Пандемия, виртуальные машины и тысячи сотрудников. Как банк перешел на удаленку

По данным сервиса Работа.ру, 51% компаний в России продолжает работать на удаленке — полностью или частично. В Газпромбанке на такой формат перешло примерно две трети штата.

Рассказываем, почему банк был готов к дистанционной работе и как сотрудники выполняли задачи из дома. Делаем это вместе со специалистами, которые отстраивали процесс перехода на удаленную работу.

Зачем Газпромбанк начал внедрять платформу виртуальных рабочих мест в 2017 году? Банк что, предсказал пандемию?

Нет, аналитики банка еще не умеют строить такие прогнозы. В 2017 году Газпромбанк запустил программу по объединению филиалов, чтобы централизовать всю IT-инфраструктуру в головном офисе. Тогда же стартовал проект по созданию инфраструктуры виртуальных рабочих мест, через которые сотрудники смогли получить доступ к IT-ресурсам.

Команда по сопровождению корпоративных сервисов начала внедрять платформу VDI. Это система, которая дает сотрудникам банка доступ к высокопроизводительным рабочим местам с актуальными версиями ПО. Все вычислительные ресурсы находятся в центре обработки данных (ЦОД). Сотрудник подключается со своего рабочего места в офисе или удаленно, а на экран передается картинка рабочего стола в виртуальной машине в ЦОД. Вся информация и ресурсы находятся в серверах банка.

Было около 10 процентов специалистов, которых перевести на VDI оказалось сложнее и дольше. Они используют специфическое оборудование, которое не может работать в VDI-среде или требует доработок ПО.

Например, нельзя виртуализировать оборудование, на котором установлены платы шифрования. Некоторые сотрудники используют счетные устройства кассиров, специализированные сканеры и принтеры. Чтобы обеспечить работу этого оборудования, в VDI-среде был создан отдельный вид виртуальных машин «постоянного типа». Затем процесс автоматизировали и написали скрипты, которые создают такие машины. Так удалось покрыть все потребности сотрудников, когда они работают из дома.

Как изменилась работа сотрудников с VDI?

До внедрения VDI продуктивность сотрудника зависела от возможностей компьютера, за которым он сидит. Чтобы начать работать, он должен был:

• прийти на рабочее место;
• включить компьютер;
• запустить локальные системы, которые расположены на компьютере;
• включить системы, которые находятся в филиале или головном офисе (ГО);
• запустить через терминальный доступ централизованные системы, которые находятся в ГО.

Как это было до VDI — на примере программы выдачи кредитов. Раньше сотрудник из Ижевска запускал систему терминального доступа, чтобы работать с программой. Сейчас он запускает ее напрямую через удаленное рабочее место.

С переходом на VDI все сотрудники получили унифицированные рабочие места, которые расположены в ЦОД. На каждом установлены нужные приложения, современные ОС и прикладное ПО.

Все системы работают в единой среде: сотрудник может подключиться с любого компьютера, ноутбука или через тонкий клиент и запустить приложение, которое ему нужно. Например, если тот же специалист по кредитам из Ижевска поедет в командировку в Сочи, ему не нужно везти с собой ноутбук или флешку с данными.

Как Газпромбанк переводил сотрудников на удаленку?

К марту 2020 года, когда в России начался массовый переход на удаленку, на VDI в офисах работала треть сотрудников банка. Чтобы предоставить безопасный удаленный доступ сотрудников к их рабочим местам, команда по сопровождению корпоративных сервисов вместе со специалистами по архитектуре информационной безопасности модернизировала систему мобильного офиса.

В итоге треть сотрудников смогла безболезненно уйти на удаленку. Еще две трети пришлось переводить экстренно, с марта по июнь 2020 года. Чтобы сделать это, сотрудников разделили на категории:

• Те, кто не могут работать удаленно. Это специалисты, которые проводят необратимые операции, допустим, перечисляют деньги в другие учреждения. Еще это сотрудники, которые принимают клиентов в отделениях банка. Например, кассир не может получить удаленно оплату за страховку от клиента, который пришел в банк лично.
• Те, кто могут работать удаленно, но только с ограниченным набором систем. Например, в отделе четыре сотрудника, которые выполняют две функции. Одну из них можно проводить на удаленке, а другую — нет. Тогда сотрудники работают посменно: половина выходит в офис, вторая остается на удаленке, а через неделю они меняются.
• Те, кто могут работать удаленно, если это не грозит информационной безопасности и бизнес-процессам. В числе таких сотрудников операторы колл-центров.

Системы банка тоже разделили на категории по уровню критичности доступа к ним. Выделили системы, к которым:

• Нельзя получить удаленный доступ. К таким относятся, например, системы платежного периметра банка.
• Можно получить удаленный доступ только с защищенных корпоративных устройств.
• Можно получить удаленный доступ.

Для пользователей, которые работают на удаленке, разработали системы защиты корпоративных ноутбуков. Для этого архитекторы информационной безопасности внедрили:

• Централизованное управление удаленными рабочими местами.
• Оказание техподдержки пользователям.
• Антивирусную защиту удаленных рабочих мест.
• Отдельный для удаленных рабочих мест мониторинг событий информационной безопасности.
• Контроль защищенности удаленных рабочих мест и дополнительную защиту каналов связи для работы с банковскими системами второго типа.

А что происходит сейчас?

Банк до сих пор работает дистанционно — невозможно предугадать, когда сотрудники смогут вернуться к работе офлайн. Виртуальные рабочие места с точки зрения инструментов не отличаются от тех, которые есть в офисе. Поэтому нужно поддерживать и масштабировать системы, которые обеспечивают удаленную работу.

Как дорабатывает систему команда сопровождения корпоративных сервисов

Архитекторы и инженеры поддерживают в актуальном состоянии все компоненты, из которых VDI состоит: устанавливают новые версии ПО, обновляют базы данных. Еще они оптимизируют конфигурации и настройки виртуальных рабочих мест, работу бизнес-приложений.

Горизонтальное расширение

С 2017 года количество сотрудников в банке увеличилось в 1,5 раза. Архитектура фермы специально была спроектирована так, чтобы ее не пришлось пересобирать, когда количество виртуальных рабочих мест станет слишком большим. Порог критичности у системы есть, но он сильно превышает потребности банка.

Оптимизация инфраструктуры

Сотрудники сопровождения корпоративных сервисов сейчас уменьшают количество «постоянных» рабочих мест. Вместо них выдают «непостоянное» виртуальное место с базовым набором приложений, в котором нельзя ничего установить или сохранить.

Во время перехода на удаленку многим сотрудникам выдавали виртуальные рабочие места «постоянного» типа — их было проще настроить в сжатые сроки. ВРМ «постоянного» типа — аналог ПК, только является виртуальной машиной.

Почему BPM постоянного типа оказался неудобным:

• Такой тип рабочего места сложно администрировать. Если нужно внести какие-то изменения, их надо проводить на каждом рабочем месте в отличие от ВРМ «непостоянного» типа.
• Он занимает значительно больше места в системе хранения данных, поэтому обходится дороже, чем BPM «непостоянного» типа.
• На месте «непостоянного» типа у пользователей нет прав локального администратора, на них нельзя установить дополнительное ПО. Возможна только установка ПО на сетевой диск, которая не требует внесения изменений на системный диск ВРМ. Все изменения, сделанные на системном диске, удаляются после того, как сотрудник завершил сессию. Образ рабочего места копируется при загрузке виртуальной машины через сеть — это позволяет снизить потребности системы хранения данных.. Изменения в ВРМ «непостоянного» типа вносятся только в одном месте — золотом образе, что упрощает администрирование таких рабочих мест.

Как улучшают удаленный доступ архитекторы информационной безопасности

Удаленная печать и сканирование

Внедряют решение, которое позволит пользователям безопасно печатать и сканировать документы из систем банка на удаленке.

Оффлайн-обработка информации

У некоторых сотрудников банка, например, агентов выездных продаж, не всегда есть доступ к интернету, поэтому для них создают новый тип рабочего места. В нем можно будет безопасно работать с информацией локально — на своем устройстве, офлайн и без подключения к удаленному рабочему столу.

Масштабирование

Количество человек, которые пользуются защищенными корпоративными ноутбуками, растет, поэтому архитекторы масштабируют системы защиты каналов связи. Делают это за счет перехода на более современное и производительное оборудование.