Новости

В основу исследования были положены данные, собранные в ходе недавнего статического (SAST) и динамического (DAST) тестирования безопасности программного обеспечения, а также анализа программных компонентов (SCA) у более чем миллиона приложений. Множество недостатков, выявленных в программном коде, который был представлен как собственными, так и независимыми разработчиками, еще раз подтверждает важность проведения тестирования на протяжении всего жизненного цикла разработки программного обеспечения (SDLC).

Исследование показало, что распространенность серьезных недостатков в 2023 году (они были обнаружены у 17,9% приложений) сократилась в два раза по сравнению с 2016 годом (тогда их выявили у 37,9% приложений). И хотя лишь 3,2% от общего числа недостатков были признаны очень серьезными (уровня CVSS 9 и выше), почти 16% можно отнести к категории «эксплуатируемых с высокой степенью вероятности». Это означает, что менее 1% (0,7%) изъянов, обнаруженных в 2023 году, являются критическими и могут активно использоваться при проведении атак. С помощью сканирования SAST, DAST и SCA неустраненные недостатки были найдены у 80% активных приложений. При сканировании SAST (которое применяется на этапе разработки) этот показатель составил 73%. У 63,4% приложений дефекты были выявлены в коде собственной разработки, а у 70,2% приложений – в открытом коде независимых разработчиков. В типичном приложении на каждый мегабайт исходного кода приходится 42 ошибки. Наиболее распространены уязвимости межсайтового скриптинга (cross-site scripting), внедрения исполняемого кода (injection) и обхода каталога (path traversal).

Задолженность по безопасности программного обеспечения, под которой в исследовании понимается любой недостаток, сохраняющийся на протяжении года и более, была обнаружена у 42% приложений. Если сюда добавить приложения, которым еще не исполнилось и года, соответствующая доля снижается до 23%. Это означает, что 57% приложений имеют недостатки, но у них нет задолженности по безопасности. Если же оценивать критическую задолженность (неустраненные критические недостатки), картина меняется. У большинства организаций (71%) задолженность по безопасности в той или иной степени присутствует, а почти у половины (46%) имеются серьезные постоянные недостатки, которые классифицируются как критическая задолженность. У четверти организаций доля приложений с задолженностью не превышает 17%, а у другой четверти задолженность имеется у 67% приложений и более. В среднем же почти половину всех недостатков (47%) можно отнести к задолженности по безопасности.

Для устранения брешей в системе безопасности приложений авторы исследования рекомендуют интегрировать функции обеспечения безопасности в SDLC, заниматься устранением обнаруженных дефектов на непрерывной основе, уделять устранению критических недостатков приоритетное внимание, а также повышать компетентность разработчиков в области безопасности и знания профиля задолженности используемого ими языка.

Единый ЦУПИС – это высоконагруженная финтех-система, к которой предъявляются высокие регуляторные требования по безопасности, устойчивости и импортонезависимости. Масштабирование платежного сервиса привело к усложнению архитектуры: возросло количество ручных операций, уменьшилась степень контроля продакшн-площадок, возросла энтропия. В связи с этим было принято решение развернуть современный оркестратор Kubernetes на всех промышленных площадках для более чем 160 сервисов. На момент выбора вендорского решения опыта внедрения Kubernetes в индустрии еще накоплено не было, поэтому выбор был сделан в пользу перспективного российского продукта Deckhouse Kubernetes Platform (DKP).

В результате все микросервисы Единого ЦУПИС были переведены на инфраструктуру под управлением Deckhouse Kubernetes Platform. С целью обеспечения отказоустойчивой геораспределенной архитектуры четыре отдельных кластера объединены в единый service mesh на базе Istio. Еще 10 кластеров развернуты для инфраструктурных нужд. Кроме того, применение средств взаимной аутентификации позволило усилить безопасность приложений.

За счет выбора готового решения и глубокой экспертизы компании «Флант» удалось существенно сократить время и количество ресурсов, которые потребовались для внедрения платформы оркестрации контейнеров. Deckhouse Kubernetes Platform позволила команде Единого ЦУПИС сконцентрироваться на разработке и решении бизнес-задач, а не на погружении в сложности устройства Kubernetes и технологий вокруг него.

Для крупных компаний взаимодействие с поставщиками – непростая задача, в которой участвуют сотни сотрудников. Без автоматизированной системы менеджеры и поставщики вынуждены напрямую связываться с представителями компании. Упростить их взаимодействие помогают онлайн-порталы для поставщиков, которые также позволяют компаниям развивать собственные маркетплейсы.

Одной из главных задач в рамках совместного проекта Hoff Tech и Napoleon IT стала оптимизация и ускорение процессов взаимодействия с поставщиками. До этого большинство операций проводилось вручную. При разработке портала пришлось проектировать сквозной процесс, который затронул множество отделов и систем: ERP, PIM, BI и др.

На текущий момент объединенная команда реализовала MVP-версию портала, в которую вошли такие функциональные блоки, как регистрация поставщика, формирование пакета документов для заключения договора, заведение ассортимента, заведение цен, обмен остатками, базовая отчетность.

Новый портал позволяет сети гипермаркетов Hoff оптимизировать работу сотрудников, сократить количество необходимых действий при выполнении задач и уменьшить временные затраты на рутинные операции. Помимо этого, портал помогает сети развивать собственный маркетплейс.

В рамках пилотной эксплуатации к электронной площадке подключены первые поставщики. В дальнейшем пользоваться порталом и проводить необходимые операции смогут более 1 тыс. партнеров единовременно.

В работу медицинских организаций на территории Самарской области внедрены разработанные на платформе Robin программные роботы, в том числе чат-боты. Один из них собирает информацию от беременных пациенток для мониторинга их состояния здоровья, второй оперативно представляет нормативно-справочную информацию врачам анестезиологам-реаниматологам. Программные роботы также ежедневно собирают и обрабатывают наибольшие по объему отчетные формы, экономя рабочее время сотрудников 102 медицинских учреждений. Каждый из роботов высвобождает специалистам 30 часов в неделю, прежде затрачиваемых на рутинную работу с информацией.

Как отмечает Дмитрий Калинин, заместитель директора МИАЦ Самарской области, программные роботы помогли провести исследования по улучшению пациентского опыта. В результате удалось значительно повысить качество агрегируемых данных для принятия управленческих решений в сфере здравоохранения на региональном и федеральном уровнях. В дальнейших планах – автоматизировать максимальное количество рутинных процессов, чтобы оптимизировать работу в медицинских учреждениях региона.

МИАЦ Самарской области планирует создать отдельное структурное подразделение — центр экспертизы по роботизации процессов, чтобы тиражировать решения в другие регионы.

Olympus – международная компания по производству медицинского оборудования, предлагает решения для раннего обнаружения, диагностики и малоинвазивному лечению различных заболеваний. Российское подразделение холдинга отвечает за маркетинг, сбыт и предоставление услуг по ремонту оборудования на территории России и стран СНГ.

Существующая ERP-система имеет высокую критичность для бизнеса, поскольку отвечает за ключевые операции и напрямую влияет на уровень сервиса компании. Платформа развернута на собственных серверах и позволяет «Олимпас Москва» эффективно управлять процессами, поэтому руководство заинтересовано в продлении жизненного цикла системы. Чтобы оценить ее устойчивость, «Корус Консалтинг» провел технический аудит, направленный на выявление рисков производительности и узких мест решения. Проект помог российскому подразделению Olympus увидеть возможности для улучшения и построить план развития системы.

В частности, специалисты выявили низкую производительность выполнения ресурсоемких операций, часто выполняемые и длительные запросы в SQL-сервере, а также неоптимальное размещение файлов базы данных. Все это влияет на быстродействие системы и эффективность работы бизнес-пользователей. Эксперты разработали меры по устранению выявленных проблем и рекомендации по усовершенствованию платформы. Превентивное обслуживание ERP позволит компании обеспечивать стабильность Microsoft Dynamics AX.

В процессе эксплуатации и модернизации мобильной сети специалисты МТС создают цифровую модель радиопокрытия с использованием точных и актуальных цифровых карт местности, в которых должны учитываться все факторы, влияющие на распространение сигнала и количество абонентов в локациях. К таким факторам относятся появление новых жилых кварталов и высотных зданий, социальных, торговых и спортивных объектов, индустриальных зон, а также развитие транспортной инфраструктуры и изменение природного ландшафта.

Ранее МТС закупала обновленные цифровые карты у внешних поставщиков, специалисты компании визуально оценивали топографические изменения местности и застройки на основе спутниковых данных, затем вручную вносили изменения в цифровые модели местности. Это был длительный, трудоемкий и затратный процесс.

С запуском геоплатформы актуальные спутниковые снимки высокого разрешения автоматически подаются на вход обученной на картографический анализ нейросети, которая за секунды выполняет большой объем работ по визуальному анализу и трехмерной идентификации объектов. В итоге один из самых трудозатратных процессов при обработке картографической информации – векторизация изображенных объектов – ускоряется почти в 10 раз. Если специалист в картографическом ПО тратит на обработку изображения одного здания около 33 секунд, то в нейронных сетях этот процесс занимает 3-4 секунды. При этом алгоритмы нейронных вычислений автоматически оценивают высоту зданий и их конфигурацию по теням или видимым частям стен для построения 3D-модели.

Как отмечает директор департамента сети радиодоступа МТС Алексей Маслянкин, планирование новой сети или модернизация существующей начинается с тщательного расчета радиопокрытия на основе цифровых карт местности, в которых учитывается рельеф, особенности застройки и места концентрации абонентов. Даже там, где сеть работает давно, эти параметры должны учитываться при анализе текущей и будущей потребности в покрытии и емкости сети. Чтобы повысить эффективность радиопланирования, на начальном этапе было выбрано более 460 городов с численностью свыше 50 тыс. жителей, где геоданные требуют постоянного обновления и-за изменения городского ландшафта, транспортных потоков и миграции населения.

При онлайн-регистрации или обращении в офис клиенты «Лиги Ставок» предоставляют персональные данные. Из-за того, что раньше эти данные централизованно не проверялись на наличие дублей, некоторые клиенты потенциально могли иметь несколько аккаунтов. Чтобы исключить техническую возможность для этого, «Лига Ставок» внедрила систему класса Customer Data Integration (CDI) «Единый клиент» от HFLabs. Он объединяет дубли и собирает данные о клиентах в эталонные записи.

Внедрение «Единого клиента» показало, что в базе букмекера присутствует некоторое количество клиентов с более чем одним аккаунтом. В настоящий момент регистрационные данные ежедневно сопоставляются с имеющимися во внутренних системах букмекера. В дальнейшем дедубликация будет происходить в режиме реального времени.

Благодаря отсутствию дублей, «Лига ставок» получила возможность повысить уровень персонализации и сделать клиентам предложения, максимально отвечающие их стилю игры. Букмекерам часто приходится иметь дело с неполными данными. Имея точную информацию о клиентах, компания сможет лучше понимать их предпочтения. А качественные клиентские данные помогают быстрее обслуживать пользователей – когда человек пишет в чат-бот, оператор может сразу увидеть всю информацию о нем.

Как отмечает Дмитрий Акимов, директор центра аналитики БК «Лига ставок», реализация проекта с HFLabs позволила не только повысить качество обслуживания клиентов, но и поднять эффективность внутренних бизнес-процессов.

Ранее в «Абамет» было внедрено CRM-решение на базе Microsoft Dynamics 365 Online. В связи с невозможностью продлить сроки действия лицензии на программную платформу Microsoft, перед «Абамет» встал вопрос о необходимости оперативного переноса всех данных и ключевых бизнес-процессов в области продаж и поддержки клиентов на новое ИТ-решение.

Учитывая функциональность CRM, необходимую как для обеспечения текущих процессов, так и для возможности развития системы в будущем, эксперты «Корус Консалтинг» предложили использовать российскую платформу «Битрикс24 CRM».

На первом этапе проекта за четыре месяца основные процессы продаж и сервисного обслуживания были адаптированы для работы в новой системе, а также выполнена миграция исторических данных. Дополнительно была реализована интеграция CRM с ERP-системой на платформе «1C» и интернет-магазином с учетом использовавшихся ранее методов обмена данных между информационными системами.

Специфика продукции, которую поставляет «Абамет», заключается в том, что продажи основного оборудования сопровождаются большим количеством сопутствующих товаров и опций. В связи с этим коммерческие предложения и заказы могут содержать около 200 позиций. Для оптимизации времени и других ресурсов, которые требуются для подготовки списка товаров в коммерческих предложениях и заказах, внутри CRM было создано уникальное решение. Это модуль, позволяющий менеджерам автоматически добавлять в коммерческие предложения позиции из каталога номенклатуры, который содержит более 150 тысяч наименований продукции.

«Газпром добыча шельф Южно-Сахалинск» оптимизировала работу с входящими и исходящими документами, приказами и распоряжениями, первичными учетными документами, служебными записками, совещаниями, различными заявками и пр. Кроме того, команда специалистов «МайТэк» создала в Directum RX три отдельных типа и шесть видов договорных документов со своими карточками и набором полей.

В системе актуализировали регламенты компании и создали более 150 вариантов этапов (с большим набором настроек, признаков, условий) для формирования гибких правил работы с документами. Также добавили возможность автоматической регистрации документов и их подписания УКЭП.

В результате проекта в новую систему перенесли и оптимизировали всю необходимую функциональность, мигрировали наиболее важные исторические данные – более 228 тыс. документов с сохранением связей и правами доступа. В Directum RX работают около 650 пользователей: они ежемесячно оформляют в системе от 5 до 7 тыс. документов и более 7 тыс. поручений.

Руководство «Газпром добыча шельф Южно-Сахалинск» продолжит развивать бизнес-процессы компании на базе новой системы. Планируется внедрить интеллектуальные сервисы для обработки документов, комплекс решений для цифровизации межкорпоративного документооборота, в том числе «Финансовый архив», а также конфиденциальное делопроизводство.

Скоринг, который ранее использовался в Тинькофф для проверки кредитоспособности клиента, был усилен признаками и параметрами, которые указывают на потенциальное мошенничество. Для этого были проанализированы несколько миллионов заявок, включая заявки, которые клиенты оформляют под воздействием социальной инженерии. Например, среди таких признаков учитываются социально-демографические факторы, аномалии в самой заявке, характерные для инструкций мошенников, и многое другое. Эта модель способна с высокой точностью прогнозировать воздействие третьих лиц при оформлении клиентом заявки и посылать сигнал сотрудникам банка, чтобы они перепроверили заявку и в случае подозрения на мошенничество отклонили ее.

Так создается дополнительный эшелон защиты к уже существующим, таким как прерывание мошеннического звонка, блокировка подозрительных транзакций, когда мошенник уже пытается вывести кредитные средства со счета, и другие. Особенностью этого эшелона защиты является то, что банку не нужно переубеждать клиента совершать транзакцию в адрес мошенника.

Еще один из превентивных методов борьбы с мошенническими кредитами на основе искусственного интеллекта — разработка Victim Score. Это специальный рейтинг, который определяет по разным признакам, что клиент находится в зоне риска — с высокой долей вероятности может поверить мошенникам. Таким клиентам система автоматически начинает предлагать дополнительное обучение в сторис и в блоге по безопасности мобильного приложения банка. Особенно эффективно Victim Score работает по схеме с псевдоинвестициями.