Ежедневно мы получаем доступ к различным системам и проходим аутентификацию, зачастую даже не задумываясь об этом. Тем не менее, в целях вашей личной информационной безопасности и сохранности персональных данных стоит уделить этому процессу особое внимание. Расскажем о том, почему это важно, и что такое двухфакторная аутентификация.
Что такое аутентификация
Аутентификация - это часть трехступенчатого процесса получения доступа к каким-либо данным в информационной системе. В ее процессе сначала происходит идентификация, в результате которой субъект, желающий получить доступ, распознается по личному идентификатору. На этом этапе вводится, например, логин, фамилия, имя, номер телефона, т.е. некие идентификаторы, позволяющие системе находить вас в базе данных.
Аутентификация и ее факторы
Далее информационная система, к которой пользователь хочет получить доступ, уточняет: может ли пользователь доказать, что действительно он? Это и есть аутентификация. Эта часть процедуры выполняется с помощью сравнения данных, которые вы предоставляете, с теми, которые сохранены в базе данных соответственно идентификатору (например, пароль).
Это могут быть разные сведения – факторы аутентификации. Выделяют 3 фактора:
- нечто, известное лишь вам (знание);
- нечто, чем обладаете только вы (носитель информации: физический объект, карта, личная печать, ключ и др.);
- нечто, что является вашей физической особенностью (биометрические данные).
Итак, в зависимости от условий системы, это могут быть разные факторы: биометрические данные, ПИН-коды, и обычные пароли, а также устройства, имеющиеся у пользователя. Далее, если идентификация и аутентификация прошли успешно, процесс получения доступа к системе завершается авторизацией. Пользователь авторизован, он получил доступ.
Каковы риски при однофакторной аутентификации?
Вернемся на этап, когда система запрашивает доказательства, что вы – это вы. Если ей нужен только один способ подтверждения (фактор), то это – однофакторная аутентификация.
Например, самым привычным форматом в части аутентификации для нас, пожалуй, является пароль. Вы вводите пароль – и система вас авторизует.
Однако, с точки зрения информационной безопасности, такой способ содержит риски:
- если мы формируем простой пароль, недоброжелателю проще его подобрать и пройти аутентификацию за вас.
- если мы формируем сложный пароль, риск аутентификации недоброжелателем снижается. Но, поскольку такое сочетание символов сложнее запомнить, мы можем его куда-либо записать, а далее, по беспечности, также оказаться в ситуации, когда доступ к паролю может получить злоумышленник.
В целом, в процессе аутентификации не рекомендуется ограничиваться паролем: кроме того, что при написании его может кто-то подсмотреть, он может быть перехвачен программами в момент ввода.
Мы, как пользователи, часто получаем доступ к разным базам данных и системам. Возможно, защитить доступ к каким-то из них не так уж и важно. Скажем, какой-то развлекательный портал не содержит стратегически важной информации. А есть такие данные, защита которых имеет весомое значение. Например, данные, обеспечивающие бизнес-процессы системы: ИТ-инфраструктура компании, учетные записи сотрудников. Здесь защита должна быть комплексной. В таком случае можно применить двухфакторную аутентификацию (2ФА): это способ, при котором вы подтверждаете свою личность с помощью сочетания двух факторов.
Ситуации могут быть разные. Допустим, злоумышленник украл корпоративный ноутбук, или сотрудник работает удаленно, при этом защищая свой компьютер самостоятельно, что упрощает процедуру взлома. Чтобы снизить риск нежелательного доступа и обезопасить себя или бизнес, нужно добавить дополнительный фактор аутентификации.
Двухфакторная аутентификация с использованием электронной подписи
Биометрические факторы, конечно, интересны для рассмотрения, но это отдельная тема, поэтому остановимся на двухфакторной аутентификации с помощью фактора обладания неким физическим объектом в сочетании с фактором знания. Физическим объектом может быть токен или смарт-карта – такие продукты защищены от несанкционированного доступа и копирования. Устройство нужно подключить к системе и ввести PIN-код. Тогда у пользователя будет два фактора аутентификации: первый – обладание конкретным объектом, и второй – знание кода доступа.
Если допустить пропажу устройства при таких условиях, то недоброжелатель, даже завладев им, не сможет получить доступ к сети, ведь он не знает PIN-код. Например, Рутокен обладает ограниченным количеством ввода неправильного PIN-кода, после десяти попыток токен блокируется автоматически. Если Рутокен будет украден или утерян, то владелец своевременно заметит это, уведомит администратора, и использование устройства будет заблокировано. Подробнее о действиях при компрометации ключевых носителей мы рассказывали в статье Что такое компрометация ключа ЭП и почему она происходит.
Строгая двухфакторная аутентификация с использованием электронной подписи
Для осуществления строгой двухфакторной аутентификации с использованием электронной подписи в организации должны присутствовать доменная инфраструктура и инфраструктура открытых ключей (PKI).
В таком случае, каждому сотруднику компании выдается индивидуальное устройство (токен или смарт-карта), на которых должны быть созданы ключи электронной подписи и сертификат формата Х509. Закрытый ключ создается непосредственно в защищенной памяти устройства и не может быть извлечен и скопирован на другое. Рутокен заменяет ввод логина-пароля на предъявление электронной подписи.
Так, сочетание двух факторов аутентификации защитит учетные записи надежнее, чем один. Используя специальные устройства, вы повышаете безопасность своих учетных записей.
В предыдущих статьях мы подробно рассказали, что такое ключевой носитель, чем отличаются активный и пассивный токены, и какие формы ключевых носителей существуют. Обладание токеном или смарт-картой для электронной подписи позволяет юридическим и физическим лицам обеспечить информационную безопасность при решении целого пула разнообразных задач. В этом материале детально остановимся на том, какие задачи решают ключевые носители помимо самых распространенных кейсов: сдачи налоговой отчетности и участия в тендерах.
Зачем нужны токены (ключевые носители)?
Для хранения ключей и сертификатов электронной подписи были разработаны специальные защищенные устройства – ключевые носители. Ключевые носители вам понадобятся везде, где для более высокого уровня безопасности нужно использовать двухфакторную аутентификацию взамен связки логин-пароль. Самым распространенным ключевым носителем является токен, на втором месте по популярности - смарт-карта. Подробно о разнице форм-факторов мы рассказали в материале Чем отличаются смарт-карты и токены. Какой тип устройств для какой задачи подходит?
Таким образом, ключевые носители нужны в самых различных областях деятельности и бизнес-процессах: от организации безопасной удаленной работы до получения целого ряда услуг на портале Госуслуги. Перейдем к конкретике.
Какие задачи решают ключевые носители?
Сначала повторим главное, что нужно помнить о ключевых носителях:
1. Это защищенное устройство для хранения ключей и сертификатов электронной подписи (как квалифицированной, так и неквалифицированной), секретных ключей и идентификаторов.
2. Ключевой носитель может быть выпущен в форм-факторе USB-токена (это такие модели, как Рутокен ЭЦП 2.0 2100, Рутокен Lite, Рутокен ЭЦП 3.0 3100 NFC) или смарт-карты (Рутокен ЭЦП 2.0 2100 с RFID-меткой, Рутокен ЭЦП 3.0 3200 NFC). Токены в свою очередь могут иметь как стандартный разъем USB Type-A, так и более современные варианты разъема - Type-C.
3. Некоторые модели ключевых носителей (Рутокен Lite) требуют дополнительной установки специальных программ – криптопровайдеров, которые формируют ключи электронной подписи и записывают их в память токена, а также обеспечивают работу с ключевыми контейнерами.
Функциональность ключевых носителей, о которых вы не знали
С каждым годом сфера применения электронной подписи значительно расширяется. Давайте поговорим о том, зачем нужны токены, в каких ситуациях электронная подпись может оказаться полезной, и разберем ТОП-3 ситуации, в которых ключевой носитель решает вопросы защиты информации физических лиц и предотвращения мошеннических действий.
Кейс №1: Организация безопасного удаленного рабочего места
Первый и важный кейс - обеспечение безопасности удаленного рабочего места. После начала эпидемии COVID-19 многие компании переведи сотрудников в режим удаленной работы. Эта тенденция сохраняется и сегодня. По данным опроса, проведенного сервисом «Работа.ру», доля россиян, работающих только на удаленке, к июлю 2021 года составляла 11%. Еще 6% работали в гибридном режиме.
По данным “Ростелеком-Солар” 90% корпоративных утечек критической информации происходит по невнимательности руководителей среднего звена. Наиболее уязвимые каналы утечек: личная электронная почта, внешние облачные хранилища и соцсети (51%). Утечки несут риски как для компаний, так и для ее работников. Организация безопасной работы удаленного офиса стала вызовом для бизнеса.
Использование двухфакторной аутентификации с помощью токенов для доступа к учетной записи в операционной системе, удаленным серверам и хранилищам помогает предотвратить кражу логинов и паролей и несанкционированный доступ к корпоративной сети. Токены и смарт-карты также дают возможность подписывать электронной подписью и шифровать почтовые сообщения.
Двухфакторная аутентификация — это самый надежный способ аутентификации, в процессе которого используются факторы двух типов: наличие физического устройства - токена Рутокен и знание PIN-кода. Даже подсмотрев PIN-код, злоумышленнику нужно предъявить физическое устройство, кража которого всегда быстро обнаруживается.
Лучший выбор продуктов для организации безопасного рабочего места
• USB-токены и смарт-карты Рутокен ЭЦП 2.0 2100
• USB-токены и смарт-карты Рутокен ЭЦП 3.0 3100 NFC
• USB-токены Рутокен ЭЦП 2.0 Flash
Кейс №2: Обеспечение безопасности дистанционного банковского обслуживания (ДБО) и защита мобильного банка
В условиях постпандемийного мира удаленные сервисы стали обыденностью, а удаленная работа сотрудников новой «нормальностью». При этой трансформации вопросам информационной безопасности уделялось ничтожно мало внимания, что сделало уязвимыми для кибермошенников системы дистанционного банковского обслуживания (ДБО). Например, в момент совершения транзакции в мобильном банке связка SMS-код (push-уведомление) - подтверждение транзакции может быть в любой момент скомпрометирована. Гораздо безопаснее будет проводить подобные операции с использованием устройств для многофакторной аутентификации. Например, строгую двухфакторную аутентификацию и подтверждение транзакций с помощью электронной подписи обеспечивают USB-токены и смарт-карты Рутокен с контактным и бесконтактным интерфейсами для работы на мобильных устройствах.
Лучший выбор продуктов для обеспечения безопасности ДБО и защиты мобильного банка:
• USB-токены и смарт-карты Рутокен ЭЦП 2.0 2100
• USB-токены и смарт-карты Рутокен ЭЦП 3.0 3100 NFC
Кейс 3: Безопасное взаимодействие с государственными информационными сервисами
Список государственных услуг, требующих наличие у получателя услуги электронной подписи, растет с каждым годом. Наличие квалифицированной электронной подписи позволит вам пользоваться всеми услугами портала без каких-либо проблем. Ведь защита вашего личного кабинета, а точнее большого массива ваших персональных данных, от киберпреступников сегодня как никогда актуальна.
Опросы по тематике кибербезопасности показывают, что большинство пользователей не применяют даже сложных или стойких паролей, а ограничиваются обычным сочетанием слов и цифр. Взломать такой пароль не составляет большого труда. И связка логин-пароль может быть скомпрометирована в любой момент, и вы станете добычей киберпреступников, даже не узнав об этом.
Правильным решением в этой ситуации станет применении двухфакторной аутентификации для входа в ваш личный кабинет на портале Госуслуг. Сертифицированные ФСТЭК и ФСБ USB-токены и смарт-карты Рутокен помогают защищать от злоумышленников доступ в личный кабинет, а также позволяют выполнять усиленную квалифицированную электронную подпись для подписания юридически значимых документов. В случае, если физическое устройство - токен или смарт-карта Рутокен будет украдена или утеряна, владелец своевременно сможет заметить пропажу, уведомит УЦ и использование устройства будет заблокировано.
Таким образом, ключевые носители Рутокен выступают в данном случае как более надежный инструмент аутентификации в государственных информационных системах, чем утратившая всякое доверие связка логин-пароль.
Лучший выбор продуктов для обеспечения защиты работы в ГИС:
• USB-токены и смарт-карты Рутокен ЭЦП 2.0 2100
• USB-токены Рутокен ЭЦП 2.0 Flash
• USB-токены Рутокен Lite
Как видно из вышеперечисленного, сфера полезного действия ключевых носителей намного шире, чем привычные нам процессы сдачи отчетности в налоговую (о том, как получить ЭП мы рассказали отдельно). Применяйте знания о кибербезопасности, чтобы обезопасить свои данные и предупредить мошеннические атаки.
Как быстро получить квалифицированный сертификат ключа проверки электронной подписи, мы писали в предыдущем посте. Давайте теперь поговорим о том, какой ключевой носитель выбрать. В этот раз сравним два форм-фактора – USB-токены и смарт-карты для электронной подписи.
Токены и смарт-карты - в чем отличие?
Токен – это не обычная флешка, а защищенный PIN-кодом специализированный носитель для безопасного хранения контейнера с сертификатом и ключом электронной подписи. Такие специализированные носители бывают как "базового уровня" (пассивные), так и активные, криптографические. Более подробно о пассивных и активных токенах мы писали тут.
Токены выпускаются в нескольких фактор-формах:
USB Type-A – токен со стандартным разъемом флеш-карты (например, Рутокен Lite и Рутокен ЭЦП 2.0 2100);
USB Type-A micro – токен в миниатюрном исполнении. Его основное отличие от форм-фактора;
USB Type-A - это размер. В качестве примера можно привести модель Рутокен Lite micrо (требует установки программы-криптопровайдера) или Рутокен ЭЦП 2.0 2100 micro (является самостоятельным СКЗИ). Более подробно об отличиях этих двух моделей мы рассказали здесь. Такой токен отлично подойдет тем, кто преимущественно работает на ноутбуках или небольших мобильных кассах, ведь он выступает за пределы разъема всего на 5 мм.
USB Type-C – это улучшенный вариант форм-фактора Type-A, расширяющий возможности применения токенов на современных устройствах. Без переходников или USB-хабов они подсоединяются к компьютерам iMac и Mac mini последнего поколения, ноутбукам MacBook Pro, MacBook Air и MacBook, а также к планшетам, смартфонам и ноутбукам иных производителей, оснащенных этим разъемом (кроме Apple iPad Pro). Достойным выбором в этой категории будет модель Рутокен ЭЦП 2.0 2100 Type-С. Этот ключевой носитель обеспечивает повышенный уровень безопасности ваших данных, имеет сертификаты ФСТЭК и ФСБ и является СКЗИ. Для некоторых сценариях его использования, таких как работа в ЛК ИП и ЮЛ ФНС на ОС Windows, Честный знак, ЕГАИС, OFD, Госуслуги, Диадок, не нужно устанавливать дополнительные программы-криптопровайдеры. Рутокен ЭЦП 2.0 2100 Type-С (как и его аналог Рутокен ЭЦП 2.0 2100 Type-А) подходит для хранения сертификата и ключа подписи и подписания документов усиленной квалифицированной электронной подписью, а также для организации защиты доступа с помощью двухфакторной аутентификации.
Смарт-карты для электронной подписи
Что касается ключевых носителей в формате смарт-карт, то эти устройства также обладают встроенным защищенным микроконтроллером, имеют аналогичную с USB-токеном функциональность и могут выступать полноценным СКЗИ и средством электронной подписи. Некоторым пользователям удобен такой формат носителя, его можно держать в бумажнике, и они предпочитают его токенам. Примером тут может служить смарт-карта Рутокен ЭЦП 2.0 2100 с поддержкой новых российских криптографических стандартов, сертифицированная ФСТЭК и ФСБ. Работа со смарт-картами предполагает использование специального считывающего устройства - ридера, обеспечивающего связь между чипом карты и компьютером.
Смарт-карты и токены для бесконтактного взаимодействия с мобильными устройства задействуют для связи технологию NFC. Однако их масштабное использование возможно сегодня только в рамках корпоративных проектов. Остальные смогут повсеместно применять их для электронной подписи и сдачи налоговой отчетности со смартфонов в будущем, когда все популярные сервисы для электронного документооборота разработают мобильные приложения с поддержкой электронной подписи, реализуемой по каналу NFC.
Также отличительной чертой смарт-карт является то, что они могут быть использованы как часть системы физической безопасности предприятия. Смарт-карта может служить универсальным электронным удостоверением сотрудника, выполнять роль хранилища всей необходимой информации о нем (фото, должность, образец подписи, срок действия удостоверения и т.д.). Также они могут быть оснащены RFID-меткой для использования в системах контроля и управления доступом (СКУД). Сочетание в одной смарт-карте персонального средства аутентификации и RFID-метки без лишних затрат и практически полностью решает проблему вторжений злоумышленников по причине незаблокированных компьютеров и сессий.
Как видим, смарт-карты имеют несколько более широкий спектр действия, чем USB-токены, благодаря возможности нанесения персональной информации и встраивания дополнительных технологических решений (RFID-метки).
Что выбрать – токен или смарт-карту?
Чтобы правильно подобрать форм-фактор ключевого носителя, необходимо в первую очередь понять, какие задачи перед вами стоят.
Если вам нужен самый простой способ защиты закрытого ключа электронной подписи от копирования – ваш выбор, скорее всего, падёт на Рутокен Lite или Рутокен Lite micrо.
Для работы с квалифицированной электронной подписью, а также для работы в ЕГАИС или других государственных системах учета и маркировки подойдут Рутокен ЭЦП 2.0 2100 (разъем Type-А) или Рутокен ЭЦП 2.0 2100 Type-С.
Напомним, что и на Рутокен Lite, и на Рутокен ЭЦП 2.0 можно хранить ключи электронной подписи и сертификаты. Однако, Рутокен Lite – это пассивный носитель, и для работы с ним всегда нужен программный криптопровайдер. Также у данной модели токена отсутствует аппаратная защита закрытого ключа электронной подписи от копирования. В свою очередь, Рутокен ЭЦП 2.0 2100 – это активный носитель, который может работать без программного провайдера. Неизвлекаемые ключи электронной подписи, хранящиеся на таком токене, нельзя скопировать или перехватить - подпись максимально защищена на аппаратном уровне. Неизвлекаемые ключи, защищенные PIN-кодом, доступны через СКЗИ «КриптоПро CSP» 5.0 R2 и новее, а также через ПО (PKCS#11), работающее с такими ключами. Подробно об особенностях пассивных и активных носителей мы писали тут.
И, наконец, если среди ваших задач есть обеспечение дополнительной физической безопасности в офисе, рассмотрите решение на базе смарт-карт, в рамках которого получится объединить функционал, обеспечивающий физическую и информационную безопасность вашей организации. В рамках такого решения можно дополнить смарт-карты бесконтактными RFID- метками для контроля прохода через СКУД. Выбирайте осознанно, и пусть ваша информационная безопасность (и безопасность вашего бизнеса) будет основана на верном решении и надежных устройствах.
В апреле 2023 года мы запустили необычный для нас проект - ремонтный сервис нового формата. Первого клиента нашли только в начале лета, но уже с первого проекта удалось достичь запланированной прибыли. Расскажу, как мы создали современную компанию для поколения "новых денег", которые не готовы к тому, что прораб будет класть половину стоимости ремонта себе в карман, а сроки растягиваются без ограничений и почему это оказалось прибыльным бизнесом.
Как всё начиналось
Конец 2022 года. Я работал менеджером проектов в крупной IT-компании, мой друг Антон - тимлидом в другой известной технологической компании, а Дима занимал позицию backend-разработчика в третьей. У всех стабильные зарплаты, интересные проекты - жизнь шла своим чередом, пока Антон не решил купить квартиру в новостройке.
После долгих поисков он остановился на 85-метровой квартире в ЖК около метро Саларьево - современный комплекс с подземным паркингом и зелёным двором. Как типичный программист, к поиску ремонтников он подошёл педантично: изучил десятки предложений, провёл собеседования с кандидатами. В итоге выбрал бригаду с Авито с "15-летним опытом работы".
Денис (это я:) - один из создателей сервиса
За время ремонта у Антона мы с Димой часто приезжали к нему - помочь, посоветовать, и просто поржать над очередными косяками строителей. У нас обоих за плечами был серьёзный опыт управления командами, внедрения процессов, автоматизации и контроля качества. И знаете что? Нам казалось, что главное в ремонтном бизнесе - это грамотный менеджмент и организация процессов. И на самом деле, все примерно так и есть.
День когда мы решились
Если честно, мысли о собственной ремонтной компании появились у нас задолго до этого случая. В IT-тусовке часто шутят, что в России есть три верных пути: вебкам, айти и стройка. И мы, насмотревшись на хаос в ремонтной сфере, не раз обсуждали возможность открытия своей “фирмы”.
Мы выделили основные проблемы, которые должны были исправить с помощью своего сервиса
Первое - это постоянно растущие сметы и "задранная стоимость" на работы. Ну вы серьезно? Почему для меня ремонт в квартире должен чем-то отличаться от заказа носков на Вайлдберриз? Почему-то там нет такого, что цена носков может вырасти в 2 раза за время доставки. А тут начальная смета в 1 миллион превратилась почти в 1,7! И каждый раз это "ой, тут стены кривые", "ой, а тут придется докупить", "ой, а это мы не учли".
Второе - это бесконечно растущие сроки. Это еще хуже. Как люди с опытом в менеджменте, мы прекрасно знали, что растущие сроки – это всегда раздолбайство управления и ленивые рабочие. Но тут было чуть посложнее, об этом чуть позже. У Антона обещали сделать за 4 месяца, а в итоге растянули на 8.
Третье - хитрые прорабы. Это вообще отдельная история. Когда прораб говорит "давайте я сам закуплю материалы, у меня скидки", знайте - он накинет сверху процентов 30-40. А еще есть "срочные работы", которые почему-то не были учтены в смете. И конечно, вечная классика - экономия на материалах: заказываешь одно, а привозят что-то попроще, но по той же цене.
Целевая аудитория
А параллельно с этим мы определили нашу целевую аудиторию. Чтобы выделиться на конкурентном рынке, мы решили ориентироваться на молодых IT-специалистов и представителей “современных” профессий, живущих в Москве в возрасте 30-40 лет. Тех, кто покупает квартиру в новостройке и привыкших к хорошему сервису. Кто не готов, что его будут водить за нос и разводить на деньги.
Что с ценой?
При этом очень важно было держать цены НИЖЕ, чем у других компаний, иначе на рынке просто не выжить. В премиум сегмент нужен "пропуск" в виде большого количества работ для определенного типа клиентов, поэтому нам было понятно, что "брать" много - пока что, непозволительно. Но мы нашли способ: автоматизация процессов, прямые поставки материалов, четкое планирование работ и никаких скрытых накруток. Но несбыточной мечтой это покажется только обывателю: на самом деле сервис и правда должен быть таким, вообще любой.
История первого заказа летом 2023 года
А теперь самое интересное - наш первый заказ. Это была отдельная эпопея. Начало лета 2023, звонок от потенциального клиента.
Первый клиент оказался прямо "в яблочко" - тоже айтишник (пришедший из первой контекстной рекламы в яндексе запущенной на 20 тыс.), работал в крупной компании, купил двушку в панельке 80-х годов. Причем достаточно убитую - стены местами с дырками, старый паркет, трубы помнящие еще Горбачева... Но нам, если честно, даже повезло что первый объект был не новостройкой. На старом фонде учиться легче - там хотя бы есть на что посмотреть, в отличие от новостроек, где все "сюрпризы" спрятаны в голых стенах.
Дырка в стене была ДО демонтажа. Клиент купил квартиру с "убитым" ремонтом подешевле, в надежде сэкономить
Как мы мастеров искали
Начали с поиска бригады. Вот тут был первый холодный душ - оказалось, что найти классных специалистов без своей наработанной базы очень сложно. Мастера хорошего уровня либо уже при деле, либо просят космос. А те, кто сразу соглашается - ну, вы понимаете. За две недели провели больше 10 собеседований (назовем их так😊). Причем процесс собеседования мы сразу сделали "как в айти" - тестовые задания, проверка портфолио, разбор технологий работы. Бригадиры были в шоке - некоторые прямо уходили с собеседований, когда мы начинали распрашивать про технологии укладки плитки и показывали фотографии косяков с объектов с форумов.
В итоге нашли бригаду - два брата, которые до этого работали в крупной ремонтной компании, но ушли потому что устали от "серых" схем – по отношению К НИМ ЖЕ. В основном - задержки з/п и прорабы.
В том же санузле, но уже после демонтажных и некоторых черновых работ. Братья очень помогли нам с первым ремонтом, кроме этого, они дали нам контакты проверенных рабочих, которые впоследствии делали ремонт вместе с ними
Купили первый комплект инструмента - это отдельная история на 100 тысяч рублей. Ещё сразу купили свою тепловую пушку - это из необычного. Большинство компаний привлекают "потолочников" на субподряд. Мы захотели сразу начать формировать свой инструментарий для будущих сотрудников. Зато потом эта закупка очень помогла - не зависели от того, что принесет с собой бригада. Позже, когда начали расширяться купили свою штукатурную станцию. Это, на удивление, было самой выгодной покупкой.
Первые сложности
Начали ремонт. И тут поехало... Первый сюрприз - когда начали снимать старую штукатурку, оказалось что стены буквально рассыпались. Плюс под старым линолеумом в коридоре нашли деревянный пол с насыпью под ним.
Тут был первый серьезный разговор с заказчиком. Объяснили ситуацию, показали все фотки, рассказали что сколько будет стоит в соответствии с прайс-листом. Тут очень помогло то, что мы сразу взяли за правило - фотографировать вообще все. Каждый этап, каждый слой, каждую трубу.
С материалами тоже было весело. Первый месяц я лично объездил все крупные строительные магазины в радиусе 30 км. Искал поставщиков, договаривался о скидках. Помню, как чуть не купили партию плитки по "супер-выгодной" цене, а потом выяснилось что это условно "второй сорт" - брак, который продают через "серые" схемы.
Cделали систему закупок: (Первый заказ полностью сделан из материалов, купленных в Петровиче и на маркетплейсах). Бригада присылает список - мы проверяем цены у 3-4 поставщиков и заказываем где дешевле.
Мы сразу внедрили систему ежедневных фото-отчетов и еженедельных созвонов. Плюс сделали чат в телеграме, куда скидывали все чеки, все накладные, все фотки. Такая прозрачность очень помогла - клиент видел, что мы не химичим с ценами и не пытаемся на нем нажиться.
В итоге сделали.
Братья советовали нам недостающих специалистов по ходу ремонта и постепенно, укладываясь в срок мы сдавали клиенту новый и новый этап. Честно, это было не так сложно как казалось в начале, но нужно понимать, что на самом деле, проблем по ходу ремонта и мелких трудностей было ОЧЕНЬ много, просто мы как люди привыкшие, понимали что сейчас это и есть наша работа , за которую нам платит клиент - взять на себя все заботы по ремонту. Но серьезных форс-мажоров не возникало, максимум понервничали, когда внесли предоплату потолочникам, которых нашли по объявлению, после чего они явно начали задерживать сроки, но в итоге, все обошлось. Нам и до этого было ясно, что чем быстрее мы соберем свой , хотя бы, небольшой штат, тем лучше и выгоднее. Но для этого надо быть уверенным в постоянном потоке заказов, что мы на тот момент, не могли себе позволить.
Главное - мы поняли как надо и как не надо. Все закупки только через нас. Все договоренности - только в письменном виде.
По деньгам первый проект получился условно в ноль - не считая наших вложений в инструмент и рекламу. Но мы получили бесценный опыт, наработали связи с поставщиками (если это можно назвать так пафосно) и главное - поняли, что наша модель рабочая, хотя на тот момент не были в этом до конца уверены. Наши сомнения развеяло лето 2023 года.
1/5
Наша первая работа, которую нам помогли закончить "братья", советуя недостающих мастеров на каждый этап работ. Цена работ для заказчика вышла 750 000 рублей. Летом 2023 года, за аналогичный объём работ авитовские бригады просили до миллиона(!)
Сайт и маркетинг или как мы общаемся с клиентами ещё до первого звонка
Кстати, про сайт. Первую версию мы сделали за пару вечеров на Тильде - максимально простую: фотки, цены, контакты. Знаете что? Он у нас до сих пор такой – но с значительно изменённым UI/UX. Я иногда ловлю себя на мысли - вот мы же, можем сделать что-то крутое, с личным кабинетом, онлайн-сметами... Но потом смотрю вордстат, статистику и думаю - а зачем? Клиенты находят нас, звонят, все работает. Иногда лучшее решение - самое простое.
1/2
На главной странице "в лоб" о том кто мы, наши конкурентные преимущества, специализация и примеры работ
1/2
Сразу "ярко" заявляем о действующих скидках. Кроме этого, простым текстом пытаемся общаться с клиентом и убедить его в нашем сервисе, пока что, не общаясь с ним лично - конверсия в лиды увеличилась значительно, но важно, чтобы все предложения были реальны
А вот ворд стат. За последний месяц нас искали 680 раз не считая статистики переходов по прямой ссылке. Доказательство того, что дорогой сайт не нужен. Наш стоит 6 000 рублей в год, а сделан за 20 часов
Примеры лучших работ как маркетинговый инструмент
1/4
Оставляли подобные фото с примерами работ и вотермаркой в отзывах к жилым комплексам. Отличный маркетинговый инструмент - сразу определяем нужную ЦА и бесплатно заявляем о себе. Точно знаем, что минимум один клиент был из отзывов яндекс - поэтому работает
Как мы масштабировались и разбирались в проблемах ремонта
Теперь про то, как мы начали разбираться в проблемах ремонта и потихоньку расти. Знаете, за этот год мы много думали - почему вообще ремонтные компании задерживают сроки и не могут сделать работу по первоначальной цене? И нашли несколько интересных моментов.
Первое - сроки. Тут даже копать глубоко не пришлось - сам рынок сформирован так, что клиенты просто привыкли к задержкам. "А, ну это ремонт, тут всегда так" - классическая фраза. Благо тут нам помог опыт организации процессов из айти. Четкие спринты, ежедневные отчеты, календарный план. Работает как часы, если не филонить.
Второе - вечно растущая цена. Вот это было сложнее. В новостройках еще можно точно посчитать, а во вторичке... Но благодаря наработкам этот вопрос стал гораздо яснее. При правильно организации процессов, непредвиденные работы лучше оплатить из своих средств, чем терять клиента. Только так и делается сервис.
Третье - больная тема - воровство на материалах. Тут мы конкретно закрутили гайки. Завели строгий учет, до последнего мешка штукатурки. Прорабам сразу сказали - любая жалоба от клиента на нечестность - это конец сотрудничества. Знаете что самое смешное? Когда начали работать честно, оказалось что маржа все равно хорошая. Просто многие привыкли что надо обязательно накручивать еще и еще.
Неприятные особенности прозрачного сервиса
Большинство компаний, которые начинают работать честно, быстро сдуваются. Потому что сам потребитель привык к плохому сервису. Приходишь к клиенту, говоришь "мы все сделаем четко по смете и в срок", а он смотрит с недоверием - "да ладно, так не бывает". Сейчас в 2024-м ситуация получше, но рынок все еще очень консервативный.
Продвижение или как мы брали “Новую Москву”
Наш любимый Прокшино в Новой Москве - в 2024 году, это самый перспективный район в котором покупатели - наши потенциальные клиенты
Расти начали потихоньку. Сначала сделали специальные цены для новой Москвы - там как раз много новостроек, где мы хорошо научились работать. Потом пошли заказы по рекомендациям. Когда я говорю “пошли” заказы нужно понимать, что это 1-3 заказа в месяц стабильно, что на самом деле, тогда казалось не мало. С рекламой экспериментировали забавно - оставляли визитки в подъездах (да, просто старые добрые визитки!), ставили рекламные ящики у офисов продаж в дни выдачи ключей.
Был случай, когда на одном ЖК поставили такую стойку, а через неделю риелтор оттуда сам позвонил и предложил взять себе процент, если клиент пойдет к нам.
Сейчас берем 2-5 заказов в месяц, (летом было 5 в месяц, если разделить). Большинство клиентов приходят по рекомендациям. Штат за год работы постепенно собрали свой. Трудоустроено 14 сотрудников. Если их не хватало (как летом), привлекали мастеров с которым уже работали раньше, по договору ГПХ. Просили всех регистрировать самозанятость или ИП – это было тяжело, но зато честно платим налоги по Доходы – расходы.
Как устроен процесс
Знаете, что самое сложное в ремонтном бизнесе? Нет, не поиск клиентов и не работа с материалами. Самое сложное - это выстроить систему, которая будет удовлетворять запросы клиента и при этом позволит компании зарабатывать. Мы долго думали над этим и придумали несколько интересных решений.
Начнем с оплаты. Если посмотреть на московский рынок, там забавная система - вроде бы без предоплаты, но это только за первый, самый дешевый этап. А потом - бац, и клиент должен внести 50% от всей суммы. И попробуй не внеси - бригада уйдет на другой объект. Мы сделали иначе: разбили весь ремонт на этапы (их получилось 12 для капитального ремонта), и берем предоплату только за текущий этап. То есть клиент всегда понимает, за что именно платит, и может контролировать процесс.
С договорами тоже интересно получилось. Сначала делали один стандартный, а потом поняли - люди разные, запросы разные. Сейчас у нас три варианта: просто на работы (для тех, кто сам хочет закупать материалы), на работы плюс материалы (самый популярный), и полный пакет с дизайн-проектом. Кстати, про дизайн - мы не держим штатных дизайнеров, работаем с фрилансерами. Так получается и дешевле для клиента, и качество выше - каждый дизайнер специализируется на своем стиле.
Первый образец договора, который ставили на сайт
Расчёт стоимости
Расчет стоимости работ - отдельная история. Когда начинали, было очень сложно. На рынке нет четких цен - один мастер берет 3 тысячи за квадрат стяжки, другой - тысячу, третий вообще говорит "ну давайте посмотрим по факту". Сначала работали по среднему прайсу, но часто уходили в минус по отдельным этапам - то бригада дороже встанет, то материала больше уйдет. Сейчас, когда появились постоянные сотрудники, стало проще - мы точно знаем их расценки и можем давать фиксированную цену.
Материалы
Выяснилось, что в крупных магазинах часто дешевле в сравнении с рынками стройматериалов, особенно если ловить акции. Плюс появились маркетплейсы - там вообще красота по ценам. И главное - полная прозрачность, клиент сам видит все позиции. Если находим материал дешевле - возвращаем разницу. Был случай, когда на керамограните сэкономили клиенту почти 30 тысяч - просто потому что, нашли ту же плитку в другом магазине по акции.
Как работаем сейчас
Сейчас берем 2-5 заказов в месяц, зависит от сезона и сложности объектов.
Процесс обкатан до мелочей: сначала выезд на замер, потом предварительная смета. Если клиента все устраивает - детальный расчет и договор. Дальше начинается самое интересное - согласование материалов, закупки, работа.
Особенности продвижения и подводные камни
С продвижением интересно получилось. Сначала, как все, полезли на Авито. И знаете что? Не зашло. Там своя специфическая аудитория и конкретно у нас, с Авито “ не пошло”.
Свежий пример страницы с авито в категории "Ремонт квартир". Как клиенты определяются с подрядчиком среди тысяч однотипных объявлений - хороший маркетинговый вопрос, который мы решаем, после чего полноценно "зайдём" на авито
Пробовали контекстную рекламу яндекс - тоже так себе результат. Клики дорогие, конверсия низкая. Зато отлично зашла таргетированная реклама в Instagram* (*запрещен в РФ) и реклама в районных пабликах ВКонтакте. Особенно в группах новостроек в ТГ - там как раз наша целевая аудитория.
Но главный канал - сарафанное радио. Причем работает оно интересно. Всегда знаешь , от кого пришли заказчики и проще выстраивать коммуникацию. Есть клиент - он доволен, рассказал коллегам - и понеслось. За три месяца получили еще два заказа от сотрудников той же компании. Выходит такой “корпоративный ремонт”)))
Были, конечно, и провалы в продвижении. Пытались работать с риелторами - предлагали им комиссию за клиентов. Не пошло - у них свои схемы, свои бригады. Пробовали давать рекламу в лифтах, входных группах - тоже мимо, ни одного обращения, но тут скорее из-за того что эта реклама буквально на день.
ИТОГ
Сейчас мы существуем уже чуть больше года и в целом смотрим на ремонтный рынок не так, как раньше. За это время мы сделали несколько важных заметок для себя:
Оказывается, большинство проблем в ремонте - это не технические сложности, а банальная организация процессов. Когда все четко спланировано и каждый знает что делать - даже самый сложный ремонт идет как по маслу.
Мы поняли, почему многие компании "химичат" с ценами и сроками - просто потому что не умеют нормально считать и планировать. Когда все процессы выстроены правильно, можно работать честно и все равно оставаться в плюсе.
Самое сложное - это не найти клиентов или научиться делать ремонт. Самое сложное - это переломить привычку рынка работать "по-серому". И заказчики, и исполнители настолько привыкли к непрозрачным схемам, что честный подход вызывает удивление.
Мы до сих пор учимся. Каждый объект - это новый опыт и новые вызовы (особенно по части коммуникаций с клиентами). Но главное - мы видим, что наша модель работает и пока что, нам удается держать ценник немного ниже рыночного, за счёт того что до сих пор не имеем в найме маркетологов, IT, отдела продаж и менеджеров по продажам. Стараемся нанимать именно рабочих, все остальное можно отдать на аутсорс.
Уважаемые пикабушники, были рады составить для вас эту статью! С любовью, СК Комната
Доброго времени! У меня ситуация такая: год назад подключились к спутниковому тв. Использовали смарт-карту. Сейчас нам это не нужно. Телевизор не включаем практически. Хочу карту продать . Обязательна ли перерегистрация этой самой карты на другого пользователя? Чем это опасно для меня? Человек, который хочет купить, жаждет перерегистрацией. Как лучше сделать? Не кидайте тапками , плиз. Не знаю у кого и где спросить :D первая мысль : спросить на Пикабу. Заранее спасибо!
Неделю назад нашел флеш-карту (MicroSD). Место нахождения: Москва, Столовый переулок / Скатертный переулок, возле детской площадки. Судя по всему, от мобильного телефона / смартфона. К сожалению, единственный способ идентификации владельца - по фотографии. Поэтому прошу людей, которые знают владелицу, передать ей, что карта нашлась.
Прошу не топить, комментарии для минусов прилагаются.
