Abby Kearns, CEO of ActiveState – Interview Series

Abby Kearns adalah CEO of ActiveState dan eksekutif teknologi dengan lebih dari 25 tahun pengalaman membangun dan menskala organisasi perangkat lunak enterprise. Sebelumnya, dia menjabat sebagai CTO of Puppet, di mana dia membantu memimpin transformasi strategis yang berpuncak pada akuisisi perusahaan oleh Perforce Software. Pada awal karirnya, dia adalah CEO of the Cloud Foundry Foundation, yang membimbing pertumbuhan salah satu ekosistem platform cloud open source terbesar di industri. Abby saat ini menjabat di dewan Akka (sebelumnya Lightbend). Dia dikenal karena membantu perusahaan menerjemahkan pergeseran besar di cloud, open source, dan AI menjadi strategi produk dan pertumbuhan enterprise yang jelas.

ActiveState adalah perusahaan perangkat lunak Kanada yang didirikan pada 1997 yang menyediakan alat dan platform enterprise untuk membangun, mengelola, dan mengamankan perangkat lunak open source. Penawaran intinya, ActiveState Platform, membantu tim pengembangan, DevOps, dan keamanan untuk mengautomasi manajemen ketergantungan, mendeteksi dan memperbaiki kerentanan, serta membuat lingkungan pengembangan yang aman dan dapat diulang di seluruh bahasa pemrograman seperti Python, Perl, dan Tcl. Dengan menyediakan komponen open source yang telah dibangun sebelumnya dan memverifikasinya, serta mengintegrasikannya ke dalam alur kerja yang ada, ActiveState bertujuan untuk mengurangi risiko keamanan di rantai pasokan perangkat lunak sambil meningkatkan produktivitas pengembang dan mempercepat pengiriman aplikasi.

Anda telah menghabiskan karir Anda di persimpangan open source, platform cloud-native, dan transformasi enterprise, dari memimpin Cloud Foundry Foundation hingga menjabat sebagai CTO di Puppet. Apa yang membuat Anda tertarik untuk mengambil peran CEO di ActiveState, dan apa visi Anda untuk perusahaan di fase pertumbuhan selanjutnya?

Benang merah karir saya telah beroperasi di persimpangan komunitas dan infrastruktur pada saat-saat ketika industri membuat keputusan yang akan berkompromi selama bertahun-tahun. Cloud Foundry adalah saat itu untuk cloud-native. Puppet adalah saat itu untuk manajemen konfigurasi dan tahap awal apa yang sekarang kita sebut DevSecOps. ActiveState adalah saat itu untuk tata kelola open source.

Apa yang membuat saya tertarik ke sini adalah masalah yang telah saya lihat berkembang selama waktu yang lama. Setiap perusahaan yang saya temui berjalan di open source. Kebanyakan dari mereka tidak dapat mengatakan dengan percaya diri apa open source yang mereka jalankan, apakah itu telah diperbarui, atau siapa yang bertanggung jawab atas keputusan untuk menggunakannya. Kesenjangan antara seberapa penting open source telah menjadi dan seberapa sedikit ketat yang sebagian besar organisasi terapkan untuk mengaturinya, adalah di mana risiko industri berkumpul. ActiveState telah menghabiskan dua puluh tahun membangun infrastruktur untuk menutup kesenjangan itu. Tugas saya adalah memastikan pasar memahami mengapa menutupnya adalah mendesak.

Visi untuk fase pertumbuhan selanjutnya adalah jelas: ActiveState menjadi jawaban default untuk pertanyaan tentang dari mana open source enterprise berasal. Bukan pemindai. Bukan laporan. Sumber yang tepercaya, diverifikasi, dan terus diperbaiki yang organisasi dapat tunjuk ketika regulator, dewan, atau responden insiden bertanya tentang bagaimana mereka mengatur rantai pasokan perangkat lunak mereka.

ActiveState memposisikan diri sebagai lapisan kritis dalam mengamankan rantai pasokan perangkat lunak pada saat AI mempercepat generasi kode. Bagaimana AI secara fundamental mengubah profil risiko perangkat lunak open source?

Pengembangan yang dibantu AI memecahkan asumsi dasar yang seluruh rantai alat tata kelola open source dibangun: bahwa pengembang membuat keputusan untuk memasukkan ketergantungan.

Setiap mandat SBOM, setiap alat SCA, setiap alur kerja manajemen kerentanan mengasumsikan ada manusia dalam loop yang memilih untuk menarik library itu. Ketika AI menghasilkan kode, ketergantungan tiba di produksi yang tidak dipilih, ditinjau, atau dalam banyak kasus bahkan diketahui ada. Alat tata kelola sedang mencari keputusan. AI membuat perubahan produksi yang melewati keputusan sepenuhnya.

Ada lapisan kedua untuk ini. Alat coding yang mendorong adopsi AI, benchmark produktivitas, survei pengembang, bintang GitHub, tidak ada kerangka evaluasi yang termasuk keamanan sebagai ukuran pertama. Industri mengoptimalkan kecepatan dan kesalahan dan mengirim infrastruktur tanpa bertanya apakah outputnya aman. Itu bukan kegagalan alat. Itu adalah kegagalan kepemimpinan dalam membuat keputusan adopsi. Kami sekarang beroperasi pada skala pada fondasi yang tidak pernah dievaluasi untuk risiko yang diperkenalkannya.

Anda telah mengatakan bahwa open source yang tidak dikelola menjadi kerentanan utama enterprise. Mengapa tata kelola open source sekarang mencapai tingkat dewan, dan apa yang masih kurang dipahami oleh eksekutif?

Ini mencapai dewan karena lingkungan regulasi telah mengubah struktur akuntabilitas. EU Cyber Resilience Act, persyaratan pengungkapan SEC, pedoman Desain Aman CISA: kerangka kerja ini mengubah pertanyaan dari “Apakah Anda memiliki pemindai?” ke “Bisakah Anda membuktikan perangkat lunak Anda aman pada titik asal?” Itu adalah pertanyaan yang sangat berbeda, dan sebagian besar organisasi tidak dapat menjawab pertanyaan kedua.

Apa yang masih kurang dipahami oleh eksekutif adalah bahwa ini adalah masalah struktural, bukan masalah sumber daya. Organisasi yang saya lihat merespons risiko open source dengan menambahkan lebih banyak alat pemindai tidak menyelesaikan masalah yang mendasarinya. Pemindai mendeteksi masalah setelah mereka telah memasuki lingkungan Anda.

Ketika semua yang diberi tanda, tidak ada yang diprioritaskan, dan volume peringatan menjadi disfungsi operasionalnya sendiri. Organisasi yang akan menavigasi ini dengan sukses bukanlah mereka yang membeli lebih banyak alat. Mereka adalah organisasi yang mengubah cara mereka membuat keputusan tentang apa open source yang memasuki lingkungan mereka, dan siapa yang bertanggung jawab atas keputusan tersebut.

Dengan open source sekarang tertanam di sebagian besar tumpukan perangkat lunak enterprise, bagaimana organisasi harus memikirkan kembali open source sebagai infrastruktur daripada hanya kemudahan pengembangan?

Model mental yang sebagian besar organisasi gunakan sudah ketinggalan zaman. Open source dimulai sebagai kemudahan pengembangan. Pengembang dapat menarik library, bergerak lebih cepat, dan menghindari merekayasa ulang komponen dasar. Framing itu masuk akal ketika open source adalah opsional dan suplemen.

Itu bukan kenyataan saat ini. Open source adalah fondasi perangkat lunak modern. Enam puluh enam persen aplikasi termasuk komponen open source. Ini bukan lapisan kemudahan di atas infrastruktur proprietari. Ini adalah infrastruktur. Dan infrastruktur harus diatur seperti infrastruktur, dengan kebijakan eksplisit tentang apa yang memasuki lingkungan, kepemilikan yang ditentukan untuk pemeliharaan dan perbaikan, dan akuntabilitas yang berada pada tingkat yang tepat organisasi.

Organisasi yang lebih maju dalam hal ini telah membuat pergeseran yang disengaja: konsumsi open source adalah keputusan strategis dengan konsekuensi keamanan dan keuangan, bukan pengaturan default yang dikelola pengembang secara individual. Perubahan itu memerlukan kebijakan, proses operasional, dan akuntabilitas eksekutif yang jelas. Sebagian besar organisasi belum membuat perubahan itu.

Anda telah memimpin organisasi melalui gelombang teknologi yang berbeda. Bagaimana pergeseran AI yang didorong saat ini membandingkan dengan transisi sebelumnya seperti cloud dan DevOps dalam hal kecepatan dan gangguan?

Pergeseran AI yang didorong saat ini sangat mirip dengan pergeseran teknologi sebelumnya. Ketika cloud muncul sebagai model pengiriman, organisasi yang memperlakukannya sebagai pilihan teknologi murni membuat kesalahan yang sangat berbeda dari organisasi yang mengenali itu sebagai pergeseran arsitektur dan operasional. Mereka yang gagal membuat transisi tata kelola membayarnya selama bertahun-tahun dalam IT bayangan, biaya lebih, dan utang teknis dan keamanan.

Apa yang berbeda tentang pergeseran AI yang didorong saat ini adalah kecepatan dan ketidak terlihatannya. Adopsi cloud terlihat. Anda tahu ketika organisasi Anda bermigrasi dari on-prem ke cloud. DevOps terlihat: organisasi sedang merestruktur tim, mengubah pipa pengiriman, dan menulis proses ulang. Alat coding AI diadopsi pengembang demi pengembang, panggilan alat demi panggilan, dan risikonya berkumpul di basis kode sebelum sebagian besar organisasi telah merekam bahwa keputusan tata kelola telah dibuat.

Gangguan juga asimetris dengan cara yang cloud dan DevOps tidak. Transisi tersebut menciptakan kategori risiko baru tetapi sebagian besar mempertahankan asumsi bahwa manusia bertanggung jawab atas kode yang dikirim. AI mengerosi asumsi itu pada titik di mana itu paling sulit dideteksi. Itulah yang membuat transisi ini berbeda. Paparan tidak terlihat sampai itu tidak terlihat.

Banyak perusahaan bergelut untuk mengubah adopsi open source menjadi model bisnis yang berkelanjutan. Apa yang membedakan perusahaan yang sukses dari mereka yang gagal?

Organisasi yang telah membangun bisnis berkelanjutan di open source berbagi satu karakteristik: mereka disiplin tentang apa produk yang sebenarnya mereka jual. Mereka tidak menjual perangkat lunak open source, yang gratis. Mereka menjual keahlian, dukungan operasional, infrastruktur tata kelola, atau layanan terkelola yang membuat perangkat lunak gratis itu layak di skala enterprise.

Sebaliknya, organisasi yang gagal cenderung membingungkan adopsi komunitas dengan traksi komersial. Mereka bukanlah hal yang sama. Jumlah bintang GitHub yang tinggi atau komunitas besar menunjukkan bahwa pengembang menemukan proyek itu berguna. Ini tidak menunjukkan bahwa pembeli akan membayar untuk itu, atau bahwa hal yang pengembang temukan berguna adalah hal yang organisasi sebenarnya butuhkan. Terjemahan dari adopsi pengembang ke nilai enterprise memerlukan membangun sesuatu di luar open source itu sendiri, dan organisasi yang gagal membuat perbedaan itu dengan jelas, dalam posisi, produk, dan gerakan penjualan mereka, cenderung tidak bertahan dalam transisi ke skala.

Dari pengalaman Anda menskala organisasi yang dipimpin pengembang, apa tantangan kepemimpinan terbesar ketika beralih dari pertumbuhan yang dipimpin produk ke operasi skala enterprise?

Tantangan terbesar adalah bahwa keterampilan dan insting yang membuat Anda sukses dalam pertumbuhan yang dipimpin produk bekerja melawan Anda pada skala enterprise. Pertumbuhan yang dipimpin produk menghargai bergerak cepat, mengiterasi di publik, mengoptimalkan pengalaman pengembang, dan membiarkan adopsi memimpin gerakan komersial. Penjualan enterprise menghargai proses yang disengaja, hubungan eksekutif, siklus panjang, dan kemampuan untuk memetakan produk ke hasil yang penting bagi pembeli yang tidak pengembang.

Kesalahan kepemimpinan yang paling saya lihat adalah mengasumsikan transisi ini terutama merupakan masalah gerakan penjualan. Ini bukan. Ini adalah masalah desain organisasi. Tim yang membangun produk, posisi, dan hubungan pelanggan awal sering bukan tim yang dapat menjalankan gerakan enterprise. Mengenali bahwa tanpa kehilangan apa yang membuat produk layak dibeli pada awalnya adalah benar-benar sulit. Pemimpin yang melakukannya dengan baik adalah mereka yang jujur tentang bagian mana dari organisasi yang perlu berkembang dan membangun kemampuan baru tanpa membongkar budaya yang menciptakan produk.

Anda telah bekerja secara luas di persimpangan keamanan dan produktivitas pengembang. Bagaimana perusahaan dapat menyeimbangkan kecepatan dan inovasi dengan kebutuhan yang meningkat akan komponen perangkat lunak yang aman dan tepercaya?

Pengaturan kecepatan versus keamanan adalah pilihan yang salah yang telah bertahan karena alat telah memperkuatnya. Ketika keamanan diimplementasikan sebagai gerbang tinjauan di akhir proses pengembangan, itu adalah bottleneck. Ketika diimplementasikan sebagai sumber yang dikelola dari komponen yang tepercaya yang pengembang tarik dari awal proses, itu tidak memperlambat apa pun.

Mereka yang telah menyelesaikan ketegangan ini telah melakukannya dengan menggeser di mana keamanan terjadi. Tidak meninjau kode setelah ditulis. Tidak memindai artefak setelah dibangun. Mengatur apa yang masuk ke katalog yang pengembang dan alat AI tarik dari. Jika sumbernya tepercaya, kecepatan tidak dibatasi oleh tinjauan keamanan karena pekerjaan keamanan terjadi di hulu. Itu adalah keputusan arsitektur, bukan keputusan budaya. Ini memerlukan investasi di infrastruktur tata kelola, tetapi itu tidak memerlukan memilih antara bergerak cepat dan mengirim dengan aman.

Bagaimana Anda melihat peran ekosistem open source yang dikelola atau tepercaya berkembang selama beberapa tahun mendatang karena alat AI semakin menghasilkan kode dan ketergantungan?

Peran sumber open source yang dikelola atau tepercaya akan bergeser dari praktik terbaik ke persyaratan dasar. Perubahan itu didorong oleh dua hal yang tidak akan berbalik.

Pertama adalah lingkungan regulasi. Di lanskap 2026, dapat mendemonstrasikan provenance perangkat lunak semakin menjadi persyaratan hukum, bukan standar sukarela. Dewan dan regulator bertanya pertanyaan yang tidak dapat dijawab oleh organisasi yang menarik langsung dari registri publik.

Kedua adalah kecepatan pengembangan AI. Ketika alat AI menghasilkan lebih banyak kode dan menarik lebih banyak ketergantungan, volume komponen yang tidak diverifikasi yang memasuki produksi akan melebihi kapasitas organisasi mana pun untuk meninjau mereka secara manual. Organisasi yang telah membangun katalog yang dikelola dan diatur oleh kebijakan sebagai sumber default untuk pengembang dan alat AI mereka akan dapat mencocokkan kecepatan AI dengan tata kelola keamanan yang tepat. Organisasi yang masih bergantung pada registri publik dan tinjauan manual akan menghadapi kesenjangan yang membesar antara seberapa cepat kode dihasilkan dan seberapa teliti itu dievaluasi.

Ekosistem yang dikelola adalah jawaban infrastruktur untuk masalah yang pengembangan AI telah membuat tidak terhindarkan.

Sebagai salah satu dari sedikit CEO perempuan di ruang open source dan infrastruktur, apa perubahan yang telah Anda lihat dalam keragaman kepemimpinan selama bertahun-tahun, dan apa yang masih perlu diperbaiki?

Telah terjadi perubahan nyata. Ketika saya memulai karir saya, representasi perempuan dalam peran eksekutif di open source dan infrastruktur rendah enough sehingga pengecualian itu menonjol. Itu kurang benar sekarang. Ada lebih banyak perempuan dalam posisi teknis senior dan eksekutif, lebih banyak organisasi yang telah pindah melampaui fase pernyataan diversitas yang dilakukan dan membuat perubahan struktural, dan lebih banyak model untuk apa kepemimpinan di ruang ini bisa terlihat.

Kasus bisnis untuk menutup celah yang tersisa tidak abstrak. Masalah yang industri ini kerjakan sekarang, risiko rantai pasokan perangkat lunak, tata kelola AI, perubahan organisasi yang diperlukan untuk membuat keamanan menjadi praktik pertama, adalah masalah yang sulit. Tim yang beragam menghasilkan hasil yang lebih baik pada masalah yang sulit. Tidak sebagai masalah aspirasi tetapi sebagai masalah bagaimana perspektif yang berbeda menemukan asumsi yang tim homogen lewatkan. Saya telah melihat ini secara langsung. Organisasi yang telah membuat kemajuan nyata pada kepemilikan, bukan hanya representasi, adalah organisasi di mana keuntungan operasional itu muncul dalam pekerjaan.

Kepemilikan masih tidak merata di seluruh industri. Berada di ruangan itu tidak sama dengan memiliki perspektif Anda benar-benar dihargai. Itu adalah tempat di mana fase progres berikutnya perlu terjadi.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi ActiveState.