Кучевые АйТи

Достучаться до госзаказчика

Сегодня продолжаем говорить о платформе
«Облакотека ГИС». На этот раз в фокусе наши партнеры. Ведь чтобы продать облако госзаказчику, нужно пройти целый бюрократический квест. 

Как партнерам работать с госсектором, какие сложности ждут и чем мы можем помочь, рассказывает Женя Минаева, партнерская фея Облакотеки.

💬 По моему опыту, когда партнер предлагает госзаказчику перевести систему в облако, разговор почти всегда упирается не в цену или мощности, а в бумажки. 

Партнер готов продавать, но наталкивается на регуляторный барьер. В результате сделка зависает или вовсе растворяется в никуда.

Для этого мы и создали «Облакотеку ГИС» — всю аттестацию уже прошли сами. Теперь партнер может приходить к заказчику с готовой платформой. 

❓Кому из партнеров может пригодится наша платформа?

➡️  Интеграторам, которые уже работают с госсектором, но сталкиваются с инфраструктурными ограничениями.

➡️  Разработчикам, которые создают ГИС под госзаказ.

➡️  Компаниям, которые сопровождают ГУПы и МУПы и постоянно сталкиваются с требованиями 149-ФЗ.

По партнерским условиям все как обычно: технический пресейл от начала проекта до запуска, тестовый период, вознаграждение 27%, бонус 40 тыс. рублей за кейс и со-маркетинг 50/50 для развития продаж.

Отмечу, что в этом сегменте кейсы работают сильнее, чем где-либо еще. Госзаказчик — осторожный клиент. Ему важно видеть, что решение уже кто-то использовал и оно не развалилось.

Поэтому, если удастся обкатать платформу на пилоте, а затем написать об этом кейс, у нас с вами точно будут проекты на ближайшие пару лет.

❓ А как вообще продавать облако госзаказчику?

Одно дело — иметь классный продукт, другое — понимать, как все будет дальше. Отвечаю честно: это не быстрая сделка. Сразу стоит настроиться на долгие циклы продаж — это не коммерческий сегмент.

Формально процесс не такой уж страшный. Нужно зарегистрироваться в ЕИС, пройти аккредитацию на площадках. На это уйдет буквально пара дней, все автоматизировано.

Дальше начинается настоящая жизнь: подготовка тендерной документации, публикация извещений с обязательными сроками подачи заявок, сама процедура, подписание контракта. Все это может затянуться.

Я советую не начинать сразу с больших конкурсов. Есть закупки небольшого объема по 44-ФЗ. Это отличный способ обкатать процесс и наработать первые проекты. А дальше уже можно заходить на серьезные конкурсы.

❓ Какую часть работы мы берем на себя?

Партнеры часто пролистывают этот момент как стандартную маркетинговую формулировку, а напрасно. На самом деле это самая сильная часть услуги. На нашей стороне:

✅ Аттестация по приказу ФСТЭК №117 по 2-му классу защищенности.

✅ Соответствие 152-ФЗ на всех уровнях защищенности — от УЗ-4 до УЗ-1.

✅ Хранение данных в российском ЦОД — локализация по 242-ФЗ.

✅ Сертификация СКЗИ ФСБ.

✅ Софт из реестра отечественного ПО Минцифры.

✅ Мониторинг, резервирование и SLA 99,9%.

Мы берем бюрократию на себя, а партнер выстраивает отношения с заказчиком и предлагает готовое решение при нашей полной поддержке. Это не только избавляет от риска ошибиться в документах, но и сокращает цикл сделки: не нужно проводить аттестацию с нуля для каждого проекта.

В конце отмечу, что госсектор — это игра вдолгую с высоким порогом входа. Зато здесь более доступный спрос и меньше конкуренция, чем в коммерческом облаке.

➡️ Кто хочет работать с нами — пишите мне (Ev.minaeva@oblakoteka.ru) — обсудим, как встроить продукт в вашу воронку продаж.

Облакотека | TG | MAX

Проверяем поставщика, не проверяя поставщика

Мы часто пишем про сертификаты всех видов и мастей, и это не просто так! По ним можно заранее оценить процессы подрядчика и соответствие инфраструктуры требованиям.  

Сегодня наш директор техподдержки Ирина Курбатова, разберет, что именно можно узнать из разных документов и на что смотреть при их проверке.

💬 Сертификат — это независимый аудит исполнителя, за который не нужно платить.

❓ Как это может пригодиться

Когда компании самой нужно пройти аудит, можно воспользоваться сертификатами подрядчиков. Это позволяет пропустить этап кропотливого сбора свидетельств их качества и соответствия и сэкономить массу времени и нервов.

Аналогично и для тендерной комиссии — каждый сертификат делает короче чек-лист проверки поставщика на сотни пунктов.

❓ Что общего у сертификатов ISO

Все сертификаты ISO подтверждают наличие так называемой системы менеджмента. Это дает заказчику: 

➡️ Предсказуемость. Одинаковые заявки — одинаковый результат и одинаковый срок, кто бы их ни выполнял.

➡️ Прозрачность. Есть номера заявок, понятен SLA, ответственность провайдера четко зафиксирована и не размывается со временем.

➡️ Управляемость. Вы говорите с поставщиком на языке метрик и KPI, причем не каждый раз заново по конкретным случаям. Есть контроль и системное внедрение всего, о чем договорились.

➡️ Независимость от людей. Уход сотрудника провайдера не унесет знания: процесс описан, новый инженер работает по нему с первого дня.

➡️ Контролируемые изменения. Обновления и доработки проходят оценку рисков и согласование, проходят в заранее предусмотренные окна. Ничего не внедряют внезапно.

➡️ Внешний контроль. Систему ежегодно проверяет независимый орган по сертификации.

❓ Чем сертификаты различаются

Предметной областью. 

Заключений независимых аудитов много, потому что они отвечают на разные вопросы: 

ISO 9001 — есть ли управляемые процессы и работа с ошибками.

ISO/IEC 27001 — управляем ли мы рисками ИБ системно.

ISO/IEC 20000-1 — соответствует ли ИТ-сервис лучшим практикам: инциденты, изменения, SLA.

Аттестат по 152-ФЗ — можно ли размещать у нас персональные данные и ГИС. Кстати, у платформы «Облакотека ГИС» максимальный уровень защиты — УЗ-1.

Лицензия ФСТЭК — имеем ли мы право сами строить и обслуживать защищенные системы.

PCI DSS — готова ли инфраструктура под платежные данные.

Таким образом, ISO детально проверяет процессы, аттестат по 152-ФЗ — конкретный объект и его меры защиты. Лицензия ФСТЭК подтверждает право на определенный вид деятельности, а PCI DSS — соответствие требованиям отраслевого стандарта и наличие мер безопасности. 

❓На что смотреть при проверке

1️⃣ Кому выдан документ. Юрлицо и ИНН должны совпадать с теми, с кем вы подписываете договор. 

2️⃣ Область применения. Например, сертификат на «консультационные услуги» не покрывает облачную платформу. 

3️⃣ Срок действия. Так, сертификаты ISO дают на 3 года с условием ежегодного надзорного аудита, аттестат по  152-ФЗ — на конкретный срок. 

4️⃣ Кто выдал. Организация, которая оформила документ, должна иметь соответствующий статус: регистрацию, лицензию ФСТЭК, если речь об аттестации, или статус QSA для аудитора PCI DSS.

5️⃣ Что именно подтверждено: уровень защищенности, класс системы, перечень услуг. Эти детали определят, подходит ли вам площадка.

Облакотека | TG | MAX

Добро пожаловать в реальную нагрузку

А у нас свежий кейс! Партнер Облакотеки Виталий Сидоров (CEO «АйТи Спейс») активно гоняет инференс Qwen в реальной работе — и за две недели такого теста успел найти то, чего не смогли увидеть за месяц на «синтетике». 

Кейс получился большим, поэтому рассказывать будем в нескольких частях. Сегодня — о том, как инференс тестировали и «ломали» ⬇️. 

У одного из самых надежных и любимых партнеров Облакотеки — Виталия Сидорова — есть потребность в LLM. У него к одной точке подключено пять провайдеров языковых моделей: DeepSeek, Alibaba, Kimi, Яндекс, ГигаЧат. Мы дали шестую модель, свой инференс QWEN 3.8-27B и две недели смотрели, что из этого выйдет.

❓ Зачем столько моделей

Виталий пишет код под свои задачи. Людей на ревью нет, QA тоже, самому это делать некогда. Поэтому один агент разрабатывает, два других ревьюят. Модели обязательно разные: своя модель не видит собственных галлюцинаций. Код проходит несколько циклов и на выходе становится адекватным.

❓ Какая была нагрузка

➡️ Пакет документов по ПД. Это порядка 30 документов и чек-листов, по которым надо проверить свою подсистему 1С. Пакет гоняли через модели в несколько итераций с ревью. 

➡️ Раунды разработки приложения Privacy Gateway. Это локальная прокси, которая перед отправкой запроса в облачную модель подменяет чувствительные данные на заглушки, а в ответе возвращает настоящие, так что с LLM можно работать, не выпуская свои данные наружу.

У Виталия было так: один агент пишет и отдает ревьюерам, те гоняют модели и возвращают правки. Здесь он подключил Qwen через OpenCode как одного из ревьюеров, и наша модель получила регулярную нагрузку.

Отдельно отметим то, что Виталий  делать не стал. Продакшн и админский контур, где у него агентское администрирование облаков, он не подключал сознательно. Все идет через его собственный LiteLLM с кэшем, и настоящей нагрузки мы бы не увидели.

❓ Что ломалось

Ради этого тест и затевался: поймать баги на живой нагрузке, пока за сервис никто не платит.

Сбоев было два, и Виталий описал их одинаково: модель перестала отвечать. В логах причины оказались совершенно разные.

1️⃣ Первый — баг движка инференса. Роутер оборвал долгий запрос по таймауту, но движок не получил команду остановиться и продолжал генерировать ответ в пустоту, заняв реплику. Клиент ошибки не увидел: стрим просто оборвался с успешным кодом. Фоллбэку не на что было сработать, и агент простоял до утра.

2️⃣ Второй мы устроили сами. Выкатывали новую конфигурацию движка, реплики по очереди выпадали, запросы обрывались на третьей минуте по таймауту шлюза. В тот же день включили дневной лимит, Виталий выбрал его к вечеру, и дальше шли отказы. Отказ — явная ошибка, так что здесь фоллбэк сработал.

❓ Что в итоге

Баг был закрыт в штатной версии движка, таймаут шлюза поднят с трех минут до пятнадцати, обновления выкатываются по одной простаивающей реплике.

Вывод для тех, кто пишет агентов: оборванный стрим с успешным кодом — это не успех. Фоллбэк должен срабатывать и на него, а самому агенту нужен свой таймаут, иначе он будет ждать вечно.

В результате модель делает то, ради чего ее ставили: Qwen в режиме рассуждения хорош на ревью кода. Это оценка Виталия после двух недель работы.

P. S. Во второй части расскажем, что показала статистика по реальной нагрузке, сколько это стоило бы у публичных провайдеров и почему инференс под агентов — отдельный продукт.

Облакотека | TG | MAX

Облака сгущаются над ГИС 

Давно не было рубрики #максим_ерунды_не_скажет. Исправляемся: Максим Захаренко, СЕО Облакотеки, поговорил с TAdviser о том, зачем госзаказчики переносят ГИС в аттестованное облако, а не остаются на нетронутой за годы уютной legacy-инфраструктуре.

Интервью большое — выбрали несколько тезисов, на которых стоит задержаться.

☁️ Почему часть ГИС будет уходить в облака

Стоимость собственной ИТ-инфраструктуры растет, обновлять и масштабировать ее сложно. Не забываем и про дефицит квалифицированных специалистов в регионах. Поэтому, хоть старая модель еще долго будет основной, но часть госзаказчиков начнут миграцию. 

☁️Что меняет 117-й приказ ФСТЭК

Главное — это переход от формального соответствия к проактивному и комплексному (читай, трудоемкому) подходу к ИБ. Это потребует существенных изменений и действий, которые силами РОИВ и, тем более, муниципалитетов будет выполнить сложно или невозможно.

☁️ Что самое сложное в миграции

Почти все развитые ГИС достаточно громоздки и по составу модулей, и по различным интеграциям. Миграция таких систем — это отдельный большой процесс. Особенно это касается ГИС с legacy ПО или жестко привязанных к legacy оборудованию. 

Однако современные подходы к организации гибридного/мультиоблака не требуют разовой масштабной миграции с высоким риском. Можно распределять модули системы между ведомственным ЦОДом и облачной платформой, проводя мягкую управляемую полную или частичную миграцию. При таком подходе будет достаточно времени для планирования, проведения работы и проверки результатов.

☁️ Как аттестованное облако дополняет ГосТех

ГосТех — это унифицированная госплатформа с типовыми технологическими и прикладными сервисами. А аттестованная облачная платформа имеет преимущество там, где у госзаказчика уникальные требования. Например, надо разместить уже существующую ГИС, сохранить архитектуру и интеграции, но при этом уйти от затрат на собственную инфраструктуру.

➡️ Полное интервью в TAdviser — по ссылке.
 
Облакотека | TG | MAX

Посторонним вход через криптошлюз

О том, почему для ГИС нужно специально подготовленное облако, мы уже говорили.

А теперь открываем капот и смотрим, как технически устроен наш вариант такого решения. Обо всем расскажет Александр Степанчук, руководитель направления KVM в Облакотеке и архитектор платформы.

1️⃣ На базе каких решений работает платформа? 

Если не вдаваться глубоко во внутреннее устройство, основные компоненты — операционная система «Альт СП» и криптошлюз «Континент».

Выбор технологической базы определялся нормативными актами — приказам ФСТЭК №17 и №21, Федеральным законам №152, №187, №242 и другим. Поскольку речь идет о государственной информационной системе, мы должны полностью им соответствовать. 

При выборе конкретных решений мы также исходили из того, какие платформы уже поддерживаем. Выбрали те продукты, с которыми хорошо знакомы наши специалисты. Это позволило, во-первых, опираться на уже накопленный опыт и экспертизу, а во-вторых, не тратить дополнительное время на обучение и быстрее запустить платформу.

А еще мы взяли «Альт», потому что у них фактически своя платформа. Они пересобрали Proxmox под свою систему из пакетов, в том числе используют свое ядро. Это дает высокий уровень защиты.

2️⃣ Чем такое облако отличается от обычного коммерческого?

Оно полностью управляется вручную, автоматизации там нет. Клиент получает полностью отделенную, изолированную инфраструктуру. Он оставляет заявку, по ней создаются виртуальные серверы и выделяется VPN-сеть.

Подключение организовано через криптошлюз, и клиент работает только в своем выделенном контуре. Если мы берем обычную неаттестованную платформу, такой изоляции там нет. Здесь выше уровень безопасности самого хостинга: физический доступ к серверам ограничен, как и доступ из внутренних сетей.

Управление осуществляется через отдельный аттестованный компьютер внутри Облакотеки. Он тоже проходит проверку и считается автоматизированным рабочим местом. Если нам нужно что-то сделать для заказчика, это можно сделать только через него.

3️⃣ А что может делать сам заказчик?

Сейчас нет сценария, когда пользователь заходит, нажимает кнопку и у него автоматически разворачивается виртуальная машина. Приходит клиент, мы выделяем ему сеть на криптошлюзе, подключаем к этой сети виртуальные машины, после чего клиент может работать. То есть если требуется, например, увеличить ресурсы — все делается через заявку. 

Если нужно что-то изменить внутри операционной системы, у заказчика есть отдельный выделенный контур, внутри которого он может работать самостоятельно. Базовый контроль доступа заказчики тоже настраивают сами.

4️⃣ А что с отказоустойчивостью?

Здесь отличий от коммерческого сегмента нет. У нас все в любом случае строится так, чтобы инфраструктура была отказоустойчивой.

5️⃣ Были ли трудности при проектировании?

Некоторые стандартные для индустрии подходы в отечественных платформах реализованы по-своему. Из-за этого возникали определенные сложности, например, с настройкой сетей: привычный подход здесь мог работать иначе.

6️⃣ Как вы проверяли интеграцию и совместимость компонентов? 

Проводили самостоятельные проверки. При этом мы имеем дело с гипервизором KVM, на котором в принципе можно запускать широкий набор операционных систем. Здесь не возникнет проблемы совместимости с какой-то конкретной ОС.

Облакотека | TG | MAX

Бэкап на чекап

Окей, бэкап у нас есть — а нужная точка восстановления? А отдельный файл из нее достать можно? Илья Рязанов, руководитель дежурной смены первой линии Облакотеки, собрал вопросы, ответы на которые лучше знать до того, как понадобится восстановление.

💬 В Облакотеке резервное копирование доступно для Elastic Cloud KVM, Elastic Cloud Hyper-V и решений на платформе Hyper-V. Резервируются диски виртуальных машин. Первая копия создается полной, последующие — инкрементальными.

Резервные копии хранятся отдельно от основной ВМ — на серверах резервного копирования DPM/Veeam. При этом они остаются в том же регионе, что и исходная инфраструктура.

Что же еще нужно знать, чтобы с уверенностью сказать: «У нас есть бэкап»? Нужно разобраться, как работает восстановление. Желательно не в тот момент, когда данные уже потеряны 😅. Поэтому отвечаю на самые частые вопросы по этой теме на примере бэкапов в Облакотеке.

 

1️⃣ Что сохранено?
В нашем случае — диски виртуальных машин.

2️⃣ Как часто создаются копии?
Ежедневно по автоматическому расписанию.

3️⃣ Как долго они хранятся?
До 30 точек восстановления.

4️⃣ Можно ли восстановить отдельные данные?
Можно восстановить отдельный диск, а отдельный файл — по заявке в поддержку.

5️⃣ Можно ли восстановить ВМ поверх существующей?
Да. Также восстановленный диск можно подключить к существующей или новой ВМ.

6️⃣ Что будет с сетью и настройками ВМ?
При восстановлении поверх существующей ВМ они сохраняются, дополнительная настройка не требуется.

7️⃣ Можно ли воспользоваться бэкапом прямо сейчас?
В штатной ситуации — да, но существуют ситуации, когда восстановление временно недоступно или точка не отображается в панели и требуется помощь поддержки.

Именно поэтому наличие самого бэкапа уже не гарантирует нужный результат. Стоит проверять заранее: какие данные резервируются, сколько точек восстановления доступно, как выбрать нужную точку и каким будет сценарий восстановления. В идеальном случае первый restore должен быть не аварийным.

Какие проблемы могут возникнуть с бэкапами и восстановлением на практике — расскажу в следующей части.

Облакотека | TG | MAX

Не что, а как КАК замещать 

Что общего у городской администрации, атомного предприятия и банка? Им есть о чем поговорить на конференции по ИБ 🙂. 

Женя Минаева, партнерская фея Облакотеки, съездила на «День информационной безопасности» в Екатеринбург и вернулась с наблюдениями ⬇️.

⏪ Конференцию проводит наш партнер «Астерит»: каждый год на нее приезжают представители десятков компаний Урала.

Программа была плотной: почти без пауз шли доклады «Лаборатории Касперского», «Группы Астра», UserGate и других. Участвовали как вендоры, так и регуляторы. Например, Роскомнадзор разобрал ошибки операторов медицинских данных.

Вот что я отметила:

1️⃣ Импортонезависимость уже воспринимают как данность.

Спикеры не раскрывали, «зачем переходить на отечественное»: это и так наша реальность. Разбирали уже конкретные задачи, которые нужно закрывать.

2️⃣ Есть интерес к проактивной безопасности.

Фокус смещается с чисто защитных мер на попытку мыслить как нападающий. Это значит искать возможные варианты атак до того, как это сделает настоящий злоумышленник.

3️⃣ Состав участников получился очень разным.

Ключевой сегмент — это оборонная и атомная промышленность. Много участников было из госсектора, здравоохранения и образования. Также приехали промышленные, энергетические компании и банки. 

Такой состав зала хорошо показывает, что ИБ на Урале давно не тема для узкого круга специалистов. Ее обсуждают и в мэрии, и на предприятии, и в банке.

Да и география оказалась шире Екатеринбурга. Конференци работает как региональный хаб, а не локальное городское мероприятие.

➡️ Помимо докладов была стендовая зона — там уже можно плотнее пообщаться с участниками. На нашем стенде много вопросов задавали про новую услугу «Облакотека ГИС». Повышенный интерес вызвали и виртуальные мощности с GPU — несколько участников хотели начать тестировать в ближайшее время.

В итоге конференция получилась в первую очередь практической, а не витринной. Вместо общих разговоров про «цифровую трансформацию» — конкретные решения, живые кейсы пентестов и возможность напрямую задать вопросы регуляторам ⏩.

Облакотека | TG | MAX

Закрепились в облаке

У нас были серверы 1С-ки, куча магазинов и тормозящие выгрузки. А впереди — большой переезд на новый кассовый софт. И что делать? 

Как удалось перестроить инфраструктуру и провести миграцию без остановки работы, рассказывает Владимир Юркин, руководитель «ВЛК». Компания больше 15 лет продает крепежные материалы в нескольких регионах страны. 

❓ В чем была проблема?

В 2025 мы начали обновлять ИТ-системы наших розничных магазинов. Нам надо было внедрить «СуперМаг УКМ5» для работы касс и «СуперМаг LOYA» для управления программой лояльности.

От скорости и стабильности этих систем напрямую зависит обслуживание покупателей. В одном чеке могут быть десятки позиций с мелкими артикулами: кассиру нужно быстро найти товар, провести покупку, применить скидки и бонусы.

Изначально инфраструктуру для новых сервисов мы разместили у другого облачного провайдера. При этом часть ИТ-систем, с которыми нужно было организовать стабильную интеграцию, в том числе серверы 1С, оставалась в нашем офисе.

И здесь возникли проблемы: периодически не проходили выгрузки и нарушался оперативный обмен данными. Масштабировать проект в такой конфигурации тоже оказалось сложно.

❓ Как нашли решение?

Вендор кассовой системы «СервисПлюс» помог привлечь технического партнера. Специалисты предложили перенести облачную часть инфраструктуры в Облакотеку и заново настроить интеграцию с серверами 1С в офисе ВЛК.

Для этого команда проекта спроектировала новую архитектуру. 

В основе — облачные серверы с высокопроизводительными vCPU и гарантированным IOPS. Это важно для работы приложений УКМ5 и LOYA — они чувствительны к задержкам, когда взаимодействуют с большим справочником товаров и профилями лояльности.

Далее, команда развернула виртуальную частную сеть с защищенными каналами связи до региональных торговых точек. VPC обеспечила стабильное и безопасное подключение кассовых узлов из любой локации.

Предусмотрели также резервное копирование по расписанию и мгновенные снапшоты — для быстрого восстановления при нештатной ситуации.

Но просто взять и перенести работающую систему было нельзя. Один из магазинов уже работал на старой системе, а останавливать его в рабочее время означало потерять продажи.

Поэтому перед миграцией команда отработала переход на тестовой инфраструктуре Облакотеки. Так специалисты смогли проверить сценарий миграции и подготовиться к переносу рабочей системы.

❓Как проходил переезд?

Главной задачей было согласовать окно миграции и уложиться в него. Благодаря предварительным «учениям» рабочую инфраструктуру удалось перенести без простоев магазина.

Инженеры Облакотеки помогли настроить сетевые параметры и мониторинг, чтобы исключить проблемы, с которыми мы столкнулась у предыдущего провайдера. Весь проект миграции занял меньше месяца.

❓Какие итоги?

Главный результат — кассовая система стала работать стабильно и быстро. Теперь мы продолжаем расширять использование нового кассового сервиса.

Следующий шаг — клиентское мобильное приложение. Мы планируем использовать Облакотеку в качестве архитектурной базы для бэкенда.


Облакотека | TG | MAX

Безопасность сама себя не подтвердит. Продолжение

Как вы уже знаете, Облакотека прошла оценку соответствия PCI DSS 4.0.1. Сегодня Ирина Курбатова будет говорить о том, что это меняет для наших клиентов.

💬 Платежная среда — это не только сайт или приложение. На ее безопасность влияют виртуальные машины, сеть, средства администрирования, журналы, резервные копии и физическая инфраструктура ЦОД. Если провайдер оценку не проходил, весь этот пласт попадает в область проверки клиента — объем аудита растет, а согласование поставщика затягивается.

Наличие AoC PCI DSS у провайдера меняет расклад:

➡️ Есть подтвержденная основа. Защита инфраструктуры уже реализована, задокументирована, аттестована аудитором - не надо все это делать заново.

➡️ Меньший объем аудита. Клиент проходит оценку только по своей части среды.

➡️ Прозрачное согласование. AoC и понятная область применимости снимают вопросы службы ИБ, эквайера, заказчика и головного офиса.

➡️ Быстрый запуск. Команда занимается приложением, а не строит защищенный контур с нуля.

➡️ Экспертная поддержка. Помогаем определить границы среды и зафиксировать зоны ответственности.

❓ Кто за что отвечает

Защита PCI DSS уже не переносится на клиента целиком: ответственность делится по зонам.

На стороне Облакотеки находится фундамент: физическая безопасность дата-центров, опорная сеть и сегментация, платформа виртуализации, защита от вредоносного ПО, обновление и журналирование компонентов платформы.

На стороне клиента — то, что он разместил: настройка ОС и приложений, шифрование карточных данных и управление ключами, доступы и аутентификация, обновления и логи собственных систем.

❓ Кому это особенно актуально

⏺ Банкам, финтех-компаниям и платежным сервисам; 
⏺ Интернет-магазинам, маркетплейсам и сервисам подписки;
⏺ Розничным сетям, сервисам бронирования и продажи билетов;
⏺ SaaS-платформам и разработчикам платежных решений;
⏺ Участникам тендеров, где требуют актуальное подтверждение соответствия провайдера.

❓ Как принести к нам ПО с платежными данными

Составили дорожную карту: 

1️⃣ Определяем границы: какие компоненты попадают в среду обработки карточных данных, а какие можно из нее вывести. Чем меньше периметр, тем проще аудит.

2️⃣ Уточняем требования эквайера или платежной системы.

3️⃣ Подбираем конфигурацию и фиксируем условия: договор, NDA, матрица разделение ответственности.

4️⃣ Разворачиваем изолированный сегмент под платежный контур и переносим ПО.

5️⃣ Передаем наш AoC PCI DSS аудитору клиента.

Облакотека | TG | MAX

Безопасность сама себя не подтвердит

А у нас новый документ в папке с аттестатами и сертификатами! Облакотека прошла оценку соответствия PCI DSS 4.0.1. 

❓ Зачем это нужно? В первую очередь для клиентов, которые сами проходят аудит по PCI DSS. Если инфраструктура провайдера уже проверена, им не приходится самостоятельно подтверждать большой блок требований — достаточно предоставить аудитору наше свидетельство о соответствии. Кроме того, подтверждение PCI DSS встречается среди требований к провайдеру в тендерах.

Директор техподдержки Облакотеки Ирина Курбатова расскажет, что именно у нас проверяли ⬇️.

⏪ Переезжая в облако, компания передает провайдеру целый комплекс задач, которые до этого решала сама. Вместе с этим непрерывность и информационная безопасность бизнеса заказчика попадает в зависимость от провайдера. Поэтому каждому клиенту важно понимать, как они обеспечены. 

В Облакотеке мы и создаем безопасность на техническом уровне, и подтверждаем этот уровень организационно. Сюда входит:

☑️ Сертификация процессов по ГОСТ Р ИСО/МЭК 27001-2021.
☑️ Лицензия ФСТЭК России на техническую защиту конфиденциальной информации.
☑️ NDA в договорах с клиентами и партнерами. 
☑️ Облачная платформа для ГИС.
☑️ Аттестация соответствия стандарту PCI DSS 4.0.1 — наш новый шаг.

❓ Как проходила проверка

Оценку проводил независимый аудитор со статусом Qualified Security Assessor. Эту квалификацию присваивает международный совет PCI SSC, и только ее обладатель вправе официально подтверждать соответствие. Проверяли не декларации, а фактически реализованные меры защиты — более 200 показателей по шести направлениям:

⏺ создание и поддержание безопасной сети;
⏺ защита данных о держателях карт;
⏺ управление уязвимостями и рисками;
⏺ внедрение мер контроля доступа;
⏺ регулярный мониторинг и тестирование сетей;
⏺ поддержание требований политики ИБ.

По итогам проверки получили официальную форму подтверждения — Attestation of Compliance (AoC)⏩.

В следующей части расскажем подробнее, что такая аттестация дает нашим клиентам. 

Облакотека | TG | MAX

Облако местного значения

У нас появилась облачная платформа для ГИС — она учитывает все требования к размещению госсистем. В новой серии постов разберем, какие проблемы решает платформа, как она устроена изнутри и что даст нашим партнерам.

Начнет наш СЕО Максим Захаренко — он расскажет, зачем Облакотека вышла на рынок хостинга ГИС и как работает партнерская модель.

💬 В регионах и муниципалитетах информационные системы в основном размещают прямо в ведомствах. Но сопровождать и развивать их сложно по ряду причин:

1️⃣ Финансы. Наложилось два неприятных фактора: дефицит бюджетов всех уровней и кратное увеличение цен на оперативную память и SSD-диски. Это серьезно усложняет капитальные закупки оборудования для ведомственных ЦОДов — даже просто для поддержания работоспособности систем.

2️⃣ Соответствие требованиям. Чтобы обеспечить безопасность ГИС, применяют жесткие правила. Ранее их устанавливал приказ № 17, но с апреля 2026 года его сменил еще более строгий приказ № 117. Соответствовать ему еще сложнее. Для этого нужно внедрить большое количество СКЗИ и проводить сложные, дорогостоящие организационные и технические мероприятия.

3️⃣ Квалификация команды. Если в Москве с этим нет проблем, то в менее богатых регионах обеспечить наличие в штате специалистов по ИБ и ИТ сложно — особенно с учетом уровня государственных зарплат. При этом далеко не все вопросы можно передать интеграторам на аутсорсинг.

4️⃣ Использование ИИ. В ближайшее время ИИ начнут активнее применять в госуправлении. Для работы таких систем нужны дорогостоящие GPU — еще одна статья расходов для ведомственных ЦОДов.

Конечно, государство развивает собственную платформу ГосТех с инструментами для создания и сопровождения ГИС. Но высокий уровень стандартизации ограничивает возможность адаптировать системы под потребности конкретного региона. Кроме того, «гиперконцентрация» ГИС под одной крышей создает дополнительные риски.

Поэтому на этом рынке остаются реальные и долгосрочные перспективы. Так, продолжает расширяться реестр хостеров для ГИС. Это такая «окончательная бумажка», которая является знаком для региональных ГИС, что на платформе не только можно, но и даже нужно разместиться.

Почему Облакотека решила выйти на рынок хостинга ГИС?

Главная причина — наша партнерская модель. У Облакотеки сильные позиции среди региональных интеграторов, и на этом мы строим свою стратегию. Вместе с партнерами мы размещаем и обслуживаем региональные ГИС на специализированной аттестованной платформе «Облакотека ГИС».

Как распределяются роли в партнерстве?

Облакотека отвечает за надежность, производительность и защищенность платформы и обеспечивает безопасный доступ госорганов к ГИС в облаке.

Региональный партнер занимается миграцией и развертыванием прикладной части ГИС. Затем — сопровождает и проводит мониторинг. Мы также ожидаем, что партнеры будут участвовать в конкурсах на размещение ГИС в облаке. У многих из них есть опыт работы с местными органами власти, поэтому им проще выстраивать взаимодействие.

Для партнеров это новый формат работы с РОИВ и дополнительное направление бизнеса.

Облакотека | TG | MAX

Запустить нельзя подождать

Есть момент в жизни каждого сервиса, когда Product Owner смотрит на список задач и думает: ну вот ещё это сделаем — и точно запускаем. Но стоит задать себе вопрос: вы реально не готовы или просто боитесь выйти? Страх не должен быть помехой запуску, уверена наш директор по развитию Оксана Новицкая.

«Настоящая причина, почему запуски затягивают — это не технические риски и не забота о клиенте. А ощущение потери контроля над идеальностью.

Пока сервис не запущен, он прекрасен — в тестовой среде, в голове и документации. Клиенты же разрушат эту идеальность за первые два дня. Они придут с реальными проблемами, и вам придется отвечать и исправлять — причем публично.

Отсюда и страх получить негативную обратную связь. Например, что клиент найдёт баг раньше вас или что конкурент уже сделал лучше. Но на самом деле это хорошо. Именно клиенты лучше всех знают, что для них важно. Их обратная связь помогает понять, что нужно улучшить. А получить её можно только после запуска релиза.

Как понять, что сервис готов?

Я не верю в универсальные чек-листы: у каждого сервиса свой контекст. Но есть несколько вопросов, которые обязательно задаю перед запуском.

Клиент может решить свою задачу? Пусть не все задачи и не в самом красивом виде. Но основной сценарий работает без костылей и звонка в поддержку. Если да, можно идти дальше.

Поддержка готова? Не знает всё наизусть, а понимает сервис и не потеряется при первом же вопросе. Это разные вещи, и клиент ощущает разницу мгновенно.

Мы знаем, что сломается первым? Если слабые места известны, это хороший знак. Значит, вы изучили сервис достаточно, чтобы рисковать осознанно. Гораздо хуже, когда все уверены, что всё хорошо.

Есть план на случай, если что-то пойдёт не так? Не «допилим на живую» , а конкретные шаги. Без этого лучше не запускаться.

Заметьте: в этом списке нет ни одного вопроса в духе « Все ли фичи реализованы?» и «Достаточно ли красиво выглядит интерфейс?» .

Как понять, что не готово?

Это важнее. Потому что иногда давление «ну сколько можно, запускайте уже» мешает здравому смыслу. Несколько маркеров:

Базовый сценарий нестабилен. Падает, зависает, дает непредсказуемый результат. Это не доработать после запуска: нужен стоп сейчас же, без обсуждений.

Поддержка смотрит в документацию с выражением лица «что это вообще такое?» . Клиент почувствует это в первый же день.

Нет мониторинга. Запустить сервис вслепую - значит узнавать о проблемах от расстроенных клиентов, а не от системы. Это всегда поздно и всегда неприятно.

И еще один важный совет — не увлекайтесь бантиками. Это доработки, которые не влияют на работоспособность, но почему-то кажутся срочными. Чуть другой цвет кнопки, анимация при загрузке, дополнительный фильтр в таблице, который однажды попросил один клиент или менеджерам надо.

Тест простой: если убрать эту доработку, клиент всё равно сможет решить свою задачу? Если да, то это бантик, а не блокер запуска. Такой бантик можно перенести в следующий релиз или плановое обновление.

Коварство бантиков в том, что их можно находить бесконечно. Сервис можно полировать вечно. В какой-то момент нужно признать: то, что есть, достаточно хорошо для первого шага. Хоть и не идеально.

Хороший сервис — не тот, который вышел без единого бага. А тот, что вышел вовремя, помог клиенту, собрал честную обратную связь и стал лучше. Первая версия почти всегда несовершенна. Бантики можно повесить потом. Главное — открыть дверь» .

Облакотека | TG | MAX

Метод научного тыка

Новый интерфейс хочется изучить так, чтобы потом не пришлось ничего восстанавливать. Как безопасно знакомиться с возможностями облачных сервисов, рассказывает Илья Рязанов, руководитель дежурной смены первой линии Облакотеки.

Пользователи часто боятся трогать новый интерфейс: кажется, что лучше ничего не нажимать, чтобы случайно что-нибудь не сломать. Во многих современных продуктах это опасение преувеличено.

За интерфейсом стоят не только дизайнеры, но и инженеры с тестировщиками. Необратимые действия сопровождаются предупреждениями, подтверждениями или дополнительными проверками.

Однако у облачных сервисов есть важное отличие: цена ошибки может быть достаточно высокой.

Возьмем создание виртуальной машины. При смене типа ВМ конфигуратор может изменить допустимый диапазон CPU или RAM. В результате можно случайно выбрать более дорогую конфигурацию или выделить ресурсы, которые в итоге не будут использоваться. Это негативно скажется на счете или эффективности использования инфраструктуры.

Значит ли это, что новый интерфейс лучше обходить стороной? Конечно, нет, но изучать его стоит осознанно, понимая цену возможной ошибки. Вот несколько приемов, которые помогут удовлетворить любопытство почти без риска:

1. Начните с наблюдения. Наведите курсор на незнакомый элемент и немного подождите. Многие детали интерфейса содержат подсказки — что произойдет, если нажать эту кнопку.

Некоторые элементы развернут список дополнительных опций. При этом и те, и другие позволят понять назначение элемента еще до нажатия.

2. Изучайте новое в тестовой среде. Если есть возможность, сначала познакомьтесь с сервисом в тестовом окружении, а уже потом переходите к рабочей инфраструктуре.

В Облакотеке для многих продуктов доступен семидневный тестовый период — даже если вы уже используете их на коммерческой основе. Этого времени обычно достаточно, чтобы спокойно разобраться с интерфейсом и понять логику его работы без риска для боевой среды.

3. Сделайте резервную копию. Иногда, чтобы все исправить, достаточно нажать на ту же кнопку, иногда — кнопку отмены, а где-то выполнить те же шаги, но затем изменить выбор. Однако некоторые действия нельзя откатить.

Поэтому прежде чем экспериментировать с тем, что настраивалось дольше получаса или содержит данные, потеря которых будет критичной, сделайте резервную копию. Хороший бэкап превращает исследование интерфейса из азартной игры в обычный рабочий процесс.

А если самостоятельная разведка не помогла, и нужная кнопка так и осталась загадкой, всегда можно воспользоваться базой знаний.

Разведка и инструкция не противоречат друг другу. Это два инструмента, которые дополняют друг друга: первый помогает быстрее освоиться, второй — избежать ошибок там, где цена эксперимента слишком высока.

Облакотека | TG | MAX

Включен режим ожидания

2026 год уже перевалил за экватор — самое время спросить партнеров, как им живется и работается. Что происходит с бизнесом, какие задачи ставят клиенты, что изменилось за последний год — начинаем с рассказа Виталия Андриевского, СЕО Дата8. ️️

Как себя чувствует бизнес и клиенты?

Последние полтора-два года все сложнее привлекать новых заказчиков. Холодные звонки почти перестали работать — люди боятся отвечать на звонки с незнакомых номеров, реклама тоже не дает ожидаемого результата. Поэтому мы делаем упор на сарафанное радио и органическую выдачу сайта.

Действующие клиенты приходят с задачами по поддержке, оптимизации и ускорению текущих систем. Расширяются — немногие. Думаю, рынок занял выжидательную позицию. ️️

Почему компании откладывают развитие?

Бизнес сокращает затраты. У компаний выросла налоговая нагрузка, а переложить дополнительные расходы на клиентов получается не всегда. Поэтому любое развитие — только по необходимости.

Особенно хорошо это видно на примере малого бизнеса, с которым мы много работаем. Компании часто воспринимают ИТ не как инвестиции, которые должны принести результат, а как вынужденные расходы.

Клиенты еще внимательнее смотрят на цену. Те, кто уже давно пользуется нашими услугами, учитывают и качество, и SLA. Но даже с ними периодически приходится заново разбирать, почему свой сервер или более дешевое решение не обязательно окажутся выгоднее. ️️

А что с импортозамещением?

Здесь, наоборот, особых проблем не вижу. Основная масса ПО, которым компании пользовались раньше, так или иначе продолжает работать. Постепенно идет переход на Linux, приложения тоже переводят на эту платформу.

Например, 1С мы спокойно перевозим на Linux и российские ОС. Проектировщики вместо AutoCAD и Archicad используют nanoCAD и КОМПАС-3D. В сфере BI тоже есть отечественные решения: основной объем задач закрывает Visiology.️️

Какие старые стереотипы еще живы?

Один из главных — что облако невыгодно и дорого. Особенно часто с ним сталкиваемся в малом бизнесе. Компании анализируют, что выгоднее: своя инфраструктура или облако — и просто делят стоимость сервера на месячную стоимость аренды. Расходы на специалистов, эксплуатацию, электроэнергию и поддержку в расчет не попадают.

Еще один стереотип касается поддержки. Есть мнение, что специалист обязательно должен сидеть в офисе и сразу прибегать, если что-то случилось. Хотя наша статистика сервис-деска показывает, что 85% обращений решаются удаленно, 90% — в течение получаса. Зато постепенно уходит представление, что отечественным ПО невозможно пользоваться. Компании переходят на российские решения, работают с ними и привыкают. ️️

А новые тенденции появились?

За последние год-полтора у нас стало заметно больше проектов с туристическими компаниями, которые используют «Само-Тур». Мы размещаем их системы в Облакотеке и поддерживаем.

Для нас это новое направление. Туроператоры и турагентства часто представляют собой распределенные организации: небольшие офисы в разных локациях. Для такой структуры облако удобно: база находится в одном месте, а сотрудники подключаются к ней оттуда, где работают.

Облакотека | TG | MAX

С новосельем!

Наша команда знает и видит на практике, как ломают VM. Поэтому сегодня поговорим о том, как защитить только что арендованную машину. Ловите пошаговый гайд от нашего руководителя группы KVM Александра Степанчука. Осторожно, здесь что-то на техническом :)

⏪ Свежую виртуальную машину с белым IP начинают брутфорсить буквально через несколько минут после поднятия. По интернету постоянно ходят боты, которые сканируют диапазоны адресов и атакуют SSH и RDP. Поэтому конфигурацию VM «из коробки» стоит донастроить сразу после запуска.

Как это сделать — рассказываю по порядку, начиная с того, что атакуют в первую очередь.

1️⃣ Закрыть SSH

Это самый атакуемый вектор на Linux-VM.

Первым делом лучше перейти с паролей на ключи. Сгенерировать SSH-ключ, положить публичный на сервер, в sshd_config выключить PasswordAuthentication. Брутфорс пароля после этого теряет смысл.

Дальше стоит запретить root-логин по SSH: нужно установить PermitRootLogin no. Работать рекомендую под обычным пользователем, а права повышать через sudo. Атакующий не знает имя вашего юзера — уже +1 неизвестная.

Еще два дополнительных шага: сменить стандартный порт и поставить fail2ban. Первый не защищает сам по себе, но сокращает количество автоматических попыток входа в логах. Второй блокирует IP после нескольких неудачных попыток.

2️⃣ Настроить файрвол

Здесь запрещаем все кроме нужного. На входящие соединения — default deny. Наружу открываем только порты, которые действительно нужны: например, SSH и 80/443 для веба. Настроить такие правила проще всего через ufw в Ubuntu/Debian или firewalld в RHEL.

Отдельно стоит проверить, не выставлено ли наружу служебное: базы данных, Redis, админки, метрики. Это становится частой причина утечек: подняли для localhost, а оно слушает 0.0.0.0. Команда ss -tulpn покажет, какие сервисы и порты доступны на внешнем интерфейсе.

Кстати, фильтровать трафик можно и на уровне провайдера — до того, как он дойдет до VM.

3️⃣ Накатить обновления

Большинство массовых взломов — это эксплуатация давно закрытых уязвимостей на необновленных системах. Образ мог собираться недели назад, и в нем могут оказаться уже известные дыры.

После запуска сразу обновляем систему: apt update && apt upgrade или dnf upgrade. Дальше включаем автообновления безопасности. Например, unattended-upgrades для Debian/Ubuntu, тогда критические патчи будут «прилетать» без ручного участия.

4️⃣ Проверить пользователей и доступы

Дефолтные учетные записи и все, что поставлялось с паролем по умолчанию, нужно удалить или заблокировать. Там, где пароль остается, — использовать сильный и уникальный.

Для каждого сервиса лучше завести отдельного пользователя с минимально необходимыми правами. Тогда компрометация одного приложения не даст атакующему сразу получить root-доступ.

5️⃣ Настроить мониторинг

Периодически проверяйте логи входов: last, /var/log/auth.log. Незнакомый успешный вход дает повод для тревоги.

На компрометацию также могут указывать непонятная нагрузка на CPU или сеть, незнакомые процессы и исходящий трафик на подозрительные адреса. Если VM начинает генерировать «абузный» трафик, мы видим это со своей стороны и уведомляем клиента. Но лучше обнаружить проблему раньше самостоятельно.

6️⃣ Навести порядок в приложениях

Часто VM ломают не через ОС, а через установленное на ней ПО. Поэтому сервисы без необходимости не стоит запускать под root, а CMS, фреймворки, панели и плагины нужно регулярно обновлять. Админки тоже не стоит оставлять открытыми в интернет с дефолтным паролем. Для веб-сервисов — использовать HTTPS

P.S. И не забывайте про бэкапы на своей стороне. Снапшот провайдера не заменяет резервную копию данных. Восстановление быстрее с бэкапом, который клиент держит отдельно ⏩.

☁️ Облакотека | TG | MAX

404: коммуникация не найдена

Чем сложнее сервис, тем больше в нем звеньев, где может потеряться важная информация. Как масштабировать коммуникацию вместе с процессами, рассказывает Ирина Курбатова, директор техподдержки Облакотеки.

💬 В описании ИТ-процесса есть сторона, которую почти всегда недооценивают, — коммуникация. Она кажется само собой разумеющейся: ну кто же не умеет договариваться и вовремя сообщать? Но именно ее задвигают в дальний угол, когда процессов становится больше, а шаги — сложнее.

❓Почему коммуникация — самое незаметное слабое звено?

Пока процесс один и участников трое, все и всегда владеют достаточной информацией для принятия полезных решений. Но стоит добавить новые услуги, процессы, подрядчиков — и выясняется, что передача информации сама собой не происходит, важные детали теряются. В результате сотрудники либо откладывают решения, потому что им не хватает определенности, либо принимают их, не зная всех обстоятельств.

К чему это приводит? К разочарованиям коллег и клиентов, которые бьют по доверию. Например:

➡️ Клиент узнает об аварии не от нас, а когда у него уже все встало. Мы знали на 15 минут раньше, но не организовали информирование.
➡️ Клиенту написали три разных сотрудника с тремя разными версиями, как лучше решить вопрос.
➡️ Плановые работы завершили, а сообщить забыли — и клиент всю ночь опасается что-либо трогать.

❓Как можно исправить ситуацию?

Например, использовать матрицу RASCI. Это простая таблица: по строкам — шаги процесса, по столбцам — участники, а на пересечении — их роль:

⏺ R (Responsible) — исполняет шаг;
⏺ A (Accountable) — отвечает за результат и принимает решение (такой всегда один);
⏺ S (Support) — помогает исполнителю ресурсами;
⏺ C (Consulted) — с ним советуются до действиям;
⏺ I (Informed) — его информируют по факту.

Вся магия в последних двух буквах. Именно C и I превращают коммуникацию из «само собой» в конкретную ячейку с фамилией. Сразу видно, с кем свериться до шага и кого известить после. Клиент попадает в столбец Informed на нужных шагах и перестает узнавать новости последним.

❓Что это дает участникам?

Исполнитель не гадает, к кому идти за решением и кого держать в курсе. Руководитель видит, где связь нарушена, еще до того, как она пропала окончательно. Новый сотрудник по одной таблице понимает, как устроено взаимодействие, а не собирает это годами по крупицам. Наконец, клиент чувствует, что о нем помнят на каждом шаге.

Коммуникация не приходит сама. Её, как и надежность, планируют и заботятся о ней в каждой команде

☁️ Облакотека | TG | MAX

Кто такие эти ваши «Кучевые АйТи»?

«Ну вот, еще один ИТ-канал, — подумает случайно сюда забредший. — Зачем он?» Затем, что в мире серверов и виртуалок есть место здравому смыслу, самоиронии и попыткам разобраться, что происходит в ИТ-сфере. Особенно в том, что касается облаков и ИИ.

☁️ Кто мы такие?

Провайдер облачных услуг «Облакотека». Из названия все понятно: облака — наша стихия. Мы предоставляем сервисы для создания частного облака и управления виртуальной ИТ-инфраструктурой.

☁️ Для кого мы пишем?

Наш канал — для девопсов, архитекторов, техлидов. Для тех, кто принимает технические или бизнесовые решения в ИТ-сфере. А вообще мы постим для всех, кто хочет разбираться в облаках, следить за развитием ИИ и не теряться в потоке новостей и хайпа.

☁️ О чем мы говорим?

Нам интересно, как технологии влияют на реальную жизнь и как реальная жизнь влияет на технологии. Вот кто и о чем пишет регулярно:

⭐ Максим Захаренко, СЕО — про свое видение ИТ-рынка.
⭐ Ирина Курбатова, директор техподдержки — про процессы, людей и сертификацию.
⭐ Оксана Новицкая, директор по развитию — про сервисы и их создание.
⭐ Женя Минаева, партнерская фея — про деловую коммуникацию и партнерскую экосистему Облакотеки.
⭐ Наши партнеры и гости канала — про их бизнес, важные события на ИТ- и ИБ-рынке и свое к ним отношение.