Jeśli Twoje ramy zarządzania nie wkurzają ludzi, robisz to źle

Oto niewygodna prawda: jeśli zasady zarządzania nie wywołują przynajmniej odrobiny irytacji wśród deweloperów, prawdopodobnie nie działają.

Skuteczne zarządzanie z natury powoduje tarcia, ponieważ to właśnie tarcia sygnalizują, że mechanizmy ochronne aktywnie zapobiegają ryzykownym zachowaniom i chronią firmę.

Niedawno usłyszałem od dyrektora technicznego o krępującym momencie, gdy podczas kwartalnego spotkania całej firmy opowiedział, jak zespołowi udało się wdrożyć nowe ramy zarządzania przy „zerowych tarciach i pełnym poparciu”. W ciągu tygodnia nieotagowany zasobnik AWS ujawnił dane klientów, co doprowadziło do gorączkowego, trwającego 72 godziny maratonu działań naprawczych, sześciocyfrowej kary za naruszenie zgodności oraz bolesnej lekcji. 

Zarządzanie bez tarć to mit — a on właśnie boleśnie się o tym przekonał.

Jeśli chcesz zbudować zarządzanie, które rzeczywiście działa — wraz ze skargami potwierdzającymi jego skuteczność — nasz Zestaw narzędzi do zarządzania IT zawiera ramy, szablony i narzędzia pomiarowe, które pozwolą Ci natychmiast rozpocząć pracę.

Zarządzanie jest najwyższym priorytetem dla firm wdrażających autonomiczną sztuczną inteligencję

Najnowsze dane podkreślają to dokładne napięcie między innowacją a kontrolą. Badanie przeprowadzone przez firmę Gravitee, zajmującą się zarządzaniem interfejsami API, wykazało, że niemal 80% specjalistów IT uznało zarządzanie za „niezwykle ważne”, co uwypukla silną koncentrację na odpowiedzialnym wdrażaniu zaawansowanych technologii, takich jak autonomiczna sztuczna inteligencja i wielkie modele językowe (LLM). 

To samo badanie wykazało, że choć 72% organizacji aktywnie wdraża te najnowocześniejsze rozwiązania sztucznej inteligencji, wiele z nich nadal zmaga się z poważnymi wyzwaniami związanymi z integracją oraz obawami dotyczącymi bezpieczeństwa danych — dokładnie tymi zagrożeniami, które ma ograniczać skuteczne zarządzanie. 

Jak zauważa dyrektor generalny Gravitee, Rory Blundell,

Firmy chcą wdrażać autonomiczną sztuczną inteligencję w celu zwiększenia produktywności, ale podchodzą ostrożnie do kwestii zarządzania. W miarę jak firmy będą lepiej radzić sobie z tymi wyzwaniami, wdrażanie będzie jeszcze bardziej przyspieszać.

Trzy wyraźne scenariusze niepowodzeń (i powody, dla których się utrzymują)

1. Pobłażliwe wytyczne

Firmy opracowują obszerne przewodniki po „najlepszych praktykach”, nie egzekwując ich przestrzegania, wierząc, że sama jasność zasad zapewni zgodność. W rzeczywistości zespoły traktują te przewodniki jako opcjonalne, co prowadzi do niespójnego stosowania zasad, a ostatecznie do ich lekceważenia.

2. Kultura wygody

Gdy liderzy przedkładają łatwość użytkowania i bezproblemowe przepływy pracy nad niezbędne ograniczenia, zespoły pomijają krytyczne kroki. Każdy skrót osłabia bezpieczeństwo i zgodność, przygotowując grunt pod przyszłe katastrofy.

Ven Auvaa, dyrektor ds. bezpieczeństwa informacji w firmie ArmorPoint, podkreśla to napięcie:

Utrzymanie równowagi między bezpieczeństwem a wygodą jest trudne i dlatego obserwujemy tak dużą frustrację związaną z ramami zarządzania. Narzędzia zwiększające bezpieczeństwo, takie jak uwierzytelnianie wieloskładnikowe (MFA) czy regularna zmiana haseł, są często postrzegane jako niewygodne przez użytkowników, którzy nie rozumieją w pełni ich znaczenia. Wiele incydentów bezpieczeństwa ma miejsce właśnie dlatego, że użytkownicy obchodzą elementy kontroli uznawane za niewygodne, tworząc luki w zabezpieczeniach. Rozpoznawanie frustracji użytkowników i reagowanie na nie podczas projektowania ram zarządzania ma kluczowe znaczenie dla zachowania równowagi między użytecznością a bezpieczeństwem.

3. Masowo stosowane wyjątki tworzone samodzielnie

Gdy poszczególni inżynierowie często proszą o „tymczasowe” uprawnienia lub wyjątki przeznaczone do krótkoterminowych napraw, często przeradza się to w trwałe praktyki operacyjne, które stają się stałymi elementami środowiska. Kierownictwo przymyka na to oko, ponieważ krótkoterminowe korzyści przesłaniają długoterminowe ryzyko. Z czasem wyjątki się kumulują, tworząc złożone sieci uprawnień i zasad, które są niemal niemożliwe do rozplątania lub skutecznego skontrolowania.

Srikanth Ramachandra, architekt wartości dla klienta w firmie UST, wskazuje kluczowy powód utrzymywania się tych scenariuszy niepowodzeń:

Ramy zarządzania zawodzą, gdy model jest nadmiernie scentralizowany i jednowymiarowy, nieumyślnie tworząc biurokrację, która ogranicza zdolność lokalnych zespołów do podejmowania na czas decyzji opartych na lokalnej kulturze i potrzebach, a tym samym hamuje innowacje. Paradoksalnie sam cel zarządzania powinien polegać na zachęcaniu do elastyczności i szybkiego rozwoju. Problem pogłębia się przy niewielkim stopniu uzgodnienia między biznesem a IT, co prowadzi do nieproporcjonalnego skupienia na wskaźnikach zgodności zamiast na rzeczywistym zachwycaniu klientów i partnerów ekosystemu.

Ramachandra podkreśla, że skuteczne zarządzanie wymaga federacyjnego, przejrzystego i opartego na danych modelu, w którym uprawnienia decyzyjne są delegowane zespołom znajdującym się najbliżej miejsca działania:

Egzekwowanie odpowiedzialności zaczyna się od inkluzywnego modelu operacyjnego, stale doskonalonego, który jasno określa cel, wizję, zasady i role. Ostatecznie kultura organizacyjna decyduje o tym, z jakim zaangażowaniem zarządzanie jest wdrażane i utrzymywane.

Rozpoznanie tych wzorców niepowodzeń to pierwszy krok, ale wdrożenie wymaga systematycznych działań.

Nasz Zestaw narzędzi do zarządzania IT zawiera kompleksową kartę oceny stanu, która pozwala ocenić obecną sytuację organizacji, oraz 30-dniowy plan działań mających na celu rozwiązanie najważniejszych luk.

Celowe tarcia są niezbędne

Dobre zarządzanie nie ma zadowalać wszystkich. Netflix zasłynął z wprowadzenia koncepcji „Paved Road” — bezpiecznej, ustandaryzowanej ścieżki, którą zespoły są zachęcane, ale nie zobowiązane, podążać. Jeśli zespoły od niej odejdą, ponoszą ciężar operacyjny i dodatkowe ryzyko. Początkowo inżynierowie narzekali, ale w ciągu roku liczba incydentów znacząco spadła.

Podobnie Capital One wdrożył bramki bezpieczeństwa blokujące scalanie kodu wysokiego ryzyka. Początkowo deweloperzy byli sfrustrowani „biurokracją”, ale liczba krytycznych luk w zabezpieczeniach spadła o 40%. 

Shopify zautomatyzował nocne usuwanie nieotagowanych zasobów w chmurze, co początkowo wywoływało skargi, ale ostatecznie pozwoliło zaoszczędzić miliony na niepotrzebnych wydatkach na chmurę.

Skargi są dowodem na to, że mechanizmy zabezpieczające działają.

Jak zbudować własne mechanizmy zabezpieczające

1. Zidentyfikuj krytyczne zasady

Określ zasady, od których nie ma wyjątków. Przykłady obejmują obowiązkowe tagowanie zasobów, całkowity zakaz tworzenia publicznych zasobników S3 oraz wymóg przeprowadzania skanowania podatności przed scaleniem kodu.

2. Zautomatyzuj egzekwowanie zasad

Korzystaj z rozwiązań typu „zasady jako kod”, takich jak Terraform Sentinel, Open Policy Agent (OPA) oraz ochrona gałęzi w GitHubie. Wbuduj zgodność z zasadami w procesy wdrażania i kompilacji, aby naruszenia były blokowane na najwcześniejszym etapie.

3. Mierz narzekania

Śledź sprzeciw i skargi jako kluczowe wskaźniki. Jeśli na kanałach Slacka panuje cisza, to sygnał ostrzegawczy. Twoje zasady prawdopodobnie nie są wystarczająco rygorystyczne.

4. Doceniaj tarcia

Regularnie informuj o incydentach, którym zapobiegły ramy zarządzania. Podkreślaj konkretne rezultaty (oszczędności, uniknięte naruszenia), aby wzmacniać wartość celowych tarć.

Szczegółowe instrukcje wdrożeniowe, szablony zasad i ramy pomiarowe znajdziesz w naszym Zestawie narzędzi do zarządzania IT, który zawiera gotowe do użycia zasady Terraform Sentinel, szablony ochrony gałęzi w GitHubie oraz pulpity nawigacyjne z metrykami tarć.

Wiatr regulacyjny właśnie zmienił kierunek 

Administracja Trumpa wycofuje dyrektywy dotyczące ryzyka AI z czasów Bidena, ogranicza finansowanie CISA i zaostrza kontrole eksportu układów AI. 

Dla CTO oznacza to, że Waszyngton właśnie dał Ci większą swobodę szybkiego wprowadzania innowacji, ale mniej zewnętrznych zabezpieczeń na wypadek problemów. 

Teraz Twoje wewnętrzne zarządzanie jest główną linią obrony i musi być bardziej rygorystyczne — a być może także nieco mniej popularne — aby zrekompensować luźniejsze regulacje zewnętrzne.

1. Większa swoboda, mniej prowadzenia za rękę

• Polityki dotyczące AI i chmury są deregulowane
  • E.O. 14179 „Usuwanie barier dla amerykańskiego przywództwa w dziedzinie AI” eliminuje dyrektywy dotyczące zarządzania ryzykiem z czasów Bidena i nakazuje agencjom „utrzymywać i wzmacniać dominację w dziedzinie AI”.
  • Memorandum OMB M-25-21 instruuje każdą agencję, aby przyspieszyła pilotażowe wdrożenia AI i „unikała niepotrzebnie uciążliwych wymagań”.

Implikacja: Federalne mechanizmy zabezpieczające zostaną poluzowane; inwestorzy i zarządy będą oczekiwać szybszego działania.

2. Presja związana z kontrolą eksportu i łańcuchem dostaw

Podczas gdy krajowe przepisy są łagodzone, Biały Dom zaostrza kontrolę eksportu układów scalonych AI—Ramy rozpowszechniania AI mogą ograniczyć dostawy zaawansowanych procesorów GPU do państw niebędących sojusznikami.

Implikacja: Należy spodziewać się problemów z zaopatrzeniem, bardziej rygorystycznych audytów dostawców i nagłych wzrostów nakładów inwestycyjnych na infrastrukturę obliczeniową utrzymywaną we własnym zakresie.

3. Ciągłość cyberbezpieczeństwa — ale przy mniejszych zasobach

• Trump utrzymał najważniejsze rozporządzenia wykonawcze Bidena dotyczące cyberbezpieczeństwa, ale zmniejszył zatrudnienie w CISA i ograniczył jej finansowanie o 10 milionów dolarów.
• Nowe E.O. 14144 w sprawie „wzmacniania i promowania innowacji w cyberbezpieczeństwie kraju” przenosi odpowiedzialność na rozwiązania opracowywane przez sektor przemysłowy. 

Implikacja: Listy kontrolne zgodności pozostają, ale wsparcie federalne (dotacje, usługi zespołów testów bezpieczeństwa) słabnie. Należy zaplanować większe wydatki na oceny przeprowadzane przez podmioty zewnętrzne i analizę informacji o zagrożeniach.

4. „Przekazanie odpowiedzialności za odporność” władzom stanowym i lokalnym

Rozporządzenie wykonawcze zatytułowane „Osiąganie efektywności dzięki przygotowaniu władz stanowych i lokalnych” przenosi przygotowanie infrastruktury krytycznej na poziom stanów i hrabstw.

Implikacja: Usługi SaaS działające w wielu jurysdykcjach (technologie finansowe, technologie medyczne) mogą być zmuszone do obsługi 50 nieco odmiennych wymagań dotyczących odporności — należy wzmocnić warstwę zasad zapisanych w kodzie, aby absorbować te różnice.

Co zrobić w tym kwartale

1. Ponownie oceń wewnętrzne mechanizmy kontroli ryzyka AI – Federalny limit jest wyższy, ale akcjonariusze nadal będą wymagać dowodów bezpiecznego i zgodnego z przepisami wykorzystania AI.
2. Rozszerz rejestr kontroli eksportu o partnerów dostarczających procesory GPU i regiony chmurowe — zmapuj obciążenia, które mogą zostać objęte nowymi ograniczeniami.
3. Zaplanuj 15% wzrost budżetu na niezależne oceny bezpieczeństwa, aby zastąpić utracone usługi CISA.
4. Skodyfikuj stanowe zasady odtwarzania po awarii (zasady Terraform Sentinel lub OPA), aby można było je przejmować, a nie przepisywać, gdy wymagania będą się rozbiegać.
5. Wcześnie poinformuj zarząd – „Działamy szybciej dzięki luźniejszym przepisom federalnym, ale oto jak wzmocniony wewnętrzny nadzór zapewnia nam bezpieczeństwo”.

Nasz Zestaw narzędzi do zarządzania IT zawiera arkusze kalkulacyjne do obliczania ROI oraz szablony podsumowań dla kadry kierowniczej, które pomogą opracować przekonujące uzasadnienie biznesowe dla tych rozszerzonych mechanizmów kontroli.

Wyzwanie: zaostrz dziś jedną zasadę

Dobre zarządzanie bywa niewygodne, ponieważ podważa status quo. W tym tygodniu zaostrz jedną kluczową zasadę zarządzania — na przykład wprowadź obowiązek stosowania tagów lub obowiązkowe bramki bezpieczeństwa. Następnie uważnie wsłuchaj się w skargi. Te narzekania nie są tylko hałasem; potwierdzają, że zarządzanie jest wystarczająco solidne, aby chronić firmę.

Zaakceptuj tarcia. To Twój nowy punkt odniesienia dla bezpieczeństwa i skalowalności.

Potrzebujesz pomocy w ustaleniu, którą zasadę zaostrzyć w pierwszej kolejności? Nasz Zestaw narzędzi do zarządzania IT zawiera kartę wyników kontroli stanu zarządzania, która identyfikuje najsłabsze mechanizmy kontroli w Twojej organizacji i zapewnia instrukcje naprawcze krok po kroku. Zapisz się również do newslettera The CTO Club, aby otrzymywać więcej narzędzi, ram działania i informacji na temat zarządzania IT.