Se o seu quadro de governação não está a irritar as pessoas, está a fazê-lo mal

Eis uma verdade desconfortável: se as suas políticas de governação não estiverem a causar pelo menos uma ligeira irritação aos seus programadores, provavelmente não estão a funcionar.

Uma governação eficaz cria inerentemente fricção, porque é a fricção que sinaliza que os seus mecanismos de proteção estão a impedir ativamente comportamentos arriscados e a proteger a empresa.

Recentemente, ouvi um CTO falar de um momento embaraçoso em que partilhou numa reunião trimestral geral como a equipa tinha implementado com sucesso um novo quadro de governação com “fricção zero e adesão total”. No espaço de uma semana, um depósito AWS sem etiquetas expôs dados de clientes, resultando numa frenética maratona de 72 horas para mitigar o problema, numa multa de conformidade de seis dígitos e numa lição humilhante. 

A governação sem fricção é um mito — e ele acabou de o provar da forma mais difícil.

Se está pronto para criar uma governação que funciona realmente — incluindo as reclamações que provam a sua eficácia — o nosso Kit de Ferramentas de Governação de TI disponibiliza os quadros, modelos e ferramentas de medição necessários para começar imediatamente.

A governação é uma prioridade máxima para as empresas que adotam IA agêntica

Dados recentes realçam precisamente esta tensão entre inovação e controlo. Um inquérito realizado pela empresa de gestão de API Gravitee revelou que quase 80% dos profissionais de TI classificaram a governação como “extremamente importante”, salientando o intenso foco na implementação responsável de tecnologias avançadas, como a IA agêntica e os grandes modelos de linguagem (LLMs). 

O mesmo estudo revelou que, embora 72% das organizações estejam a implementar ativamente estas soluções de IA de vanguarda, muitas continuam a enfrentar dificuldades significativas com desafios de integração e preocupações de segurança dos dados, precisamente os riscos que uma governação eficaz procura mitigar. 

Como observa o CEO da Gravitee, Rory Blundell,

As empresas estão ansiosas por implementar IA agêntica para aumentar a produtividade, mas são cautelosas relativamente à governação. À medida que as empresas gerem melhor estes desafios, a adoção irá acelerar ainda mais.

Três modos de falha evidentes (e por que persistem)

1. Orientações permissivas

As empresas elaboram guias extensos de “boas práticas” sem os fazer cumprir, acreditando que a clareza, por si só, promove a conformidade. Na realidade, as equipas interpretam estes guias como opcionais, o que conduz a uma aplicação inconsistente e, por fim, ao seu desrespeito.

2. Cultura da conveniência

Quando os líderes dão prioridade à facilidade de utilização e a fluxos de trabalho sem fricção em detrimento de restrições necessárias, as equipas ignoram etapas críticas. Cada atalho enfraquece a segurança e a conformidade, preparando o terreno para futuros desastres.

Ven Auvaa, Diretor de Segurança da Informação na ArmorPoint, salienta esta tensão:

É difícil manter um equilíbrio entre segurança e conveniência, e é por isso que observamos muita frustração em relação aos quadros de governação. As ferramentas que reforçam a segurança, como a autenticação multifator (MFA) ou a alteração regular de palavras-passe, são frequentemente vistas como inconvenientes pelos utilizadores que não compreendem plenamente a sua importância. Muitos incidentes de segurança ocorrem precisamente porque os utilizadores contornam controlos considerados inconvenientes, criando vulnerabilidades. Reconhecer e abordar as frustrações dos utilizadores ao conceber quadros de governação é fundamental para alcançar um equilíbrio entre usabilidade e segurança.

3. As exceções feitas por conta própria proliferam

Quando engenheiros individuais solicitam frequentemente permissões ou exceções “temporárias” destinadas a correções de curto prazo, isso evolui muitas vezes para práticas operacionais permanentes que se tornam elementos fixos. A gestão fecha os olhos enquanto os ganhos de curto prazo ocultam os riscos de longo prazo. Com o tempo, as exceções acumulam-se, criando redes complexas de permissões e políticas que são quase impossíveis de desfazer ou auditar eficazmente.

Srikanth Ramachandra, Arquiteto de Valor para o Cliente na UST, destaca uma razão fundamental para a persistência destes modos de falha:

Os quadros de governação ficam aquém quando o modelo é excessivamente centralizado e unidimensional, criando inadvertidamente uma burocracia que dificulta a capacidade das equipas locais para tomarem decisões atempadas com base na cultura e nas necessidades locais, sufocando assim a inovação. Ironicamente, o próprio objetivo da governação deveria ser incentivar a flexibilidade e o crescimento rápido. O problema agrava-se com um alinhamento mínimo entre o Negócio e as TI, criando um foco desproporcionado nas métricas de conformidade em vez de procurar genuinamente encantar os clientes e os parceiros do ecossistema.

Ramachandra salienta que uma governação eficaz exige um modelo federado, transparente e orientado por dados, com poderes de decisão delegados nas equipas mais próximas da ação:

A responsabilização começa com um modelo operacional inclusivo, continuamente amadurecido, que articula claramente o propósito, a visão, as políticas e os papéis. Em última análise, é a cultura organizacional que determina até que ponto a governação é adotada e mantida de forma genuína.

Reconhecer estes padrões de falha é o primeiro passo, mas a implementação exige uma ação sistemática.

O nosso Kit de Ferramentas de Governação de TI fornece um cartão de avaliação abrangente para analisar a situação atual da sua organização e um plano de ação de 30 dias para resolver as lacunas mais críticas.

A fricção intencional é essencial

Uma boa governação não pretende agradar a todos. A Netflix introduziu, de forma célebre, o conceito de "Estrada Pavimentada", um percurso seguro e normalizado que as equipas são incentivadas — mas não obrigadas — a seguir. Se as equipas se desviarem, ficam responsáveis pelos encargos operacionais e pelo risco adicional. Inicialmente, os engenheiros queixaram-se, mas, no espaço de um ano, as taxas de incidentes diminuíram significativamente.

Do mesmo modo, a Capital One implementou barreiras de segurança que bloqueavam a integração de código de alto risco. Inicialmente, os programadores ficaram frustrados com a "burocracia", mas as vulnerabilidades críticas diminuíram 40%. 

A Shopify automatizou a eliminação noturna de recursos de nuvem sem etiquetas, suscitando inicialmente queixas, mas acabando por poupar milhões em despesas desnecessárias com a nuvem.

As queixas são uma prova de que as barreiras de proteção estão a funcionar.

Como criar as suas próprias barreiras de proteção

1. Identifique as regras críticas

Decida quais são os princípios inegociáveis. Entre os exemplos incluem-se a etiquetagem obrigatória de recursos, a proibição absoluta de contentores S3 públicos e a realização obrigatória de análises de vulnerabilidades antes da integração do código.

2. Automatize a aplicação

Utilize soluções de políticas como código, como o Terraform Sentinel, o Open Policy Agent (OPA) e a proteção de ramificações do GitHub. Integre a conformidade nos seus processos de implementação e compilação, para que as violações sejam bloqueadas na fase mais precoce possível.

3. Meça as reclamações

Acompanhe a resistência e as reclamações como indicadores importantes. Se os seus canais do Slack estiverem silenciosos, isso é um sinal de alerta. É provável que as suas regras não sejam suficientemente rigorosas.

4. Celebre a fricção

Comunique regularmente os incidentes que o seu quadro de governação evitou. Saliente resultados concretos (poupanças de custos, violações evitadas) para reforçar o valor da fricção intencional.

Para obter guias de implementação detalhados, modelos de políticas e quadros de medição, descarregue o nosso Kit de Ferramentas de Governação de TI, que inclui políticas Terraform Sentinel prontas a utilizar, modelos de proteção de ramificações do GitHub e painéis de métricas de fricção.

Os ventos favoráveis da regulamentação acabaram de mudar 

A administração Trump está a eliminar as diretivas de risco de IA da era Biden, a reduzir o financiamento da CISA e a apertar os controlos de exportação de chips de IA. 

Para os CTO, Washington acaba de lhe dar maior liberdade para inovar rapidamente, mas menos redes de segurança externas caso algo corra mal. 

Agora, a sua governação interna é a sua principal linha de defesa e tem de ser mais rigorosa — e talvez um pouco mais impopular — para compensar regulamentações externas menos exigentes.

1. Mais margem de manobra, menos apoio

• As políticas de IA e de nuvem estão a ser desreguladas
  • E.O. 14179 “Eliminar os obstáculos à liderança americana em IA” elimina as diretivas de gestão de riscos da era Biden e instrui as agências a “manter e reforçar o domínio da IA”.
  • Memorando OMB M-25-21 instrui todas as agências a acelerarem os projetos-piloto de IA e a “evitarem requisitos desnecessariamente onerosos”.

Implicação: As barreiras de proteção federais serão flexibilizadas; os investidores e os conselhos de administração esperarão que avance mais depressa.

2. Pressão sobre os controlos de exportação e a cadeia de abastecimento

Enquanto as regras internas estão a ser flexibilizadas, a Casa Branca está a reforçar os controlos de exportação de chips de IA—o Quadro para a Difusão da IA poderá restringir o fornecimento de GPU avançadas a países não aliados.

Implicação: Conte com dificuldades de aprovisionamento, auditorias mais rigorosas aos fornecedores e aumentos súbitos das despesas de capital para a capacidade de computação interna.

3. Continuidade da cibersegurança—mas com menos recursos

• Trump manteve as principais ordens executivas de cibersegurança de Biden, mas reduziu o número de funcionários e o financiamento da CISA em 10 milhões de dólares.
• A nova E.O. 14144 sobre “Reforçar e Promover a Inovação na Cibersegurança da Nação” transfere a responsabilidade para soluções lideradas pela indústria. 

Implicação: As listas de verificação de conformidade mantêm-se, mas o apoio federal (subsídios, serviços de simulação de ataques) diminui. Reserve orçamento para mais avaliações por terceiros e para despesas com informações sobre ameaças.

4. “Transferência da resiliência” para os estados e as comunidades locais

Uma ordem executiva intitulada “Alcançar a Eficiência através da Preparação Estadual e Local” transfere a preparação das infraestruturas críticas para os estados e os condados.

Implicação: As soluções SaaS com atuação em várias jurisdições (tecnologia financeira, tecnologia da saúde) poderão ter de gerir 50 requisitos de resiliência ligeiramente diferentes—reforce a sua camada de políticas como código para absorver as variações.

O que fazer este trimestre

1. Reavalie a pontuação dos seus controlos internos de risco de IA – O limite federal é mais elevado, mas os acionistas continuarão a exigir provas de uma IA segura e conforme.
2. Alargue o seu registo de controlos de exportação aos parceiros de GPU e às regiões de computação em nuvem—mapeie as cargas de trabalho que poderão ser afetadas por novas restrições.
3. Reserve no orçamento um aumento de 15% para avaliações de segurança independentes que substituam os serviços perdidos da CISA.
4. Codifique as regras estaduais de recuperação de desastres (políticas do Terraform Sentinel ou da OPA) para poder herdá-las em vez de as reescrever quando os requisitos divergirem.
5. Informe atempadamente a administração – “Estamos a avançar mais depressa com regras federais menos rigorosas, mas eis como a nossa governação interna reforçada nos mantém seguros.”

O nosso Kit de Ferramentas de Governação de TI inclui folhas de cálculo para o cálculo do ROI e modelos de resumos executivos para o ajudar a desenvolver um caso de negócio convincente para estes controlos reforçados.

Desafio: reforce uma regra hoje

Uma boa governação causa desconforto porque desafia a situação atual. Esta semana, reforce uma regra de governação crítica—talvez impondo a aplicação de etiquetas ou introduzindo barreiras de segurança obrigatórias. Depois, ouça atentamente as reclamações. Essas queixas não são apenas ruído; confirmam que a sua governação é suficientemente robusta para proteger a empresa.

Aceite o atrito. É o seu novo referencial de segurança e escalabilidade.

Precisa de ajuda para identificar qual a regra que deve reforçar primeiro? O nosso Kit de Ferramentas de Governação de TI inclui uma grelha de avaliação da saúde da governação que identifica os controlos mais frágeis da sua organização e fornece orientações de correção passo a passo. E subscreva a newsletter do The CTO Club para obter mais ferramentas, estruturas e informações sobre governação de TI.