Иван Попов

Подрядчик только что разработал вам приложение, и вы хотите проверить, хорошо ли сделана работа? На сайте постоянно какие-то сбои, или же сайт работает нормально, но почему-то "не продаёт"? ИТ-служба наводит терминологический туман и раздувает бюджеты вместо того, чтобы упрощать операционку и увеличивать прибыль? А может, у вас есть крутая бизнес-идея, но вы не уверены, возможно ли технически реализовать её с приемлемым бюджетом, и из-за того откладываете в долгий ящик?

Любой из перечисленных пунктов — уже хороший повод обратиться к независимой экспертизе. А если вы отметили про себя два и более пункта — медлить уже нельзя. Напишите мне. Обсудим проблемы, проведём бизнес- и системную аналитику и расчёты по проекту. Изучим сайт и инфраструктуру, проверим на предмет ошибок и недочётов, определим важнейшие метрики. Наметим точки роста, разработаем дорожную карту с планами на ближайшую, средне- и долгосрочную перспективу.

Путь, который вы собираетесь пройти, скорее всего кто-то уже проходил до вас. Принимал неправильные решения, спотыкался и падал, терял деньги и время. Не стоит повторять чужие ошибки — лучше использовать чужой опыт. Обратитесь к незаинтересованному профессионалу — "свежий взгляд наметанным глазом" наверняка будет полезен. В моей практике есть эпизод: часовая встреча, которая сэкономила несколько десятков миллионов реальных денег.

«Да ну, какие взломы, кому мы нужны, у нас же обычный магазин», — возможно, самая дорогая фраза за всю историю бизнеса.

Видите ли, дело в том, что вас никто специально не выбирает. Это бизнес, там давно всё автоматизировано и поставлено на поток: скрипты методично перебирают диапазоны адресов, находят необновлённый софт, в нём — известные уязвимости, а дальше... Если повезёт, могут сообщить об опасной находке и вежливо предложить свою помощь в устранении бреши за разумное вознаграждение. А могут и не попросить и не сообщить, а взять и зашифровать все данные, например. А потом потребовать выкуп за расшифровку, причем как правило уже в неразумных размерах.

Вместо шифровальщика может быть майнер, бэкдор или ботнет-хук. Или просто тихая выгрузка базы клиентов. Что, кстати, может быть хуже всего: майнер проявится через месяц по счетам за хостинг, о шифровальщике почти мгновенно известят вопли в офисных чатах, а вот про утечку клиентской базы, к примеру, узнают обычно последними, и чаще всего из новостей.

Мне доводилось разбирать последствия таких историй, и знаете, выводы довольно скучные. Эффектных взломов, которые показывают в кино, в реальности почти не бывает. Бывает сотрудник, который ушёл полгода назад, но затаил обиду и АПИ-ключ. Бывает админ разгильдяй, раздающий подрядчикам ssh-ключи и забывающий их отзывать. Бывают, наконец, просто недобросовестные люди со странными наклонностями: подглядеть, стащить, что нельзя стащить — поломать... И это я перечислил самые интересные случаи. А обычно всё ещё банальнее: обновление, которое собирались поставить «на следующей неделе» в позапрошлом году. Торчащий наружу порт, про который забыли или не вовсе знали. И почти всегда найдется сотрудник с паролем qwerty123 и его товарищ, открывающий все письма про наследство от нигерийского дядюшки.

Резервное копирование — это отдельная тема. Нет, бэкапы конечно же есть у всех, сейчас это просто норма приличия. Но вот на мой вопрос, тестировали ли хоть раз восстановление из этих бэкапов, уверенно отвечают лишь единицы. А между тем бэкап, из которого ни разу не восстанавливались, — это не бэкап, а лотерея. Убаюкивающая иллюзия и возможный прямой убыток в итоге.

Сразу оговорюсь: я не "белый хакер", и не притворяюсь. Пентест — отдельная профессия, со своей спецификой и массой нюансов, из-за которых она часто находится глубоко в серой зоне. "Белые шапки" безусловно достойны всяческого уважения, но я занимаюсь другим — операционной безопасностью, DevSecOps. Именно теми вещами, примеры которых привожу выше, и через которые чаще всего ломают в реальной жизни, а не в кейсах с DefCon. И что самое интересное, эти простые вещи по факту являются причиной 95% всех кибер-инцидентов. А это значит, что простой чекап и следование элементарным регламентам перемещает ваш бизнес в топ-5% самых защищённых компаний. И нанимать для этого крутого хакера совсем не обязательно.

Современная электронная коммерция — это не только интернет-магазин. Это ещё и бэк-офис с CRM, склад с WMS, интеграция с маркетплейсами и логистическими компаниями, мессенджерами и IP-телефонией.

Это это эквайринг и бухгалтерия. Это реклама и маркетинг, построение долгосрочных отношений с постоянными клиентами и оптимизация затрат на привлечение новых. Это настройка омниканальности, контроль за качеством коммуникаций, и вообще анализ самых разнообразных метрик и конверсий на всех этапах.

В общем, много всего. И со всем этим я помогаю разобраться. Систематизировать процессы, подобрать и настроить инструменты: сотрудникам — для удобной работы, руководителям — для эффективного контроля, анализа и планирования.

"Ваше приложение превысило лимит памяти, и тариф был автоматически увеличен." Получали когда-нибудь подобные сообщения от хостинг-провайдера? И как в таких случаях разобраться: действительно ли в приложении есть проблема с утечкой памяти, или провайдер просто хочет получать с вас побольше?

Моя первая специализация — системный администратор. Для меня решение "залить проблему деньгами" путём покупки дополнительных мощностей — это вообще не решение. Точнее, в некоторых случаях оно оправдано и тоже возможно, но обычно мы всё же не решаем проблему "в лоб". Гораздо интереснее разобраться в причинах перегрузки и оптимизировать использование уже имеющихся ресурсов.

Имея опыт запуска и эксплуатации систем самого разного масштаба — от одностраничных сайтов на виртуальном хостинге до cloud-native приложений в распределённых кластерах Kubernetes и Virtuozzo, — я профессионально подберу, настрою, помогу поддерживать наиболее подходящее в вашем случае решение.

Сколько стоит сделать сайт? Навскидку — от 5 тысяч до 5 миллионов рублей. И это не шутка, это реальный разброс цен в зависимости от конкретных функциональных и нефункциональных требований, дизайна, планируемых интеграций, используемых инструментов и технологий.

Это в целом нормально, и одно из преимуществ сильного специалиста в том, что он спокойно работает с такими неопределенностями, в ходе анализа приводя их к понятной обеим сторонам системе.

Ведь самое главное не в том, какая CMS, фреймворк или технология выбраны, а в том как они выбраны. Сейчас поясню.

Работая в екоме, я не раз наблюдал грустную картину: подрядчик всеми правдами и неправдами навязывает клиенту своё "любимое" решение, которое по факту часто просто единственное, которое он умеет. Как говорится, всё гвозди, коль молоток в руке. Особенно грустно становится, если это решение ещё и не совсем подходит (или совсем не подходит) для этого конкретного проекта.

Хороший аналитик обязательно сначала выслушает (зачастую — допросит) бизнес, вникнет его задачи, поймёт проблемы, и только после этого будет предлагать какие-то решения. (Да-да, настоящий профессионал скорее всего предложит вам как минимум два варианта, указав на плюсы и минусы каждого из них.)

Каковы затраты на IT-специалиста в штате компании? Вообще говоря, IT-специалисты бывают очень разные, но для простоты давайте возьмём обыкновенного системного администратора с начальным уровнем подготовки. Средняя зарплата такого работника составит примерно 70 000 руб. в месяц. (В провинциальном городе, возможно, она будет ближе к 50 000, в "столицах" — скорее к 90-100 000 руб.)

IT-outsource — постоянное профессиональное обслуживание по договору со специализированным сервисом — может стоить даже меньше, но при этом позволяет получить в распоряжение целую IT-команду, причём не джунов.

Специалисты не только разберутся, почему расходуется память, но и возьмут на себя все переговоры с провайдерами услуг, подберут оптимальные тарифы на эквайринг и доставку, проконтролируют ваших подрядчиков или сами проведут необходимые интеграции. А вы в это время занимаетесь своим любимым делом, не переживая о технике и сбоях.