались бы у неё. Пилот заодно показывает, как подрядчик ведёт себя, когда находит неприятное: сообщает сразу или придерживает до финального отчёта. И он даёт исполнителю информацию, чтобы оценивать остальное честно, а не наугад.
Как принять работу и не остаться зависимым
Принимать работу нужно по критериям, записанным до начала, а не по впечатлению от презентации. Самый простой тест — попробовать воспользоваться результатом: заполняется ли по нему опросник, может ли разработчик повторить описанное, понимает ли руководитель, что делать в ближайшее время. Если документ приходится переводить на человеческий язык, работа не принята, даже если формально всё на месте.
Признаки полезного отчёта складываются в узнаваемую картину. В нём есть границы проверенного, доказательства, приоритеты и владельцы задач, а ещё — то, что проверили и не подтвердили. Разбор с исполнителем обязателен: полчаса разговора экономят недели переписки и позволяют спросить, почему одна мера важнее другой. Отчёт без разбора читается как приговор, разбор превращает его в план.
У Марины приёмка заняла один разговор с ноутбуком. Она открыла опросник и попробовала заполнить его по отчёту: часть пунктов закрылась сразу, несколько потребовали уточнений, и на них исполнитель показал, где лежат подтверждения. Потом они прошли по списку разрывов и договорились, какие меры делаются в этом квартале. Разговор закончился не актом, а планом — и это лучший признак того, что работа сделана.
Дальше начинается то, о чём вспоминают позже всего, — передача знаний. Если подрядчик уходит, у вас должны остаться документы, схемы, настройки, журнал решений и доступы, которыми владеете вы, а не он. Учётные записи администраторов стоит заводить на компанию и отзывать после работы; копии отчётов и рабочих материалов — хранить у себя. И нужен человек внутри, который понимает, как всё устроено, даже если обслуживанием занимается внешняя компания.
Зависимость от одного подрядчика растёт тихо. Сначала он единственный, кто знает пароль, потом единственный, кто понимает интеграцию, потом единственный, кто может её починить, и цена услуг перестаёт быть предметом обсуждения. Это лечится не сменой подрядчика, а устройством работы: документированные настройки, ваши доступы, второй исполнитель на критические задачи и право расторгнуть договор без потери данных.
Во второй раз у Марины получилось иначе. Отчёт был короче, но в нём был ответ на вопрос торговой сети, список разрывов и план. Она заполнила опросник, вынесла первые меры в отдельный этап внедрения и оставила у себя все материалы. Компания не стала защищённой сразу — но впервые поняла, что именно нужно защищать и в каком порядке.
Главная мысль
Подрядчика выбирают под задачу и результат, а не под название услуги и не под размер скидки. Название говорит о том, что компания умеет продавать; скидка говорит о том, сколько стоит её текущая загрузка. О том, что вы получите, говорит только договорённость об объёме, результате и приёмке.
Поэтому выбор начинается не с поиска компаний, а с честного ответа на вопрос, какое решение вы принимаете и какой документ или работа вам для этого нужны. Дальше находятся вопросы к подрядчику, первый этап, критерии приёмки и передача знаний. Цена в этой картине — следствие объёма, а не отдельный критерий.
Самый дешёвый отчёт не обязательно плохой; он может быть честным и аккуратным, просто про другое. Проблема не в нём, а в заказчике, который не сказал, что ему нужно. Хорошая новость в том, что формулировка задачи — единственная часть работы, которую нельзя передать подрядчику. Поэтому лучший критерий выбора звучит скучно: совпадает ли у вас с исполнителем представление о результате и можно ли это совпадение проверить до оплаты.
Если задача всё-таки в проверке на проникновение, посмотрите как заказать пентест — там про границы работ и приёмку находок. О том, что на самом деле подтверждает документ, подробно рассказано в статье о сертификации средств защиты. А незнакомые слова, от «пилота» до «пентеста», разобраны в словаре.