О «дырах» в безопасности ERP систем

Хотя мне больше нравится то название, которое я использовал у себя в жж. Но Хабр называет себя серьезным сайтом и название надо соответствующее.

Компания Digital Security провела исследование безопасности ERP систем SAP и Oracle. Результаты исследования неутешительны для вышеназванных производителей. Однако Digital Security обнаружила всего лишь верхушку айсберга, не зная, как оно там в деталях, в производстве, так сказать. Я же хочу рассказать о причинах, по которым клиенты вышеназванных ERP-систем «живут» с этими проблемами почти десятилетиями и почему-то их не решают.

Сам факт существования проблем с безопасностью меня не сильно взволновал. Ничего необычного в их существовании нет. Сколько автомобилей ежегодно отзывают ведущие мировые автопроизводители по той же причине? А еще мы с вами регулярно слышим о приостановке эксплуатации каких-то авиалайнеров. ERP-системы тоже делают люди, а им, как известно, свойственно ошибаться. Но если в автомобилях эти проблемы решаются при помощи отзыва и устранения неисправности, то с ERP-системами все обстоит гораздо хуже. Почему?

Лет десять назад в ходу был анекдот про МИГи-29, которые у нас купили индусы. Купили в разобранном виде. Собирают, получается паровоз. Опять разбирают и снова собирают. Паровоз. Хоть ты тресни. Звонят нашим, так мол и так, не можем понять. А наши им – так там же написано в инструкции «собрать паровоз, а дальше напильником». Так вот, этот анекдот гораздо больше подходит ERP-системам, чем МИГам.

Почему клиенты «живут» с этими проблемами вечно? Авторы исследования утверждают, что причиной тому – незнание настроек и их сложность. А вот я утверждаю, что нет.

Представьте себя на месте клиента. Вы точно знаете, что у вас серьезные проблемы с безопасностью. Решить их можно, но для этого следует изучить «дремучие» настройки системы. Неужели вы не разберетесь с ними? Конечно, разберетесь. Но, к сожалению, дело совсем не в настройках. А в безбожно устаревших технологиях, как производства, так и внедрения erp-систем.

Почти все производители идут одним и тем же путем. Выпускается нечто, что называют ERP-системой и продается клиентам. В реальности выпускается даже не полуфабракат, а нечто похуже, что без «напильника» работать не способно в принципе. Потом это «нечто» приносится на территорию заказчика и высыпается на пол. Затем туда приезжают разработчики и начинают «пилить».

Вот и вынуждены клиенты «пилить» и «строгать» эти полуфабрикаты, заставляя их работать. На практике это означает, что в эти продукты вносятся кардинальные изменения схемы данных и исходных кодов первоначального варианта. В результате у каждого клиента работает совершенно индивидуальное ПО, не имеющее никакого отношения к такому же ПО других клиентов. И централизованная поддержка со стороны производителя становится совершенно невозможной, потому что производитель абсолютно не контролирует ситуацию у клиентов и не знает, какие именно изменения произведены. Все патчи и версии, выпускаемые производителем, становятся совершенно бесполезными для большинства его клиентов, потому что их установка просто невозможна, ведь у клиентов работают совершенно другие продукты. Вот истинная причина того, почему клиенты не могут решить проблемы с безопасностью. Да и не только с безопасностью.

Кто-то может возразить мне – а почему тогда клиенты сами не решают эти проблемы, если они все равно кардинально меняют продукт, заставляя его работать. Но простите, зачем тогда вообще нужны такие производители ERP-систем, за которыми их собственные клиенты должны чистить все «баги»? Да и невозможно это, потому что далеко не все части ERP-систем открыты для изменений и изменить можно далеко не всё.

Производители ERP-систем вообще зачастую оторваны от собственных клиентов. Потому что не работают с клиентами напрямую, а только через партнеров. Реальные потребности и практические, жизненные проблемы ERP-систем для производителя просто неведомы. Они не слышат своих клиентов, потому что отгорожены от них стеной партнеров. Я не говорю, что работа через партнеров – это плохо. Отнюдь. Я просто констатирую факт.

Более того, примеров, когда компания продает ERP-систему, которой сама не пользуется, хоть отбавляй. Есть и компании, продающие и внедряющие сразу несколько ERP-систем. Как в этой ситуации осуществляется их поддержка, лучше спросить у самих клиентов.

Иными словами все проблемы растут от технологий производства и внедрения ERP-систем, которые, как и безопасность находятся на уровне 10-летней давности, когда ERP-системы по сути разрабатывались на территории заказчика и строго индивидуально.

Производители очень часто пишут о тиражируемости своих решений. Но я напомню тогда этим производителям, что тиражируемый продукт – это тот, у которого на территории заказчика не меняются исходные коды и схема данных. Вот Word и Excel – это тиражируемые продукты.

В той же автомобильной промышленности устранение проблем с безопасностью по большей части связано с организационными проблемами, а не с техническими. Нужно дать инструкции авто-дилерам, обеспечить бюджетирование и т.д. Потому что автомобили одинаковые у клиентов и производитель точно знает, как устранить проблему у каждого владельца.

Для оправдания отсталых технологий внедрения мне возразят стандартно и скажут, что все компании разные, у всех разные бизнес-процессы, поэтому избежать серьезного изменения кодов и схем данных не удастся. Классическая «отмазка», которой, кстати, пользуются еще и для того, чтобы вытянуть с клиента побольше денег на допиливание и достругивание «кастомизацию».

Отвечаю. Я бы не писал этот материал, если бы не реализовал тиражируемые технологии у себя в компании.