Por que os mainframes ainda são importantes na era digital dos bancos – Entrevista com Jennifer Nelson

Jennifer Nelson é CEO da izzi Software.

Descubra as principais notícias e eventos de fintech!

Inscreva-se na newsletter do FinTech Weekly

Lida por executivos do JP Morgan, Coinbase, Blackrock, Klarna e mais

Em uma indústria obcecada com a mais nova onda de tecnologia, é fácil esquecer que alguns dos pilares mais fortes na infraestrutura financeira permanecem há décadas. Enquanto a inovação em fintech muitas vezes é vista como uma corrida rumo ao futuro, a espinha dorsal do sistema bancário global permanece silenciosamente ancorada em sistemas que muitos erroneamente descartam como relíquias: o mainframe.

Isso não é apenas uma questão de nostalgia ou inércia corporativa. Os mainframes ainda processam a maior parte das transações financeiras do mundo, com uma confiabilidade e escala incomparáveis por muitas plataformas mais novas. Sua capacidade de lidar com volumes vastos de dados em tempo real, sem comprometer a segurança, os torna indispensáveis em um sistema financeiro que depende tanto de velocidade quanto de confiança.

No entanto, por mais que desempenhem um papel crítico, os mainframes muitas vezes são mal compreendidos. No clima atual, onde “nuvem em primeiro lugar” é o mantra padrão, pode parecer contraintuitivo defender tecnologias mais antigas. Mas chamar o mainframe de sistema legado simplifica demais uma verdade muito mais complexa. Para entender por quê, precisamos examinar o equilíbrio entre sistemas tradicionais e a modernização rumo a infraestruturas híbridas.

O Caso da Modernização com Cautela

Instituições financeiras estão sob pressão incessante para se modernizar. Investidores, clientes e reguladores esperam serviços digitais integrados, segurança reforçada e desempenho cada vez mais rápido. Para muitos líderes, a tentação é perseguir a mudança de forma agressiva — abandonar sistemas antigos e migrar totalmente para a nuvem.

Mas modernizar não é simplesmente um projeto técnico. É uma iniciativa estratégica que carrega riscos quando feita de forma precipitada. Dados que permanecem seguros dentro de um ambiente de mainframe há décadas tornam-se expostos no momento em que são transferidos para outro lugar. Aplicações otimizadas para o mainframe podem falhar na migração, resultando em problemas de latência caros. Esses riscos não são apenas hipotéticos — ameaçam operações diárias, conformidade regulatória e até a confiança do consumidor.

A lição é clara: a verdadeira modernização não consiste em eliminar o antigo em favor do novo. Trata-se de integrar pontos fortes, fazer atualizações de forma gradual e garantir que o próximo passo não desestabilize o que já funciona.

Uma Lacuna de Habilidades com Consequências Reais

A tecnologia evolui mais rápido do que a expertise necessária para mantê-la. Não há lugar mais evidente para isso do que no espaço dos mainframes. Durante anos, bancos e instituições financeiras confiaram em um grupo de engenheiros com profundo conhecimento institucional dos sistemas IBM Z e plataformas relacionadas. À medida que muitos desses especialistas se aposentam, a próxima geração ainda não substituiu completamente suas habilidades.

Isso cria um desafio sério. Uma equipe de expertise limitada aumenta o risco de erros caros, mesmo quando há proteções em vigor. A resiliência dos mainframes não consegue compensar totalmente o fator humano. Até que novos engenheiros sejam treinados e orientados, os bancos enfrentarão vulnerabilidades não por causa da tecnologia em si, mas por causa do número reduzido de profissionais que sabem usá-la com segurança.

Segurança Ainda Depende das Pessoas

Quando surgem conversas sobre cibersegurança, grande parte do foco está em ferramentas e defesas. No entanto, muitas vezes, as verdadeiras fraquezas vêm do comportamento humano. No mundo dos mainframes, isso frequentemente se resume a como as permissões são concedidas, gerenciadas e revogadas.

Desenvolvedores que não compreendem totalmente as implicações de permissões elevadas podem deixar portas abertas, não por maldade, mas por treinamento incompleto ou conveniência. Empresas que não atualizam o acesso quando funcionários mudam de função podem expor dados sensíveis desnecessariamente. Mesmo com tecnologia sofisticada, os princípios básicos de higiene de segurança permanecem essenciais — e muitas vezes são negligenciados.

Apresentando Jennifer Nelson

Para contextualizar esses desafios e oportunidades, buscamos Jennifer Nelson, CEO da Izzi Software. Nelson construiu sua carreira em torno de sistemas mainframe, passando 15 anos na Rocket Software e cinco anos na BMC antes de ampliar sua perspectiva por meio de cargos de engenharia sênior fora do ecossistema IBM Z. Em 2024, ela fundou a Izzi Software, uma empresa dedicada a adquirir e expandir negócios de software baseados nas plataformas IBM Z e IBM Power.

Seu ponto de vista — que abrange engenharia tradicional de mainframes e liderança em software moderno — faz dela uma voz rara na conversa de hoje sobre estratégia tecnológica em serviços financeiros.

Aproveite a entrevista!

1. Como fintechs, que correm em direção ao nativo na nuvem, você argumentou que o mainframe continua sendo fundamental para a estabilidade do sistema bancário global. O que você acha que a maioria dos inovadores erra sobre o papel de sistemas mais antigos hoje?

A primeira coisa que eles erram é chamar o mainframe de sistema legado; que, por terem sido lançados há mais de 60 anos, estão de alguma forma obsoletos. Isso é como chamar o sistema operacional Windows de uma plataforma legado. Não é a realidade. Mainframes são mais relevantes hoje do que quando foram inventados.

Todo mundo quer dados na velocidade da luz. Querem que os dados retornem assim que pressionam o botão, não importa onde esses dados estejam. E com razão, porque o consumidor final não saberia, e não deveria precisar saber, as complexidades de sua solicitação, como onde os dados estão. Mas só os mainframes podem oferecer desempenho e segurança em um ambiente híbrido.

Mainframes podem ingerir dados de qualquer lugar onde estejam, analisá-los e reportar de volta, com recomendações, melhor do que qualquer outra plataforma, e mais rápido. Mostre-me outro sistema que possa ingerir dados de toda uma rede global, analisá-los, detectar anomalias em tempo real e enviá-los de volta ao chamador.

Quem conhece seus dados melhor vence, porque dados são tão preciosos quanto capital em dinheiro. Quando inovadores descartam mainframes como sistemas legados, estão descartando sua velocidade, potência e a capacidade de processar quantidades massivas de dados na velocidade necessária para detecção de riscos em tempo real.

As pessoas pensam que a nuvem foi revolucionária e moderna, e que os mainframes estão desatualizados em comparação. O conceito de computação em nuvem através de uma rede é de fato moderno e revolucionário para muitos. Mas, se você conhece a tecnologia de mainframe, perceberá que ela possui muitas das mesmas características da nuvem. Por exemplo, ao fazer login no mainframe, você está acessando o TSO, abreviação de “opção de compartilhamento de tempo”. Você tem sua própria sessão TSO, ou instância do Microsoft Teams.

Todos usam os mesmos processadores no mainframe. Mas, quando você não está executando um programa ou trabalho em lote, a capacidade é disponibilizada para quem precisa. Você também faz login em uma LPAR, ou partição lógica, completa com armazenamento dedicado, segurança e privacidade. Usuários em uma LPAR não podem acessar dados de outra LPAR, a menos que configurado especificamente para isso. Isso é o que a nuvem é na essência; compartilhar recursos quando não estão sendo usados e proteger dados dedicados à sua instância. Mas o mainframe já usa esses conceitos há anos.

2. Infraestrutura híbrida — combinando mainframes com camadas de nuvem mais novas — está se tornando a norma. Com base na sua experiência, quais são os fatores de risco reais introduzidos quando organizações tentam modernizar de forma rápida ou superficial?

Dos múltiplos fatores de risco, posso resumir em dois.

O primeiro risco é o consumo de dados. Os dados em um mainframe são alguns dos mais seguros de qualquer lugar. Quando você os retira do mainframe ou os torna visíveis para alguém que os ingere, há um risco à privacidade e à regulamentação dos dados. Quem está olhando? Para onde eles vão quando deixam o mainframe?

O segundo risco está na otimização de aplicações para rodar em um ambiente híbrido. Aplicações otimizadas para o mainframe podem acabar rodando de forma subótima em outro servidor. Problemas de latência e desempenho podem prejudicar a produtividade.

3. Você levantou o alerta sobre uma lacuna de habilidades em expertise de mainframe. Quão grave é o risco institucional quando menos engenheiros sabem operar e proteger os sistemas dos quais as instituições financeiras ainda dependem?

O risco é severo. Desenvolvedores mais novos — não apenas mais jovens, mas aqueles novos na indústria — irão aprender e desenvolver suas habilidades. Mas até que a próxima geração alcance o nível necessário, haverá uma exposição nas instituições financeiras por algum tempo, quando o conhecimento institucional não for tão profundo quanto deveria.

Profissionais com experiência superficial ou conhecimento limitado podem, inadvertidamente, causar riscos aos dados ou ao sistema operacional. Esses sistemas são resilientes e possuem várias camadas de proteção contra erro humano, mas ainda há um risco considerável até que as habilidades estejam no nível adequado. Os bancos já enfrentam essa lacuna de habilidades hoje.

4. Conversas sobre segurança muitas vezes focam em ferramentas, mas você apontou que as pessoas ainda são a linha de frente. Quais pontos cegos operacionais você viu emergir com mais frequência na gestão de ambientes mainframe?

Gerenciar ambientes relevantes geralmente gira em torno de permissões elevadas. Quando um engenheiro de software está escrevendo código, às vezes precisa de uma permissão elevada para fazer algo específico no sistema operacional, onde pode habilitar o programa para fazer algo mais sensível. Se o engenheiro não entende completamente as melhores práticas ao escrever software, não saberá quando entrar ou sair desse estado autorizado elevado. Esse estado traz mais risco, então os engenheiros não permanecem nele por muito tempo, para entender melhor as melhores práticas ao desenvolver para esse sistema.

Existem também algumas práticas fundamentais de segurança a serem usadas em qualquer rede de TI. Quando você concede autorização especial a alguém em uma função específica, precisa de um processo claro para remover essa autorização quando ele muda de função, garantindo que o acesso seja revogado. Muitas vezes, isso não é um problema, se a pessoa ainda for funcionária da empresa ou não for um ator malicioso. Mas há sempre um risco ao deixar dados sensíveis acessíveis a pessoas que não precisam mais deles.

Além disso, conjuntos de dados a nível de sistema do mainframe permitem que usuários façam coisas fundamentais no sistema. Você só quer que certos usuários tenham acesso a essas funções. Por exemplo, certos controles de segurança só podem ser ativados nos níveis mais profundos do sistema operacional. Você ficaria surpreso com a frequência com que empresas deixam princípios básicos de segurança de lado. Existem maneiras de engenheiros fazerem seu trabalho sem acesso a esses recursos de nível raiz, mas é mais fácil trabalhar com esse nível de acesso, então as empresas deixam a porta dos fundos mais aberta do que deveriam.

A maioria dos funcionários pode ser confiável, mas esses são princípios fundamentais que algumas instituições financeiras deixam de lado e esquecem.

5. Ataques de ransomware estão mirando não apenas endpoints, mas a infraestrutura central. O que torna os sistemas legados vulneráveis — e, em alguns casos, mais resilientes — do que plataformas mais novas?

Mainframes possuem camadas de segurança embutidas que a maioria dos servidores simplesmente não tem. Só porque você consegue fazer login no mainframe, não significa que tenha acesso aos dados críticos de negócio, que é o que o ransomware normalmente bloqueia. Você precisa saber onde os dados estão e como acessá-los. E os dados podem estar compartimentados, de modo que um invasor só tenha acesso a um segmento, e não a tudo que precisa para um ataque de ransomware bem-sucedido. E se você não tem acesso ao dispositivo de armazenamento, não consegue ver os dados nele.

6. Com base na sua experiência, como uma modernização eficaz realmente se parece para instituições financeiras que não podem simplesmente “rasgar e substituir”, mas precisam estar preparadas para o futuro?

Modernizar significa coisas diferentes para empresas diferentes, dependendo de onde estão com suas aplicações. Seja B2B ou B2C, as empresas estão continuamente modernizando, atualizando servidores e laptops.

O mesmo acontece com aplicações críticas de negócio. Uma empresa pode atualizar essas aplicações periodicamente, mas, como aplicações tradicionais de mainframe foram desenvolvidas há gerações, a melhor coisa que as empresas podem fazer é avaliar completamente o que cada aplicação faz de ponta a ponta. Assim, podem planejar sua modernização em etapas gerenciáveis.

As empresas podem dividir uma aplicação em partes, quebrando-a em pedaços para que diferentes funcionalidades sejam atualizadas e reescritas lentamente ao longo do tempo, de forma acessível. Se você encarar a modernização como um processo contínuo, a vontade de melhorar e iterar se torna constante.

Líderes devem sempre ter uma mentalidade proativa. As perguntas devem ser: “O que podemos fazer agora? O que podemos conter neste ano? O que podemos conter nos próximos dois anos?” Essa é uma abordagem melhor do que “como reescrever tudo isso?”

Você precisa iterar nos sistemas e construí-los ao longo do tempo. Comece reescrevendo uma funcionalidade de uma aplicação crítica, depois adicione as demais funcionalidades conforme puder. Faça mudanças em etapas pequenas.

Rasgar e substituir é uma opção. Parece radical e brutal, mas tudo o que realmente significa é parar de usar um sistema para usar outro. Mas a liderança precisa estar disposta a uma mudança grande de uma vez, e aprovar o orçamento. A verdade é que é mais uma questão de “substituir”, porque pode levar anos para concluir o procedimento.

7. Para líderes de tecnologia que vêm de uma mentalidade de prioridade à nuvem, o que você diria que é a mudança mais importante no modo de pensar ao lidar com sistemas mainframe de missão crítica?

Aprenda o que o mainframe realmente está fazendo. O Juramento de Hipócrates diz para primeiro não causar dano, então aprenda pelo que o mainframe é responsável para evitar erros prejudiciais. Uma vez que quem tem uma mentalidade de prioridade à nuvem compreenda a totalidade das transações que entram no mainframe, a natureza dessas transações e quanto a receita da empresa depende delas, eles entenderão e saberão como evitar prejudicar o desempenho e a lucratividade da companhia.

Sobre Jennifer Nelson

Jennifer Nelson passou a maior parte de sua carreira no espaço de mainframes, incluindo 15 anos na Rocket Software e cinco anos na BMC. Em 2019, ela migrou para cargos de engenharia sênior em empresas globais de tecnologia fora do ecossistema Z Systems, ampliando sua perspectiva e habilidades. No início de 2024, Nelson começou a estabelecer as bases para o que viria a ser a Izzi Software, uma empresa focada em adquirir e expandir negócios de software construídos nas plataformas IBM Z e IBM Power.