Bezpečnost a webové služby

Abstrakt

Tématem této práce je otázka bezpečnosti webových služeb. Tato oblast bouřlivým rozvojem, neboť podniky a společnosti jak pro své interní aplikace, tak pro svou komunikaci s vnějším prostředím začaly používat právě technologii postavenou na bázi protokolu TCP/IP.

S použitím uvedených technických prostředků souvisí i zvýšená potřeba chránit data nejen před interním zneužitím (neboť tomu lze ostatně velmi špatně zabránit a hrozba selhání lidského faktoru nemůže být nikdy zcela vyloučena), ale zejména před útoky zvenčí.

Cílem práce je seznámit čtenáře se základy bezpečnosti webových služeb, problémy při návrhu webových služeb a představení architektury a možných řešení z praxe.

Webové služby

Webové služby tvoří jeden z prvků architektury zvané SOA (service-oriented architecture) – nového „technologického konceptu“ [2] jak přistupovat k návrhu a vývoji aplikací. SOA nahlíží na funkce systému jako na jednotlivé komponenty, které mají jasně definovaná rozhraní pro vstup i výstup, z pohledu uživatele i celkového systému jsou nezávislé na technologické platformě a umožňují vícečetné použití stejných funkcí v různých procesech – jak interních, tak externích (dodavatelé, odběratelé).

Webové služby jsou jednotlivými komponentami systému, založené na webových technologiích. Vzhledem k dostupnosti programového vybavení se tak stávají nejrozšířenější formou služeb v systémech směrem k uživatelům. „Důležitou charakteristikou webových služeb je fakt, že interakce je okamžitá, vzhledem k tomu, že interakce bude probíhat spíše od aplikace k aplikaci (business to business) než od člověka k aplikaci.“ [3]

Díky této přidané hodnotě velká většina firem staví své aplikace na webovém rozhraní, ale otázky bezpečnosti je zároveň odrazují od myšlenek na úplný přechod na webové služby. Není totiž možné postavit bezpečnost pouze na některých částech systému, je nutno bezpečnostní prvky implementovat již v návrhu systému, od nejnižších úrovní. „Odpovědnost za bezpečnost celého řešení .. do značné míry musí převzít samotná SOA infrastruktura.“ [4]

Když SSL nestačí

Problémem SSL (Secure Socket Layer), který je tak často používán jako nástroj bezpečnosti na webových aplikacích, je fakt, že bezpečnost webových služeb musí být řešena již v architektuře systému, nikoli pouze v její nejvyšší vrstvě.

Obsahuje sice prvky pro autentikaci, důvěrnost nebo integritu, problémem ovšem zůstává fakt, že zabezpečené připojení je navázáno pouze mezi dvěma prohlížeči nebo servery. Naproti tomu webové služby jsou vystaveny a volně provazovány pomocí Internetu, aniž by o všech z nich jednotliví vývojáři při vytváření aplikace věděli. Webové aplikace navíc vyžadují zvláštní ochranu pro komunikaci pomocí SOAP.

Problém je naznačen graficky na následujícím obrázku:

Obrázek 1 - Nepřímý přístup k webové službě, zdroj: http://java.sun.com/developer/technicalArticles/WebServices/security/fig1.gif

V otázce webových služeb má SSL několik limitů. K nejdůležitějším podle [3] patří:

· SSL pracuje na transportní vrstvě, ne na vrstvě zprávy – z toho plyne, že zpráva je chráněna pouze po dobu přenosu. Později již není možno dokázat, že zpráva nebyla změněna.

· SSL nepodporuje nemožnost odmítnutí zprávy – není tedy možno vystopovat, zda zpráva dorazila a zda adresát podnikl nutné kroky, které byly spojeny s touto zprávou.

· SSL umožňuje chráněnou komunikaci dvou koncových bodů, pro potřeby systémů s webovými službami tato ochrana není dostatečná – při komunikaci dvou služeb může jít zpráva přes několik uzlů, které nemusí bezpečnost dostatečně podporovat.

Ochrana přenosu dat pomocí SSL tedy řeší pouze první část bezpečnosti, přístup klienta na stránku jako takovou. Pro potřeby systému je nutné vyřešit i druhý kontext bezpečnosti, tedy přímou komunikaci s webovými službami. Jinak řečeno zpráva je šifrována pouze při přenosu. SSL totiž šifruje na transportní vrstvě tzn. HTTPS nešifruje samotnou zprávu, ale spíše kanál, kterým zpráva prochází. SSL tedy neposkytuje bezpečnost na úrovní zpráv. Vzniklo tedy velké množství standardů. Za zmínku stojí třeba XML Encryption, který byl vyvinut konsorciem W3C. Tento standard se zabývá šifrováním xml zpráv a je schopný xml dokument zašifrovat na úrovni jak jak jednoho elementu, tak celého dokumentu.

Problematika firewallů

SOA ve svém důsledku znamená obrovský prostor pro systémovou integraci. Je tedy možné propojit mnoho různých systémů, na jejichž spojení leckdy chybí prostředky, znalosti nebo technologie a které pracovaly samostatně. „Tak je dnes klidně možné aplikaci realizovanou v Cobolu na mainframe vystavit jako webovou službu použitelnou kdekoliv v internetu. Je však systém, kde bezpečnost nebyla řešena na prvním místě, na takové otevření připraven?“ [4]

„Jednou z nejčastějších výmluv, proč neuzavírat webové služby, je mylné přesvědčení, že aplikace, které jsou jejich prostřednictvím vystaveny, jsou známy pouze zaměstnancům nebo důvěryhodným partnerům.“ [5] Za otevřeným přístupem k webovým službám se skrývá velké bezpečnostní riziko, neboť jsou tak přímo do Internetu napojeny interní podnikové systémy, které by se jinak nikdy do volného prostoru nedostaly. „Pokud dnes prostřednictvím webových služeb zpřístupňujete systémy, o jejichž připojení k internetu jste dříve nechtěli ani slyšet (nikdy byste přeci nepřipojili mainframy k lince DSL) a zároveň neřešíte otázku jejich zabezpečení...“ [5]

Možností, jak toho dosáhnout, je omezení přístupu k interním aplikacím pomocí firewallů. Zprávy pomocí protokolu SOAP jsou svázány s HTTP nebo SMTP protokoly, snadno se tedy mohou dostat až k systému, neboť většina podniků tyto porty nefiltruje. Proto je nutné zaměřit se na tři oblasti, které musí být firewall schopen rozlišit [3] :

· zda je přicházející SOAP zpráva určena „živé“ webové službě,

· zda je SOAP zpráva (a požadavek) validní a

· zda jsou validní také data ve zprávě.

Návrh řešení architektury

Ještě před samotným sestavováním návrhu je třeba řádně uvážit všechna rizika situací, která mohou nastat, a připravit se na ně. Webové služby vyžadují mnohem větší úroveň granularity, neboť data jsou mnohem cennější a požadavky na bezpečnost jsou vyšší. Proto je nutné věnovat přípravě dostatečné úsilí.

Mezi nejčastěji zmiňovaná rizika patří [3],[4]:

· oprávnění klienta využít službu (authetizace a autorizace) a případné pokusy o neoprávněný přístup nebo pokusy do systému se dostat jinými cestami

· neautorizovaná změna, mazání nebo odkrývání dat veřejnosti

· viry, trojské koně nebo jiný škodlivý kód, který by mohl data v systémech záměrně poškodit

· validita požadavku, aby zpracování požadavku na cílovém systému nebylo jen plýtvání časem (např. pokud klient zasílá XML, je nutné prověřit, zda se jedná o platné XML příp. platný SOAP požadavek, zda jsou vlastní XML data platná dle XML schématu...

· vyhodnocení, zda zaslaná data nepředstavují bezpečnostní hrozbu pro cílový systém (v případě XML se jedná XML threats, SQL injection, omezení velikosti zpráv ap.)

· nezpochybnitelný audit požadavků a odpovědí služby

· digitální podpisy a validace digitálních podpisů zpráv

· šifrování a dešifrování zpráv

Zmírnění rizik při prostupu informací ke službám

Jedním z možných řešení bezpečnosti již v architektuře systému je naznačen v [3]:

Obrázek 2 - Webové služby za DMZ, zdroj: http://java.sun.com/developer/technicalArticles/WebServices/security/fig2.gif

DMZ (angl. demilitarized zone) je nějaká podsíť, která obsahuje webový server a skrz kterou jsou k dispozici veřejně přístupné služby, například internet. Z DMZ nevycházejí žádné spojení mimo zónu, při případném útoku jsou tak chráněny interní systémy a škoda se omezí pouze na server v DMZ. Pokud na webový server přijde SOAP zpráva, která obsahuje škodlivá data nebo bude žádat službu, která není dostupná veřejnosti, interní firewall už by měl být schopen tyto skutečnosti rozpoznat a zprávu dále nepředat. Smysl DMZ je vytvoření další vrstvy bezpečnosti, která odstíní útočníky od přímého přístupu k firemní síti.

Zde můžeme nalézt rozdíl oproti stavu, kdy firewall je předsazen před webový server jako prostředník výměny dat serveru a okolního Internetu – v tom případě budou SOAP zprávy většinou procházet.

Problémy identity v různých systémech

V momentě, kdy jsme připraveni na vystavení webových služeb na své straně, můžeme začít navazovat své služby na procesy ostatních podniků, např. s našimi dodavateli. Zde ovšem narazíme na problém, kdy například zákazník si chce od nás zakoupit výrobek, ale ten je nutno nejprve objednat.

Problémy, které vyvstávají, jsou nejčastěji spojeny s možnostmi, jak dodavatel pozná, o jakého zákazníka jde, že má s naší společností již dlouholetý kontrakt a podobně. Do popředí se tedy dostává otázka řízení identit a jejich propagace do ostatních systémů a služeb. Zmíněnou problematiku shrnuje následující obrázek:

Obrázek 3 - Příklad problému s propagací identit, zdroj: https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEghNpd7zDN-wfEVJH1duoFfd3kozyJ5Mflr-PrE19gpPnt8bdfkEaFQNo9BKgIvg6PfwImjl21NPD2f3Qq2jhBYiPW8mOH0xL2zSKtmymXx_KmVJKxWh3YARKlBotNqc5j8IvCz3StuQjA/s1600-h/Bezpecnost-v-SOA-2.png

„Vyřízení objednávky však pro společnost A může znamenat nutnost oslovit dva partnery – společnosti B a C. Budou mít oba partneři ve svém systému identit zavedeného klienta společnosti A? Pravděpodobně ne.“ [4]

Klientem služby (na obrázku) je náš zákazník, který poptává (prostřednictvím SOAP požadavků) služby od našich partnerů. V našem systému je zákazník zaveden, informace o proběhlých obchodních položkách jsou uloženy v databázích, a proto je oprávněn přihlásit se do interních systémů naší společnosti. V partnerských databázích ale nejspíše neexistuje.

Jedním z možných řešení je „sdílení identit“, kdy si společnosti B a C ověří zákazníka v naší databázi na základě požadavku na naši službu a dále pracuje jako by byl v jejich vlastních systémech pro správu vztahů se zákazníky. Celý systém je založen na vzájemné důvěře podniků – jednak že informace ve spol. A jsou správné a jednak, že dodavatelé nebudou požadovat informace jiné, než potřebují k uskutečnění obchodu.

Řešení pomocí nástrojů společnosti IBM

Pro řízení informací o zákaznících, jejich identitách a další propagaci identit vyvinula společnost IBM dva nástroje:

· SOA Appliance XS40

· IBM Federated Identity Manager

SOA Appliance ověřuje příchozího návštěvníka proti jeho jménu a heslu a předává informace dále do systému naší společnosti (tedy spol. A). Tyto informace jsou vloženy do těla XML zprávy jako tzv. „SAML assertion (prohlášení o identitě)“ [4] – tedy přímo jako dodatečné elementy v XML zprávě.

Při volání služeb na straně partnerů se použije modifikovaný text XML požadavku a pomocí produktu IBM Federated Identity Manager se zákazníkovi přiřadí unikátní jméno, případně další atributy, pomocí kterých pak bude jednoznačně určen u partnerské společnosti. Zde je nutno opět zdůraznit důvěru společností mezi sebou, neboť jinak nemá toto řešení smysl – společnosti by si navzájem bránily ve sdílení informací a zákazníkovi by mohla vzniknout škoda nebo by jeho požadavkům nemuselo být vyhověno.

Nejprve je tedy nutno zákazníka ověřit:

Obrázek 4 - Ověření zákazníka ve společnosti A, zdroj: https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhpYw3z93w7fPtzZa7arytFmmofvoyhjCJwjSUdYbR7WpnhxutkoshcNYWMluE1RXwsjVSgri56c4Q5tCJ-Do0KW6dt0OzZTGnEz74O0C_h2T1esc0tQt4OC35_I-lh0SOSXMgopJ7gCtQ/s1600-h/Bezpecnost-v-SOA-3.png

Poté máme možnost propagovat jeho identitu (na požádání partnerské strany) do dalších systémů:

Obrázek 5 - Ověření zákazníka pomocí propagované identity, zdroj: https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhmziy0S4XeZDWNmEF1C42w51f2IFZP7UgtYFm9VnEbdB2bQDGFcA36JyNLSIROILXc_Zl6d46muES2CifHReSCvAyfs5SSiVAdBSc2kVTbZDDjqIdtj8F9GPCdn7vlztTMTFexiL7AEfU/s1600-h/Bezpecnost-v-SOA-4.png

Standardy

Nejsrozumitelněji popisuje rozsah požadavků a jejich pokrytí standardy následující tabulka (převzato z [1]):

Požadavek	Technologie	Standard
Autentizace	Uživatelské jméno/heslo, digitální podpis založený na klíči a ověřování podpisu, požadavek/odpověď, biometrické údaje, chytré karty apod.	XML Signature, XKMS, SAML, Java Card, Java 2 Platform, Standard Edition (J2SE™), Kerberos, Generic Security Service (GSS), DSS, Federated Network Identity (Liberty)
Autorizace	Aplikování politik, kontrola přístupů, správa digitálních práv	Java Authentication and Authorization Service (JAAS), XACML, XrML, DSS
Integrita	Samotný obsah zprávy autentikován digitálním podpisem	J2SE (Secure Hash Algorithm (SHA), MD5 a další), XML Signature, XKMS, XML Encryption
Nemožnost odmítnutí zpráv	Digitální podpis založený na klíči a ověřování podpisu, důvěryhodnost zprávy	J2SE, Cert Path, XML Signature, XKMS, DSS
Utajení	Šifrování a dešifrování digitálně pomocí klíčů	J2SE (GSS, Java Cryptography Extension nebo JCE), XML Encryption, XKMS
Audit	Různé druhy přihlašování, automatické kontroly pro předcházení neoprávněné manipulaci	XML Signature, XKMS, J2SE (Logging)
Důvěra	Digitální podpis založený na klíči a ověřování podpisu	J2SE (Cert Path, GSS), XML Signature, XKMS, DSS

Tab. 1 - Pokrytí požadavků standardy

Popis vybraných standardů

XML Signature (XML podpis)

je doporučením W3C, které definuje syntaxi XML pro digitální podpisy. Může být použit k podepisování dat jakéhokoli typu (typicky XML, ale ve své podstatě všech zdrojů, které mají svou URL). Existují tři typy – oddělený (podepisuje obsah mimo tělo podpisu), zabalený (je součástí XML dokumentu, ale podepisuje jenom jeho část) a zabalující (pokud obsahuje data k podepsání v těle sebe sama). Může být používán protokoly SOAP, SAML a dalšími.

XML Key Management Specification (Specifikace správy XML klíčů - XKMS)

byla opět vyvinuta W3C a popisuje jednak registraci, zánik a distribuci veřejných klíčů a certifikátů a dále též správu privátních klíčů. Poskytuje též možnosti, jak získat informace o nich. Může být použita spolu s XML podpisem a XML šifrováním.

Security Assertions Markup Language (Značkovací jazyk pro prosazování bezpečnosti - SAML),

zmíněný v kapitole 3.3, je standardem pro výměnu autentizačních a autorizačních údajů mezi poskytovatelem identit a poskytovatelem služeb. Nespecifikuje způsob, jakým jednotliví poskytovatelé data získávají a ověřují. Definován sdružením OASIS.

XML Encryption (XML šifrování)

Tento standard zavedlo konsorcium W3C pro standardizaci šifrování XML dokumentů a může být použito pro zajištění důvěrnosti v případě, že SOAP požadavek musí projít přes mnoho prostředníků. Části zprávy jsou během přenosy uchovány mimo dosah.

eXtensible Access Control Markup Language (Rozšiřitelný značkovací jazyk pro řízení přístupu - XACML)

je primárně určen k řízení přístupů k dokumentům, nastavuje práva uživatelům. Jazyk, který z něj vychází - Web Services Policy Language (Jazyk pro politiku webových služeb - WSPL), je základním jazykem, který nastavená práva zobrazuje ostatním uživatelům.

WS-Security

je rozšířením protokolu SOAP a poskytuje ochranu integrity, důvěrnosti a autentizace. Pro tyto své vlastnosti využívá XML podpis a XML šifrování (XML Signature a XML Encryption). Lze podepisovat a šifrovat libovolnou kombinaci částí zprávy.

Vzájemná kooperace

Standardy musí navzájem spolupracovat tak, aby bylo jejich zavedení užitečné nejen zákazníkovi, ale zejména podnikům, které je zavádějí. Uživatel zřejmě nebude chtít vyplňovat své uživatelské jméno a heslo do všech částí systému, do všech služeb, a pravděpodobně přestane naše služby využívat.

Pro vyřešení těchto problémů se zavedl termín „Single Sign-On“ a možnost, jak řešit tento problém, jsem představil již v kapitole 3.3, kde jsou základními kameny protokoly SAML a XACML. Jinou možností je ověřování zákazníka v centrálním seznamu nebo databázi (například Microsoft Passport).

Příklad vzájemného provázání uvádí [3]: „SAML může být použit pro definování bezpečnostních informací vyjádřených ve formě informací o objektech. Tyto SAML informace můžeme digitálně podepsat XML podpisem a pro zajištění soukromí mohou být zakódovány pomocí XML šifrování. Veřejný klíč, používaný pro šifrování, může být ověřen a registrován přes XKMS. XACML může být dále používán pro definování politiky kontroly přístupu při zpracovávání požadavků na informace SAML.“

Závěr

Ve své práci jsem popsal základní úskalí v otázkách bezpečnosti webových služeb při jejich vytváření, zpřístupňování veřejnosti a vzájemném provazování se službami v jiných systémech. V první části práce je zasazení webových služeb do celkového rámce servisně orientované architektury (SOA) a analýza dostupné literatury, věnující se otázkám bezpečnosti webových služeb. Ve třetí kapitole je uvedeno jedno z možných řešení základní architektury zajištění bezpečnosti webových služeb na příkladu produktů firmy IBM. Závěrečná kapitola obsahuje podporu jednotlivých oblastí standardy, vyvinutých sdružením OASIS nebo konsorciem W3C.

Slovník základních pojmů

Entita

Aktivní prvek systému.

Identita

Elektronická reprezentace entity skutečného světa (člověk, organizace apod.)

Správa identit

Popisuje náležitosti životního cyklu, atributy, práva a povinnosti identit.

Klíč

Náhodná hodnota, která je používána algoritmy pro šifrování a dešifrování zpráv.

Infrastruktura veřejných klíčů (Public Key Infrastructure – PKI)

Je základním kamenem, na kterém jsou postaveny další části bezpečnosti aplikací a sítě. Používá algoritmy navzájem matematicky propojených soukromého (tajného) a veřejného (pro důvěrnou veřejnost) klíče – je nazývána též „asymetrickou kryptografií“, neboť soukromý a veřejný klíč nejsou shodné.

Sama o sobě neobsahuje bezpečnostní funkce, je spíše podpůrnou technologií pro potřeby podniku, které je dále nutno implementovat.

Integrita

Zajišťuje neměnnost jak obsahu zprávy, tak transakce, kterou je zpráva zasílána. Příklady mohou být certifikáty veřejného klíče nebo „obálky“ s digitálním podpisem.

Důvěrnost (Confidentiality)

Informace během celého přenosu od odesílatele k příjemci může být viděna pouze oprávněným osobám – pro potřeby důvěrnosti se nejčastěji používá šifrování.

Autentizace

Používá se pro jasné určení, že daný uživatel je tím, za koho se vydává. Mezi základní způsoby, jak můžeme tohoto účelu dosáhnout, je použití uživatelského jména a hesla, PKI nebo karet.

Autorizace (nebo též řízení přístupu)

Proces autorizace ověřuje, zda přihlášený uživatel má k dispozici nutné oprávnění k použití zdroje nebo určité funkce v systému. Práva nejčastěji stanovuje administrátor systému pomocí seznamu oprávnění nebo nastavení atributů uživatelů.

Nemožnost odmítnutí zprávy („non-repundiation“)

Zajišťuje, že ani odesílatel ani adresát zprávy nemůže legitimně vyjádřit fakt, že zprávu neodeslal/nepřijal. Jedná se tedy o způsob, jakým jednoznačně určit identity odesílatele/ adresáta.

SOAP (Simple Object Access Protocol)

Je jednoduchý protokolový framework pro přenos zpráv založených na XML pro výměnu informací mezi vzdálenými a decentralizovanými částmi systému.

Zdroje

[1] MYSORE, Shivaram. Securing Web Services – Concepts, Standards, and Requirements [online]. Santa Clara : Sun White Papers, 2003 [cit. 2007-12-07]. Dostupný na WWW: .

[2] LEŠTINA, Petr. Co Je Servisně Orientovaná Architektura [online]. Praha : BPM a IBM, 2007. Dostupný na WWW:

[3] MAHMOUD, Qusay H. Securing Web Services and the Java WSDP 1.5 XWS-Security Framework [online]. Santa Clara : Sun Developer Network. 2005 [cit. 2007-12-07]. Dostupný na WWW:

[4] MELICHNA, Jiří. Aspekty bezpečnosti v SOA. [online]. Praha : BPM a IBM. 2007. Dostupný na WWW:

[5] GOODIN, Dan; Pat. Zabezpečení webových služeb (část 1: Meze důvěry) [online]. Praha : Computerworld. 2007-03-28. Dostupný na WWW:

Podniková informatika v době ekonomické krize

Abstrakt

Ekonomická krize přináší nutnost přenastavení podmínek podnikání. Společnosti by se měly zaměřit především na vytváření konkurenční výhody za současného úsilí šetřit náklady. Ekonomická krize bude rovněž silně ovlivňovat rozvoj IT průmyslu směrem k tvorbě skutečných řešení generujících konkrétní obchodní výsledky. Toto nové přenastavení podmínek a pravidel bezesporu znamená vytvoření nových příležitostí jak pro průmyslové firmy, tak i IT společnosti.

Ekonomická krize a příležitosti

Ekonomická krize a recese celé ekonomiky v posledních letech naprosto ovlivnila myšlení podniků a analytici se předhánějí jak v pozitivních, tak negativních předpovědích, jak bude vypadat budoucnost jejich podniků a jak mohou informační technologie pomoci krizi překonat.

Podle (Karásek, 2010) se v současné době management upírá spíše směrem, který vyřeší pouze krátkodobé cíle jako je udržení cashflow, úsporu nákladů také na úkor propouštění zaměstnanců, omezení marketingových a dalších důležitých podnikových aktivit. Denně se sledují všechny aktivity podniku, který se snaží uspořit na každém místě svého působení. Ovšem minulost již ukázala, že ekonomickou krizi přežily podniky, které i v těchto těžkých časech dokázaly myslet na své dlouhodobé cíle. Je určitě chybou myslet si, že i v časech krize nemohou konkurenti vstupovat na trh nebo stále inovovat své služby a produkty. Přestože je každý podnik krizí ovlivněn, je důležité myslet dlouhodobě a těmto potencionálním konkurentům i těm stávajícím nepovolit svůj rozvoj. Na místě je otázka, jak podnik dokáže být krizi zasažen méně než ostatní.

Krize se dá pojmout také jako velká příležitost pro realizaci nových distribučních modelů, získání nových zákazníků a dalších aktivit, avšak záleží na podniku, jak moc bude své činnosti omezovat a kde všude bude škrtat své náklady. (Flinders, 2009), který také poukazuje, že je nutné, aby podniky neopomínaly své dlouhodobé cíle, dále připomíná, že není moudré, aby podniky krátily svůj rozpočet na IT projekty, které nakonec mohou podnik z dlouhodobého hlediska opět nastartovat v době ekonomického růstu.

(Flinders, 2009) zdůrazňuje vliv nových technologií jako Web 2.0, které mohou v budoucnu oslovit mnoho nových zákazníků, a jejich využití k opětovnému růstu. Dále zmiňuje tři běžné chyby, které podniky v současné době provádějí: „odkládání rozhodnutí, které v budoucnu mohou zachránit dlouhodobě zdraví firmy; předpokládání, že nejchytřejší cesta k růstu je obezřetná a postupná; zaměření na rozšiřování zákaznické základny.“

Úspora nákladů

Pokud jsem již zmínil důležitost cílů z dlouhodobého hlediska, nesmím opomenout ani cíle krátkodobé. Jedná se o aktivity, které mohou okamžitě podniku pomoci od zadlužování a obrovským ztrátám v době krize. Jedna z těchto aktivit může být například péče o stávající zákazníky poskytováním služeb na míru díky analytickým softwarům, které umožňují lépe pochopit zákazníka a poskytnout mu lepší služby než konkurence. Jedná se o jednu z nejlepších cest k úspoře nákladů za minimální cenu.

Outsourcing

Další cestou k úspoře nákladů je outsourcing. Podle (Jurica, 2005) je outsourcing „nákup služeb (nebo zboží) poskytovatele, které nejsou primární činností podniku, nicméně jsou nezbytné pro jeho fungování a byly dosud zajišťovány z vlastních zdrojů.“ Buď se jedná o outsourcing jednorázový, tj. nákup určitého softwaru, nebo kontinuální poskytování služeb. Takové poskytování služeb, např. provoz informačního systému podniku, s sebou přináší nemalé výhody. Odpadají zde výdaje na provoz a údržbu, platy nadbytečných zaměstnanců, a oblast kvality je zajišťována např. pomocí Service Level Agreement (SLA), což je garantovaná úroveň služeb externího dodavatele, který v krizových situacích na sebe bere část nebo všechna rizika.

Je vcelku logické, že podniky sahají k těmto organizačním změnám ve svých řadách, ale pokud se nejedná o podnik zaměřený na IT, je zbytečné zaměstnávat IT odborníky, které si firma nakonec nemůže ani dovolit. S outsourcingem přicházejí i další rizika. Velmi velkým rizikem je špatně formulovaný kontrakt, kdy nejsou požadované služby přesně definovány, tím nakonec vznikne nespokojenost na obou stranách a špatně aplikovaný outsourcing znamená další ztráty a zbytečné náklady do vyřešení problému. Dalším rizikem outsourcingu je bezpečnost interních dat, ke kterým bude mít pravděpodobně externí firma přístup a podnik zde riskuje zneužití dat ve prospěch konkurence. Outsourcing znamená pro zaměstnance ztrátu pracovních míst, jelikož již nebude potřeba IT oddělení s mnoha zaměstnanci.

Přehodnocení priorit podniku

V době ekonomické krize jsou všechny rozpočty na nové projekty a vůbec na celý provoz pod tlakem, avšak je třeba dávat si pozor, jak moc a kde rozpočet škrtat. (Gossels, 2009) připomíná, že je potřeba uvědomit si, kde jsou priority podniku, a rozvrhnout si, kde omezit finanční výdaje jako první a kde je nutné finanční prostředky ponechat. (Gossels, 2009) uvádí například banky, které by rozhodně neměly podcenit bezpečnostní politiku a příliš redukovat náklady na bezpečnost. Krize si žádá okamžitou redukci zaměstnanců, avšak není moudré propustit klíčové zaměstnance bezpečnostních procesů, a pokud ano, je potřeba dát si velký pozor, zda jejich uživatelské účty jsou korektně smazány a nehrozí zde již žádné zneužití.

Každý podnik pečlivě zkoumá své náklady a přehodnocuje veškeré investice. Informační technologie se staly nezbytnou součástí podnikových procesů a s tím přišly i náklady na provoz a údržbu. Otázkou však zůstává, zdali je i v časech krize nutné investovat tolik prostředků do IT technologií. Jestli by náhodou nestačily jednoduché aplikace, se kterými si podnik vystačil před obsáhlým informačním systémem, jestli by podnik díky tomu neušetřil dostatek, aniž by poklesla produktivita práce?

Odpovědi na tyto otázky lze vyřešit pomocí stanovení priorit, které podnik musí řešit v době ekonomického útlumu. Podle (Karásek, 2010) podniky potřebují pokrýt následující situace: „Dosáhnout rychlé a významné úspory nákladů ve všech oblastech, aby udržely provoz v chodu. Optimalizovat rychle produktivitu práce a výkonnost v možnostech daných okolním trhem. Vylepšit obchodní aktivity, přesměrovat maximum úsilí na zákazníky a obchodní partnery. Udržet maximum stávajících zákazníků a intenzivně hledat nová odbytiště (nové zákazníky, nové trhy, nové obchodní kanály). Připravit strategii, jak využít krize k rozšíření podílu na trhu na úkor konkurentů. Udržet inovaci ve výrobě nebo v obchodním modelu, usilovně hledat produkt či službu, která při příchodu oživení přinese podniku konkurenční výhodu.“

Většina těchto bodů nesouvisí konkrétně s IT technologiemi, ale právě s lidmi, obchodem a udržením zákazníků, avšak IT podpora hraje v každém bodě důležitou roli jako komunikační platforma a zdroj potřebných informací. Podniky se proto musí snažit optimalizovat svoji IT infrastrukturu, například využitím klient-server architektury, již zmíněného outsourcingu apod. Dále je třeba zaměřit se na stávající informační systém, případně zavést nový a maximálně ho využít, najít místa, kde by podnik mohl ušetřit. Koneckonců produktivita práce souvisí s rychlým vyhledáním informací a s procesy. Zaměstnanci se tak mohou více věnovat zákazníkům než samotnému informačnímu systému. Podnik by měl využít nejnovější technologické prostředky typu Bussiness intelligence a poskytnout zákazníkům takové služby na takové úrovni, aby neměl důvod přecházet ke konkurenci. Netřeba snad již zmiňovat využití CRM v marketingu a optimalizaci procesů obchodní strategie firmy.

Budoucnost a inovace podnikové informatiky

Výzva pro podniky v době krize spočívá v tom, jak dostatečně jsou schopné provozu s menšími finančními prostředky a jak kvalitní je jejich risk management. V Jižní Africe, kde je ekonomika z důvodů krize jako v dalších zemích v ekonomickém propadu, jsou místní banky jsou oproti ostatním zemím vcelku v dobrém rozpoložení. Podle (Benyon, 2010) jsou tyto banky podle místních bankéřů bez problémů díky kvalitnímu risk managementu a silné kultury řízení rizik. Z toho důvodů banky nenabízejí „exotické“ produkty a půjčky, které by je mohly přivést k bankrotu jako mnoho bank ve Spojených státech. Dále (Benyon, 2010) uvádí, že „snižování rizika je celé založeno na správném návrhu, s procesy a nástroji, které se hodí pro daný účel. Jedinou cestou, jak toho můžeme dosáhnout, je zapojit management operativních rizik.“

Inovace a jiná řešení IT

Důležitým bodem jsou právě investice do inovací v době krize. Jak jsem již psal výše, tyto finanční prostředky umožňují podniku stále vylepšovat své produkty a služby, proto jsou v době po krizi nejschopněji reagovat na trh a stanou se na nějakou dobu lídry trhu, jelikož nezapomněly inovovat své business procesy, své technologie a zejména nepřestaly myslet na dlouhodobé cíle.

Jestliže se zaměřím na menší firmy, které pravděpodobně nedisponují obsáhlými ERP systémy, nabízí se nejen pro ně další možnost, kde by mohly tyto podniky ušetřit a to využitím Software as a service (SaaS). (Wiki, 2010) definuje SaaS jako „model nasazení softwaru, kdy dochází k hostingu aplikace provozovatelem služby a služba je dále nabízena zákazníkům přes internet. Díky eliminování potřeb instalace a provozu aplikace na vlastních zařízení SaaS reaguje na potřebu snižování nákladů na software, rychlého nasazení a outsourcingu.“ Oblíbenost tohoto řešení je hlavně z důvodů jeho levného pořízení a minimálními provozními náklady. Každou další funkcionalitu lze jednoduše za určitý poplatek dokoupit a software je externí firmou stále vylepšován a samozřejmostí je i následná podpora.

S dramatickým snižováním nákladů se objevují a postupně rozšiřují nové způsoby provozu IT technologií. Mám na mysli Cloud computing, který s sebou přináší mnoho výhod. Jednou z možných služeb, kterou nabízí, je SaaS, který je popisován výše v textu. Co to vlastně Cloud computing je? Podle (Švec, 2010) je to zjednodušeně poskytování služeb přes internet, kdy na jedné straně je výpočetní středisko a na druhé straně je zákazník. Ve výpočetním středisku je možno nalézt hardware (servery), který zajišťuje buď jen výpočetní kapacitu, nebo i poskytuje kompletní software, jako je například poskytování celého CRM systému. Důvodem proč použít Cloud computing jsou finance. Počáteční náklady jsou opět minimální, podniky nemusí investovat do vlastního hardwaru a dále financovat jeho rozšiřování. Odpadají poplatky za licence – firma si totiž pronajímá službu jako celek – a dále menší položky jako poplatky za elektrickou energii apod.

Proč ale Cloud computing není všude, když je tak výhodný? Odpověď je jednoduchá. Nebyl k tomu žádný důvod, všechny podniky již dříve investovaly do nákupu vlastního hardwarového zařízení a chtěly si vlastní provoz zajistit samy. Dalším důvodem je bezpečnost. (Wire, 2010a) připomíná, že všechna data se nacházejí u externí společnosti (jako při SaaS), která zajišťuje jejich bezpečnost a dostupnost, a proto je potřeba dát si pozor, kterou firmu oslovíme. Posledním a nemalým důvodem je, že služby zatím nejsou tak kvalitní, jelikož Cloud computing zatím nepatří mezi jednu z priorit velkých softwarových gigantů, a tak úroveň služeb zatím zaostává. Podle (Wire, 2010b) ale „začíná být Cloud computing stále oblíbenější, jelikož přináší menší náklady, vyšší návratnost a zlepšuje efektivitu.“

Závěr

Podniková informatika v době ekonomické krize také podstupuje různé změny – ať to jsou již škrty nákladů pro provoz nebo údržbu nebo to jsou omezené investice pro jeji inovaci. Firmy jsou otevřeny novým přístupům řešení podnikové informatiky – outsourcing, SaaS nebo další technologie, aby se co nejvíce snížily náklady, ať už to bohužel znamená propouštění řady specializovaných IT odborníků. Záleží na konkrétním podniku a promyšlení manažerů, kde leží priority podniku a na ty se zaměřit. Ukázalo se, že ti, kteří v době krize mysleli na svou budoucnoust a kontinuálně investovali nejen do podnikové informatiky, vyšli z krize nejlépe.

Zdroje

(Karásek, 2010) Karásek, P.. Ekonomická krize a ICT. Centrum pro výzkum informačních systémů. 24.1.2010. Dostupný z www: http://www.cvis.cz/hlavni.php?stranka=novinky/clanek.php&id=893. Citováno: 11.4.2010.

(Flinders, 2009) Flinders, K.. 2009. Beware hidden costs of IT budget cuts. Computer Weekly, April 7, 8. Dostupný z www: http://www.proquest.com/ Citováno: 11.4.2010.

(Jurica, 2005) Jurica M., Možnosti a trendy v outsourcingu podnikových informačních systémů. Semestrální práce. VŠE. 2005. Citováno: 11.4.2010.

(Gossels, 2009) Jonathan Gossels. "Cut Carefully -- Complicating efforts to reduce costs, security risks don't go away just because IT budgets are under pressure." Bank Systems & Technology, 28.1.2009. http://www.proquest.com/ Citováno: 12.4.2010.

(Benyon, 2010) Benyon, D.. "Coming of age." Risk South Africa. 2010. Dostupný z www: http://www.proquest.com/ Citováno: 12.4.2010.

(Švec, 2010) Švec, P.. Cloud computing jako trend pro firemní IT. ITBiz.cz. 12.3.2010. Dostupný z www: http://www.itbiz.cz/cloud-computing-jako-trend-pro-firemni-it/ Citováno: 12.4.2010.

(Wiki, 2010) SaaS. Wikipedia. 18.1.2010. Dostupný z www: http://cs.wikipedia.org/wiki/SaaS Citováno: 12.4.2010.

(Wire, 2010a) Business Wire. "Evolving to the cloud." Financial Express. 11.3.2010. http://www.proquest.com/ Citováno: 12.4.2010.

(Wire, 2010b) Business Wire. "More than 45% Say Cloud Computing Risks Outweigh Benefits, Survey Finds." Business Wire. 7.4.2010. Dostupný z www: http://www.proquest.com/ Citováno: 12.4.2010.

Web scraping

Firmy zaoberajúce sa predajom údajov a užívateľoch internetu, získaných zbieraním ich detailov z konverzácií, sociálnych sietí, pracovných portálov (životopisy) a fór, skrátka zo všadiaľ, kde ľudia odhaľujú svoj život. Aj to je realita dnešného Internetu. Tomu čo web scraping, znamená, kto sa ním zaoberá a ako to funguje sa v krátkosti venuje tento tento článok.

Slová web scraping, web harvesting a web data extraction v preklade do slovenčiny znamenajú zbieranie dát na webe. Doslova sa jedná o zoškrabávanie a zber. Wikipedia definuje web scraping ako softwarovú techniku získavania informácií z webových stránok. Väčšinou tieto programy simulujú ľudské prehliadanie webu implementáciou nízko-úrovňového http alebo sa vryjú do webových prehliadačov. Web scraping má blízko k webovému indexovaniu, kde robot indexuje obsah webových stránok a ktoré využíva väčšina internetových vyhľadávačov. Príkladmi web scrapingu je napríklad on-line porovnávanie cien, monitorovanie dát o počasí a detekcia zmeny stránky. Avšak web scraping sa môže zaoberať aj získavaním dát o anonymných užívateľoch a ich prepojením na konkrétne blogy, stránky alebo profily, čím sa anonymita vytráca.

Denník Wall Street Journal nedávno vo svojom článku o web scrapingu uviedol príklad zneužitia. Užívateľ (registrovaný pod prezývkou) na stránke PatientsLikeMe.com , kde ľudia môžu zdieľať citlivé informácie o ich zdravotných problémoch sa stal obeťou tejto techniky. Jednalo sa o nepovolené vniknutie, keď nový užívateľ stránky začal „zoškrabovať“ všetky jednotlivé príspevky na fóre danej stránky. Hoci sa vlastníkovi stránky podarilo podozrivého užívateľa odstaviť, stihol profil daného človeka prepojiť s jeho blogom, kde sa nachádzalo jeho skutočné meno. Jednalo sa o spoločnosť Nielsen Co., založenú New Yorku, ktorá sa zaoberá prieskumom mediálneho trhu a medzi ktorej klientov patria aj spoločnosti vyrábajúce lieky a ktoré kupujú dáta z webu aby získali náhľad od užívateľov na ich produkty. Spoločnosť Nielsen tvrdí, že už ďalej nescrapuje stránky ktoré vyžadujú pre prístup užívateľský účet. Táto firma je lídrom v monitorovaní sociálnych médií, zbiera údaje zo 130 miliónov blogov, 8000 diskusií, Twitteru a sociálnych sietí. Vo svojom portfóliu má službu "ThreatTracker", ktorá upozorní spoločnosť, ak je na ňu referované v negatívnom obraze. Vzhľadom k marketingovému materiálu spoločnosti patrí medzi jej klientov dvanásť najväčších farmaceutických spoločností. Nemožno sa čudovať, že záujem o takto získané informácie je značný. Získané dáta majú neobmedzené využitie, napríklad pre potreby priameho marketingu, sledovania chovania spotrebiteľov, zamestnancov, uchádzačov o prácu alebo samozrejme existuje aj priestor pre zneužitie. Podľa denníka Wall Street Journal sa trh s online dátami do roku 2012 zdvojnásobí na 840 mil. USD zo 410 mil. USD v roku 2009.

Zatiaľ čo niektoré spoločnosti zbierajú osobné informácie preto aby získali detailné informačné pozadie o ľuďoch, iné ponúkajú rôzne služby ktoré sú dostupné aj širokej verejnosti. Napríklad stránka Date Check ponúka službu, ktorá skontroluje kriminálne pozadie osoby, s ktorou sa chystáte na rande za 15 USD. Iné spoločnosti o scrapingu vedia, ale ponúkajú dáta len z tej časti stránky kam nie je treba sa registrovať. Iné spoločnosti predávajú dáta z celej stránky, ale len anonymne. Spoločnosti ponúkajúce služby web scrapingu argumentujú, že raz čo už boli nejaké dáta dobrovoľne zdieľané, je možné ich získať a predať. Ak to vraj neurobia oni, urobí to niekto iný. V podstate je možné s týmto názorom súhlasiť, ale otázkou je do akej miery by mali byť rôzne informácie pomocou algoritmov prepojované a spájané s konkrétnou osobou, pričom tá osoba si želala zostať v anonymite. Firma PeekYou LLC sa špecializuje na spojenie reálnych mien s účtami a pseudonymami v blogoch, Twitteri a iných sociálnych sieťach na internete. Táto spoločnosť dokonca podala žiadosť na zaregistrovania patentu jej postupu pri tejto činnosti. Schému ilustruje obrázok vpravo. Algoritmus priraďuje podľa typu odpovede na otázky body a pri dosiahnutí stanoveného množstva priradí informácie ku konkrétnej osobe alebo profilu.

Na boj proti scraperom využívajú stránky tzv. captchas čo sú strojovo nečitateľné písmená a ľudská osoba tak dokáže, že nie je robot. Takisto pre túto činnosť blokovania scraperov existujú vo svete rôzne firmy, ale tvrdia, že blokovanie scraperov len zvýši počet pokusov o scrapovanie stránky.

Scraperi sa nachádzajú v šedej zóne práva, medzinárodne sa anti-scrapingové zákony sa líšia. Scraping je všade prítomný ale otázny. Každý to robí ale nie je jasné či by to malo byť umožnené každému a bez povolenia.

Z toho čo tu bolo uvedené vyplýva, že scraping má vo svete dát už svoje pevné miesto a dá sa očakávať len jeho rozvoj. Samozrejme ak nedôjde k ráznemu obmedzeniu zo strany zákonov. Užívatelia by mali byť stále viac obozretnejší, aké informácie dávajú o sebe na web, pretože tieto môžu byť zneužité aj keď sú zdieľané anonymne.

Ak by ste si chceli scraping vyskúšať, na webovej stránke www.screen-scraper.com je možné si zdarma stiahnuť základnú verziu programu, ktorá po inštalácii zaberá 100MB.

Uspěje Google v cloud computingu s Chrome OS ?

V posledních dvou letech k často skloňovaním výrazům podnikové informatiky patří virtualizace, zelené IT nebo cloud computing. Mnohdy se jedná o využití dosud používaných technologií rozdílněji, tak aby k nim bylo možné přidat trochu “marketingové magie”.  Jaké další kroky má Google připraveny v této oblasti? Pojďme se podívat blíže.

Cloud computing se často označuje jako příští velká věc, která nás čeká. Takhle to fungovat ovšem nebude, protože nikdy nemůže nastat okamžik (např. jakýsi bod zlomu), kdy by uživatelé či firmy najednou používali jen cloudové aplikace. Vše bude probíhat (a vlastně již probíhá) postupně malými krůčky. Jako příklad uveďme spuštění dvou produktů firmy Google. Jde o emailovou schránku Gmail (spuštění v roce 2004) a aplikaci na prohlížení map Google Maps (spuštění v roce 2005). Technické detaily nebudu dále rozvádět, ale v principu bylo využito asynchronního volání dotazů pomoci AJAXu - webovou stránku s aplikací nebylo nutné aktualizovat celou,ale provedla se změna jen některých částí.

Spuštění webových map způsobilo nejen vlnu podobných služeb u konkurečních portálu, ale především odliv zákazníků běžných mapových softwarů (např. Infomapa od PJsoft). Jedinou cestou jak prohlížet mapy a plánovat trasy na počítači bylo dříve možné jen přes klasické nainstalované programy. Dnešní forma řešení, která před několika lety přišla mnohým uživatelům nemyslitelná, je využívaná denně mnoha lidmi. Mezi tyto uživatelé patří i méně zkušení, kteří klasické programy neznali nebo nepoužívali. Nemají tedy možnost srovnání a zároveň jim online aplikace vystačí k běžným uživatelským akcím.

Obr.1 - Pokles vyhledávání programu infomapa na Google ČR (2004-2010)

zdroj: Google Search for Insight

Podobná situace nastala u emailových klientů. Mnozí uživatelé přestávají na svá nová zařízení instalovat programy pro správu pošty. Přesto jsou aplikace Microsoft Outlook nebo Mozilla Thunderbird hojně používané - především kvůli setrvačnosti ve firemním prostředí. Zde své pomyslné rohy vystrkuje také firma Google se svoji nabídkou Gmail for Business.

Právě Google se snaží pronikat na nové trhy, diverzifikovat zdroj svých příjmů (na poli reklamy mu roste konkurence v podobě Facebooku) a právě firemní klientela by mohla být zajímavou skupinou příjmu. Zbývá jen firmy přesvědčit, že cloud computing a právě jejich infrastruktura má budoucnost. Ostatním firmám jako např. Microsoft dosavadní stav vyhovuje - mají stále zákazníky, s novou verzí upraví formát souborů, upraví rozložení uživatelského rozhraní nebo přidají nové funkci. Proto ostatní firmy nejsou lídry cloud computingu, ale jen reagují - na chování zákazníků nebo tahy konkurence.

Před týdnem Google oznámil (více zde) další pokrok s operačním systémem Chrome OS. Ten byl poprvé představen v listopadu 2009 jako open source projekt Chromium OS. Od té doby se o něm veřejně nemluvilo. Nový operační systém sice stále není k uživatelům dispozici, ale cílevědomosti orientovat se na segment podnikových zákazníků bylo prezentováno přes hardwarové 12’’ zařízení Chrome Notebook CR-48. Ten obsahuje 8GB hardisk, slot na 3G SIM kartu (v rámci dvou ročního programu mohou zákaznící využívat internet zdarma do maximálního přenosu 100MB) a jeho další parametry ho jasně předurčují k práci v cloudu. K aplikacím jako emailový klient, audio / video komunikační nástroj, kalendář nebo kancelářským dokumentům využije právě webové aplikace. Nepřímým sdělením tak jasně bylo - velké firmy počítejte s námi v cloudu.

Obr. 2 - Chrome Notebook (CR-48)

zdroj obrázku: http://www.geek.com/wp-content/uploads/2010/12/cr_48_google_01.jpg

Tento notebook je již poskytován zdarma firmám, neziskovkám, vývojářům a uživatelům z USA, aby otestovali používání webových aplikací v rámci spuštěného pilotního programu. Tyto kroky vedou k jasnému cíli - připravit hotový produkt pro firemní klientelu, aby se neopakovala chyba jako s Google Wave. Dobrý dojem je možné udělat jen jednou...

Po uvedení mnoho lidí kritizovalo samotnou nepřipravenost cloudu computingu jako obecného řešení (robustnost aplikací, internetová konektivita, výkon). Ačkoliv může docházet k menším výpadkům, kvalita se bude v čase dále zlepšovat.  Navíc už samotný fakt, že tito lidé kritizují tak brzy formu řešení, svědčí o jejich technické zdatnosti a zájmu o věc. Tito lidé vždy měli a vždy budou mít poněkud odlišné a větší nároky než běžný uživatel. A co uživatel? Ten staré řešení “nezná” a zároveň ho zajímají tři věci - jednoduchost, rychlost použití a cena. To Chrome OS splňuje dokonale.

S podnikovou informatikou to bude velmi podobné jako s mapovým softwarem - bude se postupně transformovat v něco nového - a je uplně jedno zda tomu budeme říkat cloud computing nebo jinak. Toto nové řešení bude mít společnou základnu v jednoduchosti a nákladové nezatíženosti. Nejvhodnějším řešení v tuto chvíli přichází v úvahu přenechání aplikací externím subjektům a vzdáleným přístupem přes internet.