理想的には、モデルは次のようになります。専門家のレベルを確認するためにメーカーの認定が必要です。さらに、入札で競争力を保つためにベンダーから割引を受けることができます。 製造業者はパートナーを認定します-まず第一に、仕事の質に対する信頼とインテグレーターのプロ意識。 証明書は年に一度発行されます。
監査に合格するための重要な条件は、トレーニングを受けた認定スペシャリストと合格した専門分野-アーキテクチャ、およびベンダーテクノロジを使用して実装されたプロジェクトの存在です。 シスコでは、これだけです。金を獲得するには、市場を本当に動かす必要があります。今年から、要件はかなり変化し、厳しくなりました。
私の経験に基づいて、金の監査のためにゼロから準備することは困難です。 しかし、幸いなことに、私たちは2002年以来この話をすでに経験しており、さらにISO、ドイツのTÜVSÜD、およびその他の規格の監査も行っています。
今回は、鉄道旅客および大規模エネルギー企業、国営企業などのインフラストラクチャプロジェクトに関する監査に合格しました。 私たちが情報セキュリティ文書を見せたとき、監査人は時々神経質に震えました。
監査に合格するために必要なもの
- 適切な教育と個人証明書を持っている20人のスタッフがいます。
- ベンダーテクノロジーを使用して、過去2年間で少なくとも3つの主要プロジェクトを作成します。
- 4つの異なる分野の能力を示します。たとえば、企業通信、データセンターネットワークとインフラストラクチャ、災害復旧、仮想化などです。 それとは別に、管理はISO 9001で要求されるレベルにほぼ達します。実際、これは、独自のシスコデータセンターインフラストラクチャを所有するか、アフィリエイト顧客を販売する必要があることを意味します。 VCE Vblock（データ転送およびストレージ用のネットワークインフラストラクチャ-Cisco Nexus）、コンピューティングリソース（Cisco UCS）、VMware vSphereでの仮想化、EMC VNXでのストレージ、およびCisco UCS Directorの管理に、データセンターアームを開発しました。
最も難しいのは、サービスを表示することです。 今年は、仮想ワークステーション、仮想ファイアウォール、仮想ルーターに加えて、Zertoソリューションに基づいたサービスとしてのデータセンターの災害復旧を示しました（これらはシスコによって承認されています）。 各サービスには、ドキュメント、プロセスの説明（構築方法）、およびテクノロジーの両方の要件があります。 これらのソリューションには認定スペシャリストが正確に必要であり、サービスには少なくとも4人が必要です。
これらのサービスを実際に提供する企業の意欲が必要です。 実際、これはすべてのビジネスプロセスの非常に詳細な設計を意味します。 たとえば、サポートでのチケットエスカレーションの規定と、プロモーション用のマーケティング資料の開発に関する規定を設定する必要があります。 プロセスはITILに基づいて構築されています-専門家と要件の遵守が必要です。 要するに、論文を作ることも楽しいです。
そのプロセスの一部は、西洋で採用され、監査に含まれるビジネス要件に合わせて調整する必要がありました。 たとえば、標準および非標準の変更を記述する必要があります-プロセスごとに。 これは、管理者がハードウェアを混乱させないように最初に行われます。 たとえば、新しいファームウェアをバンクスイッチにロールすることは冒険であり、何か問題が発生した場合、銀行はCisco AdminではなくCiscoを記憶するためです。
そのため、プロセスにはSLAがあります-接触の瞬間から24時間以内に実行する必要がある標準の変更が記述されています。 標準は、頻繁に繰り返されるものです。新しいユーザーの確立、電話番号の変更、自動転送の設定です。 非標準-ルーティング、トラフィックフローパターン、テスト対象、転送ルール（インターネットチャネル間の切り替えなど）などの新機能の変更。 非標準の規制では、他のユニットに警告し、顧客のネットワークを埋めるかどうかを確認し、調整し、書類を作成して署名する必要があります。 シスコは、あなたの考えを知りたいと考え、全員に警告しました。 以前のバージョンへのロールバック計画と、この計画を適用するための基準も作成されます。
監査人は、たとえば、サービスを使用する力によって顧客が見るもの、フィルタリングされる攻撃の数、ドロップされるトラフィックの量などのレポートに関心があります。 これらはすべて準備して表示する必要があります。
準備と配送
準備は、ベンダーのサイトから監査ルールを取得することから始まります。 現在のすべての要件が英語で一覧表示されます。 監査が計画された時点で、監査が実施されるバージョンは監査人によって修正されます（これは、更新時に驚きがないようにするためです）。 監査ルールは常に変化していますが、むしろスムーズです。
次に、集会に行きます。誰がどのポイントを担当するかを配布します。 今年は、さまざまな部門から3つのエンジニアリングチームが参加しました。
すべては事前資格審査から始まります。監査日を設定するには、人とプロジェクト用の一連のドキュメントをアップロードする必要があります。 彼らは「はい、あなたは条件付きで適合している」と言って、監査日を設定します。
その後、週に一度会って、誰が何をしたかを確認します。 特定のポイントの責任者は、何を、どのように、そしてどのような問題、それらを解決する方法は何かを伝えます。 監査の日までに、会議の頻度が増加し、実行が表示されます-これはソリューションのデモの一部です。 一般的に、ベータテスト。 一般に、監査の説明のある時点で、意味を根本的に変える1つの単語が追加されることがあります。 すでに10回行ったようですが、新年にはそうではありません。要件は1桁高くなっています。 たとえば、「リアルタイム」というフレーズをアイテムに追加できます-それだけです。インフラストラクチャを再描画する必要があります。
一般に、監査前の最後の2週間は、だれも眠りません。 3〜4か月で準備を始め、スケジュールに従ってすべてを実行したようです。それでも、予想外の人が出てくるたびに。
第一人者は個人的に監査を受けます。 すべては英語です。 実践が示すように、監査人自身も長年にわたってポンプでくみ、どこでどのように深く掘り下げるかを理解しています。 さらに、世界中の他の企業を訪れた彼らは、これを追加の知識として使い始め、他の場所にある機能を求めています。
たとえば、今年、Tier IIIデータセンターが稼働しました（現在、3つすべてのUptime証明書）-シスコの監査では、特にプロセスと人員に関する大量のドキュメントを使用しました。 ISO、ドイツ人および他の規制-それはまた多くを助けます。 そこには多くのことが記述されていますが、それは彼らのプロセスを高度に専門化したものにすることです。 ちなみに、監査は、会社がプロセスを最高の国際標準にすることを奨励しています。 もちろん、ドキュメンテーションを偽造し、実際には存在しないものを紙に示すという考えに忍び寄るかもしれませんが、プロセスを実現するのとほぼ同じくらい困難です。
今年、監査人はまだオフィスを歩き回り、ネットワークオペレーションセンター（ロシア語での技術サポート）に行き、人々と話をして、すべてが本当に整っていることを確認しました。 彼が到着する前日、私たちは部屋の大掃除を行い、ファームウェアの穴のいくつかを風刺的に説明したポスターを取り除いた。 サポートが入り、怖がり、オフィスを混乱させたと思った。
監査は2日間計画されています。 今年は1日目の主要な内容を示し、2日目には軽微な手続き、実際には1つのセクションにステートメントを残しました。 今回、私たちの監査人は金融部門からでしたが、結局のところ、彼は若い頃の管理者だったので、彼は手入れが行き届いていて、技術もかなり優れていました。 彼らのために、本社も特別な技術トレーニングを実施しているので、審査員は準備以上に私たちのところに来ます。
シナリオが考案されました：大規模な小売店がやって来て、セキュリティ、サービスの安定性、認定された人員の流れ、リモートオフィスへのアクセス不能、電話で情報を取得できない場合の問題のポートフォリオをもたらします。注文のニーズに応じた生活に。 そして塗料では、問題を次々に解決する方法を描き、ビジネスコミュニケーションを導入し、アウトソーシングと技術サポートのためにあらゆるものを取ります。 一般的に、根本的な病気は根本的な解決策です。 そして、彼らの技術ではなく、同様のものがありました。 ベンダー、そして監査人は、見て、聞いて、そして首を振ります。「まあ、それは、90年代のITインフラストラクチャでビジネスを営むことは不可能です。ある種のゲームです。 複雑すぎます。」
彼らは西部で幸運であり、それを持っていません。 シベリアの誰かの発信チャンネルが最近電話で作られ、テープでモップにテープで留められた方法を彼らに伝え始めませんでした。さもないと、信号がBSに到達しなかったからです。
また、長年にわたって監査人がロシア語を理解し始めることも重要です。 いくつかの予想外の浅瀬で、我々はロシア語を話します、そして、彼らは焦げます。 文書では、彼らはどのセクションがロシア語で呼ばれているかも既に知っています。 そのため、監査人自身が常に新しい言葉を書き留めました。 彼はプログラムを持っています。そこでは、要件から項目ごとにチェックを入れなければなりません。 そのため、セクションの1つで根本原因を指摘する必要がありました。彼がうなずくことを示しています。
「はい、はい、アイノウ、ワタリガラスの根。」
何らかの理由で、サービスカタログの管理に関する文書で、「清算」という言葉（特定の基準に従って古いサービスがカタログから削除される）が怖かったため、彼はこの言葉を殺人者にのみ関連付けていると述べました
参照資料
- ゴールドレベルパートナーの要件
- 2000年以降のシスコのステータス
- データセンターでのシスコクラウドレバレッジ
- 私のメールはSVrublevskaya@croc.ruです