分享方式:


評估雲端風險

本文概述如何評估與雲端相關聯的風險。 所有技術都會對組織帶來某些風險。 風險是不想要的結果,可能會影響您的業務,例如不符合業界標準。 採用雲端時,您必須識別雲端對組織構成的風險。 雲端治理小組會建立雲端治理原則,以防止並降低這些風險。 若要評估雲端風險,請完成這些工作。

此圖顯示設定和維護雲端治理的程式。此圖顯示五個循序步驟:建置雲端治理小組、記錄雲端治理原則、強制執行雲端治理原則,以及監視雲端治理。您執行的第一個步驟是一次。您執行的最後四個步驟是設定雲端治理,並持續維護雲端治理。

識別雲端風險

製作雲端風險完整清單的目錄。 瞭解您的風險可讓您建立雲端治理原則,以防止並減輕這些風險。 若要識別雲端風險,請遵循下列建議:

  • 列出所有雲端資產。 列出您的所有雲端資產,以便全面識別與其相關聯的風險。 例如,您可以使用 Azure 入口網站、Azure Resource Graph、PowerShell 和 Azure CLI 來檢視訂用帳戶中的所有資源。

  • 探索雲端風險。 開發穩定的風險目錄,以引導雲端治理原則。 若要防止頻繁調整,請專注於一般雲端風險,而不是特定工作負載特有的風險。 從高優先順序風險開始,並隨著時間開發更全面的清單。 常見的風險類別包括法規合規性、安全性、作業、成本、數據、資源和 AI。 包含貴組織特有的風險,例如非 Microsoft 軟體、合作夥伴或廠商支援,以及內部雲端專長認證。

  • 牽涉到重要的項目關係人。 收集各種組織角色(IT、安全性、法律、財務和業務單位)的輸入,以考慮所有潛在風險。 這種共同作業方法可確保整體檢視與雲端相關的風險。

  • 確認風險。 請洽詢對雲端風險識別有深入瞭解的外部專家,以檢閱和驗證您的風險清單。 這些專家可以是 Microsoft 帳戶小組或專門的 Microsoft 合作夥伴。 其專業知識有助於確認所有潛在風險的識別,並增強風險評估的正確性。

Azure 便利化:識別雲端風險

下列指引旨在協助您識別 Azure 中的雲端風險。 它提供雲端治理主要類別的範例起點。 Azure 可協助將尋找風險程式的一部分自動化。 使用 Azure 工具,例如 Azure Advisor、適用於雲端的 Microsoft Defender、Azure 原則、Azure 服務健康狀態和 Microsoft Purview。

分析雲端風險

對每個風險指派質化或量化排名,讓您可以依嚴重性來排定優先順序。 風險優先順序結合風險機率和風險影響。 偏好量化風險分析超過質化,以取得更精確的風險優先順序。 若要分析雲端風險,請遵循下列策略:

評估風險機率

估計每年發生之每個風險的量化或定性機率。 使用百分比範圍(0%-100%)來代表年度量化風險機率。 低、中和高是定性風險機率的常見標籤。 若要評估風險機率,請遵循下列建議:

  • 使用公用基準。 使用報告、研究或服務等級協定 (SLA) 中的數據,記錄常見的風險及其發生率。

  • 分析歷程記錄數據。 查看內部事件報告、稽核記錄和其他記錄,以找出過去發生的類似風險的頻率。

  • 測試控制項有效性。 若要將風險降至最低,請評估目前風險降低控制的有效性。 請考慮檢閱控制測試結果、稽核結果和效能計量。

判斷風險影響

估計組織所發生風險的量化或定性影響。 貨幣金額是代表量化風險影響的常見方式。 低、中、高是定性風險影響的常見標籤。 若要判斷風險影響,請遵循下列建議:

  • 進行財務分析。 藉由查看停機成本、法律費用、罰款和補救工作成本等因素,來估計風險的潛在財務損失。

  • 進行信譽影響評估。 使用類似事件的調查、市場研究或歷史數據,以估計對組織聲譽的潛在影響。

  • 進行作業中斷分析。 藉由估計停機時間、生產力損失和替代安排的成本,評估作業中斷的程度。

  • 評估法律影響。 估計與不符合規範或違規相關的潛在法律成本、罰款和處罰。

計算風險優先順序

將風險優先順序指派給每個風險。 風險優先順序是您指派給風險的重要性,因此您知道要以高、中或低緊迫性處理風險。 風險影響比風險機率更重要,因為高風險可能會產生持久的後果。 治理小組必須使用整個組織一致的方法來排定風險的優先順序。 若要計算風險優先順序,請遵循下列建議:

  • 使用風險矩陣進行定性評估。 建立矩陣,將定性風險優先順序指派給每個風險。 矩陣的一個軸代表風險機率(高、中、低),另一個則代表風險影響(高、中、低)。 下表提供範例風險矩陣:

    低影響度 影響度中等 高影響度
    低機率 非常低 中低 中高
    中等機率
    高機率 非常高
  • 使用公式進行量化評定。 使用下列計算作為基準: 風險優先順序 = 風險機率 x 風險影響。 視需要調整變數的權數,以量身打造風險優先順序結果。 例如,您可以更強調此公式的風險影響: 風險優先順序 = 風險機率 x(風險影響 x 1.5)。

指派風險層級

將每個風險分類為三個層級的其中一個:主要風險(層級 1)、子風險(層級 2),以及風險驅動因素(第 3 級)。 風險層級可讓您規劃適當的風險管理策略,並預測未來的挑戰。 層級 1 風險威脅組織或技術。 層級 2 風險低於層級 1 的風險。 層級 3 風險是可能導致一或多個層級 1 或層級 2 風險的趨勢。 例如,請考慮不符合數據保護法(層級 1)、不當的雲端記憶體設定(層級 2),以及增加法規需求的複雜度(層級 3)。

判斷風險管理策略

針對每個風險,找出適當的風險處理選項,例如避免、緩解、轉移或接受風險。 提供選擇的說明。 例如,如果您決定接受風險,因為降低風險的成本太昂貴,您應該記錄未來參考的原因。

指派風險擁有者

為每個風險指定主要風險擁有者。 風險擁有者必須負責管理每個風險。 此人會協調每個相關小組的風險管理策略,並且是風險呈報的初始接觸點。

記錄雲端風險

記錄每個風險和風險分析的詳細資料。 建立風險清單(風險緩存器),其中包含識別、分類、排定優先順序及管理風險所需的所有資訊。 開發風險文件的標準化語言,讓每個人都可以輕鬆地了解雲端風險。 請考慮包含下列元素:

  • 風險標識碼: 每個風險的唯一標識符。 隨著您新增風險,依序遞增標識符。 如果您移除風險,您可以在序列中留下間距,或填補序列中的間距。
  • 風險管理狀態: 風險的狀態(開啟、關閉)。
  • 風險類別: 法規合規性、安全性、成本、作業、AI 或資源管理的標籤。
  • 風險描述: 風險的簡短描述。
  • 風險機率: 每年發生風險的機率。 使用百分比或定性標籤。
  • 風險影響: 如果發生風險,對組織的影響。 使用貨幣金額或定性標籤。
  • 風險優先順序: 風險的嚴重性(機率 x 影響)。 使用美元金額或質化標籤。
  • 風險層級: 風險類型。 使用主要威脅(層級 1)、子風險(層級 2)或風險驅動因素(層級 3)。
  • 風險管理策略: 管理風險的方法,例如緩和、接受或避免。
  • 風險管理強制執行: 強制執行風險管理策略的技術。
  • 風險擁有者: 管理風險的個人。
  • 風險關閉日期: 應套用風險管理策略的日期。

如需詳細資訊,請參閱 風險清單範例

溝通雲端風險

清楚傳達已識別的雲端風險給執行贊助者和主管層級管理。 目標是確保組織優先處理雲端風險。 提供雲端風險管理的定期更新,並在您需要額外的資源來管理風險時進行通訊。 提升管理雲端風險管理和治理的文化特性是日常作業的一部分。

檢閱雲端風險

檢閱目前的雲端風險清單,以確保其有效且準確。 檢閱應該是一般,也是為了回應特定事件。 視需要維護、更新或移除風險。 若要檢閱雲端風險,請遵循下列建議:

  • 排程定期評估。 設定週期性排程來檢閱和評估雲端風險,例如每季、每半年或每年。 尋找最適合人員可用性、雲端環境變更率和組織風險承受能力的檢閱頻率。

  • 進行以事件為基礎的檢閱。 檢閱風險以回應特定事件,例如無法預防風險。 當您採用新技術、變更商務程式,以及探索新的安全性威脅事件時,請考慮檢閱風險。 也請考慮在技術、法規合規性和組織風險承受能力變更時進行檢閱。

  • 檢閱雲端治理原則。 保留、更新或移除雲端治理原則,以解決新的風險、現有風險或過時的風險。 視需要檢閱雲端治理原則聲明和雲端治理強制執行策略。 當您移除風險時,請評估與其相關聯的雲端治理原則是否仍然相關。 請洽詢項目關係人以移除雲端治理原則,或更新原則,使其與新的風險產生關聯。

範例風險清單

下表是範例風險清單,也稱為風險緩存器。 量身打造範例,以符合您組織 Azure 雲端環境的特定需求和內容。

風險標識碼 風險管理狀態 風險類別 風險描述 風險機率 風險影響 風險優先順序 風險等級 風險管理策略 風險管理強制執行 風險擁有者 風險關閉日期
R01 開盤 法規合規性 不符合敏感數據需求 20% 或中型 $100,000 OR High $20,000 OR High 層級 2 降低風險 使用 Microsoft Purview 進行敏感數據監視。
Microsoft Purview 中的合規性報告。
合規性潛在客戶 2024-04-01
R02 開盤 安全性 未經授權存取雲端服務 30% 或高 $200,000 OR High $60,000 或非常高 層級 1 降低風險 Microsoft Entra ID 多重要素驗證 (MFA)。
Microsoft Entra ID 控管 每月存取權檢閱。
安全性潛在客戶 2024-03-15
R03 開盤 安全性 不安全的程式代碼管理 20% 或中型 $150,000 OR High $30,000 OR High 層級 2 降低風險 使用定義的程式代碼存放庫。
針對公用連結庫使用隔離模式。
開發人員潛在客戶 2024-03-30
R04 開盤 成本 由於過度布建和缺乏監視,雲端服務上過度加支 40% 或高 $50,000 OR Medium $20,000 OR High 層級 2 降低風險 設定工作負載的預算和警示。
檢閱並套用 Advisor 成本建議。
成本潛在客戶 2024-03-01
R05 開盤 Operations 由於 Azure 區域中斷而導致服務中斷 25% 或中型 $150,000 OR High $37,500 OR High 層級 1 降低風險 任務關鍵性工作負載具有主動-主動架構。
其他工作負載具有主動-被動架構。
作業潛在客戶 2024-03-20
R06 開盤 資料 由於加密和數據生命週期管理不當而遺失敏感數據 35% 或高 $250,000 OR High $87,500 或非常高 層級 1 降低風險 在傳輸和待用時套用加密。
使用 Azure 工具建立數據生命周期原則。
數據潛在客戶 2024-04-10
R07 開盤 資源管理 雲端資源的設定錯誤導致未經授權的存取和數據暴露 30% 或高 $100,000 OR High $30,000 或非常高 層級 2 降低風險 使用基礎結構即程式碼 (IaC)。
使用 Azure 原則 強制執行標記需求。
資源潛在客戶 2024-03-25
R08 開盤 AI 由於非代表性定型數據而導致產生偏差決策的 AI 模型 15% 或低 $200,000 OR High $30,000 或中等高 層級 3 降低風險 使用內容篩選風險降低技術。
每月紅隊 AI 模型。
AI 潛在客戶 2024-05-01

後續步驟