Software Assets Management (управление активами ПО)

Основные сведения
Software asset management (SAM) – это методология, направленная на оптимизацию процессов управления активами программного обеспечения в организации и их защиту: учет программного обеспечения, его использования, лицензий (прав на использование), документов, подтверждающих наличие прав на использование (сертификаты, лицензионные свидетельства, лицензионные соглашения, договора, бухгалтерские отгрузочные документы), разработка и использование регламентов и политик закупки программного обеспечения, ввода его в эксплуатацию, эксплуатация, вывод из эксплуатации и др.

Технологические задачи SAM:
·         идентификация установленного ПО;
·         сопоставление установленного ПО приобретённым лицензиям;
·         формирование отчётности о лицензионности установленного ПО.

Трудности автоматизации управления активами ПО:

·         отсутствие общих стандартов идентификации программного обеспечения;

·         изменение правил лицензирования;

·         использование пробных версий программного обеспечения;

·         программное обеспечение  может быть пакетом из нескольких приложений;

·         некоторые лицензии не имеют физической сущности (например, CAL).

Процессы, упрощающие управление лицензиями:

·         сбор данных по лицензиям в структурированном виде (таблицах);

·         разработка шаблонов лицензирования наиболее популярных приложений;

·         изучение подробностей сложных моделей лицензирования;

·         изучение лицензирования обновлений;

·         приведение идентификационных данных ПО к единому виду;

·         поддержка актуальности информации об учёте ПО и схемах лицензирования;

·         объединение инвентаризационной информации о приложениях компании. 

Преимущества управления активами программного обеспечения:

·         максимальное использование имеющихся лицензий;

·         упрощение аудита программного обеспечения;

·         упрощение процесса закупки программного обеспечения;

·         оптимизация владения активами ПО.

Общее описание лучших практик и рекомендации по стандартизации процессов SAM приведены в стандарте ISO/IEC 19770. В настоящее время опубликованы 2 части стандарта:

·         ISO/IEC 19770-1: SAM Processes — сосредотачивает внимание на процессах SAM, реализация которых в организации необходима для эффективного управления программными активами. Стандарт опубликован 9 мая 2006 года.

·         ISO/IEC 19770-2: Software identification tag — сосредотачивает внимание на способах идентификации программного обеспечения и управления им. Целевая аудитория этой части стандарта — производители программного обеспечения, в том числе средств аудита. Стандарт опубликован 11 ноября 2009 года.

Ещё одна часть стандарта находятся в разработке:

·         ISO/IEC 19770-3: Software entitlement tag — сосредотачивает внимание на способах отслеживания прав на использование программного обеспечения. 

Обзор стандарта ISO/IEC 19770-1

Этот стандарт применим к процессам SAM и может использоваться в любых компаниях для достижения наилучших результатов по управлению активами ПО.  Стандарт применим ко всем видам лицензий. Его также можно использовать для управления активами , связанными с учётом ПО.  Например, инвентаризация устройств, на которых программное обеспечение  хранится и выполняется.

Обзор процессов SAM:

1. Organizational Management Processes for SAM.
1. Control Environment for SAM
1. Corporate governance process for SAM
2. Roles and responsibilities for SAM
3. Policies, processes and procedures for SAM
4. Competence in SAM
2. Planning and implementation processes for SAM
1. Planning for SAM
2. Implementation of SAM
3. Monitoring and review of SAM
4. Continual improvement of SAM
2. Core SAM Processes
1. Inventory processes for SAM
1. Software asset identification
2. Software asset inventory management
3. Software asset control
2. Verification and compliance processes for SAM
1. Software asset record verification
2. Software licensing compliance
3. Software asset security compliance
4. Conformance verification for SAM
3. Operations management processes and interfaces for SAM
1. Relationship and contract management for SAM
2. Financial management for SAM
3. Service level management for SAM
4. Security management for SAM
3. Primary Process Interfaces for SAM
1. Life cycle process interfaces for SAM
1. Change management process
2. Acquisition process
3. Software development process
4. Software release management process
5. Software deployment process
6. Incident management process
7. Problem management process
8. Retirement process

Описание процессов SAM:

1)      Organizational Management Processes for SAM.

a.       Control environment for SAM. Задача этого процесса в установлении и поддержании системы управления применением процессов SAM. Является частью корпоративного управления.

b.      Planning and implementation processes for SAM. Задача этого процесса – обеспечение эффективного и результативного выполнения управления SAM. Аналогичен схеме процесса «Plan-Do-Check-Act» стандарта ISO 9001.

2)      Core SAM Processes.

a.       Inventory processes for SAM. Целью процесса является создание и поддержание информации о программном обеспечении  и связанных с ним объектах. Выполняет функцию управления и контроль целостности этих данных. Можно считать частью процесса управления конфигурациями.

b.      Verification and compliance processes for SAM. Цель процесса – выявить и устранить отклонения от политик, процессов и процедур SAM, в т.ч. отклонение от лицензионных прав. Такие проверки должны проводиться на регулярной основе.

c.       Operations management processes and interfaces for SAM. Процесс выполняет функции по оперативному управлению для достижения общей цели SAM.

3)      Primary Process Interfaces for SAM

a.       Life cycle process interfaces for SAM.  Целью является конкретизация требований SAM к жизненному циклу  процессов. Является применением стандарта ISO/IEC 12207 и ISO/IEC 20000 в контексте SAM.

Обзор стандарта ISO/IEC 19770-2

Целью этого стандарта является:

·         стандартизация методов определения ПО,

·         чёткое определение программных пакетов,

·         отделение идентификации ПО от  лицензирования,

·         определяет место поиска лицензий,

·         позволяет автоматизировать процессы «compliance»,

·         избавляет от сопровождения данных о существующем ПО.

Эта часть стандарта определяет формат XML-файлов (XML-схема есть на сайте ISO), называемых тегами или SWID-тегами (некая XML-сигнатура установленного приложения), элементы которого идентифицируют программное обеспечение и содержат дополнительную информацию о нем, а также операционной среде, в которой оно установлено. SWID-теги могут создаваться непосредственно  в процессе установки программного обеспечения или после него. Стандарт вводит 7 обязательных и 30 опциональных элементов SWID-тегов, список которых может быть расширен. Также конечный пользователь (или SAM-инструменты) может и самостоятельно добавлять собственную информацию в SWID-теги.  Стандарт ISO 19770-2 значительно  упрощает процесс инвентаризации приложений, соответствующих стандарту, и управления правами их использования как за счет формализации используемой терминологии, так и за счет автоматизации процессов идентификации установленного программного обеспечения, выявления характеристик оборудования, на котором работают приложения, подсчета числа установленных экземпляров, определения версии, редакции и т.д.
Пример файла, идентифицирующего программное обеспечение и среду, в которой оно работает, в соответствие со стандартом ISO 19770-2 можно посмотреть на сайте:

http://invite.tagvault.org.

Обзор стандарта ISO/IEC 19770-3

Целью этого стандарта является:

·         стандартизация методов распределения и обзора лицензионных прав,

·         предоставляет машинные ассоциации с идентификационными тэгами ,

·         позволяет автоматизировать «license compliance  management»,

·         оптимизирует распознавание соответствия  установленного ПО и лицензионных прав ,

·         снижает время проведения аудита программного обеспечения.

·         избавляет от сопровождения данных о существующем ПО.

Этот стандарт позволяет расширить использование тегов, определяя как с их помощью хранить информацию о лицензионных правах. Ещё не опубликован.