評估雲端風險

本文概述如何評估與雲端相關聯的風險。 所有技術都會對組織帶來某些風險。 風險是不想要的結果，可能會影響您的業務，例如不符合業界標準。 採用雲端時，您必須識別雲端對組織構成的風險。 雲端治理小組會建立雲端治理原則，以防止並降低這些風險。 若要評估雲端風險，請完成這些工作。

識別雲端風險

製作雲端風險完整清單的目錄。 瞭解您的風險可讓您建立雲端治理原則，以防止並減輕這些風險。 若要識別雲端風險，請遵循下列建議：

• 列出所有雲端資產。 列出您的所有雲端資產，以便全面識別與其相關聯的風險。 例如，您可以使用 Azure 入口網站、Azure Resource Graph、PowerShell 和 Azure CLI 來檢視訂用帳戶中的所有資源。

• 探索雲端風險。 開發穩定的風險目錄，以引導雲端治理原則。 若要防止頻繁調整，請專注於一般雲端風險，而不是特定工作負載特有的風險。 從高優先順序風險開始，並隨著時間開發更全面的清單。 常見的風險類別包括法規合規性、安全性、作業、成本、數據、資源和 AI。 包含貴組織特有的風險，例如非 Microsoft 軟體、合作夥伴或廠商支援，以及內部雲端專長認證。

• 牽涉到重要的項目關係人。 收集各種組織角色（IT、安全性、法律、財務和業務單位）的輸入，以考慮所有潛在風險。 這種共同作業方法可確保整體檢視與雲端相關的風險。

• 確認風險。 請洽詢對雲端風險識別有深入瞭解的外部專家，以檢閱和驗證您的風險清單。 這些專家可以是 Microsoft 帳戶小組或專門的 Microsoft 合作夥伴。 其專業知識有助於確認所有潛在風險的識別，並增強風險評估的正確性。

Azure 便利化：識別雲端風險

下列指引旨在協助您識別 Azure 中的雲端風險。 它提供雲端治理主要類別的範例起點。 Azure 可協助將尋找風險程式的一部分自動化。 使用 Azure 工具，例如 Azure Advisor、適用於雲端的 Microsoft Defender、Azure 原則、Azure 服務健康狀態和 Microsoft Purview。

• 識別法規合規性風險。 識別不符合影響雲端數據和作業之法律和法規架構的風險。 瞭解產業的法規需求。 使用 Azure 合規性文件來啟動。

• 識別安全性風險。 識別危及雲端環境機密性、完整性和可用性的威脅和弱點。 使用 Azure 來評估您的 雲端安全性狀態 ，並偵測 身分識別風險。

• 識別成本風險。 識別與雲端資源成本相關的風險。 成本相關風險包括過度布建、布建不足、使用量過低，以及數據傳輸費用或服務規模調整的非預期成本。 使用成本評估來識別成本風險。 使用 Azure 透過 Azure 定價計算機來預估成本。 分析及預測 目前資源的成本。 識別 雲端成本中的非預期變更 。

• 識別作業風險。 識別威脅雲端作業持續性的風險，例如停機和數據遺失。 使用 Azure 工具來識別可靠性和效能的風險。

• 識別數據風險。 識別與雲端內數據管理相關的風險。 請考慮在數據生命週期管理中不當處理數據和瑕疵。 使用 Azure 工具來協助 識別數據風險 ，並 探索敏感數據的風險。

• 識別資源管理風險。 識別雲端資源布建、部署、設定和管理所產生的風險。 找出卓越營運的風險。

• 識別 AI 風險。 定期 紅色小組語言模型。 使用適用於 AI 的自動化風險識別工具，手動測試 AI 系統並補充手動測試。 尋找常見的 人類-AI 互動失敗。 請考慮與 AI 系統使用、存取和輸出相關聯的風險。 檢閱負責任 AI 和負責任的 AI 成熟度模型原則。

分析雲端風險

對每個風險指派質化或量化排名，讓您可以依嚴重性來排定優先順序。 風險優先順序結合風險機率和風險影響。 偏好量化風險分析超過質化，以取得更精確的風險優先順序。 若要分析雲端風險，請遵循下列策略：

評估風險機率

估計每年發生之每個風險的量化或定性機率。 使用百分比範圍（0%-100%）來代表年度量化風險機率。 低、中和高是定性風險機率的常見標籤。 若要評估風險機率，請遵循下列建議：

• 使用公用基準。 使用報告、研究或服務等級協定 （SLA） 中的數據，記錄常見的風險及其發生率。

• 分析歷程記錄數據。 查看內部事件報告、稽核記錄和其他記錄，以找出過去發生的類似風險的頻率。

• 測試控制項有效性。 若要將風險降至最低，請評估目前風險降低控制的有效性。 請考慮檢閱控制測試結果、稽核結果和效能計量。

判斷風險影響

估計組織所發生風險的量化或定性影響。 貨幣金額是代表量化風險影響的常見方式。 低、中、高是定性風險影響的常見標籤。 若要判斷風險影響，請遵循下列建議：

• 進行財務分析。 藉由查看停機成本、法律費用、罰款和補救工作成本等因素，來估計風險的潛在財務損失。

• 進行信譽影響評估。 使用類似事件的調查、市場研究或歷史數據，以估計對組織聲譽的潛在影響。

• 進行作業中斷分析。 藉由估計停機時間、生產力損失和替代安排的成本，評估作業中斷的程度。

• 評估法律影響。 估計與不符合規範或違規相關的潛在法律成本、罰款和處罰。

計算風險優先順序

將風險優先順序指派給每個風險。 風險優先順序是您指派給風險的重要性，因此您知道要以高、中或低緊迫性處理風險。 風險影響比風險機率更重要，因為高風險可能會產生持久的後果。 治理小組必須使用整個組織一致的方法來排定風險的優先順序。 若要計算風險優先順序，請遵循下列建議：

• 使用風險矩陣進行定性評估。 建立矩陣，將定性風險優先順序指派給每個風險。 矩陣的一個軸代表風險機率（高、中、低），另一個則代表風險影響（高、中、低）。 下表提供範例風險矩陣：

  	低影響度	影響度中等	高影響度
  低機率	非常低	中低	中高
  中等機率	低	中	高
  高機率	中	高	非常高

• 使用公式進行量化評定。 使用下列計算作為基準： 風險優先順序 = 風險機率 x 風險影響。 視需要調整變數的權數，以量身打造風險優先順序結果。 例如，您可以更強調此公式的風險影響： 風險優先順序 = 風險機率 x（風險影響 x 1.5）。

指派風險層級

將每個風險分類為三個層級的其中一個：主要風險（層級 1）、子風險（層級 2），以及風險驅動因素（第 3 級）。 風險層級可讓您規劃適當的風險管理策略，並預測未來的挑戰。 層級 1 風險威脅組織或技術。 層級 2 風險低於層級 1 的風險。 層級 3 風險是可能導致一或多個層級 1 或層級 2 風險的趨勢。 例如，請考慮不符合數據保護法（層級 1）、不當的雲端記憶體設定（層級 2），以及增加法規需求的複雜度（層級 3）。

判斷風險管理策略

針對每個風險，找出適當的風險處理選項，例如避免、緩解、轉移或接受風險。 提供選擇的說明。 例如，如果您決定接受風險，因為降低風險的成本太昂貴，您應該記錄未來參考的原因。

指派風險擁有者

為每個風險指定主要風險擁有者。 風險擁有者必須負責管理每個風險。 此人會協調每個相關小組的風險管理策略，並且是風險呈報的初始接觸點。

記錄雲端風險

記錄每個風險和風險分析的詳細資料。 建立風險清單（風險緩存器），其中包含識別、分類、排定優先順序及管理風險所需的所有資訊。 開發風險文件的標準化語言，讓每個人都可以輕鬆地了解雲端風險。 請考慮包含下列元素：

• 風險標識碼： 每個風險的唯一標識符。 隨著您新增風險，依序遞增標識符。 如果您移除風險，您可以在序列中留下間距，或填補序列中的間距。
• 風險管理狀態： 風險的狀態（開啟、關閉）。
• 風險類別： 法規合規性、安全性、成本、作業、AI 或資源管理的標籤。
• 風險描述： 風險的簡短描述。
• 風險機率： 每年發生風險的機率。 使用百分比或定性標籤。
• 風險影響： 如果發生風險，對組織的影響。 使用貨幣金額或定性標籤。
• 風險優先順序： 風險的嚴重性（機率 x 影響）。 使用美元金額或質化標籤。
• 風險層級： 風險類型。 使用主要威脅（層級 1）、子風險（層級 2）或風險驅動因素（層級 3）。
• 風險管理策略： 管理風險的方法，例如緩和、接受或避免。
• 風險管理強制執行： 強制執行風險管理策略的技術。
• 風險擁有者： 管理風險的個人。
• 風險關閉日期： 應套用風險管理策略的日期。

如需詳細資訊，請參閱 風險清單範例。

溝通雲端風險

清楚傳達已識別的雲端風險給執行贊助者和主管層級管理。 目標是確保組織優先處理雲端風險。 提供雲端風險管理的定期更新，並在您需要額外的資源來管理風險時進行通訊。 提升管理雲端風險管理和治理的文化特性是日常作業的一部分。

檢閱雲端風險

檢閱目前的雲端風險清單，以確保其有效且準確。 檢閱應該是一般，也是為了回應特定事件。 視需要維護、更新或移除風險。 若要檢閱雲端風險，請遵循下列建議：

• 排程定期評估。 設定週期性排程來檢閱和評估雲端風險，例如每季、每半年或每年。 尋找最適合人員可用性、雲端環境變更率和組織風險承受能力的檢閱頻率。

• 進行以事件為基礎的檢閱。 檢閱風險以回應特定事件，例如無法預防風險。 當您採用新技術、變更商務程式，以及探索新的安全性威脅事件時，請考慮檢閱風險。 也請考慮在技術、法規合規性和組織風險承受能力變更時進行檢閱。

• 檢閱雲端治理原則。 保留、更新或移除雲端治理原則，以解決新的風險、現有風險或過時的風險。 視需要檢閱雲端治理原則聲明和雲端治理強制執行策略。 當您移除風險時，請評估與其相關聯的雲端治理原則是否仍然相關。 請洽詢項目關係人以移除雲端治理原則，或更新原則，使其與新的風險產生關聯。

範例風險清單

下表是範例風險清單，也稱為風險緩存器。 量身打造範例，以符合您組織 Azure 雲端環境的特定需求和內容。

風險標識碼	風險管理狀態	風險類別	風險描述	風險機率	風險影響	風險優先順序	風險等級	風險管理策略	風險管理強制執行	風險擁有者	風險關閉日期
R01	開盤	法規合規性	不符合敏感數據需求	20% 或中型	$100,000 OR High	$20,000 OR High	層級 2	降低風險	使用 Microsoft Purview 進行敏感數據監視。 Microsoft Purview 中的合規性報告。	合規性潛在客戶	2024-04-01
R02	開盤	安全性	未經授權存取雲端服務	30% 或高	$200,000 OR High	$60,000 或非常高	層級 1	降低風險	Microsoft Entra ID 多重要素驗證 （MFA）。 Microsoft Entra ID 控管 每月存取權檢閱。	安全性潛在客戶	2024-03-15
R03	開盤	安全性	不安全的程式代碼管理	20% 或中型	$150,000 OR High	$30,000 OR High	層級 2	降低風險	使用定義的程式代碼存放庫。 針對公用連結庫使用隔離模式。	開發人員潛在客戶	2024-03-30
R04	開盤	成本	由於過度布建和缺乏監視，雲端服務上過度加支	40% 或高	$50,000 OR Medium	$20,000 OR High	層級 2	降低風險	設定工作負載的預算和警示。 檢閱並套用 Advisor 成本建議。	成本潛在客戶	2024-03-01
R05	開盤	Operations	由於 Azure 區域中斷而導致服務中斷	25% 或中型	$150,000 OR High	$37,500 OR High	層級 1	降低風險	任務關鍵性工作負載具有主動-主動架構。 其他工作負載具有主動-被動架構。	作業潛在客戶	2024-03-20
R06	開盤	資料	由於加密和數據生命週期管理不當而遺失敏感數據	35% 或高	$250,000 OR High	$87,500 或非常高	層級 1	降低風險	在傳輸和待用時套用加密。 使用 Azure 工具建立數據生命周期原則。	數據潛在客戶	2024-04-10
R07	開盤	資源管理	雲端資源的設定錯誤導致未經授權的存取和數據暴露	30% 或高	$100,000 OR High	$30,000 或非常高	層級 2	降低風險	使用基礎結構即程式碼 (IaC)。 使用 Azure 原則 強制執行標記需求。	資源潛在客戶	2024-03-25
R08	開盤	AI	由於非代表性定型數據而導致產生偏差決策的 AI 模型	15% 或低	$200,000 OR High	$30,000 或中等高	層級 3	降低風險	使用內容篩選風險降低技術。 每月紅隊 AI 模型。	AI 潛在客戶	2024-05-01

後續步驟

記錄雲端治理原則