Jo mer virksomheter investerer i cybersikkerhet, desto mer overser de ofte én leverandør: lisenspartneren.

Er lisenspartneren deres en leverandør – eller en del av risikobildet?

Når virksomheter vurderer programvareavtaler, handler diskusjonen ofte om pris, rabatter og innkjøpsvolum. Det er naturlig. Men i takt med at sky, AI og abonnementsmodeller har blitt en stadig viktigere del av virksomhetens IT-strategi, har også lisenspartnerens rolle endret seg. Spørsmålet er om mange virksomheter har oppdaget det.

Hvor mange har egentlig innsyn?

De fleste CIO-er er opptatt av hvem som har tilgang til virksomhetens data. Men hvor mange stiller de samme spørsmålene om sine lisensleverandører? Hvor mange personer utenfor virksomheten deres har i dag tilgang til informasjon om:

• Programvareporteføljen?
• Skystrategien?
• AI-initiativene?
• Lisensforbruket?
• Fremtidige investeringer?
• Organisatoriske endringer?

I mange tilfeller er svaret flere enn man er klar over. Selv når alle involverte gjør en profesjonell jobb, innebærer hvert ekstra system, hvert ekstra organisasjonsledd og hver ekstra person en økt eksponering. I noen tilfeller er det også ressurser i flere land involvert. Risiko handler ikke bare om onde hensikter. Det handler også om kompleksitet, ansatte som slutter og hvordan økt kompleksitet øker faren for at data kommer på avveie.

AI gjør problemstillingen større

For få år siden handlet lisensforvaltning hovedsakling om antall brukere og abonnementer. Nå handler det også i økende grad om AI i mange forskjellige paletter.

• Hvilke data brukes?
• Hvor behandles de?
• Hvem har tilgang?
• Hvilke rettigheter gis til leverandøren?
• Hvordan påvirker nye AI-funksjoner virksomhetens sikkerhets- og compliance-krav?

Hva gjør vi om tilliten til AI plutselig opphører?

De siste to årene har de største programvareleverandørene introdusert AI-funksjoner i høyt tempo. Samtidig har lisensmodeller, abonnementsformer og vilkår blitt endret oftere enn mange virksomheter er vant til. Det øker behovet for både teknisk og kommersiell kompetanse. Nye tjenester introduseres kontinuerlig. Vilkår oppdateres løpende. Prosesser automatiseres, og ressursen med fagkompetanse blir kuttet. Dette gjør behovet for kompetent rådgivning større – ikke mindre.

Er størst alltid tryggest?

Det er lett å forstå hvorfor de største forhandlerne lett blir førstevalget. De oppfattes som trygge. Men størrelse alene reduserer ikke nødvendigvis risiko. Og hva med responstid, hjelpsomhet og evnen til å tilpasse seg kundens behov?

Den største sikkerhetsrisikoen er ofte ikke én person. Det er antallet personer.

Store organisasjoner innebærer ofte:

• At det er vanskeligere å finne frem til riktig person
• Flere involverte personer
• Flere interne og eksterne systemer
• Flere organisatoriske lag
• Flere overleveringer
• Flere land involvert
• Mer standardiserte prosesser

For enkelte kunder er dette en passende modell.

For andre kan det bety at det blir vanskeligere å kontrollere, mindre kontroll, mindre tilgjengelighet og mindre innsikt i hvem som faktisk håndterer kritisk informasjon for bedriften.

Hvor skapes verdiene?

Det finnes også en annen side av diskusjonen. Norske virksomheter bruker hvert år millarder på programvare, sky og digitale tjenester. Mye av dette er nødvendige investeringer.

Men det er også verdt å spørre:

• Hvor skapes verdiene?
• Hvor bygges kompetansen?
• Hvor investeres overskuddet?
• Hvilke miljøer utvikler norske fagfolk og arbeidsplasser?
• Betales det norske skatter og avgifter?

Dette handler ikke om proteksjonisme.

Det handler om å forstå hvilke konsekvenser våre innkjøpsvalg har for kompetanseutvikling, innovasjon og verdiskapingen i Norge.

Kanskje er det på tide å stille noen nye spørsmål?

De fleste virksomheter gjennomfører grundige risikovurderinger av Microsoft, Adobe, AWS og Google. Men hvor mange gjennomfører en tilsvarende vurdering av lisensforhandleren?

Når neste programvareavtale skal forhandles, kan det være verdt å se forbi prislisten.

Spør heller:

• Har vi satt bukken til å passe havresekken?
• Hvor mange eksterne personer får innsikt i vår virksomhet?
• Hvem representerer våre interesser overfor produsentene, og hva blir delt av informasjon?
• Hvilken kompetanse, tilgjengelighet og responstid får vi faktisk tilgang til?
• Hvordan håndteres AI-relaterte problemstillinger?
• Hvilken verdi får vi utover selve lisensene?

Dette er spørsmål flere virksomheter bør stille, når neste lisensavtale skal inngås, eller avtale fornyes.

Det handler om KONTROLL.
Det handler om STYRING.
Det handler om hvilken KOMPETANSE man har å trekke på om automatiseringen feiler.
Og det handler om RISIKO.