Jak PKO Bank Polski dostosował się do pracy w okresie epidemii

Z Leszkiem Sadowskim, dyrektorem Departamentu Wsparcia Informatyki w PKO Bank Polski rozmawiamy o tym, jak na stan epidemii w Polsce reaguje sektor bankowy, czy można było się przygotować na taką sytuację, czym różni się od innych sytuacji kryzysowych, z jakimi, największymi problemami PKO BP musiał sobie poradzić i w jaki sposób tego dokonano.

Czy da się przygotować na sytuację taką, z jaką mamy dziś do czynienia?

W zasadzie nie można mówić, że sytuacja nas zaskoczyła. Sygnały dotyczące epidemii – płynące na początku z Chin – wskazywały na to, że firmy, dla których istotne jest zachowanie ciągłości działania powinny się przygotować na sytuację wyjątkową, która stosunkowo szybko może przekształcić się w kryzys.

Czy standardowe plany Business Continuity wystarczają? Zwykle dotyczą one problemów z funkcjonowaniem infrastruktury IT, a nie niedostatecznym, permanentnym brakiem pracowników…

Na własnym przykładzie możemy stwierdzić, że dotychczasowe Plany Ciągłości Działania są w gruncie rzeczy wystarczające. Dobrze skonstruowany PCD powinien adresować zarówno scenariusze związane z funkcjonowaniem infrastruktury, jak i zasobów osobowych obsługujących krytyczne dla banku procesy. Nasza rekomendacja dla wszystkich dotyczy być może jedynie jednego aspektu. PCD należy przejrzeć pod kątem odporności na potencjalne blokowanie miast albo regionów kraju. Na szczęście na razie nic nie wskazuje na to, aby taka sytuacja zaistniała w rzeczywistości, ale to jest raczej rekomendacja na przyszłość.

Jakie działania podjęto w pierwszej kolejności? Czy jest to zabezpieczenie narzędzi dla pracowników, którzy masowo zaczęli pracować zdalnie?

Podstawowym celem naszych działań w pierwszych dniach była realizacja tych wszystkich działań, które zapewniłyby naszych klientów o stabilności banku i systemu finansowego. Skupialiśmy się przede wszystkim na zapewnieniu pełnej dostępności kanałów elektronicznych, sieci bankomatów i Contact Center. Istotnym zadaniem było zapewnienie klientom dostępności do gotówki. Równocześnie przygotowywaliśmy się do zwiększonego zapotrzebowania na pracę zdalną. Realizując program transformacji cyfrowej PKO Bank Polski był już wcześniej przygotowany do „obsłużenia” takiego modelu pracy. W związku z tym zwiększenie liczby pracowników pracujących zdalnie nie stanowiło dla nas istotnego problemu.

Czy to znaczy, że – jak Państwo planowali – zmigrowano już stacje robocze do VDI?

Projekt migracji stacji roboczych do VDI realizowany jest w PKO Banku Polskim od kilku miesięcy. W pierwszej fazie koncentrował się na zbudowaniu – wspólnie z Operatorem Chmury Krajowej – infrastruktury zapewniającej odpowiedni poziom bezpieczeństwa i wydajności. W kolejnym etapie rozpoczęliśmy wyposażanie naszych pracowników w terminale. I w trakcie tych działań niestety napotkaliśmy na przeszkodę polegającą na braku dostępu do wybranego typu terminali. Po prostu fabryki w Chinach przestały dostarczać sprzęt w związku z epidemią koronawirusa. Tempo realizacji naszego projektu uległo obecnie zahamowaniu.

Trzeba jednak pamiętać, że w obecnej sytuacji tylko jedna z części zakresu projektu jest przydatna. Mam tu na myśli odmiejscowienie danych. To, czy w sieci oddziałów wykorzystywane są stacje robocze, czy terminale nie ma znaczenia. W dalszym ciągu do obsługi klienta potrzebny jest kontakt fizyczny. Dlatego też w komunikacji do Klientów Banku kładziemy nacisk na wykorzystanie kanałów zdalnych.

Jak poradzić sobie z zarządzaniem zespołami, gdy ludziom doradza się zostanie w domach? Czy wdrożono jakieś narzędzia usprawniające tę pracę, czy też korzystali już z nich Państwo?

Jak już wspomniałem, bank był już wcześniej przygotowany do realizacji zadań w modelu zdalnym. Zarówno komunikatory jak narzędzia do wideokonferencji wykorzystywaliśmy już wcześniej bardzo szeroko. Obecnie, dla zespołów, które wcześniej nie wykorzystywały intensywnie modelu pracy zdalnej przygotowaliśmy zestawienie dobrych praktyk i sugestii dotyczących zarówno samoorganizacji, jak i organizacji pracy zespołów.

Jakie są najważniejsze dobre praktyki, które Państwo sugerują wdrożyć pracownikom? Czy są to np. poranne spotkania zespołów? Podobno jedna z firm na platformie Slack odwzorowała fizyczne biuro, łącznie z kuchnią, gdzie można spotkać się na rozmowę przy wirtualnej kawie…

Podzieliliśmy komunikację w tym zakresie na dwie części. Pierwsza z nich jest skierowana do wszystkich osób pracujących zdalnie. I tu faktycznie skupiamy się na radach, które dotyczą samoorganizacji pracy. Nie poszliśmy tak daleko, aby maksymalnie odzwierciedlać warunki stacjonarne, ale kładziemy nacisk na stworzenie sobie przestrzeni do realizacji zadań – w tym jasne zakomunikowanie pozostałym domownikom, że tak de facto jesteśmy w pracy – samodyscyplinę, stworzenie planów działania, na komunikację, także nieformalną.
Drugi strumień komunikacji skierowaliśmy do menadżerów. Podkreślamy jak ważne jest stworzenie reguł funkcjonowania zespołu – reguł komunikacji, stawiania i rozliczania się z realizacji zadań. Najważniejsze chyba jednak w komunikacji skierowanej do menadżerów są aspekty związane z zachowaniem morale zespołu. W tym przypadku zdajemy się na wiedzę o zespołach jaką posiadają menadżerowie. Każdy z nas reaguje trochę inaczej na zaistniałą sytuację i ogólne reguły czasem nie zdają egzaminu.

Czy pojawiły się jakieś problemy związane z obecną sytuacją, z którymi musieli Państwo sobie poradzić? Jeśli tak, to jakie to były problemy i w jaki sposób je rozwiązano? W innych firmach ludzie narzekają na to, że – paradoksalnie – pracują więcej, co wiąże się np. z problemami komunikacyjnymi, nie można odwrócić się do kolegi i czegoś z nim omówić, trzeba się umawiać na wideokonferencje. Zwracają też na brak ruchu…

Zaobserwowaliśmy, że efektywność wielu zespołów trochę wzrosła. Wydaje się, że jest to naturalny efekt mobilizacji wewnętrznej ludzi w warunkach kryzysowych. Nie oczekujemy, że to się utrzyma w dłuższej perspektywie. W komunikacji do pracowników wskazujemy wręcz na konieczność zachowania godzin rozpoczęcia i zakończenia pracy, przypominamy o robieniu przerw. Jednocześnie podkreślamy, że ważna jest dyscyplina komunikacji. Brak odpowiedzi na maila, pytanie zadane na czacie, czy SMS-a jest podobne do ignorowania pytania zadanego w rozmowie bezpośredniej. To nie jest nawet kwestia organizacji pracy, ale może przede wszystkim kultury.

W jaki sposób zabezpieczyć w obecnej sytuacji funkcjonowania centrów danych i działających w nich systemów IT? W jaki sposób zabezpieczyć bezpieczny dostęp do nich?

Obecnie nie identyfikujemy konieczności realizacji dodatkowych działań dotyczących zabezpieczenia funkcjonowania centrów przetwarzania danych.

Czy zmienił się sposób funkcjonowania Data Center banku i np. podzielono na grupy osoby, które nie mają ze sobą kontaktów?

Część naszych systemów działa w klastrach w formule active-active, część działa w formule active-pasive. Dlatego też oba nasze ośrodki muszą działać równolegle, a dla zespołów je obsługujących jest to standardowy tryb funkcjonowania. Oczywiście w zaistniałej sytuacji musieliśmy przeprowadzić kilka działań modyfikujących dotychczasowy model pracy tak, aby w gruncie rzeczy zabezpieczyć się na zaistnienie zdarzeń skutkujących niedostępnością części naszych pracowników. Jednym z takich działań – ale nie najważniejszym – jest faktycznie ograniczenie kontaktów szczególnie w grupach odpowiedzialnych za utrzymanie kluczowych linii technologicznych i aplikacji.

Czy rozważane jest np. przeniesieniem części zasobów do zewnętrznych DC?

Aktualna sytuacja nie wymusza także doraźnych działań związanych z przenoszeniem zasobów do zewnętrznych DC. Wydaje się jednak, że niektóre wnioski – wynikające z analizy wyzwań w obecnej rzeczywistości – uzasadniają znacznie szersze wykorzystanie usług chmurowych przez banki. Dotyczy to jednak nie tylko banków, także i innych instytucji, dla których kluczowe jest zachowanie ciągłości działania. Najprostsze korzyści, które daje chmura obliczeniowa – a które można wykorzystać w podobnych sytuacjach – to możliwość szybkiego zwiększenia mocy obliczeniowej oraz dostęp do szerokiego pakietu narzędzi wspomagających pracę zdalną.

Czy w związku z tym, że rośnie zapotrzebowanie na zdalny dostęp do zasobów zwiększają Państwo w jakiś sposób przepustowość łączy?

PKO Bank Polski nie identyfikuje takiej potrzeby. Pytanie należałoby skierować do operatorów telekomunikacyjnych. Czy aktualna infrastruktura jest w stanie zapewnić istotnie zwiększony ruch w Internecie?

Czy masowe przejście pracowników na pracę zdalną zwiększa ryzyko tzw. cyberataków? Hakerzy już wykorzystują strach przed COVID-19…

Jak to niestety bywa, w warunkach odbiegających od standardu, grupy przestępcze i pojedynczy hakerzy starają się wykorzystać zasiniałą sytuację. Oczywiście technicznie i organizacyjnie PKO BP jest przygotowany do radzenia sobie z takimi zagrożeniami. Obecnie przygotowywana jest także komunikacja skierowana do naszych klientów, która powinna uczulać ich w szczególności na wszelkiego rodzaju działania phishingowe.

Czy w związku z tym wzrosło zapotrzebowanie w Państwa firmach na rozwiązania z zakresu bezpieczeństwa, np. konieczne jest zakupienie dodatkowych licencji na VPN?

Aktualna sytuacja nie wymusza na nas dodatkowych działań z zakresu bezpieczeństwa. Wspomniana powyżej kwestia pozyskania dodatkowych licencji VPN wynika raczej ze zwiększonej liczby pracowników realizujących zadania w modelu zdalnym.

Czy – w związku z obecną sytuacją – wymagana jest zmiana w konfiguracji systemów bezpieczeństwa, np. zwiększenia stopnia segmentacji dostępu do poszczególnych zasobów?

Podnoszenie poziomu bezpieczeństwa dotyczącego systemów IT i procesów realizowanych w banku – a co za tym idzie bezpieczeństwa środków i danych klientów – jest działaniem ciągłym. Dobrze przygotowana instytucja nie musi realizować żadnych doraźnych działań w tym zakresie, które wynikałyby z sytuacji takich, jak epidemia koronawirusa.

1. Zapewnienie pełnej dostępności kanałów elektronicznych, sieci bankomatów i Contact Center.
2. Zapewnienie klientom dostępności do gotówki.
3. Przygotowanie się do zwiększonego zapotrzebowania na pracę zdalną, choć – realizując program transformacji cyfrowej – PKO Bank Polski był już wcześniej przygotowany do „obsłużenia” takiego modelu pracy. Zarówno komunikatory jak narzędzia do wideokonferencji bank wykorzystywał już wcześniej bardzo szeroko.
4. Udostępnienie zestawu dobrych praktyk i sugestii dotyczących zarówno samoorganizacji, jak i organizacji pracy zespołów.