Dokumentowanie zasad ładu w chmurze

W tym artykule przedstawiono sposób definiowania i dokumentowania zasad ładu w chmurze. Zasady ładu w chmurze określają, co powinno się zdarzyć lub nie powinno się zdarzyć w chmurze. Zespół ds. ładu w chmurze powinien utworzyć co najmniej jedną zasady ładu w chmurze dla każdego ryzyka określonego w ocenie ryzyka. Zasady ładu w chmurze definiują bariery zabezpieczające do interakcji z chmurą i w chmurze.

Definiowanie podejścia do dokumentowania zasad ładu w chmurze

Ustanów podejście do tworzenia, utrzymywania i aktualizowania reguł i wytycznych, które zarządzają korzystaniem z usług w chmurze. Zasady ładu w chmurze nie powinny być unikatowe dla określonego obciążenia. Celem jest utworzenie zasad ładu w chmurze, które nie wymagają częstych aktualizacji i które uwzględniają skutki zasad ładu w chmurze w środowisku chmury. Aby zdefiniować podejście do dokumentacji zasad, wykonaj następujące zalecenia:

• Zdefiniuj standardowy język zapewniania ładu. Opracuj standardową strukturę i format dokumentujący zasady ładu w chmurze. Zasady muszą być jasnym i autorytatywnym odniesieniem dla uczestników projektu.

• Rozpoznawanie różnych zakresów ładu. Definiowanie i przypisywanie określonych obowiązków związanych z ładem dostosowanych do unikatowych ról w organizacji. Na przykład deweloper zarządza kodem aplikacji. Zespół ds. obciążeń jest odpowiedzialny za pojedyncze obciążenie, a zespół platformy jest odpowiedzialny za nadzór, który dziedziczy obciążenia.

• Oceń szerokie skutki utrzymania ładu w chmurze. Ład w chmurze stwarza problemy. Znajdź równowagę między tarciem a wolnością. Podczas opracowywania zasad ładu w chmurze należy wziąć pod uwagę wpływ ładu na architekturę obciążeń, praktyki programistyczne i inne obszary. Na przykład to, co zezwalasz lub nie zezwalasz, określa architekturę obciążenia i wpływa na praktyki programistyczne.

Definiowanie zasad ładu w chmurze

Utwórz zasady ładu w chmurze, które przedstawiają sposób używania chmury i zarządzania nią w celu ograniczenia ryzyka. Zminimalizuj potrzebę częstych aktualizacji zasad. Aby zdefiniować zasady ładu w chmurze, wykonaj następujące zalecenia:

• Użyj identyfikatora zasad. Użyj kategorii zasad i liczby, aby jednoznacznie zidentyfikować poszczególne zasady, takie jak SC01 dla pierwszych zasad ładu zabezpieczeń. Zwiększaj identyfikator sekwencyjnie podczas dodawania nowych czynników ryzyka. Jeśli usuniesz ryzyko, możesz pozostawić luki w sekwencji lub użyć najniższej dostępnej liczby.

• Dołącz instrukcję zasad. Utwórz konkretne instrukcje zasad, które dotyczą zidentyfikowanych czynników ryzyka. Użyj ostatecznego języka, takiego jak musi, powinien, nie może i nie powinien. Użyj mechanizmów kontroli wymuszania z listy ryzyka jako punktu wyjścia. Skoncentruj się na wynikach, a nie na krokach konfiguracji. Nadaj nazwę narzędziu wymaganemu do wymuszania, aby wiedzieć, gdzie monitorować zgodność.

• Uwzględnij identyfikator ryzyka. Wyświetl listę ryzyka w zasadach. Skojarz wszystkie zasady ładu w chmurze z ryzykiem.

• Uwzględnij kategorię zasad. Uwzględnij kategorie ładu, takie jak zabezpieczenia, zgodność lub zarządzanie kosztami, do kategoryzacji zasad. Kategorie ułatwiają sortowanie, filtrowanie i znajdowanie zasad ładu w chmurze.

• Uwzględnij cel zasad. Podaj przeznaczenie poszczególnych zasad. Użyj ryzyka lub wymagania zgodności z przepisami, które zasady spełniają jako punkt wyjścia.

• Zdefiniuj zakres zasad. Zdefiniuj, do czego mają zastosowanie te zasady, takie jak wszystkie usługi w chmurze, regiony, środowiska i obciążenia. Określ wszelkie wyjątki, aby upewnić się, że nie ma wątpliwości. Używaj standardowego języka, aby łatwo sortować, filtrować i znajdować zasady.

• Uwzględnij strategie korygowania zasad. Zdefiniuj żądaną odpowiedź na naruszenie zasad ładu w chmurze. Dostosuj odpowiedzi na ważność ryzyka, takie jak planowanie dyskusji dotyczących naruszeń nieprodukcyjnych i natychmiastowe działania naprawcze w przypadku naruszeń produkcji.

Aby uzyskać więcej informacji, zobacz przykładowe zasady ładu w chmurze.

Dystrybuowanie zasad ładu w chmurze

Udziel dostępu wszystkim, którzy muszą przestrzegać zasad ładu w chmurze. Poszukaj sposobów ułatwienia przestrzegania zasad ładu w chmurze dla osób w organizacji. Aby dystrybuować zasady ładu w chmurze, postępuj zgodnie z następującymi zaleceniami:

• Użyj scentralizowanego repozytorium zasad. Użyj scentralizowanego, łatwo dostępnego repozytorium dla całej dokumentacji ładu. Upewnij się, że wszyscy uczestnicy projektu, zespoły i osoby fizyczne mają dostęp do najnowszych wersji zasad i powiązanych dokumentów.

• Tworzenie list kontrolnych zgodności. Podaj szybki i praktyczny przegląd zasad. Ułatwiaj zespołom zgodność bez konieczności przeglądania obszernej dokumentacji. Aby uzyskać więcej informacji, zobacz przykładowa lista kontrolna zgodności.

Przegląd zasad ładu w chmurze

Ocenianie i aktualizowanie zasad zapewniania ładu w chmurze w celu zapewnienia, że pozostają one istotne i skuteczne w zarządzaniu środowiskami chmury. Regularne przeglądy pomagają zapewnić, że zasady ładu w chmurze są zgodne ze zmieniającymi się wymaganiami prawnymi, nowymi technologiami i zmieniającymi się celami biznesowymi. Podczas przeglądania zasad należy wziąć pod uwagę następujące zalecenia:

• Implementowanie mechanizmów przesyłania opinii. Ustanów sposoby otrzymywania opinii na temat skuteczności zasad ładu w chmurze. Zbierz dane wejściowe od osób, których dotyczą zasady, aby upewnić się, że nadal mogą wykonywać swoją pracę wydajnie. Aktualizowanie zasad ładu w celu odzwierciedlenia praktycznych wyzwań i potrzeb.

• Ustanów przeglądy oparte na zdarzeniach. Przejrzyj i zaktualizuj zasady ładu w chmurze w odpowiedzi na zdarzenia, takie jak nieudane zasady ładu, zmiana technologii lub zmiana zgodności z przepisami.

• Zaplanuj regularne przeglądy. Regularnie przeglądaj zasady ładu, aby upewnić się, że są one zgodne ze zmieniającymi się potrzebami organizacji, ryzykiem i postępami w chmurze. Na przykład należy uwzględnić przeglądy ładu w regularnych spotkaniach dotyczących ładu w chmurze z uczestnikami projektu.

• Ułatwia sterowanie zmianami. Uwzględnij proces przeglądu zasad i aktualizacji. Upewnij się, że zasady ładu w chmurze są zgodne ze zmianami organizacyjnymi, regulacyjnymi i technologicznymi. Wyjaśnij, jak edytować, usuwać lub dodawać zasady.

• Identyfikowanie nieefektywności. Przejrzyj zasady ładu, aby znaleźć i naprawić nieefektywność w architekturze i operacjach w chmurze. Na przykład zamiast wymuszać, że każde obciążenie musi używać własnej zapory aplikacji internetowej, zaktualizuj zasady, aby wymagać użycia scentralizowanej zapory. Przejrzyj zasady wymagające zduplikowanego nakładu pracy i sprawdź, czy istnieje sposób na scentralizowanie pracy.

Przykładowe zasady ładu w chmurze

Poniżej przedstawiono przykłady zasad zapewniania ładu w chmurze. Te zasady są oparte na przykładach na przykładowej liście ryzyka.

Identyfikator zasad	Kategoria zasad	Identyfikator ryzyka	Instrukcja zasad	Purpose	Scope	Korekty	Monitorowanie
RC01	Zgodność z przepisami	R01	Usługa Microsoft Purview musi być używana do monitorowania poufnych danych.	Zgodność z przepisami	Zespoły obciążeń, zespół platformy	Natychmiastowe działanie zespołu, którego dotyczy problem, szkolenie w zakresie zgodności	Microsoft Purview
RC02	Zgodność z przepisami	R01	Codzienne raporty zgodności danych poufnych muszą być generowane na podstawie usługi Microsoft Purview.	Zgodność z przepisami	Zespoły obciążeń, zespół platformy	Rozwiązanie w ciągu jednego dnia, inspekcja potwierdzenia	Microsoft Purview
SC01	Zabezpieczenia	R02	Uwierzytelnianie wieloskładnikowe (MFA) musi być włączone dla wszystkich użytkowników.	Ograniczanie naruszeń danych i nieautoryzowanego dostępu	Użytkownicy platformy Azure	Odwoływanie dostępu użytkowników	Dostęp warunkowy identyfikatora entra firmy Microsoft
SC02	Zabezpieczenia	R02	Przeglądy dostępu muszą być przeprowadzane co miesiąc w Zarządzanie tożsamością Microsoft Entra.	Zapewnianie integralności danych i usług	Użytkownicy platformy Azure	Natychmiastowe odwołanie dostępu w przypadku niezgodności	Identyfikator ładu
SC03	Zabezpieczenia	R03	Usługa Teams musi używać określonej organizacji usługi GitHub do bezpiecznego hostowania całego kodu oprogramowania i infrastruktury.	Zapewnianie bezpiecznego i scentralizowanego zarządzania repozytoriami kodu	Zespoły programistyczne	Przenoszenie nieautoryzowanych repozytoriów do określonej organizacji usługi GitHub i potencjalnych działań dyscyplinarnych w przypadku niezgodności	Dziennik inspekcji usługi GitHub
SC04	Zabezpieczenia	R03	Zespoły korzystające z bibliotek ze źródeł publicznych muszą przyjąć wzorzec kwarantanny.	Upewnij się, że biblioteki są bezpieczne i zgodne przed integracją z procesem programowania	Zespoły programistyczne	Usuwanie niezgodnych bibliotek i przegląd praktyk integracji dla projektów, których dotyczy problem	Inspekcja ręczna (co miesiąc)
CM01	Zarządzanie kosztami	R04	Zespoły obciążeń muszą ustawić alerty dotyczące budżetów na poziomie grupy zasobów.	Zapobieganie nadmiernym kosztom	Zespoły obciążeń, zespół platformy	Natychmiastowe przeglądy, korekty alertów	Microsoft Cost Management
CM02	Zarządzanie kosztami	R04	Należy przejrzeć zalecenia dotyczące kosztów usługi Azure Advisor.	Optymalizowanie użycia chmury	Zespoły obciążeń, zespół platformy	Obowiązkowe inspekcje optymalizacji po upływie 60 dni	Advisor
OP01	Operacje	R05	Obciążenia produkcyjne powinny mieć architekturę aktywne-pasywne w różnych regionach.	Zapewnianie ciągłości usługi	Zespoły obciążeń	Oceny architektury, przeglądy biannualne	Inspekcja ręczna (na wydanie produkcyjne)
OP02	Operacje	R05	Wszystkie obciążenia o znaczeniu krytycznym muszą implementować architekturę aktywne-aktywne w wielu regionach.	Zapewnianie ciągłości usługi	Zespoły obciążeń o krytycznym znaczeniu	Aktualizacje w ciągu 90 dni przeglądy postępu	Inspekcja ręczna (na wydanie produkcyjne)
DG01	Data	R06	Szyfrowanie podczas przesyłania i magazynowania musi być stosowane do wszystkich poufnych danych.	Ochrona poufnych danych	Zespoły obciążeń	Natychmiastowe wymuszanie szyfrowania i szkolenie zabezpieczeń	Azure Policy
DG02	Data	R06	Zasady cyklu życia danych muszą być włączone w usłudze Microsoft Purview dla wszystkich poufnych danych.	Zarządzanie cyklem życia danych	Zespoły obciążeń	Implementacja w ciągu 60 dni, kwartalne inspekcje	Microsoft Purview
RM01	Zarządzanie zasobami	R07	Bicep musi służyć do wdrażania zasobów.	Standaryzacja aprowizacji zasobów	Zespoły obciążeń, zespół platformy	Natychmiastowy plan przejścia Bicep	Potok ciągłej integracji i ciągłego dostarczania (CI/CD)
RM02	Zarządzanie zasobami	R07	Tagi muszą być wymuszane na wszystkich zasobach w chmurze przy użyciu usługi Azure Policy.	Ułatwianie śledzenia zasobów	Wszystkie zasoby w chmurze	Poprawne tagowanie w ciągu 30 dni	Azure Policy
AI01	Sztuczna inteligencja	R08	Konfiguracja filtrowania zawartości sztucznej inteligencji musi być ustawiona na średnią lub wyższą.	Eliminowanie szkodliwych danych wyjściowych sztucznej inteligencji	Zespoły obciążeń	Natychmiastowe środki naprawcze	Azure OpenAI Service
AI02	Sztuczna inteligencja	R08	Systemy sztucznej inteligencji dostępne dla klientów muszą być co miesiąc ponownie połączone zespołem.	Identyfikowanie uprzedzeń sztucznej inteligencji	Zespoły modeli sztucznej inteligencji	Natychmiastowe przeglądy, akcje naprawcze w przypadku chybień	Inspekcja ręczna (co miesiąc)

Następny krok

Wymuszanie zasad ładu w chmurze