Безопасная разработка продуктов и услуг в условиях цифровой трансформации

Курятникова А.Ш.

Выпускник группы MBA CSO-29

Школа IT-менеджмента

РАНХиГС при Президенте РФ

Цифровая трансформация означает внедрение новых бизнес-моделей и вывод на рынок цифровых продуктов, которые либо полностью поставляются в цифровом формате (например, на цифровых носителях или онлайн-банк), либо, когда физические продукты и услуги приобретаются клиентами при помощи цифровых средств (например, онлайн-сервисы совместного использования автомобилей).

В итоге это должно обеспечить рост выручки, прибыли, доли рынка, удовлетворенности клиентов (внутренних и внешних), а также снижение затрат. Однако, в условиях цифровой трансформации возрастают требования к скорости вывода продуктов на рынок (time to market), и, соответственно, к темпу разработки, вследствие чего происходит переход к модели непрерывной доставки (continuous delivery), когда новые свойства в продукт добавляются инкрементально с периодом между релизами от нескольких недель до дней.

Актуальность темы безопасной разработки продуктов и услуг в условиях цифровой трансформации обусловлена возрастающей сложностью информационных систем и повышению требований к темпу их выпуска и ввода в эксплуатацию. При этом традиционные подходы к обеспечению безопасности становятся неприменимы из-за длительного цикла их выполнения. Организации заинтересованы во внедрении новых подходов к разработке продуктов и услуг, где безопасность учитывается на протяжении всего жизненного цикла разработки.

С точки зрения методологии разработки программного обеспечения это означает переход от концепции DevOps к DevSecOps, когда процессы безопасности внедрены в каждый этап цикла разработки. Однако, это требует существенных организационных и технических изменений – команда ИБ перестает быть внешним проверяющим, который оценивает готовый продукт и вместо этого принимает участие в его создании. Это позволяет минимизировать стоимость разработки в целом, поскольку исправление ошибок на ранних этапах обходится значительно дешевле.

Объектом исследования является российский банк, специализирующийся на выдаче автокредитов (далее – Банк), входящий в топ-100 по размеру активов среди российских банков по версии Интерфакс. Банк имеет единственный офис, расположенный в Москве. Отделений и банкоматов не имеет, пластиковых карт не выпускает. С момента создания Банка прошло менее 10 лет, поэтому его ИТ-ландшафт не содержит унаследованных систем, что значительно облегчает процесс цифровой трансформации.

Проведенный анализ (PEST, SWOT) показал, что существуют предпосылки к тому, чтобы при помощи цифровых технологий усилить конкурентные преимущества и уменьшить некоторые рыночные риски. Например, предложив новые цифровые продукты Банк может использовать фактор глубокого проникновения смартфонов в потребительскую базу и при этом не обязательно ориентироваться только на молодежную аудиторию.

Анализ уровня цифровой зрелости (по методике Digital Maturity Framework) показал, что в целом банк готов к дальнейшей цифровизации, однако отдельные области компетенций, такие как обучение персонала и использование корпоративных знаний (инсайтов) нуждаются в улучшении.

Нужно сказать, что хотя наличие мобильного приложения и стало сегодня стандартом де-факто в розничном банкинге, окупаемость подобных проектов для многих банков остается под вопросом. Проведенное исследование фактической востребованности мобильных приложений топ-100 банков показало, что 34% из них имеют критически малое число пользователей. В контексте безопасности это означает, что непопулярное у клиентов мобильное приложение становится для банка источником риска – поскольку бюджет на него сокращается, оно перестает обновляться, а следовательно, существующие уязвимости могут быть использованы злоумышленниками.

То есть, проекты цифровизации, такие как разработка мобильных приложений, должны запускаться только при наличии продуманной бизнес-модели, обеспечивающей их монетизацию, а не ради следования модным трендам или просто для имиджа.

В рамках реализации стратегии развития в 2017 году в Банке был инициирован проект по разработке мобильного приложения для клиентов. У мобильного приложения было две бизнес-цели – снизить нагрузку на колл-центр и дать клиентам возможность погашения кредита картой любого банка. Реализация этих целей должна была повысить общую эффективность процесса обслуживания кредитов.

На предварительной фазе проекта был проведен анализ регулирующей среды с целью выявления рисков. С одной стороны, банковская деятельность является одной из наиболее строго регулируемых, в том числе в области информа�