Hvis din governance-ramme ikke pisser folk af, gør du det forkert

Her er en ubehagelig sandhed: Hvis jeres governancepolitikker ikke skaber mindst en smule irritation blandt jeres udviklere, fungerer de sandsynligvis ikke.

Effektiv governance skaber i sagens natur friktion, fordi friktion er det, der viser, at jeres sikkerhedsforanstaltninger aktivt forhindrer risikabel adfærd og beskytter virksomheden.

Jeg hørte for nylig fra en CTO om et pinligt øjeblik, hvor han på et kvartalsvist fællesmøde fortalte, hvordan teamet med succes havde implementeret en ny governance-ramme med “nul friktion og fuld opbakning”. Inden for en uge lækkede en umærket AWS-bucket kundedata, hvilket resulterede i et hektisk 72-timers afværgeforløb, en sekscifret bøde for manglende efterlevelse og en ydmygende lærestreg. 

Governance uden friktion er en myte – og han havde netop bevist det på den hårde måde.

Hvis I er klar til at opbygge governance, der faktisk fungerer – inklusive de klager, der beviser, at den er effektiv – giver vores værktøjskasse til IT-governance jer de rammeværk, skabeloner og måleværktøjer, I skal bruge for at komme i gang med det samme.

Governance er en topprioritet for virksomheder, der tager agentisk AI i brug

Nyere data understreger netop denne spænding mellem innovation og kontrol. En undersøgelse foretaget af virksomheden inden for API-administration Gravitee viste, at næsten 80 % af IT-fagfolk vurderede governance som "ekstremt vigtigt", hvilket fremhæver det intense fokus på ansvarlig implementering af avancerede teknologier som agentisk AI og store sprogmodeller (LLMs). 

Den samme undersøgelse viste, at mens 72 % af organisationerne aktivt implementerer disse banebrydende AI-løsninger, kæmper mange stadig betydeligt med integrationsudfordringer og bekymringer om datasikkerhed – netop de risici, som effektiv governance har til formål at mindske. 

Som Gravitee’s CEO Rory Blundell bemærker,

Virksomheder er ivrige efter at implementere agentisk AI for at øge produktiviteten, men de er forsigtige med governance. Efterhånden som virksomheder bliver bedre til at håndtere disse udfordringer, vil udbredelsen accelerere yderligere.

Tre tydelige fejltilstande (og hvorfor de fortsætter)

1. Slappe retningslinjer

Virksomheder udarbejder omfattende vejledninger om "bedste praksis" uden at håndhæve dem, fordi de tror, at klarhed alene skaber efterlevelse. I virkeligheden fortolker teams disse vejledninger som valgfrie, hvilket fører til inkonsekvent anvendelse og til sidst tilsidesættelse.

2. En bekvemmelighedskultur

Når ledere prioriterer brugervenlighed og arbejdsgange uden friktion over nødvendige begrænsninger, springer teams kritiske trin over. Hver genvej svækker sikkerheden og efterlevelsen, hvilket baner vejen for fremtidige katastrofer.

Ven Auvaa, direktør for informationssikkerhed hos ArmorPoint, fremhæver denne spænding:

Det er vanskeligt at opretholde en balance mellem sikkerhed og bekvemmelighed, og derfor ser vi meget frustration over for governance-rammeværk. Værktøjer, der forbedrer sikkerheden, såsom multifaktorgodkendelse (MFA) eller regelmæssige ændringer af adgangskoder, opfattes ofte som besværlige af brugere, der ikke fuldt ud forstår deres betydning. Mange sikkerhedshændelser opstår netop, fordi brugere omgår kontroller, som de opfatter som besværlige, hvilket skaber sårbarheder. Det er afgørende at anerkende og håndtere brugernes frustrationer ved udformningen af governance-rammeværk for at finde en balance mellem brugervenlighed og sikkerhed.

3. Gør-det-selv-undtagelser breder sig uhæmmet

Når individuelle ingeniører ofte anmoder om "midlertidige" tilladelser eller undtagelser, der er beregnet til kortsigtede løsninger, udvikler det sig ofte til permanente driftspraksisser, som bliver varige bestanddele. Ledelsen ser gennem fingre med det, fordi kortsigtede gevinster skjuler langsigtede risici. Med tiden ophobes undtagelserne og skaber komplekse netværk af tilladelser og politikker, som næsten er umulige at rede tråde ud af eller revidere effektivt.

Srikanth Ramachandra, arkitekt for kundeværdi hos UST, fremhæver en væsentlig årsag til, at disse fejltilstande fortsætter:

Governance-rammeværk kommer til kort, når modellen er overdrevent centraliseret og endimensionel, hvilket utilsigtet skaber bureaukrati, der hæmmer lokale teams’ evne til at træffe rettidige beslutninger baseret på lokal kultur og lokale behov og dermed kvæler innovation. Ironisk nok bør selve formålet med governance være at fremme fleksibilitet og hurtig vækst. Problemet forværres af minimal tilpasning mellem forretningen og IT, hvilket skaber et uforholdsmæssigt stort fokus på efterlevelsesmålinger frem for reelt at begejstre kunder og økosystempartnere.

Ramachandra understreger, at effektiv governance kræver en fødereret, transparent og datadrevet model, hvor beslutningsbeføjelser uddelegeres til de teams, der er tættest på handlingerne:

Håndhævelse af ansvarlighed begynder med en inkluderende driftsmodel, der løbende modnes og klart formulerer formål, vision, politikker og roller. I sidste ende afgør organisationskulturen, hvor helhjertet styringen bliver taget til sig og opretholdt.

At genkende disse fejlmønstre er det første skridt, men implementering kræver systematisk handling.

Vores værktøjskasse til IT-styring indeholder et omfattende sundhedstjek med scorekort til vurdering af din organisations nuværende situation samt en 30-dages sprintplan til håndtering af de mest kritiske mangler.

Forsætlig friktion er afgørende

God styring er ikke designet til at behage alle. Netflix introducerede berømt konceptet "Den asfalterede vej", en sikker og standardiseret vej, som teams opfordres til – men ikke er forpligtet til – at følge. Hvis teams afviger, må de selv bære de driftsmæssige byrder og den øgede risiko. Ingeniørerne beklagede sig i begyndelsen, men inden for et år faldt antallet af hændelser markant.

På samme måde implementerede Capital One sikkerhedskontroller, der blokerede sammenlægning af kode med høj risiko. Udviklerne var i begyndelsen frustrerede over "bureaukratiet", men antallet af kritiske sårbarheder faldt med 40 %. 

Shopify automatiserede den natlige sletning af umærkede cloudressourcer, hvilket først udløste klager, men i sidste ende sparede millioner i unødvendige cloududgifter.

Klager er et bevis på, at sikkerhedsforanstaltningerne fungerer.

Sådan opbygger du dine egne sikkerhedsforanstaltninger

1. Identificer kritiske regler

Beslut, hvad der ikke kan forhandles om. Eksempler omfatter obligatorisk mærkning af ressourcer, et absolut forbud mod offentlige S3-buckets og påkrævede sårbarhedsscanninger før sammenlægning af kode.

2. Automatiser håndhævelsen

Brug løsninger til politik som kode, såsom Terraform Sentinel, Open Policy Agent (OPA) og GitHub-grenbeskyttelse. Indbyg overholdelse i dine udrulnings- og byggeprocesser, så overtrædelser blokeres på det tidligst mulige trin.

3. Mål utilfredsheden

Følg modstand og klager som vigtige indikatorer. Hvis dine Slack-kanaler er stille, er det et advarselstegn. Dine regler er sandsynligvis ikke strenge nok.

4. Fejr friktionen

Kommunikér regelmæssigt om hændelser, som din styringsramme har forhindret. Fremhæv konkrete resultater (besparelser, undgåede brud på datasikkerheden) for at understrege værdien af forsætlig friktion.

Hent vores værktøjskasse til IT-styring for detaljerede implementeringsvejledninger, politikskabeloner og målerammer. Den indeholder brugsklare Terraform Sentinel-politikker, skabeloner til GitHub-grenbeskyttelse og dashboards med friktionsmålinger.

Reguleringsmedvinden er netop vendt 

Trump-administrationen skrotter direktiver om AI-risici fra Biden-æraen, reducerer CISA's finansiering og strammer eksportkontrollen for AI-chips. 

For CTO'er har Washington netop givet dig større frihed til at innovere hurtigt, men færre eksterne sikkerhedsnet, hvis noget går galt. 

Nu er din interne styring din primære forsvarslinje, og den skal være mere stringent – og måske en smule mere upopulær – for at kompensere for lempeligere eksterne regler.

1. Større spillerum, mindre støtte

• AI- og cloudpolitikker dereguleres
  • E.O. 14179 "Fjernelse af barrierer for amerikansk lederskab inden for AI" fjerner direktiverne om risikostyring fra Biden-æraen og pålægger myndighederne at "opretholde og styrke AI-dominansen".
  • OMB-memorandum M-25-21 instruerer alle myndigheder i at fremskynde AI-pilotprojekter og "undgå unødigt byrdefulde krav".

Konsekvens: Føderale sikkerhedsforanstaltninger vil blive lempet; investorer og bestyrelser forventer, at du bevæger dig hurtigere.

2. Pres på eksportkontrol & forsyningskæder

Mens de nationale regler lempes, skærper Det Hvide Hus kontrollen med eksport af AI-chips—rammeværket for AI-spredning kan begrænse udbuddet af avancerede GPU'er til lande, der ikke er allierede.

Konsekvens: Forvent udfordringer med indkøb, skærpede leverandøraudits og pludselige CAPEX-stigninger for intern databehandling.

3. Kontinuitet inden for cybersikkerhed—men med færre ressourcer

• Trump fastholdt Bidens vigtigste bekendtgørelser om cybersikkerhed, men skar CISA's medarbejderstab og finansiering ned med $10 million.
• En ny E.O. 14144 om “Styrkelse og fremme af innovation inden for nationens cybersikkerhed” flytter ansvaret over på brancheledede løsninger. 

Konsekvens: Tjeklisterne for overholdelse består, men den føderale støtte (tilskud, tjenester fra røde teams) svinder ind. Afsæt budget til flere tredjepartsvurderinger og udgifter til trusselsinformation.

4. “Overdragelse af modstandsdygtighed” til delstater og lokale myndigheder

En EO med titlen “Opnåelse af effektivitet gennem delstatslig og lokal beredskab” flytter beredskabet for kritisk infrastruktur ned til delstater og amter.

Konsekvens: SaaS-løsninger på tværs af jurisdiktioner (fintech, sundhedsteknologi) kan blive nødt til at håndtere 50 lidt forskellige krav til modstandsdygtighed—stram dit lag med politik som kode for at absorbere variationerne.

Hvad skal du gøre i dette kvartal?

1. Vurder dine interne kontroller for AI-risici på ny – Det føderale loft er højere, men aktionærerne vil stadig kræve dokumentation for sikker og regeloverholdende AI.
2. Udvid dit register over eksportkontrol til GPU-partnere og cloudregioner—kortlæg arbejdsbelastninger, der kan blive ramt af nye begrænsninger.
3. Afsæt et budget med en stigning på 15 % til uafhængige sikkerhedsvurderinger, så de tabte CISA-tjenester kan erstattes.
4. Indarbejd reglerne for katastrofeberedskab på delstatsniveau (Terraform Sentinel- eller OPA-politikker), så du kan arve dem i stedet for at omskrive dem, når kravene divergerer.
5. Orientér bestyrelsen tidligt – “Vi bevæger os hurtigere under lempeligere føderale regler, men her er, hvordan vores styrkede interne styring holder os sikre.”

Vores IT-styringsværktøjskasse indeholder arbejdsark til beregning af investeringsafkast og skabeloner til ledelsesresumeer, som hjælper dig med at udarbejde et overbevisende forretningsgrundlag for disse skærpede kontroller.

Udfordring: Skærp én regel i dag

God styring føles ubehagelig, fordi den udfordrer status quo. Skærp én kritisk styringsregel i denne uge—måske ved at håndhæve mærkning eller indføre obligatoriske sikkerhedskontroller. Lyt derefter nøje efter klager. Disse beklagelser er ikke bare støj; de bekræfter, at din styring er robust nok til at beskytte virksomheden.

Omfavn friktionen. Det er dit nye pejlemærke for sikkerhed og skalerbarhed.

Har du brug for hjælp til at identificere, hvilken regel du skal skærpe først? Vores IT-styringsværktøjskasse indeholder et evalueringskort til kontrol af styringens sundhed, som identificerer din organisations svageste kontroller og giver trinvis vejledning i afhjælpning. Og abonnér på The CTO Clubs nyhedsbrev for flere værktøjer, rammeværk og indsigter om IT-styring.