Standard Chartered внедряет Zero Trust в платформу VCF от Broadcom на 54 рынках

Представьте инфраструктуру банка как водопровод старого викторианского отеля: каждая пристройка за десятилетия добавляла новые трубы, новые вентили, новые технические каморки, о планировке которых помнит лишь один вышедший на пенсию инженер. Рано или поздно кто-то решает снести всё это и поставить единую стандартизированную систему с датчиками давления на каждом стыке. По сути именно это Standard Chartered только что сделал совместно с Broadcom.

Банк подписал долгосрочное партнёрское соглашение о развёртывании VMware Cloud Foundation как единого инфраструктурного стандарта на 54 глобальных рынках, причём Zero Trust встроен в саму «трубу», а не прикреплён снаружи.

Что произошло

Как сообщил Cyber Magazine, Standard Chartered заключил долгосрочное партнёрство с Broadcom для развёртывания инфраструктуры частного облака, ориентированной на защиту от угроз и архитектуру Zero Trust, используя VMware Cloud Foundation (VCF) как унифицирующий слой на всех 54 рынках присутствия банка.

Контекст важен. Broadcom приобрёл VMware в 2023 году, и с тех пор VCF стал ключевым инструментом продвижения корпоративного частного облака. Привлечение международного банка первого уровня в качестве референсного клиента — именно та валидация, которая понадобилась Broadcom после поглощения.

Цифры, которые приводит Standard Chartered, особенно интересны. Около 70% глобальной инфраструктуры банка теперь работает на новой архитектуре. Время развёртывания, по словам банка, сократилось с нескольких недель до одного дня. Платформа лежит в основе систем основного банкинга, платёжной инфраструктуры и сервисов цифрового банкинга — то есть всего, что банк не может позволить себе потерять.

Джон Шаррат, глобальный руководитель по технологиям и инфраструктуре Standard Chartered, охарактеризовал этот шаг как способ соответствовать требованиям клиентов, «укрепляя технологическое ядро с той гибкостью, устойчивостью и соответствием регуляторным требованиям, которых требует глобальный банкинг». Криш Прашад, старший вице-президент и генеральный директор подразделения VMware Cloud Foundation в Broadcom, выделил сочетание «устойчивости, безопасности и операционной простоты в масштабе», которое сегодня необходимо глобальным финансовым институтам.

Главное для архитекторов безопасности: Zero Trust не надстроен над этим стеком. Он встроен в инфраструктурный слой, где непрерывная верификация заменяет неявное доверие, а контроль доступа применяется на уровне платформы.

Техническая анатомия

По существу: Standard Chartered перешёл на программно-определяемую среду частного облака, где движок политик безопасности является полноправным компонентом гипервизора и сетевой структуры, а не навесным устройством, стоящим в трёх прыжках от рабочей нагрузки.

На практике это означает следующее: при запуске рабочей нагрузки её идентификация, разрешённый east-west трафик, границы сегментации и политика безопасности определяются самой платформой. Каждый запрос проходит верификацию. Ничто не получает беспрепятственный доступ только потому, что находится внутри периметра. Все, кто пытался ретроспективно внедрить микросегментацию в устаревший датацентр с обилием VLAN, понимают, почему реализация этого на инфраструктурном уровне с первого дня — это принципиально другая игра.

Стандартизация на 54 рынках — скучная часть, которая как раз и создаёт ценность. Если каждый региональный датацентр предоставляет одинаковые абстракции, один язык политик и одинаковую телеметрию, то инженер по безопасности в Сингапуре и его коллега в Лондоне работают с одними и теми же примитивами. Именно это превращает «развёртывание за недели» в «развёртывание за один день». Стандартизация уничтожает уникальные самодельные конфигурации, а именно в них чаще всего и заканчиваются разборы инцидентов.

Непрерывная верификация как модель управления хорошо соответствует тому, как действуют современные злоумышленники. Латеральное перемещение, воспроизведение учётных данных, техники «жизни за счёт ресурсов системы», каталогизированные в MITRE ATT&CK, — все они предполагают, что, оказавшись внутри, можно свободно перемещаться. Модель Zero Trust на уровне платформы устраняет это допущение по своей конструкции. Она не убирает поверхность атаки, но меняет то, что злоумышленнику приходится делать на каждом шаге.

Компромисс — а он всегда есть — это концентрация на одном вендоре. Стандартизировать 70% инфраструктуры глобального банка на стеке единственного поставщика — это стратегическая ставка на его дорожную карту, лицензионную политику и, после 2023 года, готовность Broadcom удерживать разумные цены. Плюс — операционная простота. Минус — когда платформа «чихает», весь банк «заболевает». Именно здесь всё рушится, если неправильно выстроить инженерию отказоустойчивости, и именно поэтому непрерывная доступность заявлена как ключевая цель проектирования.

Кто проигрывает

Непосредственным проигравшим оказывается рынок навесных средств защиты. Если Zero Trust применяется на инфраструктурном уровне внутри VCF, аргументы в пользу ещё одного агента, ещё одного inline-прокси, ещё одного вендора межсетевых экранов для north-south трафика становится всё труднее отстаивать при утверждении бюджета. Вендоры средств безопасности, чья ценность определяется местом между рабочими нагрузками и сетью, первыми почувствуют давление в клиентах из финансовых организаций первого уровня.

Вторая группа под давлением — конкурирующие стеки частных облаков. Broadcom вёл нарративную борьбу с момента поглощения VMware, и немало корпоративных клиентов громко заявляли об изучении альтернатив. Публично объявленное развёртывание у банка первого уровня на 54 рынках — весомый аргумент, с которым трудно спорить в зале заседаний совета директоров. Ожидайте, что конкурирующие предложения частных облаков, смежных с гиперскейлерами, заострят своё позиционирование для финансовых организаций — особенно в части суверенного контроля данных и аудиторских следов, удобных для регуляторов.

Внутри самих банков в ближайшие 90 дней давление почувствуют команды, обслуживающие устаревшие региональные инфраструктуры на уникальных конфигурациях. Если Standard Chartered может наглядно продемонстрировать развёртывание за один день на 54 рынках, каждый CTO конкурирующего банка получит вопрос — поначалу вежливый — о том, почему их собственная среда по-прежнему требует шести недель и трёх комитетов по согласованию изменений для запуска нового сервиса. Этот разговор заканчивается одним из двух способов, и ни один из них не является комфортным для тех, кто владеет текущими регламентами работы.

Руководители платформ в iGaming и финтехе, наблюдающие со стороны, должны воспринять это всерьёз. Регуляторы в сфере платежей и азартных игр приходят к тем же ожиданиям, с которыми глобальные банки уже давно работают: непрерывный мониторинг контролей, подтверждённая сегментация, доказательства соответствия Zero Trust. Если банк, работающий в 54 юрисдикциях, может стандартизироваться на единой плоскости управления, аргумент «мы слишком сложны для стандартизации» становится слабее с каждым кварталом.

Команды в ad-tech и корпоративной инфраструктуре тоже должны следить за этим — прежде всего потому, что это сигнализирует о направлении движения покупателей, ориентированных на соответствие требованиям. Программно-определяемое, политика на уровне платформы, непрерывная верификация. Это контуры ближайших пяти лет.

Руководство для команд по безопасности

Если вы CTO или руководитель платформы в регулируемых отраслях, есть три вещи, которые стоит сделать на этой неделе.

Первое: проверьте, где фактически располагаются ваши средства контроля Zero Trust. Если честный ответ — «в агенте на каждой виртуальной машине» или «в наборе правил межсетевого экрана, которого никто не касался с 2022 года» — вы несёте архитектурный долг, который конкурент с моделью на уровне инфраструктуры будет использовать против вас в тендере. Составьте карту каждой точки применения политик и отметьте, является ли она нативной для платформы или навесной.

Второе: проверьте под нагрузкой заявленную скорость развёртывания. Standard Chartered публично говорит о сокращении с нескольких недель до одного дня. Какой бы ни была ваша текущая цифра, высшее руководство теперь ожидает правдоподобного плана по её сокращению. Возьмите один показательный сервис, замерьте сквозное время от заявки до производственной среды и честно определите, где возникают многодневные задержки. Как правило, проблема не в технологии, а в театральных процессах согласования.

Третье: пересмотрите свою позицию в отношении концентрации на одном вендоре. Стандартизация — мощный инструмент, но вам нужен письменный ответ на вопрос «что произойдёт, если этот вендор удвоит стоимость лицензирования при следующем продлении?». Этот ответ должен включать переносимость рабочих нагрузок, экспортируемые определения политик и реально протестированный путь восстановления на резервном стеке. Сделайте это до того, как спросит команда по закупкам, а не после.

Для инженеров по безопасности: потратьте часть этого квартала на моделирование east-west трафика с учётом допущения непрерывной верификации. Где фактически срабатывают средства контроля? Что ломается? Что продолжает тихо работать, потому что сервисный аккаунт десятилетней давности имеет больше привилегий, чем кто-либо осознаёт? Это упражнение полезно вне зависимости от того, используете ли вы VCF, гиперскейлер или по-прежнему работаете на физическом железе.

Ключевые выводы

• Standard Chartered стандартизировал около 70% глобальной инфраструктуры на VMware Cloud Foundation в 54 странах, встроив Zero Trust на инфраструктурном уровне.
• Время развёртывания, по имеющимся данным, сократилось с нескольких недель до одного дня — это новая планка, по которой будут оцениваться конкуренты.
• Навесные вендоры безопасности и конкурирующие стеки частных облаков — непосредственные коммерческие проигравшие в сегменте финансовых организаций первого уровня.
• Концентрация на одном вендоре — стратегический риск, который необходимо учитывать, особенно с учётом лицензионной политики Broadcom в отношении VMware после 2023 года.
• Регулируемые отрасли за пределами банкинга (финтех, iGaming, платежи) должны ожидать, что регуляторы начнут считать такой уровень нативного платформенного контроля достижимой нормой.

Возвращаясь к викторианскому отелю. Демонтаж старых труб и замена их единой стандартизированной системой с датчиками на каждом стыке — это дорого, хлопотно и политически болезненно. Но это единственный способ перестать просыпаться ночью от телефонных звонков. Standard Chartered только что сделал эту ставку публично, на 54 рынках, и теперь остальная отрасль должна решить: следовать или объяснять, почему нет.