Frontalni sustav. Sberbank je izvijestio o rezultatima razvoja jedinstvenog front-end sustava. Platforma je osnova za izgradnju ekosustava

Sberbank stvara novu fleksibilnu platformu koja će banku transformirati u tehnološku tvrtku. Banka planira otvoriti pristup elementima svoje platforme putem API-ja, kao i djelomično objaviti kod svojih razvoja, rekao je Sergej Rjabov, viši upravni direktor i glavni IT arhitekt Sberbanka, na forumu FinCore 2017. FutureBanking donosi izvatke iz ovog govora.

Izreka Charlesa Darwina kaže da ne preživljava najjača vrsta, niti najinteligentnija, već ona koja najbolje reagira na promjene. Sposobnost brze promjene postavili smo kao ključni cilj naše tehnološke strategije i kao temeljni zahtjev za izgradnju nove platforme.

Opći pristup izgradnji platforme može se ukratko opisati s tri slova "R": Racionalizirati- racionalizacija i optimizacija postojeće arhitekture, Rearhitekt- stvaranje nove platforme, Promisliti- preispitivanje razmjera i stvaranje ekosustava. Mi jesmo banka, ali u isto vrijeme gledamo i druga tržišta. U strategiji smo naveli da ćemo izaći na nova tržišta, kao što je zdravstvo, tržište automobila, već radimo na tržištu nekretnina i to ne samo u hipotekama.

Koji su ključni zahtjevi za izgradnju naše nove platforme?

1. Usmjerenost na kupca. Većina usluga i novi pristup korisničkoj službi zahtijevaju da znamo što je više moguće o klijentu. To nije samo ono što je u našim osnovnim sustavima, to je i ono što je oko nas.

2. Jedinstveni informacijski prostor. Ovo je pristup u kojem su informacije dostupne našim sustavima donošenja odluka u stvarnom vremenu.

3. Fleksibilni mehanizmi za postavljanje složenih proizvoda i STP procesa. Nastojimo ukloniti što je više moguće ljudske interakcije gdje je to moguće; koristiti mehanizme poput nadzora naših procesa i automatskog upravljanja neispravnim situacijama.

4. Vrlo važan blok je otvoreni API. Sukladno tome, API-ji prožimaju sve komponente platforme. Otvaramo vanjski API za naše partnere i izvođače.

5. Mehanizam strojnog učenja. Pokušavamo ga ugraditi u komponente naše platforme i postupno ga ugrađujemo u naš sustav donošenja odluka.

6. Maksimalna pouzdanost 24x7. Mi smo ogromna sistemski važna banka, pouzdanost je naše sve. Stoga ulažemo mnogo truda kako bi informacijski sustav bio što pouzdaniji.

7. Horizontalno skaliranje na jeftinoj opremi. Naši trenutni informacijski sustavi su stabilni, moćni i veliki, ali radimo na velikim, vrhunskim. Mnogi dobavljači već su ukinuli neke od svojih linija usmjerenih na maksimalnu visoku razinu i prelaze na srednji raspon i druge arhitekture. Također pokušavamo pobjeći od toga, smanjiti troškove vlasništva.

8. Korištenje tehnologija otvorenog koda. Da, mi smo velika banka, imamo vlastito iskustvo, znamo raditi s tradicionalnim arhitekturama, ali počeli smo postupno prelaziti na open source.

9. Pohranjivanje i obrada podataka u memoriji. Imali smo velike rasprave o tome treba li koristiti ovu tehnologiju ili ne. S jedne strane, to su veliki rizici, s druge - najveće mogućnosti za brzinu obrade podataka. Na posljednjoj konferenciji Gartner Symposium u Barceloni vođene su rasprave s arhitektima i vodećim analitičarima o tome kako treba graditi informacijske sustave, koje mogućnosti i ograničenja postoje.

Što je platforma i kako je predstavljamo

Najprije smo izgradili jezgru platforme i dio ključnih usluga koje svrstavamo u poslovni hub (sustav odlučivanja, jedinstveni profil korisnika, katalog proizvoda). Ali sada se krećemo u nekoliko smjerova, pa i zbog toga što smo veliki, puno nam je teže zamahnuti.

Platforma se sastoji od nekoliko arhitektonskih slojeva. Ispod je tehnološka jezgra.
Neke od ostalih slojeva možete sastaviti od Lego kockica. Ovo su zapravo komponente za višekratnu upotrebu,
koji se koriste na drugim razinama.

Srce nove platforme je poslovni centar. To su blokovi kao što su Unified Client Profile,
katalog proizvoda, sustav odlučivanja. Ovo su nova rješenja koja sada gradimo,
koji omogućuju fleksibilnu prilagodbu procesa i proizvoda.

Na vrhu imamo Unified Frontal System. Važno je našim klijentima pružiti višekanalno iskustvo.

Veliki blok su tvornice hrane. To uključuje kredite, depozite i druge tradicionalne proizvode. Ali u isto vrijeme radimo nove složene proizvode, primjerice kombinaciju osiguranja i kreditnih proizvoda.

Na komponentama platforme možete kreirati bilo koji posao

Naš cilj je učiniti platformu fleksibilnom i prilagodljivom kako bismo u nju mogli ugraditi nove komponente. Već smo govorili o API-ju i komponentizaciji, servisnom pristupu na svim razinama platforme. Ovo je vrlo važno. Platforma pruža mogućnost integracije i prilagodbe na svim razinama.

Koje ključne tehnologije koristimo?

Ovdje su samo neki od njih:

1. Pohranjivanje i obrada podataka u memoriji. Surađujemo s tvrtkom GridGain, prolazimo dosta težak put, jer druga strana brzine rada je pouzdanost sustava. Neke od elemenata koji nedostaju u ovom proizvodu implementiramo od nule. To je teško, negdje se pomiču rokovi, ali mi idemo tim putem jer su efekt velike mogućnosti skaliranja.

2. Horizontalno skaliranje na low-end poslužiteljima. Naš cijeli sklop su x86 strojevi.

3. Otvoreni kod. Ovo je također bilo prilično bolno. Prije nekoliko godina počeli smo prelaziti na open source i učiti. U integracijskom sloju koristimo rješenja kao što su Kafka, ZeroMQ. Kao BPM rješenje koristimo open-source rješenje Activiti. Koristimo WildFly kao naš poslužitelj aplikacija.

Ako razgovarate s velikim tvrtkama, većina njih objavi sva svoja rješenja. Na primjer, proučavali smo iskustvo Alibabe. To uključuje i naša strategija. Ali to zahtijeva određenu zrelost od nas kao organizacije. Sada smo na početku našeg puta, ali ćemo ga svakako objaviti, jer će pružiti sasvim druge mogućnosti.

Govorio sam o sustavu donošenja odluka – srži i srcu naše platforme. Ovaj dio je bolno otvarati od samog početka. Otvorit ćemo dijelove, počevši od komponenti koje nisu kritične. Naš zadatak je biti u mogućnosti otvoriti kod određene komponente kako bi ga zajednica mogla doraditi. Naš pristup sada je prilično oprezan.

Što je jedinstveni frontalni sustav i kako ga gradimo

Glavni je zahtjev implementacija višekanalnih front-end scenarija. Ovdje je složenost manje tehnička, a više organizacijska. Siguran sam da je u mnogim bankama organizacijska struktura takva da je jedna osoba odgovorna za udaljene kanale, druga za poslovnice i poslovnice, a treća za pozivni centar i mrežu. I, naravno, kada govorimo o višekanalnom scenariju korisničke službe, treba ga primijeniti u najvećoj mogućoj mjeri u svim kanalima. Da bi se to osiguralo, važno je postići dogovor na razini svih odgovornih.

Imamo veliki set alata. Sada aktivno koristimo React tehnologiju. Tu je i Angular. To su dvije alternative. Odlučili smo se za React.

Integracijski sloj stvara izolaciju front-end sustava od back officea i naših ostalih informacijskih sustava. Glavni izazov je osigurati da se klijentima dosljedno služi kroz sve kanale. Ovo je naš ciljani pristup. Program smo pokrenuli prije dvije godine i sada ulazimo u fazu replikacije. Postoji funkcionalnost za poslovnice i kontakt centre. Sljedeća godina bit će prilično aktivno posvećena udaljenim kanalima.

Poslovno središte

Povijesno gledano, svaki klijent Sberbanke živio je u vlastitom automatu
bankarski sustav. Sada se udaljavamo od ovog pristupa, prelazeći na internet što je više moguće.
profil klijenta, u glavni sustav.

Ostale važne komponente poslovnog centra su katalog proizvoda; sustav odlučivanja;
izvršavanje end-to-end procesa; i integracijski sloj izgrađen na Kafki i ZeroMQ.

Računovodstvene usluge su odvojene pomoću paradigme računovodstvenog mehanizma, odnosno računovodstva proizvoda
odvojen od računovodstva.

Tvornica podataka

Ovo je novi strateški program. Stavili smo veliki ulog na Hadoop i srodne tehnologije. Postoje određena ograničenja, ali mi ih pokušavamo prevladati. Koristimo klasična rješenja. Također implementiramo rješenja tvrtke Teradata.

Ono što je važno za platformu jest da moramo naučiti prilično učinkovito gurati podatke s razine tvornica hrane na analitičku razinu kako bismo radili vrlo složenu analitiku koju ne možemo raditi online.

Rad s timom

Velik vektor promjena u banci povezan je s izgradnjom bliske interakcije između poslovanja i IT-a u sklopu implementacije Agilea. Zovemo ga Sbergile. S jedne strane se čujemo, s druge strane ovaj pristup unosi više heterogenosti, jer timovi rade paralelno, treba ih nekako sinkronizirati. U ovom slučaju vrlo je važna arhitektonska kontrola. Ali bez zajedničkog fokusa na izgradnju nove platforme, nećemo se nikamo pomaknuti. Uzimajući novi cilj, moramo mu odgovarati.

Platforma je osnova za izgradnju ekosustava

Veliki smjer u našoj strategiji vezan je uz razvoj ekosustava. To su usluge naših podružnica i naših partnera koje moramo razvijati. Opća ideja je dati brzi početak onim stranicama koje će biti dio ekosustava Sberbank.

Jezgra platforme također može dati brz početak, jer se neki od elemenata mogu ponovno koristiti. Govorimo o uslugama kao što su identifikacija, razmjena podataka, API. Ovo su blokovi koji će svima trebati. S druge strane, ako se radi o novom poslu, tada će elementi platforme pomoći u bržem stvaranju rješenja.

Želio bih završiti s citatom Mahatme Gandhija da "budućnost ovisi o onome što radite danas." Pa učinimo to. Idemo ovim putem.

Ova podružnica banke, kao i obično, počela je implementirati sve IT projekte banke i planirala je izlazak na otvoreno tržište. Ali sve je pošlo po zlu. Temelj informacijske tehnologije “najveće banke u istočnoj Europi” treba potpunu reviziju. Nastala 2011. godine, u 7 godina tvrtka nije opravdala očekivanja.

Možete, naravno, pokušati raspravljati s brojevima. Reći da je sada najveći IT poslodavac u zemlji. Više od 10 tisuća programera! Možemo reći da su prihodi porasli u protekloj godini. Ali to je jasan dokaz da je banka počela još više trošiti na IT bez poboljšanja kvalitete usluga.

U lipnju prošle godine izvršna direktorica Alisa Melnikova napustila je tvrtku. Ali to nije puno pomoglo tvrtki. Tijekom cijelog postojanja podružnice i za Sberbank izuzetno važne tvrtke nakupilo se toliko problema da svi počinju topiti matičnu tvrtku.

1. Previše ljudi

Taj je razlog posljedica mješavine gigantomanije iz sovjetske ere i želje pojedinih vrhunskih menadžera da imaju proračune i moć. Ali drugi razlog je taj što desna ruka ne razumije što lijeva ruka radi. Sjećate li se Grefove izvrsne izjave o programerima?

"Danas nam programeri nisu potrebni, imamo ogroman broj programera s kojima se borimo", rekao je German Oskarovich.

Polovica ministarstava i većina tvrtki na tržištu urla i juri za supervrijednim i iznimno potrebnim “bilderima” za digitalnu ekonomiju, kakvi bi programeri trebali biti, a Gref se odlučio s njima obračunati. Tko će ostvariti budućnost? Zašto tvrtka treba toliko ljudi? Isti VTB ili Alpha s Tinkovim troše mnogo manje ljudskih resursa na implementaciju potpuno istih ili čak boljih karakteristika. U isto vrijeme, ljudi se odvlače s tržišta duplim plaćama i obećanjima da će sigurno promijeniti svijet. Ali zapravo se ispostavlja da je to sasvim druga priča. Prema papirima, potrebno je 200 programera i nekoliko mjeseci mukotrpnog rada da se gumb ubaci u CRM.

2. Nema prodora

EFS, PPRB i FD. Tvrtka je ponosna na to i to otvoreno objavljuje na svojoj web stranici. Pogledajmo konkretan primjer. EFS - Jedinstveni frontalni sustav. Što je to?

Jedinstveni frontalni sustav usmjeren je na povećanje razine udobnosti klijenata Sberbank prilikom primanja usluga, kao i na udobnost, brzinu i učinkovitost rada zaposlenika podružnica koji pružaju usluge korisnicima. EFS se temelji na cross-channel. Odakle god korisnik došao - putem aplikacije, preglednika na kućnom računalu, pozivom u call centar ili ured - može nastaviti uslugu kroz bilo koji kanal od trenutka kada je završila zadnja interakcija u bilo kojem od kanala - sustav mora prepoznati profil klijenta. Osim toga, EFS putem vlastitog API-ja omogućuje partnerima prijavu u sustav, kao i integraciju s platformama trećih strana.

Ali danas to može učiniti mnogo usluga! Što vas je spriječilo da završite Bitrix24 ili veliki broj drugih sustava kako biste implementirali ovo što je gore napisano? Ovo nije nekakav prostor. Ovo je stvarnost. Pa da, Sberbank je velika. Ali ne jedini na svijetu. Bilo bi moguće špijunirati druge da to učine kako treba. Potpuno isto s ostalim projektima. Potpuno mršava besmislica se predstavlja kao proboj. A neke od tih “gluposti” još nisu ni stvorene, već postoje samo na papiru.

3. Jednostavno dosadno

Jedan od razloga zašto "sveti agile i scrum" ne funkcioniraju je taj što ih provode određeni ljudi. U Sbertechu je, pod uvjetom anonimnosti, nekoliko kolega iz tvrtke potvrdilo da ponekad jednostavno ne razumiju što rade i kako će to promijeniti svijet. Banci ne treba svih tih 10 tisuća programera u tolikom broju. Pa stoje besposleni. S našim novcem.

4. Nametanje iznimno čudnih funkcija tvrtki

Došlo je do skandala s analitičarem iz Sberbank CIB. Cijela konstrukcija je demontirana. A sada je Gref najavio svoju namjeru da analitičare zamijeni "umjetnom inteligencijom".

Pa to su gluposti! Ali mnogi slušaju otvorenih usta. I očekuju da sada sve napravi Sbertech. Toliko programera! Ali kao što 9 žena neće napraviti dijete u mjesec dana, tako i ovdje – pa nećete ove godine analitičare zamijeniti računalom ili neuronskom mrežom. A sada zamislite koji su to strateški rizici za matičnu tvrtku.

5. Konstantni poremećaji u matičnoj tvrtki

Što reći, čak i ako je na SPIEF-u cijela hrpa insajdera na forumu glasno najavila velike poremećaje u radu Sberbanke. Što je jednostavno šteta. Iz tvrtke to, inače, nisu potvrdili, ali nisu ni demantirali, što neizravno dokazuje istinitost glasina. Ali redoviti kvarovi, blokade računa za prijenos 666 rubalja i slične priče još su jedan dokaz nemoći menadžera. Da, bilo je teško, da, postojala je obična štedionica. Ali nitko vam nije štedio novac i vrijeme za transformaciju. Nadao se da ćeš biti najbolji na svijetu. U međuvremenu se pokazalo da nimalo niste opravdali naše nade.

Sberbank uspješno provodi strateške inicijative čiji je cilj izgraditi tehnološku platformu i transformirati se u tehnološku kompaniju do kraja 2018. godine.

Strateški program “Pouzdanost 99,99”

Sberbank je napravio mnogo posla kako bi osigurao visoku pouzdanost svojih sustava. Među važnim prekretnicama ovog rada je organizacija geo-rezervacije usluga Sberbank kontakt centra; stvaranje jezgre nove visoko pouzdane lokalne računalne mreže; rad korisničkih službi prilikom obavljanja transakcija u online trgovinama, transfera, izdavanja kredita, servisiranja putem udaljenih kanala u Stand-In modu 24 × 7 tijekom incidenata i tehnoloških radova. Zastoj kritičnih automatiziranih sustava u podatkovnom centru South Port ne prelazi 1,6 sati godišnje. Ovaj podatkovni centar certificiran je prema Tier Certification Operational Sustainability programu, Uptime Institute, GOLD razina.

Visoko kritične usluge za prijenos podataka između automatiziranih sustava Sberbanke prebačene su u 99,999% način rada, odnosno zastoj sustava nije duži od 5 minuta godišnje. Time se osigurava kontinuitet pružanja osnovnih usluga privatnim i pravnim osobama.

Sustav Sberbank Online ima pilot blok za zaposlenike, u kojem se nove verzije Sberbank Online testiraju prije velike replikacije, što minimizira rizike i skraćuje vrijeme implementacije.

Program transformacije IT organizacije

Sberbank je uveo end-to-end proizvodni proces i planiranje resursa, čime je pojačan nadzor nad pokretanjem i provedbom projekata te skraćeno prosječno trajanje projekata s 30 na 18 mjeseci. Novi proces za provedbu nedizajniranih zadataka omogućio je smanjenje vremena za njihovu provedbu za 1,9 puta. Povećano je zadovoljstvo internih klijenata, koje je u provedbi informatičke komponente projekata poraslo 3,8 puta, a u provedbi neprojektnih zadataka 3 puta. Sberbank je završio transformaciju svoje IT organizacije. Stvorena je platforma za tehnološku transformaciju.

Program tehnološke transformacije

Sberbank je započeo Agile transformaciju, koja se sastoji od prelaska na fleksibilnu metodu razvoja pod nazivom Sbergile. Sbergile timovi imaju osnovnu automatizaciju, a razvijen je i proces za iterativni razvoj usluge.

Sberbank je stvorio jedinstveni proces za upravljanje operativnom i IT produkcijom, incidentima i tehnološkim standardima.

Broj zaposlenih u funkciji korisničke operativne podrške smanjen je za 13%. Regionalni centri za podršku poslovanju klijenata u Habarovsku i Voronježu su transformirani. Podrška informatičkom radu pruža se u svim vremenskim zonama.

Program “Platforma za podršku razvoju poslovanja (18+)”

Platforma je dizajnirana da postane univerzalni dizajner za izradu poslovnih aplikacija.

Performanse i skalabilnost In-Memory Data Grid arhitekture su praktički potvrđene, konkretno, postignute su visoke performanse od 35 tisuća transakcija u sekundi. Stvoren je jedinstven informacijski prostor u koji su uspješno učitani podaci od 100 milijuna klijenata. Razvijeni su mehanizmi za reviziju, autorizaciju, pristup podacima i skupnu obradu. Uvedene su najvažnije usluge za poslovanje: jedinstveni profil klijenta bloka Građani, jedinstveni katalog proizvoda i tarifa za depozite i bankovne kartice, dinamičko određivanje cijena. Pokrenute su prve tvornice proizvoda: P2P prijenosi, merchant acquiring, depoziti.

Programski tim dobio je status programera open-source zajednice Apache Software Foundation. Programski projekti dobili su priliku za razvoj open-source komponenti niza tehnoloških platformi.

Program "Jedinstveni frontalni sustav".

Cilj Programa je stvoriti jedinstveni standard u svim kanalima korisničke službe.

Glavni naglasak Programa u 2016. godini bio je na povećanju aktivne prodaje privatnim klijentima putem kontaktnog centra, povećanju lojalnosti korporativnih klijenata putem usluge daljinske rezervacije računa bez odlaska u poslovnicu Sberbank te smanjenju troškova usluga vanjskih kontaktnih centara za korporativni klijenti.

S tehničke strane, u tu svrhu, izrađena je objedinjena biblioteka komponenti sučelja osnovnih servisa sustava koje se koriste za izradu korisničkog sučelja. Korištenje knjižnice omogućuje vam povećanje brzine razvoja ekranskih obrazaca za 30–35% i smanjenje troškova njihovog razvoja za 15–20%. Razvijen je niz komponenti otvorenog koda, koje su predstavljene za ponovnu upotrebu i besplatan pristup Internet zajednici. Uveden je cjevovod za automatsku izgradnju aplikacija i pilotira se tehnologija za automatsku implementaciju sustava u svim okruženjima. Korištenje DevOps tehnologije dovest će do značajnog smanjenja vremena izlaska na tržište i omogućit će vam da proizvode plasirate na tržište mnogo puta brže.

Funkcionalnost daljinskog otvaranja računa, platnih projekata i korporativnih kartica prebačena je na novu digitalnu korporativnu platformu. Ovo je prvi korak prema prelasku na Jedinstveni frontalni sustav.

Kreirano je mobilno radno mjesto za agenta izravne prodaje, koje će omogućiti zakazivanje sastanaka i optimizaciju putnih ruta uzimajući u obzir geografski položaj klijenata.

Program je u potpunosti implementiran Agile metodom. Od ideje do otvaranja potrebno je osam tjedana. U sklopu Programa radi više od 90 Agile timova. U 2016. godini uspjeli smo formirati najbolji tim informatičara i poslovnih stručnjaka. Tim se sastoji od više od tisuću zaposlenika iz poslovnih blokova Sberbank i 17 centara kompetencije Sberbank Technologies. Kako bi privukla najbolje stručnjake, Sberbank je održala dan otvorenih vrata i Međunarodni dizajn hackathon.

Program Data Factory

Cilj Programa je osigurati Grupi uvjete za postizanje konkurentne brzine izvođenja novih proizvoda na tržište, monetizacije podataka, povećanja brzine donošenja upravljačkih odluka te smanjenja troškova vlasništva nad podacima. Program je kombinirao aktivnosti na stvaranju podatkovnih usluga i razvoju infrastrukture, uzimajući u obzir aktualne trendove u izgradnji korporativnih skladišta podataka i analitičkih platformi.

Ključni projekti Programa:

• “4D” profil klijenta – povećava potpunost informacija i dubinu povijesti o korporativnom klijentu;
• “Masovna personalizacija” – povećava učinkovitost istoimenih maloprodajnih poslovnih procesa brzim dobivanjem pouzdanih informacija o kupcima na temelju podataka;
• “Boutique Conveyor” – povećava prihode od CIB klijenata skraćujući vrijeme i povećavajući učinkovitost donošenja odluka u pogledu informacija o klijentima;
• projekt Geomarketing 2.0 vanjskim klijentima Sberbanka pruža informacije o gospodarskom potencijalu pojedinih geografskih lokacija.

U sklopu Programa povećane su performanse analitičkog skladišta podataka. Stvoren je novi kritični element arhitekture - podatkovni oblak - to je distribuirana pohrana podataka za naknadnu obradu, u koju se učitavaju prvi podaci iz najvećih sustava Sberbanke - Jedinstvenog korporativnog sustava i Jedinstvenog kreditnog portfelja. Pokrenuto područje eksperimentiranja podataka i testiranja hipoteza modela za poslovne korisnike. Sberbank je uspio smanjiti vrijeme jednokratne dostave podataka na zahtjev odjela Sberbanka na 10 dana (ranije je to razdoblje bilo više od četiri mjeseca).

Program "Centralizacija 3.0"

Cilj Programa je dovršiti centralizaciju krajolika, značajno povećavajući ekonomsku učinkovitost IT sredstava. U 2016. godini u sklopu Programa stavljeno je van upotrebe 682 neciljana automatizirana sustava (prema planu od 410) i dva podatkovna centra. U 2017. godini planira povući iz upotrebe još 270 neciljanih sustava i sedam podatkovnih centara te zamijeniti IT opremu.

Iz ovog razgovora saznat ćete čime se točno bavi Sberbankova IT podružnica Sberbank Technologies, koje Telegram kanale treba čitati stručnjak za Sigurnost aplikacija i zašto ne treba zaboraviti na praksu tijekom obuke.

INFO

Sberbank Technologies (SberTech) je informatička podružnica Sberbanke, osnovana 2011. godine. Sve je počelo s timom od 500 ljudi. To su uglavnom bili informatičari iz Sberbanka koji su prešli raditi u zasebnu informatičku strukturu.

Danas SberTech zapošljava oko 11 tisuća ljudi u šesnaest gradova Rusije. Ključni razvojni centri koncentrirani su u tim gradovima, gdje se okupljaju regionalni timovi IT stručnjaka: Moskva, St. Petersburg, Novosibirsk, Innopolis i tako dalje.

SberTech se bavi razvojem i implementacijom softvera, kao i podrškom postojećim IT sustavima Sberbank. Trenutno je Sberbank jedini klijent tvrtke.

Artem Bachevsky, voditelj razvoja IT sustava u odjelu za sigurnost aplikacija

Recite nam čime se SberTech bavi, na kojim projektima sada radite?

Trenutno je ključni projekt razvoj nove tehnološke platforme za Sberbank. Pretvara poslovni model u ekosustav. Ovaj ekosustav pružat će nefinancijske usluge, povezivati ​​partnere i izvođače, moći će obraditi velike količine podataka u kratkom vremenu te će omogućiti visoke performanse sustava.

Pogledajmo pobliže nefinancijske usluge. O kojim projektima je riječ?

Takvi projekti već postoje jer se ekosustav razvija od 2016. Potpuni prijelaz na novu tehnološku platformu planiran je prije 2020. godine. Sberbank se nastoji udaljiti od pružanja samo financijskih usluga i aktivno stječe partnere. Na primjer, Sberbank-Nekretnine ( LLC "Centar za nekretnine iz Sberbanke" dio je grupe tvrtki Sberbank. - cca. izd.), “Sberbank-Osiguranje”, internetska usluga za pronalaženje liječnika DocDoc i tako dalje. Tako dolazi do transformacije u ekosustav. Kompanije poput Alibabe, Amazona i WeChata slijede sličan put.

“Ekosustav” i “tehnološka platforma” su lijepe riječi, ali volio bih čuti više konkretnosti. Što je bit vaše platforme, što točno razvijate i zašto su te tehnologije izvrsne?

Nova platforma sastoji se od tri ključna programa.

Platforma za podršku razvoju poslovanja- univerzalni alat za izradu poslovnih aplikacija. Banka mora postati Tržište, okupljajući različite alate za postizanje ciljeva svojih klijenata. To zahtijeva temelj - novu platformu: skalabilnu, fleksibilnu, pouzdanu i otvorenu, sposobnu mijenjati u stvarnom vremenu. Razvoj koristi najnovije tehnologije za distribuirano računalstvo u memoriji i pokretanje aplikacija s velikim količinama podataka u stvarnom vremenu - In Memory Data Grid.

Program Data Factory dizajniran za povećanje razine kvalitete, pouzdanosti i dostupnosti podataka za analizu. Zaposlenici banke moći će u potpunosti analizirati i interpretirati podatke bez dodatnih troškova rada za njihovo prikupljanje i usklađivanje. Big Data osigurava rad sa super-nizovima podataka za monetizaciju informacija i analizu ponašanja kupaca i zaposlenika, za prilagodbu strategija za rad s različitim segmentima.

Jedinstveni frontalni sustav- višefunkcionalna platforma, vlastiti razvoj Sberbanke. Alati platforme pružaju besprijekorno međukanalno iskustvo za sve proizvode i usluge. Tehnološki skup omogućuje vam održavanje visokih performansi, pouzdanosti i sigurnosti za korisnike. Osim toga, putem vlastitog API-ja, EFS omogućuje partnerima prijavu u sustav, kao i integraciju s platformama trećih strana.

Sada razgovarajmo o sigurnosti. Artem, reci nam čime se bavi tvoj odjel?

Naš odjel bavi se Sigurnošću aplikacija - sigurnošću aplikacija. Odjel je relativno mlad, star oko dvije i pol godine.
Naša glavna odgovornost je osigurati sigurnost aplikacije. To su uglavnom automatizirani sustavi ključni za banku, ali svi novi mobilni i ključni razvoji također spadaju u naše područje odgovornosti.

Trenutno odjel zapošljava petnaestak ljudi. Konvencionalno se mogu podijeliti u tri tima: tim za testiranje prodora, mobilni pentest i interni razvoj. Tim je okupio djelatnike različitih tehničkih predznanja, uglavnom iz raznih područja informacijske sigurnosti, ali tu su i momci iz IT menadžmenta i razvoja. Zajedno s kolegama iz Sberbanka povećavamo sigurnost sustava koji se razvijaju, održavajući razuman kompromis između poslovnih potreba, korisničke udobnosti i stalno rastućih rizika u području razvoja softvera.

Sve to postižemo zahvaljujući snažnoj stručnosti zaposlenika Sberbanka i SberTecha, kao i zrelom i temeljnom SDL-u (Secure Development Lifecycle), koji uvažava moderne trendove i pristupe (Agile & DevOps) u području razvoja softvera.

Tim web pentester-a bavi se implementacijom različitih praksi, analizom njihovih rezultata i provođenjem samog pentesta. Mobilni pentest tim radi istu stvar, ali za mobilne aplikacije. U banci postoji mnogo mobilnih aplikacija, ovo nije samo Sberbank Online, tu je i Business Online, korporativne usluge i tako dalje.

Kako se gradi ta infrastruktura, spomenuli ste SDL?

Trudimo se izgraditi infrastrukturu na način da nam kolege koji su “u kontekstu koda” pomognu u analizi rezultata skeniranja, pregledu koda i pisanju pravila za SAST (static application security testing). Kao dio inicijative za kontinuirano isporučivanje vrijednosti klijentu, sigurnost aplikacije osiguravamo uvođenjem Sec konteksta u DevOps koji se gradi u Sberbanku i SBT-u, a bez angažmana timova to je jednostavno nemoguće.

Praksa uključivanja programera kroz sigurnosne šampione se jako dobro pokazala. Sigurnosni šampioni su zaposlenici u razvojnim timovima zainteresirani za profesionalni razvoj u području informacijske sigurnosti kako bi se povećala sigurnost sustava i smanjio rizik od ranjivosti. To se postiže povećanjem razine kompetentnosti razvojnih timova AS-a u pitanjima informacijske sigurnosti, repliciranjem sigurnih praksi razvoja aplikacija i smanjenjem trajanja životnog ciklusa greške u informacijskoj sigurnosti.

Također redovito provodimo razne programe podizanja svijesti i obuke. Jednom kvartalno održavamo opću svijest za sve. Imamo obuku o uranjanju u siguran razvoj u Javi. Poanta je da je to ciljni programski jezik u banci, pa je fokus na njemu. Potpuno ista ciljana ronjenja postoje za Android i iOS.

Otprilike koliko sati obuke vaši programeri godišnje dobiju?

Na sigurnosnom planu četrdesetak sati godišnje.

Što mislite koja je uloga obrazovanja danas? Svaki dan se pojavi nešto novo, kako to pratiti?

Podučavamo osnove i ne težimo odmah pretvoriti studente u stručnjake u području kibernetičke sigurnosti. U ovoj fazi dovoljno ih je uključiti u temu i položiti osnovna znanja. Recimo, u kontekstu Jave to će biti prakse sigurnog razvoja web aplikacija, jer se u ovom području puno vrti oko web sigurnosti.

Što specijalist treba učiniti da uvijek „ostane na vrhuncu“?

U najmanju ruku, preporučujem pretplatu na tematske Telegram kanale kako biste ostali u trendu i razumjeli svoje interese u profesiji. Osobno čitam HackerNews, Habrahabr i Hacker. Možete forkirati nešto na GitHubu, isprobati, ocijeniti i onda to možda implementirati. Nije potrebno zaroniti u temu što je dublje moguće, ali svakako morate stalno isprobavati nešto novo.

Također, po mom mišljenju, dobra je praksa sudjelovati u raznim CTF i bug bounty programima. U CTF-u možete kupiti neke vještine, a bug bounty vam omogućuje legalno “testiranje” sigurnosti zanimljivih sustava.

Naravno, učenje je dobro, ali samo učenjem, po mom mišljenju, nećeš daleko stići. Uostalom, bez prakse učenje je bezvrijedno, a iza svakog pravog iskustva prije svega stoji pravi rad.

Vi ste potpuno u pravu. Recite nam nešto o svojim treninzima i osvještavanju, kako se to događa?

Pokušavamo uvesti razne aktivnosti i igrificirati razvojne procese. Na primjer, na konferenciji ZeroNights 2017 predstavili smo captcha-CTF. Bilo je to zanimljivo natjecanje, gdje je svaki izazov captcha s logičkom ili programskom greškom u implementaciji. Pozvali smo sudionike konferencije da pronađu ove ranjivosti, koje omogućuju rješavanje mnogih captcha u kratkom vremenu.

Zadatak je bio jednostavan: trebalo je “riješiti” dvadeset captcha u deset sekundi, a da ih se zapravo ne riješi. Sudionici ne bi trebali sve to upisivati ​​ručno, trebali bi, primjerice, implementirati SQL injekciju tako da ništa ne ovisi o unesenoj vrijednosti. Na primjer, u jednom od zadataka captcha se može riješiti probabilistički - ako stalno upisujete odgovor "5", tada će s vjerojatnošću od 25% captcha biti proslijeđena.

Koja je svrha ovakvog natjecanja? Malo ljudi danas implementira captcha samostalno. Uostalom, postoji gotova i relativno pouzdana reCAPTCHA (ako je pravilno implementirana), ali možete pogriješiti u implementaciji ovog mehanizma. Ako netko ipak odluči implementirati vlastiti captcha, tada će sudjelovanje u takvom natjecanju ostaviti mnogo manje šanse za pojavu ranjivosti, jer bi osoba mogla vidjeti mnoge pogreške tijekom natjecanja. Štoviše, ti se problemi ne odnose samo na captcha: postoji mnogo drugih mehanizama gdje se mogu napraviti slične pogreške.

Ima li SberTech centraliziranu obuku, na primjer, školuju li programere?

Svi zaposlenici imaju priliku učiti: eksterno (tečajevi i događanja), interno (meetupi, hackathoni, redovita razmjena iskustava unutar timova i odjela). Interni i vanjski stručnjaci govore na susretima: primjerice, jedan od posljednjih bio je posvećen kvantnom računalstvu zajedno s IBM-om.

Za studente i ambiciozne profesionalce, SberTech provodi besplatne škole mobilnog razvoja na iOS-u i Androidu, Javi i BPM-u. Pozivamo najbolje studente na rad na temelju njihovih rezultata obuke.

Prijeđimo na praksu i vaš stack. Recite nam od čega se sastoji.

Trudimo se pronaći ranjivosti što je ranije moguće, stoga koristimo SAST (statičko testiranje sigurnosti aplikacije) i DAST (dinamičko testiranje sigurnosti aplikacije) od trenutka kada je napisana prva linija koda. Na temelju jednog popularnog SAST proizvoda, gradimo rješenje koje DevOpsu dodaje sigurnost za mnoge automatizirane sustave koji se razvijaju u SberTechu. Trenutno implementiramo OWASP ZAP u DevSecOps, što će nam omogućiti da razvijemo još sigurnije i pouzdanije aplikacije.

Također tražimo poznate ranjivosti u javnim komponentama. U tu svrhu stvoren je uslužni program koji agregira rezultate drugih sličnih alata (OWASP dependency check, Retire.js), a također skenira izvorni kod, izolirajući iz njega korištene komponente, koje se zatim provjeravaju prema javnim bazama podataka ranjivosti (NIST , CVEdetails).

Kao rezultat ručne analize bugova, akumulirali smo određeni skup podataka uz stručnu procjenu i istrenirali smo model (strojno učenje, koje je sada toliko razvikano), koji određuje šansu da ranjivost bude istinski pozitivna. Ovaj model puno pomaže, jer se barem bavi rangiranjem. Recimo da OWASP provjera ovisnosti ima vrlo nisku stopu lažno pozitivnih rezultata, ali daje vrlo malo rezultata. Naš uslužni program ima veću stopu lažno pozitivnih rezultata, ali zahvaljujući rangiranju i mnogo većem broju rezultata, ponekad uhvatimo ranjivosti koje drugi alati nisu prethodno otkrili.

Za sustave gdje je primjenjivo, koristimo fuzzing - gradimo model uljeza i model prijetnje za sve sustave. Također pregledavamo kod, točnije njegove kritične dijelove. I naravno, provodimo testiranje prodora.

Programere ne ostavljamo same s greškama, već s njima prolazimo kroz cijeli životni ciklus greške, savjetujemo ih o uklanjanju i testiramo nakon ispravki.

I reći ću vam nešto više o razvoju unutar našeg odjela. U nekom smo trenutku shvatili da je upravljanje SDL procesom nemoguće bez Secure Application Lifecycle Manager. Uzimajući u obzir specifične specifičnosti banke (mnogi automatizirani sustavi od kojih svaki ima svoj “zoološki vrt” tehnologija i praksi), bilo je očito da moramo napisati nešto svoje.

Stoga smo kreirali proizvod koji koncentrira sve procese implementacije SDL-a i održavanja kontinuiteta procesa, upravljanja tokovima podataka (informacijska sigurnost i srodno). Pohranjuje sve podatke prikupljene kao rezultat različitih praksi i omogućuje vam da njima upravljate, automatski "razvijajući" neke radnje za njihovu glatku replikaciju. Također distribuira bugove kroz razne alate za praćenje problema i pruža sučelja za analizu bugova pomoću naših alata. Sve to osigurava izgradnju SDL-a i učinkovitu interakciju s timovima.

Alisa Melnikova, Generalna direktorica SberTecha prilično je ležerno izjavila da je "tvrtka na čijem je čelu krajem godine postala najveći programer softvera u Ruskoj Federaciji s prihodom od 15,2 milijarde rubalja (porast od 46%) i osobljem od 6515 ljudi u odnosu na 5300 ljudi u 2014."

SberTech je uzburkao IT tržište

SberTech je podružnica Sberbanka i bavi se razvojem i implementacijom softvera za ovu banku. Mnoge ruske IT tvrtke već dugo ne vole ovog dobavljača. Nekoliko je razloga za to. Prvo, veliki integratori kao što su CROC ili Lanit sada opskrbljuju Sberbank samo hardverskim rješenjima i strogo su isključeni iz softvera.

Drugo, SberTech poput usisavača izvlači programere s tržišta, nudeći im bitno bolje uvjete rada. Ne postoji niti jedna IT tvrtka u Ruskoj Federaciji ili Bjelorusiji koja zbog njega ne bi izgubila zaposlenike. Ne postoji niti jedna banka iz koje nisu otišli vrhunski rukovoditelji IT bloka.

Treće, nakon što je krajem 2015. pušten u rad projekt “English Channel” (bezpapirni srednji ured na platformi Pega PRPC za 40 tisuća korisnika), HP, Canon, Xerox i ostali dobavljači printera počeli su imati veliki problem s ih. Ako se ranije jednom tjedno u središnji ured banke u Moskvi dostavljao cijeli kamion papira, sada je dovoljna i Gazela. I to samo za potpisivanje ugovora s klijentima.

Otvoreni kod i vlastiti razvoj su prioritet

I na kraju, ono što je zanimljivo programerima, SberTech je u potpunosti prešao na open-source i vlastiti razvoj. Uz pomoć ovog skupa alata u skoroj budućnosti potrebno je riješiti tri velika zadatka: stvaranje jedinstvenog front-end sustava (UFS) za razvoj kanala korisničke službe, platformu za podršku razvoju poslovanja i pokretanje tvornice podataka koja se temelji na BigData tehnologijama.

Konferencija 6. veljače bila je posvećena detaljnijoj analizi projekta ESF. Zašto je Sberbank to trebao provesti? Zašto bi čelnici banke trebali govoriti na njemu pred programerima? Odgovor je dao top menadžer Sberbanke Vadim Kulik, koji nadzire IT i upravljanje rizicima banke.

Prema njegovim riječima, banka je dugo bila pokusni kunić korporacije Oracle. Nigdje drugdje nemaju tako veliku instalaciju baze podataka ovog dobavljača s takvim opterećenjem na recepciji. Pri takvom opterećenju i razmjerima, "toliko žohara" gmiže iz ove baze podataka da je nejasno tko bi kome trebao platiti licence.

Kao odgovor na ovaj i mnoge druge izazove, SberTech je počeo razvijati vlastite kompetencije. To uključuje naš vlastiti razvoj i kupnju startupa. Primjerice, to je GridGain, specijaliziran za razvoj softvera za obradu velikih količina podataka u RAM-u u stvarnom vremenu (In-Memory Computing, IMC tehnologija).

U isto vrijeme, GridGain razvija distribuiranu računalnu platformu otvorenog koda u Javi, distribuiranu pod licencama LGPL i Apache 2.0. Ova činjenica, kako kažu, omogućuje "uvoznu zamjenu", na primjer, takvog vlasničkog njemačkog rješenja kao što je SAP HANA s uspjehom i minimalnim financijskim ulaganjima. Dakle, ako fintech startupovi imaju što pokazati, hitno moraju potražiti gdje se nalazi Sberbank.

Što se tiče prednje strane, odabran je put objedinjavanja i centralizacije svih brojnih proizvoda u jedan kako za vlastite operatere tako i za klijente s praktičnim sučeljem za sve uređaje. U mjerilu Sberbanka to je doista kolosalan posao. Donedavno je promjena, na primjer, diskontne stope Središnje banke Ruske Federacije u svim sustavima trajala do 3 mjeseca. Po ovoj stopi lako možete izgubiti u konkurenciji iste Tinkoff banke.

Sberbank je jednak Amazonu ili Googleu

Cilj je postići gotovo online lansiranje proizvoda na tržište zahvaljujući EFS-u i isti online odgovor na tržišne promjene zahvaljujući BI i BigData baziranim na SOA integracijskoj sabirnici, za razliku od tradicionalnih bankarskih core banking sustava i ERP-a. To, prema top menadžmentu, stavlja Sberbank u rang ne s financijskim institucijama, već s tehnološkim divovima kao što su Amazon ili Google. Barem u Rusiji. Pritom ne smijemo zaboraviti da je banka ranjiva na zapadne sankcije – stoga je naglasak na njezinu razvoju. I zato mu pristupi Tinkoff banke baš i ne odgovaraju.

Ta činjenica tjera SberTech da usisavač uključi na novi način i potraži programere mentalno dorasle tim izazovima. Kako su napomenuli govornici, informatičari koji rade u bankama su zatvoreni i ne žele nepotrebne promjene. Stoga su se oči regrutera okrenule prema Yandexu i sličnim.

Ali oni također nisu stranci, spremni su zadržati stručnjake pod svaku cijenu. Stoga je SberTech spreman razmotriti kandidate za “juniore” i otvara vlastitu školu za obuku programera u Javi i JavaScriptu (o PHP-u nije rečeno ni riječi). Na okruglim stolovima bilo je dosta riječi o developerima sučelja i layout dizajnerima. Ispostavilo se da u Ruskoj Federaciji na tržištu praktički nema velikih stručnjaka u ovom području, posebno u mobilnom.

Konferencija je trajala cijeli dan uz brojne okrugle stolove. Nije moguće sve ukratko opisati, organizatori konferencije obećali su objaviti video događaja za sve zainteresirane. I sve se vrtjelo oko ESF-a! Ali paralelno se razvijaju još dva megaprojekta, koja su gore opisana. Čini se da ovim tempom SberTech može sustići velike američke dobavljače.