12.5 Источники
Этот раздел сводит справочный аппарат руководства: соответствие корпусу знаний
SWEBOK, указатель стандартов и рамок, цитируемых по всей книге, и отобранную
библиографию рекомендуемого чтения. Источники по главам также приведены в
разделе Источники и дополнительное чтение в конце каждой главы.
Соответствие SWEBOK
Это руководство согласовано с SWEBOK V4.0 Компьютерного общества IEEE
(Software Engineering Body of Knowledge, корпус знаний программной инженерии).
Все 18 областей знаний охвачены; таблица отображает каждую на главы, которые её
рассматривают, а руководство затем выходит далеко за пределы SWEBOK в ИИ, данные,
UX, DevOps, устойчивость, поток и технологии общественного интереса.
| Область знаний SWEBOK V4.0 | Основные главы |
|---|
| 1. Требования к программному обеспечению | 2.8, 11.1, 5.1 |
| 2. Архитектура программного обеспечения | 3.1, 3.2, 3.3 |
| 3. Проектирование программного обеспечения | 2.2, 3.1 |
| 4. Конструирование программного обеспечения | 2.9, 2.1 |
| 5. Тестирование программного обеспечения | 2.4, 8.5 |
| 6. Эксплуатация программной инженерии | 9.1, 9.2, 9.3, 8.1 |
| 7. Сопровождение программного обеспечения | 3.7, 3.6, 10.4 |
| 8. Управление конфигурацией программного обеспечения | 2.10, 2.6, 8.2 |
| 9. Управление программной инженерией | 10.1, 10.6, 10.2 |
| 10. Процесс программной инженерии | 1.4, 10.7, 10.8 |
| 11. Модели и методы программной инженерии | 2.12, 3.1, 2.2 |
| 12. Качество программного обеспечения | 2.11, 2.4, 3.1 |
| 13. Безопасность программного обеспечения | 4.1, 4.2, 4.3, 4.4 |
| 14. Профессиональная практика программной инженерии | 10.5, 1.1, 1.3 |
| 15. Экономика программной инженерии | 10.10, 10.1, 9.4 |
| 16. Основы вычислений | 2.13, 3.3, 3.4 |
| 17. Математические основы | 2.13, 11.3 |
| 18. Инженерные основы | 2.13, 3.1 |
Стандарты и рамки
Это приложение организованный указатель реальных стандартов, рамок и
регулирований, упоминаемых по всему руководству. Это навигационное пособие, а не
руководство по соответствию: всегда обращайтесь к авторитетному источнику и, где
уместно, к квалифицированному юристу или аудитору за актуальным текстом и
применимостью к вашему контексту.
Записи сгруппированы по областям. Каждая называет стандарт или рамку, выпускающий
орган, однострочную область применения и главы или области, где она наиболее
релевантна. Где название обычно сокращается, показана аббревиатура. Номера
документов и названия даны только там, где они хорошо устоялись; URL не включены.
Как пользоваться этим приложением
- Регулирования (например, GDPR, HIPAA) юридически обязательны в своей
юрисдикции и секторе. Они задают обязательства, а не просто хорошую практику.
- Стандарты (например, ISO/IEC 27001, WCAG) формальные, нередко
сертифицируемые спецификации. Некоторые добровольны; некоторые предписаны законом
или контрактом.
- Рамки (например, NIST CSF, NIST AI RMF) структурированные, обычно
добровольные рекомендации, которые вы адаптируете к вашему профилю риска.
- Применимость зависит от юрисдикции, сектора, типов данных и условий контрактов.
Многие организации должны удовлетворять нескольким из них одновременно.
Безопасность и приватность
| Стандарт / рамка | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| ISO/IEC 27001 | ISO / IEC | Требования к системе менеджмента информационной безопасности (ISMS). | 4.1–4.6 Безопасность и соответствие |
| ISO/IEC 27002 | ISO / IEC | Руководство и набор контролей, поддерживающие ISO/IEC 27001. | 4.1–4.4 Безопасность |
| ISO/IEC 27017 / 27018 | ISO / IEC | Облачные контроли безопасности (27017) и защита PII в облаке (27018). | 4.3 Безопасность инфраструктуры и облака; 4.5 Приватность |
| NIST Cybersecurity Framework (CSF) | National Institute of Standards and Technology | Добровольная рамка, организованная вокруг Govern, Identify, Protect, Detect, Respond, Recover. | 4.1, 4.4 Основы безопасности и операции |
| NIST SP 800-53 | National Institute of Standards and Technology | Каталог контролей безопасности и приватности для информационных систем. | 4.3, 4.6 Безопасность облака и соответствие |
| NIST SP 800-63 | National Institute of Standards and Technology | Руководство по цифровой идентичности и гарантии аутентификации. | 4.2, 4.3 Безопасность приложений и инфраструктуры |
| OWASP Top Ten | Open Worldwide Application Security Project | Наиболее критичные риски безопасности веб-приложений, периодически обновляемые. | 4.2 Безопасность приложений |
| OWASP ASVS | Open Worldwide Application Security Project | Градуированные требования и тесты для проверки безопасности приложений. | 2.4, 4.2 Тестирование и безопасность приложений |
| OWASP SAMM | Open Worldwide Application Security Project | Модель зрелости для построения и оценки программы безопасности ПО. | 4.1 Основы безопасности и культура |
| STRIDE | Возникла в Microsoft | Таксономия моделирования угроз для классификации угроз. | 4.2 Безопасность приложений |
| MITRE ATT&CK | MITRE | База знаний тактик и техник противников для обнаружения и защиты. | 4.4 Операции безопасности |
| SLSA | Open Source Security Foundation (OpenSSF) | Градуированная рамка целостности и происхождения цепочки поставок ПО. | 4.2, 8.1, 10.3 Цепочка поставок и поставка |
| SBOM (SPDX / CycloneDX) | Linux Foundation (SPDX); OWASP (CycloneDX) | Стандартные форматы перечней компонентов программного обеспечения. | 4.2, 10.3 Безопасность приложений и лицензирование |
| PCI DSS | PCI Security Standards Council | Требования безопасности для обработки данных платёжных карт. | 4.2, 4.5, 4.6 Безопасность, приватность, соответствие |
Соответствие и государство
Соединённые Штаты
| Регулирование / рамка | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| HIPAA | US Dept. of Health and Human Services | Защита охраняемой медицинской информации (PHI). | 4.5, 4.6 Приватность и соответствие |
| SOX (Sarbanes-Oxley Act) | US Congress / SEC | Требования к финансовой отчётности и внутреннему контролю для публичных компаний. | 4.6, 10.2 Соответствие и аудит |
| FISMA | US Congress | Требования к программам информационной безопасности федеральных агентств. | 4.3, 4.6 Безопасность облака и соответствие |
| FedRAMP | US General Services Administration / FedRAMP PMO | Стандартизированная авторизация безопасности для облачных сервисов, используемых федеральными агентствами. | 4.3, 4.6 Безопасность облака и соответствие |
| NIST SP 800-171 | National Institute of Standards and Technology | Защита контролируемой несекретной информации (CUI) в нефедеральных системах. | 4.6 Соответствие (оборонная цепочка поставок) |
| CMMC | US Department of Defence | Сертификация зрелости кибербезопасности оборонных подрядчиков. | 4.6 Соответствие (оборона) |
| FIPS 140-3 | National Institute of Standards and Technology | Требования безопасности к криптографическим модулям. | 4.3 Безопасность инфраструктуры и облака |
| CCPA / CPRA | State of California | Права потребителей на приватность и обязательства бизнеса в Калифорнии. | 4.5 Приватность и защита данных |
Европейский союз и Соединённое Королевство
| Регулирование / стандарт | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| GDPR | European Union | Всеобъемлющее регулирование обработки персональных данных. | 4.5, 4.6 Приватность и соответствие |
| UK GDPR / Data Protection Act 2018 | United Kingdom | Режим защиты данных Великобритании после Brexit. | 4.5, 4.6 Приватность и соответствие |
| eIDAS | European Union | Рамка электронной идентификации и доверительных услуг. | 4.2, 4.3 Безопасность |
| NIS2 Directive | European Union | Обязательства кибербезопасности для существенных и важных субъектов. | 4.4, 4.6 Операции безопасности и соответствие |
| DORA (Digital Operational Resilience Act) | European Union | Требования операционной устойчивости для финансового сектора. | 9.1, 10.2 Надёжность и аудит |
| EU AI Act | European Union | Основанное на риске регулирование систем ИИ (см. управление ИИ ниже). | 6.1, 6.5 Стратегия ИИ и ответственный ИИ |
Доступность
| Стандарт | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| WCAG (2.1 / 2.2) | World Wide Web Consortium (W3C) | Руководящие принципы доступного веб-содержимого с уровнями соответствия A/AA/AAA. | 5.3 Доступность; 5.1–5.6 UX и фронтенд |
| WAI-ARIA | World Wide Web Consortium (W3C) | Роли, состояния и свойства для доступных насыщенных интернет-приложений. | 5.3, 5.6 Доступность и фронтенд |
| Section 508 | US Access Board / US federal law | Требования доступности для федеральных ИКТ США, согласованные с WCAG. | 5.3 Доступность (правительство США) |
| EN 301 549 | ETSI / CEN / CENELEC | Европейские требования доступности для закупок ИКТ, согласованные с WCAG. | 5.3 Доступность (государственный сектор ЕС) |
| ADA (Americans with Disabilities Act) | US Congress | Закон о гражданских правах, запрещающий дискриминацию по инвалидности, применяемый к цифровым услугам. | 5.3 Доступность |
| ISO/IEC 40500 | ISO / IEC | Международное принятие WCAG 2.0 как формального стандарта. | 5.3 Доступность |
Управление ИИ
| Рамка / регулирование | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| NIST AI Risk Management Framework (AI RMF) | National Institute of Standards and Technology | Добровольная рамка для управления, картирования, измерения и ведения рисков ИИ. | 6.1, 6.5 Стратегия ИИ и ответственный ИИ |
| ISO/IEC 42001 | ISO / IEC | Требования к системе менеджмента ИИ (AIMS). | 6.1, 6.5 Управление ИИ |
| ISO/IEC 23894 | ISO / IEC | Руководство по управлению рисками, специфичными для ИИ. | 6.5 Ответственный и заслуживающий доверия ИИ |
| EU AI Act | European Union | Многоуровневые по риску юридические обязательства для поставщиков и внедряющих системы ИИ. | 6.1, 6.3, 6.5 Приложения ИИ и управление |
| OECD AI Principles | Organisation for Economic Co-operation and Development | Основанные на ценностях принципы заслуживающего доверия ИИ, влиятельные для политики. | 6.5, 10.5 Ответственный ИИ и этика |
Качество и процесс
| Стандарт / рамка | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| ISO/IEC 25010 | ISO / IEC | Модель качества программного продукта (функциональная пригодность, надёжность, безопасность и т. д.). | 2.2, 2.4 Проектирование и тестирование |
| ISO/IEC/IEEE 12207 | ISO / IEC / IEEE | Процессы жизненного цикла программного обеспечения. | 1.4, 10.1 Способы работы и управление программами |
| ISO 9001 | ISO | Требования к общей системе менеджмента качества. | 10.2 Риски, аудит и гарантии |
| CMMI | ISACA / CMMI Institute | Модель зрелости для способности процессов и улучшения. | 10.1, 10.2 Управление программами и гарантии |
| Метрики DORA | DevOps Research and Assessment (Google Cloud) | Четыре ключевые метрики эффективности поставки для команд ПО. | 8.1, 8.4, 9.1 Поставка, платформа, надёжность |
| Рамка SPACE | Исследователи Microsoft / GitHub | Многомерная модель измерения продуктивности разработчиков. | 1.3, 8.4 Рост и опыт разработчика |
| ITIL | AXELOS / PeopleCert | Рамка практик управления ИТ-услугами. | 9.1, 9.3 Надёжность и управление инцидентами |
Архитектура
| Стандарт / рамка | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| ISO/IEC/IEEE 42010 | ISO / IEC / IEEE | Стандарт описания архитектуры и точек зрения. | 2.7, 3.1 Документация и основы архитектуры |
| TOGAF | The Open Group | Рамка корпоративной архитектуры и метод разработки. | 3.1, 10.1 Архитектура и управление портфелем |
| Модель C4 | Сообщество (Simon Brown) | Четырёхуровневый подход к визуализации архитектуры программного обеспечения. | 2.7, 3.1 Документация и архитектура |
| arc42 | Сообщество (Starke / Hruschka) | Шаблон структурирования архитектурной документации. | 2.7, 3.1 Документация и архитектура |
| ADR | Практика сообщества | Лёгкие записи значимых архитектурных решений. | 1.5, 2.7, 3.1 Принятие решений и документация |
Облако и DevOps
| Стандарт / рамка | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| CIS Benchmarks | Centre for Internet Security | Базисы безопасной конфигурации систем и облака, основанные на консенсусе. | 4.3, 8.2 Безопасность инфраструктуры и IaC |
| Ландшафт и проекты CNCF | Cloud Native Computing Foundation | Экосистема и стандарты облачных вычислений (например, Kubernetes). | 8.3 Контейнеры и облачная нативность |
| OCI (Open Container Initiative) | Open Container Initiative (Linux Foundation) | Открытые стандарты форматов образов и среды исполнения контейнеров. | 8.3 Контейнеры и облачная нативность |
| OpenTelemetry | Cloud Native Computing Foundation | Не зависящий от поставщика стандарт телеметрии (трассы, метрики, журналы). | 9.2 Наблюдаемость и мониторинг |
| Open Policy Agent (OPA) | Cloud Native Computing Foundation | Универсальный движок политик для политики как кода. | 4.6, 8.2, 8.3 Соответствие, IaC, оркестрация |
| Практики SRE | Google (широко принято) | Подход к эксплуатации надёжных сервисов на основе SLI/SLO/бюджетов ошибок. | 9.1 Инженерия надёжности сайтов |
| FinOps Framework | FinOps Foundation | Практики облачного финансового управления и подотчётности по цене. | 9.4 Цена, устойчивость, зелёное ПО |
Данные
| Стандарт / рамка | Выпускающий орган | Область (одной строкой) | Основные главы / области |
|---|
| DAMA-DMBOK | DAMA International | Корпус знаний, организующий дисциплины управления данными. | 7.1 Стратегия данных и управление |
| ISO/IEC 38505 | ISO / IEC | Управление данными как организационным активом. | 7.1 Управление данными |
| ISO 8000 | ISO | Стандарты качества данных и мастер-данных. | 7.1, 7.2 Управление данными и инженерия |
| Data mesh | Сообщество (Zhamak Dehghani) | Децентрализованный предметно-ориентированный подход к данным как продукту. | 7.1, 7.2 Стратегия данных и инженерия |
| DCAM | EDM Council | Модель оценки возможностей управления данными. | 7.1 Стратегия данных и управление |
Замечания об области и изменениях
Стандарты и регулирования развиваются. Номера версий (например, WCAG 2.1 против
2.2 или годы пересмотров ISO) и каталоги контролей меняются со временем, а новые
законы (такие как отраслевые регулирования ИИ и устойчивости) продолжают
появляться. Воспринимайте это приложение как стартовую карту: подтвердите
актуальную версию, юрисдикцию и применимость, прежде чем полагаться на любую запись
в решении о соответствии или закупках. Где главы руководства и это приложение
расходятся в деталях, всегда главенствует авторитетный исходный документ.
Рекомендуемое чтение
Это приложение отобранный аннотированный список чтения, охватывающий все области
руководства. Он отдаёт предпочтение работам, сформировавшим практику в масштабе:
признанным классикам, строгим справочникам, а также стандартам и отчётам, по
которым измеряются большие, корпоративные и государственные команды.
Каждая запись даёт название и автора(ов), за которыми следует одно предложение о
том, почему это важно. Список организован по десяти частям книги. Читайте
избирательно: выберите две-три работы, ближайшие к вашей текущей боли, а не всю
полку. Где работа охватывает несколько областей, она помещена там, где наиболее
полезна; многие принадлежат нескольким частям.
Замечание о стандартах: такие органы, как NIST, OWASP, W3C/WCAG, ISO и программа
DORA, публикуют живые документы, периодически пересматриваемые. Цитируйте и читайте
актуальную версию; аннотации ниже описывают их неизменное назначение. Названия
работ даны в оригинале.
Основы: культура, люди и процесс
- Accelerate: The Science of Lean Software and DevOps. Nicole Forsgren, Jez Humble, Gene Kim. Исследовательская основа, показывающая, что эффективность поставки предсказывает организационную эффективность, и определяющая метрики (ныне называемые DORA) для её измерения.
- The Phoenix Project. Gene Kim, Kevin Behr, George Spafford. Деловой роман, делающий поток, незавершённую работу и «Три пути» DevOps интуитивно понятными руководителям и скептикам.
- Team Topologies: Organising Business and Technology Teams for Fast Flow. Matthew Skelton and Manuel Pais. Практический словарь (потоково-выровненные, платформенные, помогающие команды и команды сложной подсистемы) для проектирования организаций, производящих хорошее программное обеспечение.
- An Elegant Puzzle: Systems of Engineering Management. Will Larson. Проверенные в поле рамки для определения размера команд, управления ростом организации и принятия повторяющихся решений инженерного руководства.
- Staff Engineer: Leadership Beyond the Management Track. Will Larson. Определяет архетипы staff-plus и путь технического лидерства для тех, кто хочет влиять, не становясь руководителями.
- The Manager’s Path. Camille Fournier. Поэтапное руководство от технического лидера до руководителя, закрепляющее карьерные лестницы и переход в менеджмент.
- The Staff Engineer’s Path. Tanya Reilly. Спутник литературы staff-plus, сосредоточенный на повседневной работе технического лидерства, влияния и управления без власти.
- Peopleware: Productive Projects and Teams. Tom DeMarco and Timothy Lister. Непреходящий довод, что центральные проблемы программного обеспечения социологические, а не технические.
- The Mythical Man-Month. Frederick P. Brooks Jr. Источник закона Брукса и различия существенной и случайной сложности, по-прежнему управляющего комплектованием и планированием.
- The Fearless Organisation: Creating Psychological Safety in the Workplace. Amy C. Edmondson. Исследовательская основа безвинной культуры и безопасности, делающей возможным обучение на сбоях.
- Thinking, Fast and Slow. Daniel Kahneman. Основополагающее изложение когнитивных искажений, необходимое для структурированных собеседований, калибровки и честного принятия решений.
Мастерство программирования и качество кода
- The Pragmatic Programmer: Your Journey to Mastery. Andrew Hunt and David Thomas. Основополагающий каталог профессиональных привычек (DRY, ортогональность, трассирующие пули), определяющий, что значит мастерство.
- Refactoring: Improving the Design of Existing Code. Martin Fowler. Канонический каталог сохраняющих поведение преобразований и дисциплина непрерывного улучшения кода под защитой тестов.
- Clean Code: A Handbook of Agile Software Craftsmanship. Robert C. Martin. Широко используемый (и оспариваемый) стандарт именования, функций и читаемости, формирующий ожидания рецензий многих команд.
- Code Complete. Steve McConnell. Всеобъемлющий, опирающийся на свидетельства справочник практик конструирования, остающийся тщательной базой качества программирования.
- Test-Driven Development: By Example. Kent Beck. Оригинальное практическое введение в цикл «красный-зелёный-рефакторинг» и проектирование от тестов.
- Working Effectively with Legacy Code. Michael Feathers. Окончательный набор инструментов для добавления тестов к коду, где их нет, и безопасного его изменения, незаменимый для долгоживущих систем.
- Growing Object-Oriented Software, Guided by Tests. Steve Freeman and Nat Pryce. Проработанная демонстрация TDD «снаружи внутрь», подмены и развития проекта через тесты.
- A Philosophy of Software Design. John Ousterhout. Острое, категоричное рассмотрение сложности, глубоких модулей и сокрытия информации, продуктивно оспаривающее часть ортодоксии «чистого кода».
Архитектура и системы
- Designing Data-Intensive Applications. Martin Kleppmann. Лучший современный справочник по компромиссам хранения, репликации, партиционирования, согласованности и потоковой обработки в масштабе.
- Fundamentals of Software Architecture: An Engineering Approach. Mark Richards and Neal Ford. Широкий актуальный обзор архитектурных стилей, характеристик, а также роли архитектора и принятия решений.
- Software Architecture: The Hard Parts. Neal Ford, Mark Richards, Pramod Sadalage, Zhamak Dehghani. Ориентированное на решения рассмотрение компромиссов распределённой архитектуры, гранулярности сервисов и владения данными.
- Building Evolutionary Architectures. Neal Ford, Rebecca Parsons, Patrick Kua. Вводит функции пригодности и архитектуру, спроектированную для безопасного изменения со временем.
- Domain-Driven Design: Tackling Complexity in the Heart of Software. Eric Evans. Источник ограниченных контекстов, единого языка и агрегатов: словаря современного проектирования сервисов.
- Building Microservices: Designing Fine-Grained Systems. Sam Newman. Справочник по декомпозиции, границам сервисов, развёртыванию и организационным последствиям микросервисов.
- Monolith to Microservices. Sam Newman. Каталог шаблонов инкрементальной декомпозиции, таких как «душащая фига» и ветвление через абстракцию, без рискованного переписывания «большим взрывом».
- Patterns of Enterprise Application Architecture. Martin Fowler. Справочник именованных шаблонов (репозиторий, единица работы и другие), давший общий язык корпоративным системам.
- Enterprise Integration Patterns. Gregor Hohpe and Bobby Woolf. Окончательный каталог шаблонов обмена сообщениями, лежащих в основе событийно-управляемых и асинхронных архитектур.
- Release It! Design and Deploy Production-Ready Software. Michael T. Nygard. Источник предохранителя, переборки и других шаблонов стабильности для систем, переживающих реальное производство.
- Design Patterns: Elements of Reusable Object-Oriented Software. Erich Gamma, Richard Helm, Ralph Johnson, John Vlissides («Банда четырёх»). Исторически решающий каталог объектно-ориентированных шаблонов и общий словарь проектирования.
Безопасность, приватность и доверие
- Threat Modelling: Designing for Security. Adam Shostack. Практическое всеобъемлющее руководство по STRIDE и структурированному моделированию угроз как рутинной инженерной практике.
- Security Engineering: A Guide to Building Dependable Distributed Systems. Ross Anderson. Энциклопедический справочник о том, как реальные системы отказывают и как строить устойчивые к атакам.
- The Tangled Web: A Guide to Securing Modern Web Applications. Michal Zalewski. Строгий обзор модели безопасности браузера и тонких способов, которыми веб-платформы предают наивные допущения.
- Cryptography Engineering. Niels Ferguson, Bruce Schneier, Tadayoshi Kohno. Руководство практика по правильному использованию криптографии и избеганию распространённых опасных ошибок.
- Building Secure and Reliable Systems. Heather Adkins et al. (Google). Синтез Google о безопасности и надёжности как взаимосвязанных свойствах, закладываемых с самого начала.
- Zero Trust Networks. Evan Gilman and Doug Barth. Ясное рассмотрение принципов и механики сетевой архитектуры «никогда не доверяй, всегда проверяй».
- OWASP Top 10. OWASP Foundation. Консенсусная база наиболее критичных рисков безопасности веб-приложений, на которую ссылаются политики и аудиты по всему миру.
- OWASP Application Security Verification Standard (ASVS). OWASP Foundation. Многоуровневый проверяемый контрольный список требований безопасности, пригодный для контрактов и критериев приёмки.
- NIST SP 800-53: Security and Privacy Controls for Information Systems and Organisations. NIST. Каталог контролей в основе федеральной безопасности США и основа разрешений FedRAMP и FISMA.
- NIST Cybersecurity Framework (CSF). NIST. Широко принятая структура «выявить-защитить-обнаружить-отреагировать-восстановить» для организации программы безопасности.
- NIST SP 800-207: Zero Trust Architecture. NIST. Опорное определение и эталонные архитектуры, на которых держится большинство корпоративных и государственных программ нулевого доверия.
UX, UI и продуктовый дизайн
- The Design of Everyday Things. Don Norman. Основополагающий текст об аффордансах, сигнификаторах, обратной связи и ориентированном на человека дизайне, применимом далеко за пределами физических объектов.
- Don’t Make Me Think, Revisited. Steve Krug. Краткий непреходящий довод в пользу самоочевидного удобства и ценности дешёвого частого тестирования удобства.
- About Face: The Essentials of Interaction Design. Alan Cooper, Robert Reimann, David Cronin. Всеобъемлющий справочник по проектированию взаимодействия, персонам и целеориентированному дизайну.
- Design Systems: A Practical Guide. Alla Kholmatova. Основательный рассказ о построении последовательных повторно используемых систем компонентов и общем языке за ними.
- Refactoring UI. Adam Wathan and Steve Schoger. Практическое, основанное на примерах руководство по визуальной отделке для инженеров, проектирующих интерфейсы без формальной подготовки.
- Letting Go of the Words: Writing Web Content that Works. Ginny Redish. Окончательное руководство по дизайну содержимого простым языком, ориентированному на задачи.
- Inclusive Design Patterns / Accessibility for Everyone. Heydon Pickering; Laura Kalbag. Практические спутники для построения интерфейсов, работающих для всего диапазона человеческих способностей.
- A Web for Everyone: Designing Accessible User Experiences. Sarah Horton and Whitney Quesenbery. Основанный на принципах мост между стандартами доступности и хорошим пользовательским опытом.
- Web Content Accessibility Guidelines (WCAG) 2.2. W3C. Международно признанный стандарт (воспринимаемый, управляемый, понятный, надёжный), стоящий за большей частью законов о доступности.
- U.S. Web Design System (USWDS). U.S. government. Рабочий пример доступной, основанной на стандартах системы дизайна, построенной для общественных услуг в масштабе.
Искусственный интеллект и машинное обучение
- Designing Machine Learning Systems. Chip Huyen. Ведущее практическое руководство по построению производственных систем МО от начала до конца: данные, признаки, развёртывание и мониторинг.
- Reliable Machine Learning: Applying SRE Principles to ML in Production. Cathy Chen et al. Распространяет дисциплину SRE (SLO, мониторинг, реагирование на инциденты) на системы машинного обучения.
- Deep Learning. Ian Goodfellow, Yoshua Bengio, Aaron Courville. Стандартный академический справочник по теории и методам, лежащим в основе современных нейронных сетей.
- AI Engineering: Building Applications with Foundation Models. Chip Huyen. Актуальное руководство по проектированию, оценке и эксплуатации приложений на больших базовых моделях.
- Weapons of Maths Destruction. Cathy O’Neil. Яркий довод в пользу алгоритмической подотчётности и реального вреда неисследованных моделей, необходимый для ИИ в государственном секторе.
- Interpretable Machine Learning. Christoph Molnar. Всеобъемлющий свободно доступный справочник по методам объяснимости моделей и их предсказаний.
- NIST AI Risk Management Framework (AI RMF 1.0). NIST. Эталонная рамка управления, картирования, измерения и ведения рисков ИИ, всё чаще цитируемая в политике и закупках.
Данные, аналитика и озарение
- The Data Warehouse Toolkit: The Definitive Guide to Dimensional Modelling. Ralph Kimball and Margy Ross. Канонический справочник по схемам «звезда» и размерностному моделированию для аналитики.
- Trustworthy Online Controlled Experiments: A Practical Guide to A/B Testing. Ron Kohavi, Diane Tang, Ya Xu. Авторитетное руководство по проведению экспериментов, дающих надёжные применимые результаты в масштабе.
- Fundamentals of Data Engineering. Joe Reis and Matt Housley. Не зависящая от поставщиков карта современного жизненного цикла данных и инженерных практик за ним.
- Data Mesh: Delivering Data-Driven Value at Scale. Zhamak Dehghani. Основополагающий текст предметно-ориентированного продуктового подхода к организации данных в масштабе.
- Storytelling with Data. Cole Nussbaumer Knaflic. Практическое руководство по честной ясной визуализации данных и сообщению выводов лицам, принимающим решения.
- The Visual Display of Quantitative Information. Edward R. Tufte. Основополагающая работа о графической целостности, data-ink и этике честного показа данных.
- DAMA-DMBOK: Data Management Body of Knowledge. DAMA International. Всеобъемлющая справочная рамка управления данными, стюардства, качества и каталогизации.
- The Book of Why. Judea Pearl and Dana Mackenzie. Читаемое введение в причинный вывод, жизненно важное для перехода от корреляции к защитимым решениям.
Автоматизация, DevOps и платформенная инженерия
- The DevOps Handbook. Gene Kim, Jez Humble, Patrick Debois, John Willis. Всеобъемлющий сборник, переводящий «Три пути» в конкретные практики потока, обратной связи и непрерывного обучения.
- Continuous Delivery: Reliable Software Releases through Build, Test, and Deployment Automation. Jez Humble and David Farley. Основополагающий текст о конвейерах развёртывания, автоматизации и безопасном частом выпуске программного обеспечения.
- Infrastructure as Code: Managing Servers in the Cloud. Kief Morris. Справочник по восприятию инфраструктуры как программного обеспечения: модули, тестирование, неизменяемость и дрейф.
- Team Topologies. Matthew Skelton and Manuel Pais. (См. Основы.) Также необходима здесь для формирования платформенных команд и опыта разработчика, который они обеспечивают.
- Kubernetes Patterns. Bilgin Ibryam and Roland Huß. Каталог повторно используемых шаблонов проектирования облачных приложений на Kubernetes.
- Software Engineering at Google. Titus Winters, Tom Manshreck, Hyrum Wright. Как инженерные практики, такие как тестирование, рецензия, инструменты и управление зависимостями, масштабируются до десятков тысяч инженеров на протяжении десятилетий.
- The Twelve-Factor App. Adam Wiggins (Heroku). Краткий влиятельный манифест построения переносимых масштабируемых облачных сервисов.
- DORA State of DevOps Report. DORA / Google Cloud (ежегодно). Текущая исследовательская программа за четырьмя ключевыми метриками поставки и возможностями, движущими эффективность.
Эксплуатация, надёжность и наблюдаемость
- Site Reliability Engineering: How Google Runs Production Systems. Betsy Beyer, Chris Jones, Jennifer Petoff, Niall Richard Murphy (eds.). Основополагающий текст, определяющий SLI, SLO, бюджеты ошибок и дисциплину инженерии надёжности.
- The Site Reliability Workbook. Betsy Beyer et al. (eds.). Практический спутник с примерами, проработанными SLO и руководством по реализации.
- Observability Engineering. Charity Majors, Liz Fong-Jones, George Miranda. Современное определение наблюдаемости, данных с высокой кардинальностью и отладки неизвестных неизвестных в производстве.
- Implementing Service Level Objectives. Alex Hidalgo. Тщательное практическое руководство по проектированию, измерению и хорошему использованию SLO и бюджетов ошибок.
- Release It!. Michael T. Nygard. (См. Архитектура.) Также основополагающая здесь для шаблонов производственной стабильности и эксплуатации устойчивых систем.
- The Art of Capacity Planning. Arun Kejariwal and John Allspaw. Основанный на данных подход к прогнозированию спроса и планированию мощности для растущих систем.
- Chaos Engineering: System Resiliency in Practice. Casey Rosenthal and Nora Jones. Окончательное рассмотрение намеренного внедрения сбоев для построения уверенности в устойчивости системы.
- Google SRE Book, Chapter on Postmortems. Google. Широко подражаемая модель безвинных разборов и обучения на инцидентах.
Корпорации, государство и общественный интерес
- Working in Public: The Making and Maintenance of Open Source Software. Nadia Eghbal. Необходимое исследование того, как на самом деле поддерживается открытый исходный код, и бремени сопровождающих за зависимостями, на которые полагаются корпорации.
- Recoding America: Why Government Is Failing in the Digital Age and How We Can Do Better. Jennifer Pahlka. Трезвый рассказ о том, почему технологии государственного сектора проваливаются и как реформа, ориентированная на поставку, может это исправить.
- Digital Transformation at Scale: Why the Strategy Is Delivery. Andrew Greenway et al. Уроки Цифровой службы правительства Великобритании о преобразовании общественных услуг поставкой, а не планированием.
- Project to Product. Mik Kersten. Flow Framework для перехода больших корпораций от проектного финансирования к устойчивым потокам создания продуктовой ценности.
- Escaping the Build Trap. Melissa Perri. Как организации принимают выпуск за результат и как управление продуктом это исправляет, с прямой значимостью для управления портфелем и программами.
- U.S. Digital Services Playbook. U.S. Digital Service. Краткий набор ходов для поставки эффективных ориентированных на пользователя государственных цифровых услуг.
- GOV.UK Service Manual and Service Standard. UK Government Digital Service. Действующий опубликованный стандарт построения хороших общественных услуг, широко копируемый другими правительствами.
- NIST SP 800-37: Risk Management Framework. NIST. Процессная рамка за разрешением на эксплуатацию (ATO) и непрерывным мониторингом в федеральных системах США.
- The FinOps Foundation Framework. FinOps Foundation. Эталонная модель видимости, оптимизации и подотчётности по облачным ценам между финансами и инженерией.
Как пользоваться этим списком
- Начните со своей боли. Если развёртывания медленные и страшные, прочтите Accelerate, Continuous Delivery и отчёты DORA прежде всего остального.
- Читайте на десятилетие, а не на спринт. Предпочитайте работы, объясняющие непреходящие принципы, тем, что привязаны к версии конкретного инструмента.
- Проверяйте актуальное издание стандартов. NIST, OWASP, WCAG, ISO и DORA пересматривают свои публикации; всегда работайте от последнего выпуска и отмечайте версию в собственных политиках.
- Стройте общую полку. Команда, совместно прочитавшая две-три из этих книг, спорит меньше и решает быстрее, потому что разделяет словарь и набор опорных точек.
- См. также главу 12.5 для полного указателя эталонных стандартов и рамок и главу 12.6 о том, как упорядочить внедрение практик, описываемых этими работами.
