Hvis styringsrammeverket ditt ikke irriterer folk, gjør du det feil

Her er en ubehagelig sannhet: Hvis styringspolicyene deres ikke skaper minst en mild grad av irritasjon blant utviklerne, fungerer de sannsynligvis ikke.

Effektiv styring skaper iboende friksjon, fordi friksjon er det som signaliserer at rekkverkene deres aktivt forhindrer risikofylt atferd og beskytter virksomheten.

Jeg hørte nylig fra en CTO om et pinlig øyeblikk da han på et kvartalsvis allmøte fortalte hvordan teamet hadde implementert et nytt styringsrammeverk med «null friksjon og full oppslutning». Innen en uke hadde en umerket AWS-bøtte lekket kundedata, noe som førte til et hektisk 72-timers skadebegrensningsmaraton, en sekssifret bot for manglende etterlevelse og en ydmykende lærepenge. 

Friksjonsfri styring er en myte – og han hadde nettopp bevist det på den harde måten.

Hvis du er klar til å bygge styring som faktisk fungerer – komplett med klagene som beviser at den er effektiv – gir vårt IT-styringsverktøy deg rammeverkene, malene og måleverktøyene du trenger for å komme i gang umiddelbart.

Styring er en topp prioritet for selskaper som tar i bruk agentisk AI

Nylige data understreker nettopp denne spenningen mellom innovasjon og kontroll. En undersøkelse utført av selskapet Gravitee, som leverer API-administrasjon, viste at nærmere 80 % av IT-fagfolk vurderte styring som «svært viktig». Dette fremhever det sterke fokuset på ansvarlig implementering av avansert teknologi, som agentisk AI og store språkmodeller (LLMs). 

Den samme studien viste at selv om 72 % av organisasjonene aktivt tar i bruk disse banebrytende AI-løsningene, sliter mange fortsatt betydelig med integrasjonsutfordringer og bekymringer knyttet til datasikkerhet – nettopp den typen risiko effektiv styring har som mål å redusere. 

Som Gravitee sin administrerende direktør Rory Blundell påpeker:

Selskaper er ivrige etter å ta i bruk agentisk AI for å øke produktiviteten, men de er forsiktige når det gjelder styring. Etter hvert som selskaper håndterer disse utfordringene bedre, vil innføringen akselerere ytterligere.

Tre tydelige feilmoduser (og hvorfor de vedvarer)

1. Slappe retningslinjer

Selskaper utarbeider omfattende veiledninger for «beste praksis» uten å håndheve dem, i troen på at tydelighet alene fører til etterlevelse. I virkeligheten tolker teamene disse veiledningene som valgfrie, noe som fører til ujevn anvendelse og til slutt at de blir ignorert.

2. En bekvemmelighetskultur

Når ledere prioriterer brukervennlighet og friksjonsfrie arbeidsflyter fremfor nødvendige begrensninger, hopper teamene over kritiske trinn. Hver snarvei svekker sikkerhet og etterlevelse og legger grunnlaget for fremtidige katastrofer.

Ven Auvaa, direktør for informasjonssikkerhet hos ArmorPoint, understreker denne spenningen:

Det er vanskelig å opprettholde en balanse mellom sikkerhet og bekvemmelighet, og det er derfor vi ser mye frustrasjon knyttet til styringsrammeverk. Verktøy som styrker sikkerheten, som flerfaktorautentisering (MFA) eller regelmessige passordendringer, oppleves ofte som upraktiske av brukere som ikke fullt ut forstår hvor viktige de er. Mange sikkerhetshendelser oppstår nettopp fordi brukere omgår kontroller som oppleves som upraktiske, og dermed skaper sårbarheter. Det er avgjørende å erkjenne og håndtere brukernes frustrasjon når man utformer styringsrammeverk, for å finne en balanse mellom brukervennlighet og sikkerhet.

3. Gjør-det-selv-unntak florerer

Når enkeltstående ingeniører ofte ber om «midlertidige» tillatelser eller unntak ment for kortsiktige løsninger, utvikler dette seg ofte til permanente driftspraksiser som blir varige bestanddeler. Ledelsen ser gjennom fingrene med det, fordi kortsiktige gevinster skjuler langsiktige risikoer. Over tid hoper unntakene seg opp og skaper komplekse nettverk av tillatelser og policyer som er nesten umulige å rydde opp i eller revidere på en effektiv måte.

Srikanth Ramachandra, arkitekt for kundeverdi hos UST, fremhever en viktig grunn til at disse feilmodusene vedvarer:

Styringsrammeverk kommer til kort når modellen er for sentralisert og endimensjonal, og utilsiktet skaper byråkrati som hindrer lokale team i å ta rettidige beslutninger basert på lokal kultur og lokale behov, og dermed hemmer innovasjon. Ironisk nok bør selve formålet med styring være å oppmuntre til fleksibilitet og rask vekst. Problemet forverres av minimal samordning mellom forretning og IT, noe som skaper et uforholdsmessig sterkt fokus på etterlevelsesmålinger i stedet for å virkelig begeistre kunder og økosystempartnere.

Ramachandra understreker at effektiv styring krever en føderert, transparent og datadrevet modell, der beslutningsmyndighet delegeres til teamene som er nærmest handlingene:

Å håndheve ansvarlighet begynner med en inkluderende driftsmodell som modnes kontinuerlig, og som tydelig uttrykker formål, visjon, retningslinjer og roller. Til syvende og sist avgjør organisasjonskulturen hvor helhjertet styringen tas i bruk og opprettholdes.

Å gjenkjenne disse feilmønstrene er det første steget, men implementering krever systematisk handling.

Vårt verktøysett for IT-styring gir et omfattende helsesjekksskjema for å vurdere organisasjonens nåværende situasjon, samt en 30-dagers sprintplan for å håndtere de mest kritiske manglene.

Bevisst friksjon er avgjørende

God styring er ikke ment å tilfredsstille alle. Netflix introduserte berømt konseptet «Asfaltert vei», en sikker og standardisert vei som team oppfordres til – men ikke er pålagt – å følge. Hvis team avviker, må de selv bære de driftsmessige byrdene og den økte risikoen. Ingeniørene klaget i begynnelsen, men innen et år hadde antallet hendelser falt betydelig.

På samme måte innførte Capital One sikkerhetskontroller som blokkerte sammenslåing av kode med høy risiko. Utviklerne var først frustrert over «byråkratiet», men antallet kritiske sårbarheter falt med 40 %. 

Shopify automatiserte den nattlige slettingen av umerkede skyressurser. Dette førte først til klager, men sparte til slutt millioner i unødvendige skyutgifter.

Klager er et bevis på at sikkerhetsgrensene fungerer.

Slik bygger du dine egne sikkerhetsgrenser

1. Identifiser kritiske regler

Bestem hva som ikke kan forhandles om. Eksempler omfatter obligatorisk merking av ressurser, et absolutt forbud mot offentlige S3-bøtter og pålagte sårbarhetsskanninger før kode slås sammen.

2. Automatiser håndhevingen

Bruk løsninger for retningslinjer som kode, for eksempel Terraform Sentinel, Open Policy Agent (OPA) og grenbeskyttelse i GitHub. Bygg samsvar inn i distribusjons- og byggeprosessene, slik at brudd blokkeres på et så tidlig stadium som mulig.

3. Mål klagingen

Følg motstand og klager som viktige indikatorer. Hvis Slack-kanalene dine er stille, er det et faresignal. Reglene dine er sannsynligvis ikke strenge nok.

4. Feir friksjonen

Kommuniser jevnlig om hendelser som styringsrammeverket ditt har forhindret. Fremhev konkrete resultater (kostnadsbesparelser, unngåtte sikkerhetsbrudd) for å styrke verdien av bevisst friksjon.

For detaljerte implementeringsveiledninger, maler for retningslinjer og målerammeverk kan du laste ned vårt verktøysett for IT-styring, som inneholder klare til bruk-retningslinjer for Terraform Sentinel, maler for grenbeskyttelse i GitHub og dashbord for friksjonsmålinger.

Medvinden fra reguleringene har nettopp snudd 

Trump-administrasjonen skroter AI-direktiver om risiko fra Biden-tiden, kutter finansieringen til CISA og skjerper eksportkontrollen for AI-brikker. 

For CTO-er har Washington nettopp gitt deg større frihet til å innovere raskt, men færre eksterne sikkerhetsnett dersom noe går galt. 

Nå er den interne styringen din den viktigste forsvarslinjen, og den må være strengere – og kanskje litt mer upopulær – for å kompensere for mindre strenge eksterne reguleringer.

1. Større spillerom, mindre støtte

• Reguleringen av AI- og skyretningslinjer avtar
  • E.O. 14179 «Fjerning av hindringer for amerikansk lederskap innen AI» fjerner risikostyringsdirektivene fra Biden-tiden og ber etatene «opprettholde og styrke AI-dominansen».
  • OMB Memo M-25-21 instruerer alle etater om å fremskynde AI-pilotprosjekter og «unngå unødvendig byrdefulle krav».

Konsekvens: Føderale sikkerhetsgrenser vil bli mindre strenge, mens investorer og styrer forventer at du beveger deg raskere.

2. Press på eksportkontroll og forsyningskjeder

Selv om nasjonale regler lempes, strammer Det hvite hus inn eksportkontrollen av AI-brikker—Rammeverket for AI-spredning kan begrense tilgangen på avanserte GPU-er for land som ikke er allierte.

Konsekvens: Forvent utfordringer med innkjøp, strengere leverandørrevisjoner og plutselige CAPEX-økninger for databehandling internt.

3. Kontinuitet innen cybersikkerhet – men med færre ressurser

• Trump beholdt Bidens viktigste presidentordrer om cybersikkerhet, men kuttet bemanningen i CISA og finansieringen med 10 millioner dollar.
• En ny E.O. 14144 om «Styrking og fremming av innovasjon innen nasjonens cybersikkerhet» flytter ansvaret over på bransjeledede løsninger. 

Konsekvens: Sjekklistene for samsvar består, men føderal støtte (tilskudd, tjenester for rødteam-testing) blir mindre tilgjengelig. Sett av budsjett til flere vurderinger utført av tredjeparter og utgifter til trusselinnsikt.

4. «Overføring av robusthetsansvar» til delstater og lokale myndigheter

En EO med tittelen «Effektivisering gjennom beredskap på delstats- og lokalnivå» flytter beredskapen for kritisk infrastruktur ned til delstater og fylker.

Konsekvens: SaaS-løsninger på tvers av jurisdiksjoner (fintech, helseteknologi) kan måtte håndtere 50 noe forskjellige krav til robusthet – stram inn laget for retningslinjer som kode, slik at det kan absorbere variasjoner.

Hva du bør gjøre dette kvartalet

1. Vurder den interne kontrollen av AI-risiko på nytt – Det føderale taket er høyere, men aksjonærene vil fortsatt kreve dokumentasjon på sikker og regelverkssamsvarende AI.
2. Utvid registeret over eksportkontroll til GPU-partnere og nettskyregioner – kartlegg arbeidsbelastninger som kan rammes av nye begrensninger.
3. Sett av et budsjett med 15 % økning til uavhengige sikkerhetsvurderinger for å erstatte tapte CISA-tjenester.
4. Formaliser regler for katastrofegjenoppretting på delstatsnivå (Terraform Sentinel- eller OPA-retningslinjer), slik at du kan arve dem i stedet for å skrive dem om når kravene spriker.
5. Informer styret tidlig – «Vi beveger oss raskere under mindre strenge føderale regler, men her er hvordan vår styrkede interne styring holder oss trygge.»

Vårt IT-styringsverktøy inneholder arbeidsark for beregning av avkastning på investeringer og maler for sammendrag til ledelsen, slik at du kan utvikle et overbevisende beslutningsgrunnlag for disse forbedrede kontrollene.

Utfordring: Stram inn én regel i dag

God styring føles ubehagelig fordi den utfordrer status quo. Stram inn én kritisk styringsregel denne uken – for eksempel ved å håndheve tagging eller innføre obligatoriske sikkerhetssperrer. Lytt deretter nøye etter klager. Disse klagene er ikke bare støy; de bekrefter at styringen din er robust nok til å beskytte virksomheten.

Omfavn friksjonen. Den er din nye målestokk for sikkerhet og skalerbarhet.

Trenger du hjelp til å finne ut hvilken regel du bør stramme inn først? Vårt IT-styringsverktøy inneholder et helsekontrollskjema for styringen som identifiserer virksomhetens svakeste kontroller og gir trinnvis veiledning for utbedring. Og abonner på The CTO Clubs nyhetsbrev for flere verktøy, rammeverk og innsikt i IT-styring.