Dokumentieren von Cloudgovernance-Richtlinien

Mit den Erkenntnissen aus der Risikobewertung formuliert das Team jetzt Richtlinien zur Behandlung dieser Risiken. Für jedes signifikante Risiko oder jede Risikogruppe sollte mindestens eine entsprechende Governance-Richtlinie vorhanden sein. Berücksichtigen Sie beim Dokumentieren von Cloud-Governance-Richtlinien die folgenden bewährten Methoden:

1. Einrichten eines Standardrichtlinienformats und einer Standardsprache

Erstellen Sie eine konsistente Vorlage oder ein einheitliches Format für alle Richtlinien. Jedes Richtliniendokument (oder jeder Abschnitt) sollte Schlüsselelemente wie ID, Anweisung, Bereich enthalten. Verwenden Sie klare, eindeutige Sprache. Richtlinien sollen maßgebliche Referenzen sein, die für die Beteiligten leicht verständlich sind und keinen Raum für Fehlinterpretationen lassen. Entscheiden Sie sich beispielsweise für Standardausdrücke wie "muss" oder "darf nicht" für Anforderungen, und vermeiden Sie vage Begriffe. Ein standardisiertes Format, z. B. eine Richtlinie mit ID, Kategorie, Zweck, erleichtert das Navigieren und Verwalten von Richtlinien.

2. Definieren von Cloudgovernancerichtlinien

Erstellen Sie Cloudgovernancerichtlinien, die beschreiben, wie Sie die Cloud verwenden und verwalten, um Risiken zu mindern. Minimieren Sie die Notwendigkeit häufiger Richtlinienupdates. Befolgen Sie die folgenden Empfehlungen, um Cloud-Governance-Richtlinien zu definieren:

1. Verwenden Sie eine Richtlinien-ID. Verwenden Sie die Richtlinienkategorie und eine Zahl, um jede Richtlinie eindeutig zu identifizieren, z. B. SC01 für die erste Sicherheitsgovernance-Richtlinie. Erhöhen Sie den Bezeichner sequenziell, während Sie neue Risiken hinzufügen. Wenn Sie Risiken entfernen, können Sie Lücken in der Sequenz hinterlassen oder die niedrigste verfügbare Zahl verwenden.

2. Fügen Sie die Richtlinienaussage ein. Erstellen Sie spezifische Richtlinienanweisungen, die identifizierte Risiken behandeln. Verwenden Sie die endgültige Sprache, wie z. B. muss, darf nicht und nicht. Verwenden Sie die Durchsetzungsmaßnahmen aus der Risikoliste als Ausgangspunkt. Konzentrieren Sie sich nicht auf Konfigurationsschritte, sondern auf Ergebnisse. Benennen Sie das für die Erzwingung erforderliche Tool, damit Sie wissen, wo die Compliance überwacht werden soll.

3. Fügen Sie eine Risiko-ID ein. Listen Sie das Risiko in der Richtlinie auf. Ordnen Sie jede Cloud-Governance-Richtlinie einem Risiko zu.

4. Schließen Sie die Richtlinienkategorie ein. Schließen Sie Governancekategorien wie Sicherheit, Compliance oder Kostenverwaltung in die Richtlinienkategorien ein. Kategorien helfen beim Sortieren, Filtern und Suchen von Cloudgovernancerichtlinien.

5. Schließen Sie den Richtlinienzweck ein. Geben Sie den Zweck jeder Politik an. Verwenden Sie das Risiko oder das regulatorische Compliance-Erfordernis, das die Richtlinie erfüllt, als Ausgangspunkt.

6. Definieren Sie den Richtlinienbereich. Definieren Sie, für welche und wen diese Richtlinie gilt, z. B. für alle Clouddienste, Regionen, Umgebungen und Workloads. Geben Sie ausnahmen an, um sicherzustellen, dass keine Mehrdeutigkeit besteht. Verwenden Sie standardisierte Begriffe oder Formulierungen, um Richtlinien einfach zu sortieren, zu filtern und zu finden.

7. Schließen Sie die Strategien zur Richtlinienkorrektur ein. Definieren Sie die gewünschte Antwort auf einen Verstoß gegen eine Cloud-Governance-Richtlinie. Passen Sie Antworten auf den Schweregrad des Risikos an, z. B. die Planung von Diskussionen für Verstöße gegen nichtproduktion und sofortige Abhilfemaßnahmen für Produktionsverletzungen.

Weitere Informationen finden Sie in den Beispielrichtlinien zur Cloudgovernance.

3. Verteilen von Cloudgovernancerichtlinien

Gewähren Sie allen Benutzern Zugriff, die den Cloud-Governance-Richtlinien entsprechen müssen. Suchen Sie nach Möglichkeiten, um die Einhaltung der Cloud-Governance-Richtlinien für Personen in Ihrer Organisation zu vereinfachen. Befolgen Sie die folgenden Empfehlungen, um Cloudgovernancerichtlinien zu verteilen:

1. Verwenden Sie ein zentrales Richtlinien-Repository. Verwenden Sie ein zentrales, leicht zugängliches Repository für alle Governance-Dokumentationen. Stellen Sie sicher, dass alle Projektbeteiligten, Teams und Einzelpersonen Zugriff auf die neuesten Versionen von Richtlinien und verwandten Dokumenten haben.

2. Erstellen Sie Compliance-Checklisten. Stellen Sie eine schnelle und umsetzbare Übersicht über die Richtlinien bereit. Vereinfachen Sie die Einhaltung von Vorschriften für Teams, ohne durch umfangreiche Dokumentation navigieren zu müssen. Weitere Informationen finden Sie in der Beispielprüfliste zur Compliance.

4. Überprüfen von Cloudgovernancerichtlinien

Bewerten und Aktualisieren von Cloudgovernancerichtlinien, um sicherzustellen, dass sie in cloudbasierten Umgebungen relevant und effektiv bleiben. Regelmäßige Überprüfungen tragen dazu bei, dass Cloud-Governance-Richtlinien den sich ändernden regulatorischen Anforderungen, neuen Technologien und sich entwickelnden Geschäftszielen entsprechen. Berücksichtigen Sie beim Überprüfen von Richtlinien die folgenden Empfehlungen:

1. Implementieren Sie Feedbackmechanismen. Richten Sie Möglichkeiten ein, Feedback zur Effektivität von Cloud-Governance-Richtlinien zu erhalten. Sammeln Sie Eingaben von Personen, die von den Richtlinien betroffen sind, um sicherzustellen, dass sie ihre Arbeit weiterhin effizient erledigen können. Aktualisieren Sie Governancerichtlinien, um praktische Herausforderungen und Anforderungen widerzuspiegeln.

2. Richten Sie ereignisbasierte Rezensionen ein. Überprüfen und aktualisieren Sie Cloud-Governance-Richtlinien als Reaktion auf Ereignisse, z. B. eine fehlgeschlagene Governance-Richtlinie, Technologieänderung oder Änderungen an der Einhaltung gesetzlicher Vorschriften.

3. Planen Sie regelmäßige Überprüfungen. Überprüfen Sie regelmäßig Governancerichtlinien, um sicherzustellen, dass sie sich an den sich entwickelnden Organisatorischen Anforderungen, Risiken und Cloud-Fortschritten orientieren. Nehmen Sie beispielsweise Governanceüberprüfungen in die regelmäßigen Cloud-Governance-Besprechungen mit Stakeholdern auf.

4. Erleichtern Sie die Änderungssteuerung. Fügen Sie einen Prozess für die Richtlinienüberprüfung und -updates hinzu. Stellen Sie sicher, dass die Cloud-Governance-Richtlinien mit organisatorischen, behördlichen und technologischen Veränderungen in Einklang bleiben. Machen Sie klar, wie Sie Richtlinien bearbeiten, entfernen oder hinzufügen.

5. Identifizieren von Ineffizienzen. Überprüfen Sie Governancerichtlinien, um Ineffizienzen in der Cloudarchitektur und -vorgänge zu finden und zu beheben. Statt beispielsweise zuzuweisen, dass jede Workload eine eigene Webanwendungsfirewall verwenden muss, aktualisieren Sie die Richtlinie so, dass eine zentrale Firewall verwendet werden muss. Überprüfen Sie Richtlinien, die doppelten Aufwand erfordern, und überprüfen Sie, ob es eine Möglichkeit gibt, die Arbeit zu zentralisieren.

Beispiel für Cloud-Governance-Richtlinien

Die folgenden Cloud-Governance-Richtlinien sind Beispiele zur Orientierung. Diese Richtlinien basieren auf den Beispielen in der Beispielrisikoliste.

Nächster Schritt