Дорожная карта на 2010: 152-ФЗ, Windows 7 и доведение виртуализации до конца

Под конец года мы обычно садимся с блокнотом и смотрим на список клиентов: у кого что висит, что надо сделать в первом квартале, где есть риски. В этот раз список получился нетипично коротким - три больших темы, которые так или иначе касаются всех. Фиксируем здесь, потому что логика выбора приоритетов может быть полезна не только нам.

Приоритет первый: 152-ФЗ - дедлайн уже завтра

1 января 2010 года - это не рекомендательный срок, это дата вступления в силу требований по защите персональных данных в том объёме, который описывает приказ ФСТЭК № 58. С начала года мы проводили аудиты готовности и картина везде примерно одинаковая: организационные документы написали, технику не трогали.

Часть клиентов мы успели довести до соответствия до декабря. С остальными честно говорим: декабрь - плохое время для изменений в инфраструктуре. Лучше сделать качественно в январе, чем наспех сейчас и потом переделывать.

Что реально блокирует у большинства - не отсутствие сертифицированных средств защиты и не дорогие СКЗИ. Типовой стек проблем выглядит так:

• Открытые сетевые ресурсы. Папки с персданными монтируются по сети без аутентификации или с учётными данными уровня «все читают».
• Журналы доступа не ведутся. Кто обращался к базе клиентов - неизвестно. Ретроспективно восстановить невозможно.
• Сегментация отсутствует. Бухгалтерия, склад и гости в одном VLAN. ФСТЭК это не приветствует.
• Сканы документов в свободном доступе. Классика: расшаренная папка «Сотрудники» с паспортами и ИНН без пароля.

Большую часть этого можно закрыть штатными средствами AD, GPO и нормальной конфигурацией файлового сервера - без покупки дополнительного ПО. На январь у нас расписано несколько таких доводок. Проверок от регуляторов в первые недели года мы не ждём в большом количестве - механизм контроля только формируется, - но это не повод игнорировать задачу.

Приоритет второй: рабочие места - XP уходит, Windows 7 приходит

RTM Windows 7 вышел в сентябре, OEM-версии уже идут на новых машинах. На корпоративном рынке это означает вот что: каждый новый компьютер, который клиент покупает, приходит с Windows 7. И если не думать об этом заранее, через полгода в одной сети окажется половина машин на XP и половина на 7, с разными групповыми политиками, разными профилями и разными приложениями - и разбираться в этом зоопарке будет интересно.

Наш подход на 2010 год: не пытаться мигрировать всё разом, а ввести чёткое правило - новые машины идут на Windows 7, старые остаются на XP до тех пор, пока не придёт их время плановой замены. Параллельно - инвентаризация ПО, которое держит клиентов на XP. Обычно это одно-два специфических приложения: либо 16-битная legacy-программа, либо что-то с жёсткой привязкой к IE6. Для таких случаев Windows 7 с режимом совместимости XP Mode (на базе Virtual PC) - рабочий вариант, если железо поддерживает аппаратную виртуализацию.

Параллельно смотрим на Server 2008 R2. Там DirectAccess, улучшенный BranchCache и PowerShell 2.0 из коробки - это уже аргументы для тех клиентов, где есть несколько площадок или активная работа с удалёнными сотрудниками.

XP в один момент не уйдёт - это понятно. Но у тех, кто не начнёт управляемый переход сейчас, через год ситуация не упростится.

Приоритет третий: дожать физику в vSphere

По итогам года у нас соотношение виртуальных машин к физическим перевалило за 3:1. Хорошая цифра, но внутри неё есть неприятный хвост: несколько клиентов с физическими серверами, которые не вошли в первую волну виртуализации по разным причинам - кто-то не был готов трогать продакшн, кто-то ждал, пока мы покажем что это работает на других.

Теперь показали. vSphere 4 с HA и DRS работает, Veeam делает бекапы уровня снапшота, vMotion позволяет обслуживать хосты без окон простоя. Аргументов «подождём» стало меньше.

В 2010 году задача - провести P2V (physical-to-virtual) на оставшихся физических серверах там, где это технически осмысленно. Не всё подлежит виртуализации: некоторые задачи с прямым доступом к оборудованию или специфическими I/O-требованиями лучше оставить на железе. Но большинство - файловые серверы, серверы приложений, вторые DC - вполне переедут.

Параллельно у нескольких клиентов назрел вопрос с хранилищем: iSCSI, который поставили в 2008-2009, уже под давлением. Смотрим на расширение - либо дополнительные полки к существующим системам, либо, где объёмы большие, разговор про Fibre Channel.

Как это выглядит в плане

Три темы - не равнозначные по срочности. 152-ФЗ горит прямо сейчас. Миграция рабочих мест - равномерная работа на весь год. Виртуализация физики - квартал-два, без спешки, с нормальным тестированием перед переносом продакшн-нагрузок.

Если у клиента всё три темы открыты одновременно - берём их именно в этом порядке. Регулятор не ждёт, рабочие места терпят до замены железа, а физика никуда не денется.

Хорошего нового года. Работы в январе меньше не станет.