CIO应该警惕的五大IT风险

从不断增加的技术债务到云端的财务问题，IT领导者必须识别、调查、并制定计划以解决几个关键的运营风险，如果不加以控制，这些风险可能会削弱他们的业务。

作为数字化转型领导者和前CIO，我有一种健康的偏执，或者说是生存本能：可能破坏组织坚持其使命和实现其目标的风险必须不断浮现、评估，被减轻或得到管理。

组织转型速度是否足够快？利益相关者是否在苦苦挣扎或不高兴？敏捷团队是否因太多优先事项而过度紧张？作为数字先驱，我的大部分疑虑都与可能阻碍转型的问题有关，但真正让我夜不能寐的是运营和安全风险。

这些问题中，很多都属于外部威胁，CIO必须投资于安全最佳实践，制定监控和响应计划，以应对可能出现的问题。虽然安全风险令人生畏，但我们避免在无法控制的领域过度紧张。CIO必须尽最大努力保护组织，并努力推动那些将安全风险降至最低的投资和实践。

但运营风险是另一回事，对可能出现的问题保持适度的疑虑是有帮助的。许多运营风险看似无害，但可能瞬间出现，并使IT进入救火模式。在许多情况下，提出足够多的“假设”问题，规划一系列场景，帮助你将那些影响较小的风险与那些值得投入资源以最小化或者补救的较高运营风险区分开来。

虽然以下许多问题看起来都是低风险的运营问题，但随着时间、增长或其他变化，这些问题可能会变得难以控制。CIO应该应关注这五个风险，在这些风险成为影响深远的问题之前寻求补救措施。

1、任务关键型系统技术债务不断增加

CIO们有充分的理由担心不断增加的技术债务以及在遗留系统使用寿命到期后继续支持遗留系统所带来的影响。

当其他陷入困境的组织登上新闻的时候，CIO会向他们的同事建议“不要浪费危机”。例如，美国新的联邦学生援助免费申请（FAFSA）计划启动被推迟了一年，给许多寻求联邦学费援助的大学生带来了麻烦。虽然许多人将责任归咎于国会，而且该计划的管理存在潜在问题，但一个主要根本原因是重新设计需要彻底改造20多个系统，其中一些系统近50年来都没有更新过。

其中包括用Cobol开发的系统，这些系统连接了“数量惊人的机构”相关的私人信息——这就是为什么美国政府问责局在2019年将其列为最需要现代化的10个系统之一。

“遗留硬件系统是一个日益严重的问题，需要立即采取行动，”LeanTaaS安全与合规总监Bill Murphy这样表示。“随着这些系统的老化，雇主发现他们很难更换硬件和招募到具有维护所需技能的人员。及时解决技术债务，可能会导致灾难性的后果。”

如今CIO需要考虑的一个问题是，软件开发中的代码生成式AI是否导致了代码级技术债务。或者，有机会使用代码Copilot或者生成式AI低代码功能来简化和减少代码。

Sonar公司首席信息官Andrea Malagodi表示：“企业严重依赖软件进行创新和竞争，而软件往往充斥着质量低劣的代码，导致技术债务不断增加。AI不会优先考虑质量，因此可能会加剧这一问题，因为就像人类的输出一样，它产生的代码存在安全性、可靠性和可维护性方面的问题。”

那些背负着不断增加的技术债务的CIO，必须将偏执转化为行动计划，传达当前的问题和未来的风险。一种方法就是和董事会以及高管委员会定义并寻求达成不可协商的协议，明确关于什么时候必须优先于其他业务目标升级遗留系统的各项标准。

2、团队压力和倦怠

压力和倦怠是CIO们应该为自己、队友和同事关注的一个重要问题。例如，在2024年CISO Burnout报告中，80%的CISO将自己归类为“高度紧张”，63%的人表示他们在管理自己的角色时，几乎没有得到任何支持，50%的人表示曾由于工作压力而失去团队成员。

安全角色的压力和倦怠是众所周知的，因为这些角色的工作时间很长，而且在从安全问题中恢复过来的同时，还要尽量减少对业务的影响。但是，当团队感受到交付能力、解决缺陷和跟上最新技术的压力时，开发安全运营角色也会让人感到压力。

现在，采用数据、机器学习和AI成为整个组织面临的压力。在Data Connectivity报告中，有三分之二的IT工作者报告说，他们因为数据所需的技术资源数量过大而倍感压力，其中81%的人认为，组织中的其他员工也是如此。

CIO应该是变革的推动者，这可能会带来一定的压力，同时，CIO还要采取积极主动和持续的措施来减轻组织和整个公司的压力。由于企业对交付新技术能力、领导变革管理活动和确保系统正常运行的期望越来越高，因此倦怠的风险也在增加。CIO应该推广断开连接和减轻压力的各种方法，例如改善沟通、简化运营和设定切合实际的目标。

3、监控实践会破坏IT文化

关于IT运营面临压力，CIO需要重点关注的一个领域是监控服务、对应用性能问题发出警报、以及满足服务水平目标（SLO）。一方面，IT运营应该谨慎考虑是否有足够的监控和自动化来确保系统运行良好，而不会让最终用户升级问题并让高管利益相关者表达不满。另一方面，过多的监控工具、成千上万的警报和定义不明确的SLO，会形成一种无处不在的IT事件救火文化。

Logz.io公司联合创始人、首席技术官Asaf Yigal表示：“工程团队正在浪费宝贵的时间来追踪警报，CIO需要设定目标，确保重点关注那些对底线有直接影响的应用和基础设施错误，这些警报应该被放在首位，以便立即引起注意。”

CIO应该使用以下指标来判断何时需要采取行动来解决运营方面的偏执问题：

• 员工报告了许多监控应捕获的系统性能问题。
• 网络运营中心（NOC）和站点可靠性工程师（SRE）正在响应越来越多的警报，这些问题的平均恢复时间（MTTR）也在增加。
• 高管不愿意投资创新或与IT合作，因为他们认为（或者现实就是）IT系统表现不佳。

4、第三方数据泄露

CIO在推动数据驱动型组织方面的AI策略和目标，导致了许多第三方合作伙伴、解决方案和SaaS工具的加入。根据《2024年第三方风险管理研究》报告显示，安全和数据治理是一项日益严峻的挑战，61%的公司报告曾遭遇第三方数据泄露或安全事件，比去年增加了49%。

Prevalent公司首席运营官兼首席战略官Brad Hibbert警告称：“要对第三方数据泄露和安全事件保持警惕。为了降低第三方数据泄露的风险，请围绕统一的内部控制评估和持续的网络监控自动化第三方风险管理流程，对发现的问题进行补救，利用新的AI工具简化工作流程和风险分析。”

鉴于托管企业数据的系统数量不断增加、系统变化速度不断加快、以及SaaS提供商对其服务条款的政策频繁更改，CIO完全有理由保持警惕。生成式AI是一种新的催化剂，根据AI at work pulse调查，54%的员工表示他们依赖AI工具，而51%的员工表示，他们的经理鼓励他们使用AI。在许多组织中，添加SaaS和生成式AI工具的速度超过了IT、信息安全和数据治理工作的速度。与此同时，根据第三方风险管理研究，组织仅对三分之一的厂商风险进行了管理。

“考虑到组织需要与之合作的全球第三方数量不断增加，一旦数据离开企业，使用传统安全方法保护边界就失去效用了，”Seclore公司首席执行官、联合创始人Vishal Gupta这样表示。“保护网络边界的安全方法已经不够了，安全团队必须专注于采取以数据为中心的主动安全方法，将保护措施置于数据本身周围。”

在与企业领导者讨论影子IT和定义公民数据科学治理时，我们经常会引用一句谚语，“能力越大，责任越大”。很多人都想从分析和机器学习中获得所有好处，但却迟迟没有采取主动的数据治理措施。再加上对生成式AI助手的追求，CIO们就更有理由加倍重视数据治理，以免今天的偏执演变成为明天的商业危机。

5、云债务不断增加

在过去十年中，CIO已经把IT基础设施从数据中心转变为混合云和多云，同时使用DevOps自动化来支持敏捷开发和数据科学团队自助满足基础设施需求。根据AAG 2024年6月的云计算统计数据，89%的企业使用了多云解决方案，82%的企业把管理云支出作为他们的首要任务。

SADA首席FinOps财务分析师Robin Roacho表示：“CIO应该警惕在没有明确理由的情况下增加云成本”，并建议：

• 在确定成本所有权时，确保对资源进行标记。
• 确认财务模型准确解释了预算与实际之间的差异。
• 制定方法论，对现有工作负载进行审查以实现优化和现代化。
• 当发生意外支出时，创建或调整警报系统。

AI工作负载会产生额外的消耗，尤其是对于开发大型语言模型功能的组织而言。例如，一项基准测试报告显示，在AWS推荐的默认实例上托管LLM Falcon 180B每月至少需要花费23000美元。

虽然公有云可显示短期云计算成本，而且CIO可以部署FinOps最佳实践来管理和管理云计算成本，但碳影响是另一个需要考虑的挑战。

Fusion Fund创始人、管理合伙人Lu Zhang表示，2022年AI技术消耗了大约460太瓦时的电力。Zhang说：“这些数字凸显了一个日益严重的问题，那就是如果AI要成为可持续未来的一部分，就必须解决这个问题。展望未来，AI算法的不断改进和将可再生能源整合到数据中心是至关重要的。”

Mastek首席信息官Mahesh Juttiyavar建议说：“我们借助FinOps可以防止意外的运成本，同时坚持ESG原则，以实现可持续和负责任的IT未来。这种整体战略确保了弹性和长期成功。”

当今CIO所继承的技术债务是上一任CIO理性商业决策的副产品，也是管理和控制长期影响举措的副产品。如今，围绕压力文化、数据泄露、IT运营需求和云基础设施消耗的短期思维，可能成为新危机的下一个前沿。CIO们应该对这些日益增加的风险保持警惕，通过审慎的风险管理实践来平衡速度、敏捷性和创新。