Políticas de governança da nuvem de documentos
Este artigo mostra como definir e documentar políticas de governança de nuvem. As políticas de governança de nuvem especificam o que deve ou não acontecer na nuvem. A equipe de governança de nuvem deve criar uma ou mais políticas de governança de nuvem para cada risco identificado na avaliação de risco. As políticas de governança de nuvem definem os guardrails para interagir com e na nuvem.
Definir uma abordagem para documentar políticas de governança de nuvem
Estabeleça uma abordagem para criar, manter e atualizar as regras e diretrizes que regem o uso de serviços em nuvem. As políticas de governança de nuvem não devem ser exclusivas de uma carga de trabalho específica. O objetivo é produzir políticas de governança de nuvem que não exijam atualizações frequentes e que considerem os efeitos das políticas de governança de nuvem em todo o ambiente de nuvem. Para definir uma abordagem de documentação de políticas, siga estas recomendações:
Defina a linguagem de governança padrão. Desenvolva uma estrutura e um formato padrão para documentar políticas de governança de nuvem. As políticas devem constituir uma referência clara e fiável para as partes interessadas.
Reconhecer os diferentes âmbitos de governação. Defina e atribua responsabilidades de governança específicas adaptadas às funções exclusivas dentro da sua organização. Por exemplo, um desenvolvedor governa o código do aplicativo. Uma equipe de carga de trabalho é responsável por uma única carga de trabalho, e a equipe de plataforma é responsável pela governança que as cargas de trabalho herdam.
Avalie os amplos efeitos da governança da nuvem. A governança da nuvem cria atrito. Encontre um equilíbrio entre atrito e liberdade. Considere os efeitos da governança na arquitetura da carga de trabalho, nas práticas de desenvolvimento de software e em outras áreas ao desenvolver políticas de governança de nuvem. Por exemplo, o que você permite ou não permite determina a arquitetura da carga de trabalho e afeta as práticas de desenvolvimento de software.
Definir políticas de governança de nuvem
Crie políticas de governança de nuvem que descrevem como usar e gerenciar a nuvem para mitigar riscos. Minimize a necessidade de atualizações frequentes de políticas. Para definir políticas de governança de nuvem, siga estas recomendações:
Use uma ID de política. Use a categoria de política e um número para identificar exclusivamente cada política, como SC01 para a primeira política de governança de segurança. Incremente o identificador sequencialmente à medida que adiciona novos riscos. Se você remover riscos, poderá deixar lacunas na sequência ou usar o menor número disponível.
Inclua a declaração de política. Elabore declarações de política específicas que abordem os riscos identificados. Use uma linguagem definitiva como deve, deve, não deve e não deve. Use os controles de execução da lista de riscos como ponto de partida. Concentre-se nos resultados em vez das etapas de configuração. Nomeie a ferramenta necessária para a aplicação para saber onde monitorar a conformidade.
Inclua um ID de risco. Liste o risco na política. Associe todas as políticas de governança de nuvem a um risco.
Inclua a categoria da política. Inclua categorias de governança, como segurança, conformidade ou gerenciamento de custos, na categorização da política. As categorias ajudam a classificar, filtrar e localizar políticas de governança de nuvem.
Inclua o objetivo da política. Indique o objetivo de cada política. Use o risco ou o requisito de conformidade regulatória que a política satisfaz como ponto de partida.
Definir o âmbito da política. Defina a que e a quem essa política se aplica, como todos os serviços de nuvem, regiões, ambientes e cargas de trabalho. Especifique quaisquer exceções para garantir que não haja ambiguidade. Use uma linguagem padronizada para que seja fácil classificar, filtrar e encontrar políticas.
Inclua as estratégias de remediação de políticas. Defina a resposta desejada a uma violação de uma política de governança de nuvem. Adapte as respostas à gravidade do risco, como agendamento de discussões para violações de não produção e esforços de correção imediata para violações de produção.
Para obter mais informações, consulte o exemplo de políticas de governança de nuvem.
Distribuir políticas de governança de nuvem
Conceda acesso a todos que precisam aderir às políticas de governança de nuvem. Procure maneiras de facilitar a adesão às políticas de governança de nuvem para as pessoas em sua organização. Para distribuir políticas de governança de nuvem, siga estas recomendações:
Use um repositório de políticas centralizado. Use um repositório centralizado e facilmente acessível para toda a documentação de governança. Garantir que todas as partes interessadas, equipes e indivíduos tenham acesso às versões mais recentes de políticas e documentos relacionados.
Crie listas de verificação de conformidade. Forneça uma visão geral rápida e acionável das políticas. Torne mais fácil para as equipas cumprirem sem terem de navegar através de documentação extensa. Para obter mais informações, consulte o exemplo de lista de verificação de conformidade.
Rever as políticas de governação da nuvem
Avalie e atualize as políticas de governança de nuvem para garantir que elas permaneçam relevantes e eficazes no controle de ambientes de nuvem. Revisões regulares ajudam a garantir que as políticas de governança da nuvem estejam alinhadas com os requisitos regulatórios em constante mudança, as novas tecnologias e os objetivos de negócios em evolução. Ao rever políticas, considere as seguintes recomendações:
Implementar mecanismos de feedback. Estabeleça maneiras de receber feedback sobre a eficácia das políticas de governança de nuvem. Recolher contributos das pessoas afetadas pelas políticas para garantir que ainda podem fazer o seu trabalho de forma eficiente. Atualizar as políticas de governação de modo a refletir os desafios e as necessidades práticas.
Estabeleça revisões baseadas em eventos. Revise e atualize as políticas de governança da nuvem em resposta a eventos, como uma política de governança com falha, mudança de tecnologia ou alteração de conformidade regulatória.
Agende revisões regulares. Revise regularmente as políticas de governança para garantir que elas estejam alinhadas com as necessidades organizacionais em evolução, os riscos e os avanços na nuvem. Por exemplo, inclua revisões de governança nas reuniões regulares de governança de nuvem com as partes interessadas.
Facilite o controle de alterações. Inclua um processo para revisão e atualizações de políticas. Garanta que as políticas de governança da nuvem permaneçam alinhadas com as mudanças organizacionais, regulatórias e tecnológicas. Deixe claro como editar, remover ou adicionar políticas.
Identificar ineficiências. Analise as políticas de governança para encontrar e corrigir ineficiências na arquitetura e nas operações de nuvem. Por exemplo, em vez de exigir que cada carga de trabalho use seu próprio firewall de aplicativo Web, atualize a política para exigir o uso de um firewall centralizado. Analise as políticas que exigem esforço duplicado e veja se há uma maneira de centralizar o trabalho.
Exemplo de políticas de governança de nuvem
As seguintes políticas de governança de nuvem são exemplos para referência. Estas políticas baseiam-se nos exemplos da lista de riscos de exemplo.
| ID da Política | Categoria de política | ID do risco | Declaração de política | Propósito | Âmbito | Remediação | Monitorização |
|---|---|---|---|---|---|---|---|
| RC01 | Conformidade regulamentar | R01 | O Microsoft Purview deve ser usado para monitorar dados confidenciais. | Conformidade regulamentar | Equipes de carga de trabalho, equipe de plataforma | Ação imediata da equipe afetada, treinamento de conformidade | Microsoft Purview |
| RC02 | Conformidade regulamentar | R01 | Relatórios diários de conformidade de dados confidenciais devem ser gerados a partir do Microsoft Purview. | Conformidade regulamentar | Equipes de carga de trabalho, equipe de plataforma | Resolução no prazo de um dia, auditoria de confirmação | Microsoft Purview |
| SC01 | Segurança | R02 | A autenticação multifator (MFA) deve ser habilitada para todos os usuários. | Atenuar violações de dados e acesso não autorizado | Usuários do Azure | Revogar o acesso do usuário | Acesso Condicional do Microsoft Entra ID |
| SC02 | Segurança | R02 | As revisões de acesso devem ser realizadas mensalmente no Microsoft Entra ID Governance. | Garantir a integridade dos dados e do serviço | Usuários do Azure | Revogação imediata de acesso por não conformidade | ID de Governação |
| SC03 | Segurança | R03 | As equipes devem usar a organização GitHub especificada para hospedagem segura de todo o código de software e infraestrutura. | Garanta o gerenciamento seguro e centralizado de repositórios de código | Equipas de desenvolvimento | Transferência de repositórios não autorizados para a organização do GitHub especificada e possíveis ações disciplinares por não conformidade | Log de auditoria do GitHub |
| SC04 | Segurança | R03 | As equipes que usam bibliotecas de fontes públicas devem adotar o padrão de quarentena. | Garantir que as bibliotecas estejam seguras e em conformidade antes da integração no processo de desenvolvimento | Equipas de desenvolvimento | Remoção de bibliotecas não conformes e revisão das práticas de integração para projetos afetados | Auditoria manual (mensal) |
| CM01 | Gestão de custos | R04 | As equipes de carga de trabalho devem definir alertas de orçamentos no nível do grupo de recursos. | Evitar gastos excessivos | Equipes de carga de trabalho, equipe de plataforma | Revisões imediatas, ajustes para alertas | Gerenciamento de custos da Microsoft |
| CM02 | Gestão de custos | R04 | As recomendações de custo do Azure Advisor devem ser revistas. | Otimize o uso da nuvem | Equipes de carga de trabalho, equipe de plataforma | Auditorias de otimização obrigatórias após 60 dias | Assistente |
| OP01 | Operações | R05 | As cargas de trabalho de produção devem ter uma arquitetura ativo-passivo entre regiões. | Garantir a continuidade do serviço | Equipes de carga de trabalho | Avaliações de arquitetura, revisões semestrais | Auditoria manual (por versão de produção) |
| OP02 | Operações | R05 | Todas as cargas de trabalho de missão crítica devem implementar uma arquitetura ativa-ativa entre regiões. | Garantir a continuidade do serviço | Equipes de carga de trabalho de missão crítica | Atualizações dentro de 90 dias, revisões de progresso | Auditoria manual (por versão de produção) |
| DG01 | Dados | R06 | A encriptação em trânsito e em repouso deve ser aplicada a todos os dados sensíveis. | Proteger dados confidenciais | Equipes de carga de trabalho | Aplicação imediata de criptografia e treinamento de segurança | Azure Policy |
| DG02 | Dados | R06 | As políticas de ciclo de vida dos dados devem ser habilitadas no Microsoft Purview para todos os dados confidenciais. | Gerenciar o ciclo de vida dos dados | Equipes de carga de trabalho | Implementação no prazo de 60 dias, auditorias trimestrais | Microsoft Purview |
| RM01 | Gestão de recursos | R07 | O bíceps deve ser usado para implantar recursos. | Padronizar o provisionamento de recursos | Equipes de carga de trabalho, equipe de plataforma | Plano de transição imediata do Bíceps | Pipeline de integração contínua e entrega contínua (CI/CD) |
| RM02 | Gestão de recursos | R07 | As tags devem ser impostas em todos os recursos de nuvem usando a Política do Azure. | Facilite o rastreamento de recursos | Todos os recursos na nuvem | Corrigir a marcação no prazo de 30 dias | Azure Policy |
| AI01 | IA | R08 | A configuração de filtragem de conteúdo de IA deve ser definida como média ou superior. | Atenue as saídas nocivas da IA | Equipes de carga de trabalho | Medidas corretivas imediatas | Azure OpenAI Service |
| AI02 | IA | R08 | Os sistemas de IA voltados para o cliente devem ser formados mensalmente. | Identificar vieses de IA | Equipes de modelos de IA | Revisão imediata, ações corretivas para falhas | Auditoria manual (mensal) |