Козлова обо всем

Инженер или системный аналитик? В последнее время провожу много собеседований и заметила: есть кандидаты с небольшим опытом работы СА, но со значительным инженерным опытом. Они свободно декомпозируют задачи, задают "правильные" вопросы, легко находят зависимости и видят граничные случаи. А есть кандидаты с хорошим опытом именно системного анализа. В резюме есть все ключевые слова, но не хватает именно системного подхода. И это слабо зависит от количества лет, проработанных системным аналитиком. Первых можно быстро обучить инструментам СА, а вторых... уверена, что можно научить системности, но это сложнее и дольше. Поэтому я часто голосую за инженеров. Ну или это особенности нашей предметной области сетевой безопасности.

Игровое моделирование угроз Пару недель назад на ProIT Fest в СПБ проводила карточную игру Elevation of Privilege. Необычно ламповая конференция в уютном пространстве. На игре внезапно оказались 3 опытных аналитика (Татьяна, привет!) из разных ИБ-вендоров и 2 разработчика, которые никогда не моделировали угрозы. Мы им так понятно все объяснили, что выигрывали только разработчики. Приглашайте, поиграем. Или берите перевод и распечатывайте. А здесь можно скачать оригинал.

Когда старшему ребенку было 10-12 лет, у него был друг. И они с эти другом постоянно жаловались друг на друга. Вначале я пыталась разобраться кто прав-кто виноват. Но потом поняла, что это бесполезно. И придумала такое правило: "я буду каждого слушать внимательно, но только после 10 отжиманий." Удивительно, но они его сразу приняли. Подбегали, отжимались, чтобы опередить другого с сообщением... а говорить оказывалось нечего. Удивленно смотрели друг на друга и убегали играть дальше. С одной стороны жаль, что для взрослых, опытных людей такое правило не внедрить. А с другой стороны, есть и другие методы. Я убираю свою эмоциональную включенность и работаю с фактами. Надеюсь, сработает.

Сократ и баги Месяц назад вписалась в обучение-исследование Наташи Бабаевой "Ну ИИ как теперь учить?" Поставила себе задачу разработать внутренний курс для обучения системных аналитиков в сетевой безопасности. И попала в группу к Сократистам, потому что хотелось получить методы обучения через самостоятельное мышление. Составила план из 6 пунктов и получила список источников, которые описывают именно сократовские методы. Ни одной знакомой фамилии в этом списке не было, потому что для меня методы обучения это какие-то высокие материи. Хотя и ставшие интересными после преподавания в Systems.Education. Потом на 3 недели отвлеклась на другие задачи, а сегодня курс заканчивается. Вчера срочно стала делать задания и успела сделать только одно - с помощью Claude Code поглубже исследовала первый пункт из 6: Погружение в предметную область. Когда я только написала план, у меня не было конкретных идей, как это сделать. Предметная область в сетевой безопасности очень широкая. Потянешь в одном месте - заденешь десять. И продукты - легаси с кучей мало кому известных ограничений. Для первого пункта Клод предложил разобраться с методами LANGDELL (1870) Harvard Law School и HBS (1920) Harvard Business School. Запросила реинжинириг, получила результаты, читаю... И что-то мне это напоминает... Всего два дня назад мы решили, что хорошо бы устроить в одной группе аналитиков недельные дежурства по багам, потому что работа с багами - это отличнейший способ погружения в предметную область. Проходила на своем опыте и похожих продуктах. И все мои размышления о том, как это организовать, какую пользу мы получим и какие минусы могут быть, на 80% укладывается в текст от Клода и даже усиливает исторические методы. Какая-то телепатия. Судите сами.

Analyst days - 22 Две недели назад выступила на конференции с докладом "Аудит отдела системного анализа". Почему взяла эту тему? Год назад я поменяла должность вместе с компанией и параллельно училась в Стратоплане на курсе "Руководитель отдела". Тема аудита отдела была одной из первых и я ее сразу применила. Конечно, теорию я переложила на практику с учетом специфики нашей работы. Считаю, что и аудит мне провести удалось и результаты оказались полезными. Неделю назад у меня расширилась ответственность и я повторила свои же рекомендации из доклада. Снова получила полезные результаты. Конечно, аудит можно проводить на разных уровнях. Я провожу на базовом - ознакомительном. Для моих задач и ресурсов это оптимально. Результаты собирала в ексель файл: 1 лист - 1 стейкхолдер. Хотя я и старалась, чтобы каждый результат был структурирован, но получилось не очень. Результаты обрабатывала вручную и это было долго, а в будущем буду использовать ИИ с запросами, подобными приведенному. В комментариях: доклад, опросники для стейкхолдеров и сотрудников, пример промпта для обработки результатов.

Как учить аналитиков? Разные компании выбирают разные варианты: 1. Кто-то отправляет целыми группами в школы. 2. Кто-то организовывает школы у себя в компании, привлекая более опытных сотрудников 3. Кто-то нанимает одного преподавателя и он выстраивает обучение под сотрудников. 4. Кто-то десантом из опытных сотрудников проходит по разным курсам, агрегирует знания и применяет к своим сотрудникам. Все варианты хороши. Первые два на мой взгляд самые дорогие и не каждая компания себе это позволяет. Мне ближе последний вариант. К нему буду стремиться. А пока я в отделе не набрала энтузиастов, буду копать сама. Внедрять практики, которых уже набралась на своих обучениях и на обучениях, которые провожу. И в ближайший месяц буду "копать обучение" вместе с Наташей Бабаевой. У ней собралась очень крутая группа опытных в обучении энтузиастов. Но всем хочется новых ИИ-подходов. Мне тоже.

Дорога в Лавру Прошла и отчитываюсь. Сначала хотела идти с остановками на ночлег по дороге, но потом планы поменялись и я каждый день ездила на ночь домой, а на следующий день возвращалась на тропу. Станции электрички выбирала ближе к пути, поэтому мои этапы не всегда совпадают с этапами, которые предлагают путеводители. Километраж указываю примерный, без дороги до электрички и обратно. Сама дорога и лес красивые, но лучше идти не сразу после весны, потому что дорога сырая и много бурелома. Энтузиасты в начале мая проведут субботник, бурелом уберут. Дорога высохнет и будет отлично. Группа в телеграмме: https://t.me/dorogavlavru Карта маршрута: https://t.me/dorogavlavru/2515 Еду и воду лучше брать с собой. Кафе я встретила только в одном месте, магазины тоже редко встречаются. Я шла одна, мне норм, потому что я в детстве жила возле леса и много ходила по лесу. Боялась диких собак, в лесу их не было. Только в Сергиевом посаде показалось, что в одном безлюдном районе бегают передо мной. Поэтому изменила дорогу на менее красивую, более городскую и спокойно дошла. 1 день План по маршруту: Красная площадь - Мытищи Реальность: От Иверской часовни у входа на Красную площадь до квартала Тайнинское в Мытищах. Очень понравился участок от Свиблово до МКАД по обустроенной набережной Яузы. Заблудиться невозможно, везде стоят указатели. Я просто шла, переходя с правого берега на левый.Перешла под МКАДом до Тайнинского и ушла на ст. Перловская. ~ 24 км по маршруту.В этот день шла и постоянно в уме считала скорость и смотрела в карту.С непривычки идти очень устала. 2 день План по маршруту: Мытищи - Пушкино Реальность: Приехала на ст. Перловская, дошла до Тайнинского и пошла по маршруту. Ушла на ст. Мамонтовская. ~24 км. Второй день тоже был тяжелый. Постоянно смотрела, сколько прошла - сколько осталось. 3 день План по маршруту: Пушкино - Софрино Реальность: Приехала на Мамонтовскую и вернулась на маршрут. В этот день втянулась в дорогу и идти стало легко. На карту почти не смотрела, начала смотреть на отметки. В лесу отметки на деревьях очень часто и пропустить их не возможно. Мозг успокоился, стала чувствовать расстояние и разговаривать с деревьями. С третьего дня поймала поток и просто шла, почти без мыслей, наслаждаясь дорогой. Это был самый короткий день, ~20 км. Стоило пройти побольше, но устала от постоянного преодоления бурелома и ушла на ст. Зеленоградская. 4 день План по маршруту: Софрино - Хотьково Реальность: Приехала на Зеленоградскую и вернулась на маршрут. Торопилась пройти задуманное до станции Хотьково или хотя бы Абрамцево, прошла около 30 км, вышла в 19:00+ из леса на поляну, тут отключился интернет и я потеряла маршрут, п. ч. на поляне отметок нет. Покружила-покружила, зашла в населенный пункт и пришлось немного вернуться обратно до станции Радонеж. План не выполнила и очень устала, дорога часто была грязная. 5 день План по маршруту: Хотьково - Троице-Сергиева Лавра Реальность: в пятый день вышла на маршрут поздно и поэтому на электричке проехала сразу до Хотьково, то есть немного срезала вчерашний отрезок. Часть дороги была чистая, часть очень грязная и добавились горки. До Сергиева посада дошла засветло, а до Лавры уже в сумерках, машинально передвигая ноги. ~30 км. Вознаграждением был красивый закат на прудах возле Лавры. И почему то получилось ~130 км вместо 120 без учета переходов до электрички и обратно. Наверное, из-за обхода буреломов))

Друзья, поздравляю вас с праздником! День - как итог невероятного объединения духа, преодоления и одновременно с этим человечности. О таком невозможно забыть. С Днем победы!

Сегодня в день труда случайно посмотрела фильм о российском предпринимателе Владимире Седове. Это удивительный человек. Вот несколько фактов о его деятельности: 1. После пожара на производстве Аскона в Коврове американский топ-менеджер поручился своим имуществом, чтобы Владимиру поставили все оборудование для нового производства. И за 4 месяца производство запустили. 2. В Коврове построили частную медклинику с супер оборудованием и проф специалистами. Пример: поступила пожилая женщина с переломом шейки бедра, у ней оказался ещё и инсульт. Сразу сделали несколько операций и она через неделю ушла своими ногами из больницы. 3. Рядом с Ковровым построили малый город Доброград. И вместо того, чтобы пустить розничные продуктовые магазины, Владимир организовывает собственное производство продуктов. Предварительно получил 4-х дневную консультацию бывшего министра сельхоз хозяйства США. https://www.youtube.com/watch?v=QmbJ_aaD90I Очень рекомендую, вдохновляющие видео

Моделирование угроз и LLM На #MergeConf рассказывала про моделирование угроз при разработке ПО с помощью методики STRIDE. И добавила свой субъективный взгляд, на каком этапе моделирования стоит использовать LLM, а на каком лучше ручками. Презентация в комментариях.

Дорога в Лавру Я люблю дорогу. Могу опаздывать на самолёты и забывать адреса. Но это не важно, потому что после начала движения события складываются сами собой. Прошлой осенью начали идти по Ликийской тропе и следующей продолжим. А в майские дни разомнемся по равнине. Дойдем с ребёнком до Лавры. Примерно 120 км, 5 дней и 4 остановки: Тайнинское, Пушкино, Софрино, Хотьково и Сергиев Посад. Присоединяйтесь!

Конференция #MergeConf в Казани Я туда попала неожиданно. Знакомая позвала за компанию, а сама передумала участвовать. Но меня уже было не остановить. Тем более, что я никогда не была в Казани. Конференция проходила в Иннополисе, современном университетском городке. Это очень необычное место. Широкие улицы. Архитектура из стекла и бетона. Беспилотные такси и роботы-официанты. Простор, ветер и перспективные виды на холмы и реку. Очень мало людей за границами конференции. А внутри все наоборот: много людей и активностей. Доклады про ускорение: как быстрее писать код, быстрее думать, быстрее делать всё с помощью ИИ. Все вместе создало удивительную атмосферу. Такую, что я почувствовала силу замедления и человеческого общения. И ясность, что это самое важное, важнее ускорений и эффективности.

Круглый стол "Аналитик и AI: без страхов и пренебрежения" на #MergeConf Иннополис Было заявлено 4 темы: 1. Что можно безопасно делегировать AI, а что должно оставаться зоной ответственности аналитика. 2. Как Middle и Senior аналитикам сохранять и развивать экспертность, если часть интеллектуальной работы берет на себя AI? 3. Как обучать Junior-специалистов, если многие базовые задачи уже автоматизированы? 4. Где проходит граница между полезной помощью AI и его избыточным влиянием на решения и жизнь людей? Круглый стол был очень горячий. Несмотря на попытки ведущей и спикеров держаться заданных вопросов, дискуссия уходила в разные стороны. У всех было своё мнение: и у спикеров и у слушателей. Поэтому расскажу общими итогами. Бесспорно для всех: ▪️LLM меняет процесс разработки, роли участников и границы между ролями. Как в итоге изменится процесс, никому не известно. Время покажет. ▪️LLM - помощник, Человек - главный и ответственный. Сейчас так. ▪️Джунам не повезло там, где сейчас сотрудники любых ролей активно применяют ИИ. Они джунов заменили на ИИ. Сейчас так. ▪️Контроль за ИИ нужен и все ответственные сотрудники его делают. ▪️Есть риск, что человеку перехочется дисциплинированно контролировать ИИ и валидировать результаты. Тогда человек перестанет развиваться. ▪️У каждого есть часть задач, которые можно передать ИИ. Спорные моменты: ▪️Часть участников свободно выполняет всю или бОльшую часть задач аналитика через ИИ. В основном это исследования или рутинная шаблонная работа. В основном там, где легко проверить результат или цена ошибки не очень велика. Они говорят о кратном ускорении. ▪️Часть участников и я в том числе не отдают основные задачи аналитика ИИ, п. ч. задачи - не рутинные, контекст - большой, промпты писать и выверять долго, результаты проверять сложно. Легче самому сделать. Пока так. ▪️Много споров было про то, как мидлам и синьорам развивать свою экспертность. Тут мы очень много спорили, поэтому тезисно: - есть возможность быстро развиваться с помощью LLM, нужно ей пользоваться и участники КС пользуются. - у синьоров появится новая обязанность: выявлять в процессах анализа те задачи, которые можно передать ИИ, разрабатывать методику работы через ИИ и оценивать эффективность выполнения таких задач с ИИ.

В эту субботу пройдет Аналитический марафон 17. Программа, как всегда, насыщенная. В своей работе не все применяю, но обязательно сходила бы на половину докладов: 🔹 Максим Смирнов — «Навыки архитектурных решений» Поговорим о фундаменте: как системно подходить к принятию решений, которые не придется переделывать через полгода. 🔹 Бурмистров Владимир — «Privacy by Design для аналитика» Проектирование систем с учетом конфиденциальности данных. Как аналитику учитывать требования безопасности с самого начала проектирования. 🔹 Шутова Елена — «От монолога к модели» Как с помощью правильных вопросов и методологии Event Storming избежать бесконечных правок и сразу строить то, что нужно бизнесу. 🔹 Калинина Софья — «От промпта к прототипу» Валидация требований на ранних этапах. Как современные инструменты помогают проверить гипотезы еще до написания первой строчки кода. Остальная программа по ссылке. Кто еще не успел купить билет, но планирует, держите промокод от организаторов на скидку 20% на полный доступ - NK20_AM17 Регистрация здесь ➡️ https://clck.ru/3T8cvC

Анализ нормативных документов Один из источников знаний о предметной области. Но читать их не самое приятное занятие. Они написаны специфическим языком и имеют разную структуру. Чтобы разобраться в них, я обычно готовлю свежую голову и делаю несколько подходов. В принципе можно раскладывать эти документы на отдельные элементы: субъекты-объекты и связи, бизнес-правила и требования с помощью LLM. Но это тоже требует ресурсов. Например, я пыталась разложить закон 63 об электронной подписи. Пыталась целый час, субъекты-объекты и ещё что-то выделила и тут мое свободное время закончилось)). Хорошо, что Алина Богачева и Денис Бесков на основе этого закона сделали методику разбора любых юридических документов с помощью LLM. В воскресенье будут проводить мастер-класс. Я пойду и вам советую. [Мастер-Класс] Выявление требований из законодательства с помощью ИИ

17-18 апреля в Казани проходит конференция Merge. Буду выступать с докладом. Моделирование угроз важный этап при разработке ПО. И первые несколько раз он кажется сложным. А после некоторого опыта этот процесс оказывается не таким уж и сложным. Но в любом случае он довольно трудозатратный. Поэтому вместо командного мозгового штурма или в помощь ему можно подключать ИИ. Вдруг кто-то из вас будет в Казани или рядом или захочет приехать)) Приглашаю. Промокод KOZLOVA даст 20% скидки. Программа конференции очень насыщенная, а Казань - город красивый и вкусный

Всем привет! Сегодня полезный перепост. https://t.me/m_cult_members/477

Сегодня закончила личный локальный марафон по ведению курсов. Начала в январе с "Основ разработки требований к информационной безопасности ИТ-систем", продолжила курсом "Бизнес-анализ + ИИ". Все курсы авторские, а я просто ведущий. В чем-то веду хорошо, в чем-то не очень. Но то, что программы - авторские, даёт дополнительную порцию для волнения: а донесла ли я до слушателей идеи авторов. Это бодрит, а такое мне нравится. Следующий поток курса "Бизнес-анализ + ИИ" будет в мае, а 27.03 приглашаю вас на Вебинар: Авторская методика разработки требований к ИТ-решению от школы Systems.Education Приходите, буду раскрывать её суть и пользу.

Выгорание Кажется, что на эту тему я не писала, потому что выгорания удается избегать. Удается ходить по краю, но свою старую историю расскажу. Когда у меня была своя компания по разработке заказного ПО, я не умела обосновывать нормально бюджеты на разработку и экономила на всем, чтобы хватило денег на зарплату. Посчитать бюджет на первичную разработку было более-менее понятно как. И деньги на расходы были. Потом мы занялись развитием своих продуктов. А вот с расчетом новых разработок-доработок-регрессионного тестирования случился провал. Денег на тестировщиков не хватало и я стала тестировать сама. Ночами. Потому что днем я общалась с заказчиками, писала ТЗ и делала логику в БД. Хватило меня на несколько месяцев, а потом я сломалась. Примерно полгода я была сломанная и зависала на самых простых операциях. Например, я не понимала в каком порядке заварить чай: сначала пакетик в кружку положить или сначала воду налить? Долго думала. Через время восстановилась и поняла банальное: нужно соблюдать режим. А если уж вы выгорели, не обвиняйте себя. Отдыхайте, хорошо кушайте, пейте витамины по назначению врача и еще сильнее соблюдайте режим. И сократите количество входящей информации.