分享方式：

評估雲端風險

  • 文章

本文概述如何評估與雲端相關聯的風險。 所有技術都會對組織帶來某些風險。 風險是不想要的結果，可能會影響您的業務，例如不符合業界標準。 採用雲端時，您必須識別雲端對組織構成的風險。 雲端治理小組會建立雲端治理原則，以防止並降低這些風險。 若要評估雲端風險，請完成這些工作。

此圖顯示設定和維護雲端治理的程式。此圖顯示五個循序步驟：建置雲端治理小組、記錄雲端治理原則、強制執行雲端治理原則，以及監視雲端治理。您執行的第一個步驟是一次。您執行的最後四個步驟是設定雲端治理，並持續維護雲端治理。

識別雲端風險

製作雲端風險完整清單的目錄。 瞭解您的風險可讓您建立雲端治理原則，以防止並減輕這些風險。 若要識別雲端風險，請遵循下列建議：

  • 列出所有雲端資產。 列出您的所有雲端資產，以便全面識別與其相關聯的風險。 例如，您可以使用 Azure 入口網站、Azure Resource Graph、PowerShell 和 Azure CLI 來檢視訂用帳戶中的所有資源。

  • 探索雲端風險。 開發穩定的風險目錄，以引導雲端治理原則。 若要防止頻繁調整，請專注於一般雲端風險，而不是特定工作負載特有的風險。 從高優先順序風險開始，並隨著時間開發更全面的清單。 常見的風險類別包括法規合規性、安全性、作業、成本、數據、資源和 AI。 包含貴組織特有的風險，例如非 Microsoft 軟體、合作夥伴或廠商支援，以及內部雲端專長認證。

  • 牽涉到重要的項目關係人。 收集各種組織角色（IT、安全性、法律、財務和業務單位）的輸入，以考慮所有潛在風險。 這種共同作業方法可確保整體檢視與雲端相關的風險。

  • 確認風險。 請洽詢對雲端風險識別有深入瞭解的外部專家，以檢閱和驗證您的風險清單。 這些專家可以是 Microsoft 帳戶小組或專門的 Microsoft 合作夥伴。 其專業知識有助於確認所有潛在風險的識別，並增強風險評估的正確性。

Azure 便利化：識別雲端風險

下列指引旨在協助您識別 Azure 中的雲端風險。 它提供雲端治理主要類別的範例起點。 Azure 可協助將尋找風險程式的一部分自動化。 使用 Azure 工具，例如 Azure Advisor、適用於雲端的 Microsoft Defender、Azure 原則、Azure 服務健康狀態和 Microsoft Purview。

分析雲端風險

對每個風險指派質化或量化排名，讓您可以依嚴重性來排定優先順序。 風險優先順序結合風險機率和風險影響。 偏好量化風險分析超過質化，以取得更精確的風險優先順序。 若要分析雲端風險，請遵循下列策略：

評估風險機率

估計每年發生之每個風險的量化或定性機率。 使用百分比範圍（0%-100%）來代表年度量化風險機率。 低、中和高是定性風險機率的常見標籤。 若要評估風險機率，請遵循下列建議：

  • 使用公用基準。 使用報告、研究或服務等級協定 （SLA） 中的數據，記錄常見的風險及其發生率。

  • 分析歷程記錄數據。 查看內部事件報告、稽核記錄和其他記錄，以找出過去發生的類似風險的頻率。

  • 測試控制項有效性。 若要將風險降至最低，請評估目前風險降低控制的有效性。 請考慮檢閱控制測試結果、稽核結果和效能計量。

判斷風險影響

估計組織所發生風險的量化或定性影響。 貨幣金額是代表量化風險影響的常見方式。 低、中、高是定性風險影響的常見標籤。 若要判斷風險影響，請遵循下列建議：

  • 進行財務分析。 藉由查看停機成本、法律費用、罰款和補救工作成本等因素，來估計風險的潛在財務損失。

  • 進行信譽影響評估。 使用類似事件的調查、市場研究或歷史數據，以估計對組織聲譽的潛在影響。

  • 進行作業中斷分析。 藉由估計停機時間、生產力損失和替代安排的成本，評估作業中斷的程度。

  • 評估法律影響。 估計與不符合規範或違規相關的潛在法律成本、罰款和處罰。

計算風險優先順序

將風險優先順序指派給每個風險。 風險優先順序是您指派給風險的重要性，因此您知道要以高、中或低緊迫性處理風險。 風險影響比風險機率更重要，因為高風險可能會產生持久的後果。 治理小組必須使用整個組織一致的方法來排定風險的優先順序。 若要計算風險優先順序，請遵循下列建議：

  • 使用風險矩陣進行定性評估。 建立矩陣，將定性風險優先順序指派給每個風險。 矩陣的一個軸代表風險機率（高、中、低），另一個則代表風險影響（高、中、低）。 下表提供範例風險矩陣：

    低影響度 影響度中等 高影響度
    低機率 非常低 中低 中高
    中等機率 低 中 高
    高機率 中 高 非常高

  • 使用公式進行量化評定。 使用下列計算作為基準： 風險優先順序 = 風險機率 x 風險影響。 視需要調整變數的權數，以量身打造風險優先順序結果。 例如，您可以更強調此公式的風險影響： 風險優先順序 = 風險機率 x（風險影響 x 1.5）。

指派風險層級

將每個風險分類為三個層級的其中一個：主要風險（層級 1）、子風險（層級 2），以及風險驅動因素（第 3 級）。 風險層級可讓您規劃適當的風險管理策略，並預測未來的挑戰。 層級 1 風險威脅組織或技術。 層級 2 風險低於層級 1 的風險。 層級 3 風險是可能導致一或多個層級 1 或層級 2 風險的趨勢。 例如，請考慮不符合數據保護法（層級 1）、不當的雲端記憶體設定（層級 2），以及增加法規需求的複雜度（層級 3）。

判斷風險管理策略

針對每個風險，找出適當的風險處理選項，例如避免、緩解、轉移或接受風險。 提供選擇的說明。 例如，如果您決定接受風險，因為降低風險的成本太昂貴，您應該記錄未來參考的原因。

指派風險擁有者

為每個風險指定主要風險擁有者。 風險擁有者必須負責管理每個風險。 此人會協調每個相關小組的風險管理策略，並且是風險呈報的初始接觸點。

記錄雲端風險

記錄每個風險和風險分析的詳細資料。 建立風險清單（風險緩存器），其中包含識別、分類、排定優先順序及管理風險所需的所有資訊。 開發風險文件的標準化語言，讓每個人都可以輕鬆地了解雲端風險。 請考慮包含下列元素：

  • 風險標識碼： 每個風險的唯一標識符。 隨著您新增風險，依序遞增標識符。 如果您移除風險，您可以在序列中留下間距，或填補序列中的間距。
  • 風險管理狀態： 風險的狀態（開啟、關閉）。
  • 風險類別： 法規合規性、安全性、成本、作業、AI 或資源管理的標籤。
  • 風險描述： 風險的簡短描述。
  • 風險機率： 每年發生風險的機率。 使用百分比或定性標籤。
  • 風險影響： 如果發生風險，對組織的影響。 使用貨幣金額或定性標籤。
  • 風險優先順序： 風險的嚴重性（機率 x 影響）。 使用美元金額或質化標籤。
  • 風險層級： 風險類型。 使用主要威脅（層級 1）、子風險（層級 2）或風險驅動因素（層級 3）。
  • 風險管理策略： 管理風險的方法，例如緩和、接受或避免。
  • 風險管理強制執行： 強制執行風險管理策略的技術。
  • 風險擁有者： 管理風險的個人。
  • 風險關閉日期： 應套用風險管理策略的日期。

如需詳細資訊，請參閱 風險清單範例。

溝通雲端風險

清楚傳達已識別的雲端風險給執行贊助者和主管層級管理。 目標是確保組織優先處理雲端風險。 提供雲端風險管理的定期更新，並在您需要額外的資源來管理風險時進行通訊。 提升管理雲端風險管理和治理的文化特性是日常作業的一部分。

檢閱雲端風險

檢閱目前的雲端風險清單，以確保其有效且準確。 檢閱應該是一般，也是為了回應特定事件。 視需要維護、更新或移除風險。 若要檢閱雲端風險，請遵循下列建議：

  • 排程定期評估。 設定週期性排程來檢閱和評估雲端風險，例如每季、每半年或每年。 尋找最適合人員可用性、雲端環境變更率和組織風險承受能力的檢閱頻率。

  • 進行以事件為基礎的檢閱。 檢閱風險以回應特定事件，例如無法預防風險。 當您採用新技術、變更商務程式，以及探索新的安全性威脅事件時，請考慮檢閱風險。 也請考慮在技術、法規合規性和組織風險承受能力變更時進行檢閱。

  • 檢閱雲端治理原則。 保留、更新或移除雲端治理原則，以解決新的風險、現有風險或過時的風險。 視需要檢閱雲端治理原則聲明和雲端治理強制執行策略。 當您移除風險時，請評估與其相關聯的雲端治理原則是否仍然相關。 請洽詢項目關係人以移除雲端治理原則，或更新原則，使其與新的風險產生關聯。

範例風險清單

下表是範例風險清單，也稱為風險緩存器。 量身打造範例，以符合您組織 Azure 雲端環境的特定需求和內容。

風險標識碼 風險管理狀態 風險類別 風險描述 風險機率 風險影響 風險優先順序 風險等級 風險管理策略 風險管理強制執行 風險擁有者 風險關閉日期
R01 開盤 法規合規性 不符合敏感數據需求 20% 或中型 $100,000 OR High $20,000 OR High 層級 2 降低風險 使用 Microsoft Purview 進行敏感數據監視。
Microsoft Purview 中的合規性報告。		 合規性潛在客戶 2024-04-01
R02 開盤 安全性 未經授權存取雲端服務 30% 或高 $200,000 OR High $60,000 或非常高 層級 1 降低風險 Microsoft Entra ID 多重要素驗證 （MFA）。
Microsoft Entra ID 控管 每月存取權檢閱。		 安全性潛在客戶 2024-03-15
R03 開盤 安全性 不安全的程式代碼管理 20% 或中型 $150,000 OR High $30,000 OR High 層級 2 降低風險 使用定義的程式代碼存放庫。
針對公用連結庫使用隔離模式。		 開發人員潛在客戶 2024-03-30
R04 開盤 成本 由於過度布建和缺乏監視，雲端服務上過度加支 40% 或高 $50,000 OR Medium $20,000 OR High 層級 2 降低風險 設定工作負載的預算和警示。
檢閱並套用 Advisor 成本建議。		 成本潛在客戶 2024-03-01
R05 開盤 Operations 由於 Azure 區域中斷而導致服務中斷 25% 或中型 $150,000 OR High $37,500 OR High 層級 1 降低風險 任務關鍵性工作負載具有主動-主動架構。
其他工作負載具有主動-被動架構。		 作業潛在客戶 2024-03-20
R06 開盤 資料 由於加密和數據生命週期管理不當而遺失敏感數據 35% 或高 $250,000 OR High $87,500 或非常高 層級 1 降低風險 在傳輸和待用時套用加密。
使用 Azure 工具建立數據生命周期原則。		 數據潛在客戶 2024-04-10
R07 開盤 資源管理 雲端資源的設定錯誤導致未經授權的存取和數據暴露 30% 或高 $100,000 OR High $30,000 或非常高 層級 2 降低風險 使用基礎結構即程式碼 (IaC)。
使用 Azure 原則 強制執行標記需求。		 資源潛在客戶 2024-03-25
R08 開盤 AI 由於非代表性定型數據而導致產生偏差決策的 AI 模型 15% 或低 $200,000 OR High $30,000 或中等高 層級 3 降低風險 使用內容篩選風險降低技術。
每月紅隊 AI 模型。		 AI 潛在客戶 2024-05-01

後續步驟

記錄雲端治理原則