Ольга Полянская - Инфраструктуры открытых ключей

Многие поставщики придерживаются политики "названных клиентов", то есть обслуживают только ограниченное количество определенных людей, которым разрешен доступ к линии технической поддержки. Этот вариант совершенно не подходит компаниям, имеющим территориально распределенную PKI и региональных администраторов.

4Выполнение условий соглашения об уровне обслуживания в случае расширения организации.

Если соглашение содержит строгие требования, то масштабирование должно быть выполнено немедленно, самое большее - через час после первого обращения; менее строгие требования должны быть выполнены в течение 4-24 часов после первого обращения.

Многие поставщики не имеют возможности самостоятельно участвовать в реализации PKI и интеграции приложений. Поэтому только те из них, которые поддерживают связи с партнерами по консалтингу, способны помочь организации развернуть и наладить функционирование PKI. Именно квалифицированные консультанты в состоянии предложить продуманную архитектуру PKI и вариант реализации с минимальными затратами.

Для оценки возможностей поставщика услуг консультирования оказывать помощь в развертывании PKI и интеграции организации необходимо:

*установить связи с несколькими ведущими консалтинговыми компаниями, ознакомиться с программами подготовки штата консультантов и убедиться в наличии сертификатов, подтверждающих их квалификацию;

*выбрать инструментальные средства интеграции с программным продуктом поставщика или внутренней системой;

*ознакомиться с опытом сотрудничества других организаций с консалтинговыми компаниями, оценить возможности, стоимость и качество услуг консультантов; учесть, что часто на практике расходы на услуги консультантов из-за сложности работ превышают заранее запланированные расходы; убедиться, что выбранная консалтинговая компания успешно работает и обладает проверенной на опыте методологией;

*собрать сведения об опыте и квалификации консультантов, которым предлагается участвовать в проекте развертывания PKI; для масштабного проекта выбирать консультантов, имеющих высокую квалификацию и достаточный опыт, несмотря на более высокие затраты на оплату их труда.

В основном, лучший способ для организации сравнить возможности разных поставщиков - это предложить им участвовать в тендере и обратиться с просьбой подготовить свои предложения. Ниже содержатся рекомендации по составлению так называемого запроса на предложения (Request For Proposals - RFP) по реализации PKI [103], который обычно включает следующие разделы:

1Краткая характеристика.

2Введение

3Область применения проекта

4 Управление проектом .

5 Архитектура безопасности .

6Политика безопасности.

7Стандарты и руководства по проектированию безопасности

8 Операционная работа УЦ .

9Аудит

10 Обучение персонала .

11Требования к консультантам.

12Информация о реализованных поставщиком проектах.

Краткая характеристика задает общее направление и цель подготовки предложений, отражает даты крайних сроков представления документов и общую контактную информацию. Этот раздел позволяет поставщику быстро оценить, какие ресурсы необходимы для работы над проектом. При планировании стоимости и сроков доставки следует учитывать, что сокращение затрат времени не всегда сокращает расходы. Фактические расходы на некоторые виды деятельности (например, приобретение программного обеспечения и техническая поддержка) на практике обычно превышают запланированные.

Во введении приводятся самые общие сведения о масштабе и структуре организации. Эта информация особенно важна, если организация территориально распределена и имеет филиалы. Если филиалы расположены в разных странах, то приходится учитывать возможные отличия в законодательстве. Критически важной является информация о сфере деятельности организации: некоторые отрасли имеют специфические особенности (в том числе и правовые), которые должны приниматься во внимание при проектировании PKI. Более детальное описание организации и ее задач способствует лучшему пониманию поставщиком назначения и функций корпоративной PKI и более точной оценке проекта.

Этот раздел описывает общие параметры проекта, включая время, необходимое для проектирования, количество потенциальных пользователей и основные приложения, поддерживаемые PKI. На основании этой информации поставщик может подготовить более точные предложения [107].

Желательно, чтобы в запросе на предложения были перечислены точные суммы и сроки выполнения проекта. При планировании следует допускать некоторое превышение бюджета и сроков; обычно хорошим показателем считается превышение на 20-30% стоимости и времени.

Одни поставщики используют модель оплаты в зависимости от количества рабочих мест, а другие - сертификатов. Модель оплаты в зависимости от количества сертификатов подразумевает, что каждый сертификат, который может потребоваться конечному субъекту (VPN, шифрование сообщений электронной почты, экстрасети), будет увеличивать стоимость. Эта модель обычно выбирается удостоверяющими центрами, которые предоставляют услуги аутсорсинга . Инсорсинговые модели чаще всего устанавливают фиксированную плату и расходы для каждого рабочего места, потому что в большинстве таких моделей требуется поддержка клиентского компонента на каждом настольном компьютере.

Для сравнения организации следует в запросе на предложения предоставлять информацию и формулировать требования к поставщикам, исходя из двух возможных сценариев.

Этот раздел запроса на предложения объясняет требования к управлению проектом . В масштабных или сложных проектах может потребоваться менеджер проекта со стороны поставщика. В договоре между поставщиком и заказчиком необходимо зафиксировать, как будут учитываться возможные изменения в процедурах управления после подписания договора. Поскольку большинство предложений базируется на определенных допущениях, важно, чтобы и поставщик и организация имели гарантии, что если произойдут изменения, то это отразится на стоимости и времени выполнения проекта. Необходимо, чтобы в предложениях поставщика описывалась методология проекта и указывались планируемые сроки этапов внедрения решения, эта информация позволяет оценить опыт поставщика.