Почему мейнфреймы по-прежнему важны в цифровую эпоху банковского дела – интервью с Дженнифер Нельсон

Дженнифер Нельсон — генеральный директор izzi Software.

Откройте для себя лучшие новости и события финтеха!

Подпишитесь на рассылку FinTech Weekly

Читают руководители JP Morgan, Coinbase, Blackrock, Klarna и других компаний

В индустрии, одержимой новой волной технологий, легко забыть, что некоторые из самых прочных опор финансовой инфраструктуры существуют десятилетиями. Хотя финтех-инновации часто представляют как гонку к будущему, основа глобального банковского дела тихо остается закрепленной в системах, которые многие ошибочно считают реликвиями: мейнфреймах.

Это не просто вопрос ностальгии или корпоративной инерции. Мейнфреймы по-прежнему обрабатывают основную часть мировых финансовых транзакций, обладая надежностью и масштабом, недостижимыми для многих новых платформ. Их способность обрабатывать огромные объемы данных в реальном времени, не компрометируя безопасность, делает их незаменимыми в финансовой системе, которая зависит как от скорости, так и от доверия.

Тем не менее, несмотря на их критическую роль, мейнфреймы часто неправильно понимают. В современном климате, где «облако — в первую очередь» — основной мантра, может казаться противоинтуитивным защищать старые технологии. Но называние мейнфрейма наследием упрощает гораздо более сложную правду. Чтобы понять почему, нужно рассмотреть баланс между наследственными системами и современным движением к гибридной инфраструктуре.

Аргументы за модернизацию с осторожностью

Финансовые учреждения находятся под постоянным давлением на модернизацию. Инвесторы, клиенты и регуляторы ожидают бесшовных цифровых сервисов, усиленной безопасности и все более высокой производительности. Для многих руководителей соблазн — активно внедрять изменения — избавляться от старых систем и полностью переходить в облако.

Но модернизация — это не просто технический проект. Это стратегическая задача, которая несет риски при поспешных действиях. Данные, которые десятилетиями хранились безопасно внутри среды мейнфрейма, становятся уязвимыми в момент их переноса. Приложения, оптимизированные для мейнфрейма, могут столкнуться с проблемами при миграции, что приведет к дорогостоящим задержкам. Эти риски — не гипотетические, они угрожают ежедневной работе, соблюдению регуляторных требований и даже доверию потребителей.

Вывод ясен: истинная модернизация — это не о том, чтобы вырвать старое и заменить новым. Это о том, чтобы интегрировать сильные стороны, аккуратно поэтапно обновлять системы и не допускать, чтобы следующий шаг разрушил уже работающее.

Разрыв в навыках с реальными последствиями

Технологии развиваются быстрее, чем растет экспертиза по их обслуживанию. Особенно это заметно в области мейнфреймов. Годы банки и финансовые учреждения полагались на команду инженеров с глубокими знаниями систем IBM Z и связанных платформ. По мере выхода на пенсию многих из этих специалистов, новое поколение еще не полностью заменило их навыки.

Это создает серьезную проблему. Недостаток экспертизы увеличивает риск дорогостоящих ошибок, даже при наличии защитных мер. Надежность мейнфреймов не может полностью компенсировать человеческий фактор. Пока новые инженеры не пройдут обучение и наставничество, банки столкнутся с уязвимостями не из-за самой технологии, а из-за сокращающегося числа специалистов, умеющих безопасно ее использовать.

Безопасность по-прежнему зависит от людей

Когда речь заходит о кибербезопасности, основное внимание уделяется инструментам и защите. Но снова и снова истинные слабые места — в поведении человека. В мире мейнфреймов это часто связано с тем, как предоставляются, управляются и отменяются разрешения.

Разработчики, не полностью понимающие последствия повышенных разрешений, могут оставить двери открытыми, не из злого умысла, а из-за неполного обучения или удобства. Компании, не обновляющие доступ при смене ролей сотрудников, могут ненамеренно раскрывать чувствительные данные. Даже при наличии сложных технологий основы безопасности остаются важными — и слишком часто их игнорируют.

Представляем Дженнифер Нельсон

Чтобы понять эти вызовы и возможности, мы обратились к Дженнифер Нельсон, генеральному директору Izzi Software. Нельсон построила свою карьеру вокруг систем мейнфреймов, проведя 15 лет в Rocket Software и пять лет в BMC, расширяя свой взгляд через руководящие инженерные роли за пределами экосистемы IBM Z. В 2024 году она основала Izzi Software — компанию, посвященную приобретению и развитию бизнесов, построенных на платформах IBM Z и IBM Power.

Ее точка зрения — охватывающая как традиционную инженерную работу с мейнфреймами, так и современное руководство по программному обеспечению — делает ее редким голосом в сегодняшней дискуссии о стратегии технологий в финансовых услугах.

Приятного интервью!

1. В то время как финтех мчится к облачно-нативным решениям, вы утверждаете, что мейнфрейм остается важным для стабильности глобального банковского сектора. Что, по вашему мнению, большинство новаторов неправильно понимает о роли старых систем сегодня?

Первое — это то, что они называют мейнфрейм наследием; что, поскольку он запущен более 60 лет назад, он якобы устарел. Это как называть операционную систему Windows наследием. Это не соответствует реальности. Мейнфреймы сегодня более актуальны, чем при их создании.

Все хотят получать данные со скоростью света. Они хотят, чтобы данные возвращались мгновенно после нажатия кнопки, независимо от того, где эти данные находятся. И это правильно, потому что конечный пользователь не должен знать и не обязан знать сложности своего запроса, такие как расположение данных. Но только мейнфреймы могут обеспечить такую производительность и безопасность в гибридной среде.

Мейнфреймы могут принимать данные в любом месте, анализировать их и возвращать с рекомендациями — лучше и быстрее, чем любая другая платформа. Покажите мне другую систему, которая может принимать данные из глобальной сети, анализировать их, обнаруживать аномалии в реальном времени и отправлять обратно вызывающему.

Тот, кто лучше знает свои данные, побеждает, потому что данные так же ценны, как денежный капитал. Когда новаторы отвергают мейнфреймы как наследие, они отвергают их скорость и мощь, а также способность обрабатывать огромные объемы данных в режиме реального времени для обнаружения рисков.

Люди думают, что облако — это революция и современно, а мейнфреймы устарели. Концепция облачных вычислений по сети действительно современна и революционна для многих. Но если вы знакомы с технологиями мейнфреймов, вы заметите, что они имеют много схожих характеристик с облаком. Например, при входе в мейнфрейм вы входите в TSO, что означает «time sharing option». У вас есть собственная сессия TSO, или «экземпляр» Microsoft Teams.

Вы все используете одни и те же процессоры на мейнфрейме. Но когда вы не запускаете программу или пакетную работу, ресурсы предоставляются тем, кто в них нуждается. Вы также входите в LPAR, или логический раздел, с выделенным хранилищем, безопасностью и конфиденциальностью. Пользователи одного LPAR не могут получить доступ к данным другого, если специально не настроено иначе. Это и есть ядро облака: совместное использование ресурсов, когда они не используются, и защита данных, выделенных под ваш экземпляр. Но эти концепции мейнфрейм использует уже много лет.

2. Гибридная инфраструктура — сочетание мейнфреймов с новыми облачными слоями — становится нормой. По вашему опыту, какие реальные риски возникают, когда организации пытаются слишком быстро или поверхностно модернизировать системы?

Из множества рисков я могу выделить два.

Первый риск — потребление данных. Данные на мейнфрейме — одни из самых защищенных. Когда вы переносите их или делаете видимыми для тех, кто их обрабатывает, появляется риск нарушения конфиденциальности и соответствия регуляциям. Кто их просматривает? Куда они уходят после выхода из мейнфрейма?

Второй риск — оптимизация приложений для работы в гибридной среде. Приложения, оптимизированные для мейнфрейма, могут работать неэффективно на другом сервере. Задержки и проблемы с производительностью могут снизить продуктивность.

3. Вы подняли тревогу по поводу разрыва в навыках работы с мейнфреймами. Насколько серьезен институциональный риск, когда меньше инженеров умеют управлять и обеспечивать безопасность систем, от которых все еще зависит финансовый сектор?

Риск очень серьезен. Новые разработчики — не только молодые, но и те, кто недавно вошел в индустрию — учатся и развивают свои навыки. Но пока следующее поколение не догонит, у финансовых институтов будет некоторое время уязвимости из-за недостаточной глубины институциональных знаний.

Люди с поверхностным опытом или знаниями могут случайно причинить риск для данных или операционной системы. Эти системы устойчивы и имеют несколько уровней защиты от человеческих ошибок, но риск все равно есть, пока навыки не достигнут нужного уровня. Банки уже сегодня борются с этим разрывом в навыках.

4. В разговорах о безопасности часто фокусируются на инструментах, но вы указываете, что люди — это все же фронт. Какие операционные слепые зоны вы видели чаще всего в управлении мейнфрейм-средами?

Управление средами обычно связано с повышенными разрешениями. Когда разработчик пишет код, иногда ему нужны повышенные права для выполнения определенных операций в ОС, чтобы активировать более чувствительные функции. Если разработчик неправильно понимает лучшие практики, он может оставить двери открытыми, не из злого умысла, а из-за неполного обучения или удобства. Компании, не обновляющие доступ при смене ролей, могут ненамеренно раскрывать чувствительные данные. Даже при наличии сложных технологий основы безопасности остаются важными — и их часто игнорируют.

Также есть базовые принципы безопасности, которые нужно соблюдать в любой ИТ-сети. Когда вы даете кому-то особое разрешение на определенную роль, необходимо иметь четкий процесс его удаления при смене роли, чтобы исключить доступ. Обычно это не проблема, если человек все еще сотрудник или не является злоумышленником. Но всегда есть риск, когда чувствительные данные остаются доступными тем, кому они больше не нужны.

Кроме того, системные наборы данных мейнфрейма позволяют пользователям выполнять базовые операции с системой. Только определенные пользователи должны иметь доступ к этим функциям. Например, некоторые настройки безопасности можно менять только на более глубоком уровне ОС. Вы будете удивлены, как часто компании оставляют базовые принципы безопасности без внимания. Есть способы выполнять работу без доступа к этим корневым ресурсам, но проще работать с этим уровнем доступа, поэтому компании оставляют «заднюю дверь» открытой больше, чем следовало бы.

Большинство сотрудников можно доверять, но эти фундаментальные принципы некоторые финансовые учреждения оставляют без внимания.

5. Атаки программ-вымогателей нацелены не только на конечные точки, но и на ядро инфраструктуры. Что делает наследственные системы особенно уязвимыми — и, в некоторых случаях, более устойчивыми — по сравнению с новыми платформами?

Мейнфреймы имеют встроенные уровни безопасности, которых у большинства серверов нет. Просто потому, что вы можете войти в мейнфрейм, не означает, что у вас есть доступ к бизнес-критическим данным, которые обычно блокируют ransomware. Вам нужно знать, где находятся данные, и как к ним получить доступ. А данные могут быть разделены на сегменты, так что злоумышленник получит доступ только к части данных, а не ко всему, что ему нужно для успешной атаки. И если у вас нет доступа к устройству хранения, вы не увидите данные на нем.

6. По вашему опыту, как выглядит эффективная модернизация для финансовых институтов, которые не могут позволить себе «рвать и заменять», но должны подготовиться к будущему?

Модернизация — это разное для разных компаний, в зависимости от того, на каком этапе они находятся с приложениями. Будь то B2B или B2C, компании постоянно обновляют серверы и ноутбуки.

То же самое касается критически важных бизнес-приложений. Компания может периодически их обновлять, но поскольку традиционные приложения мейнфреймов создавались много поколений назад, лучшее, что могут сделать компании — полностью оценить, что делает каждое приложение от начала до конца. Тогда они смогут поэтапно внедрять модернизацию.

Компании могут разбивать приложение на части, постепенно обновляя и переписывая функции по мере возможности. Если рассматривать модернизацию как непрерывный процесс, желание улучшать и совершенствовать становится постоянным.

Руководители должны всегда иметь проактивный подход. Вопросы должны быть: «Что мы можем сделать сейчас? Что мы можем включить в этот год? Что — в следующие два года?» Это лучше, чем «как полностью переписать это всё?»

Нужно постепенно развивать системы, добавляя новые функции поэтапно. Начинайте с переписывания одной функции критически важного приложения, затем добавляйте остальные по мере возможности. Постепенно внедряйте изменения.

Рвать и заменять — один из вариантов. Звучит жестко и радикально, но на самом деле это просто прекращение использования одной системы в пользу другой. Руководство должно быть готово к крупным изменениям и одобрить бюджет. На самом деле, это скорее «замена», потому что процесс может занять годы.

7. Для технологических руководителей, привыкших к облачно-ориентированному мышлению, что, по вашему мнению, самое важное изменение в подходе к работе с критически важными системами мейнфрейм?

Понять, что на самом деле делает мейнфрейм. Гиппократова клятва говорит — прежде всего не навреди, поэтому важно понять, за что отвечает мейнфрейм, чтобы не допустить ошибок, наносящих вред. Когда те, кто ориентирован на облако, поймут всю картину — какие транзакции поступают в мейнфрейм, их природу и насколько доход компании зависит от них — они смогут понять и избегать ошибок, которые могут повредить работе и прибыльности компании.

Об авторе — Дженнифер Нельсон

Дженнифер Нельсон большую часть своей карьеры работала в области мейнфреймов, включая 15 лет в Rocket Software и пять лет в BMC. В 2019 году она перешла на руководящие инженерные должности в глобальных технологических компаниях за пределами экосистемы Z Systems, расширяя свои знания и навыки. В начале 2024 года Нельсон начала закладывать основы для создания Izzi Software — компании, сосредоточенной на приобретении и развитии программных бизнесов на платформах IBM Z и IBM Power.