Supervisión del cumplimiento de la nube

La supervisión consiste en medir continuamente el estado del entorno en la nube que cumple con las directivas de gobernanza y detectar cuándo se desfasa del cumplimiento. La supervisión eficaz le permite comprobar el impacto de los esfuerzos de gobernanza, proporciona visibilidad de los niveles de riesgo y desencadena los procesos de corrección rápidamente cuando sea necesario. Esta etapa implica configurar la telemetría, las alertas y los procesos de revisión adecuados para mantener la gobernanza en buen camino.

Después de aplicar la gobernanza en la nube, realice una evaluación inicial de línea base de cumplimiento. Vea qué directivas se cumplen y dónde hay lagunas. A continuación, realice un seguimiento de estas métricas a lo largo del tiempo. El objetivo final es reducir la no conformidad a cero o tan cerca como sea posible mediante la mejora iterativa de las políticas y la aplicación donde la supervisión indique problemas.

1. Configuración de la supervisión de la gobernanza en la nube

Implemente soluciones de supervisión para realizar un seguimiento del cumplimiento de las directivas de gobernanza en la nube. El objetivo es tener visibilidad sobre los equipos responsables de aplicar el cumplimiento para que pueda corregir rápidamente la falta de cumplimiento. Para configurar la supervisión de la gobernanza, siga estas recomendaciones:

1. Usar herramientas de supervisión. Elija las herramientas de supervisión de cumplimiento que ofrecen funcionalidades de supervisión en tiempo real. Asegúrese de que pueden supervisar el cumplimiento de las directivas de gobernanza específicas. Recopile las métricas y los registros según sea necesario para la supervisión de la gobernanza. Revise las recomendaciones de visibilidad y supervisión en el área de diseño de administración de zonas de aterrizaje de Azure.

2. Supervise manualmente cuando sea necesario. Revise manualmente el cumplimiento en el que los mecanismos de supervisión automatizados no están disponibles.

3. Solución de supervisión de documentos. Realice un seguimiento de cómo va a supervisar cada directiva de gobernanza en la nube para saber dónde recopilar datos de cumplimiento. En la directiva de gobernanza de la nube, enumere la herramienta de supervisión, como Azure Policy o Microsoft Purview. Si hay un enfoque manual, enumere la frecuencia de auditoría.

4. Centralizar la supervisión de la gobernanza. Use o compile una solución que le permita ver el estado del cumplimiento de gobernanza en la nube en un solo lugar. Por ejemplo, el libro de gobernanza de Azure centraliza muchos servicios de supervisión de gobernanza de Azure.

5. Establezca una línea base de cumplimiento. Evalúe la conformidad del entorno de nube con las directivas de gobernanza de la nube. Haz que sea la línea base. Monitoree el progreso en relación con la línea de base a lo largo del tiempo.

6. Proporcionar acceso a la supervisión de la gobernanza. Configure el nivel adecuado de acceso a los resultados de supervisión de gobernanza para que los equipos responsables de la gobernanza puedan evaluar la eficacia de los controles de cumplimiento.

7. Auditar la eficacia de la supervisión. Revise manualmente el cumplimiento para validar el cumplimiento. Por ejemplo, asegúrese de que las etiquetas reciben los valores correctos y no un valor no deseado, como NA.

Facilitación de Azure: configuración de la supervisión de la gobernanza en la nube

Las instrucciones siguientes están diseñadas para ayudarle a configurar la supervisión de la gobernanza en la nube en Azure. Proporciona un punto de partida de ejemplo para las principales categorías de gobernanza de la nube. Considere la posibilidad de agregar estas señales en el libro de gobernanza de Azure. Para configurar la supervisión de la gobernanza en la nube, necesita una identidad de Azure que tenga permisos para recopilar datos de supervisión de las suscripciones.

Configuración de la supervisión para la gobernanza del cumplimiento normativo

• Use paneles de cumplimiento.Obtenga los datos de cumplimiento de las políticas asignadas.

• Determine el cumplimiento. Use los datos de cumplimiento para determinar las causas de incumplimiento.

Configuración de la supervisión para la gobernanza de seguridad

• Use la supervisión de la gobernanza de seguridad.Revise las recomendaciones de seguridad y supervise la gobernanza de la seguridad a lo largo del tiempo con la puntuación de seguridad. La característica proporciona un panel para supervisar el cumplimiento normativo frente a marcos de seguridad comunes.

• Configure la supervisión de la gobernanza de identidades.Configure la supervisión de identidades para recopilar registros de auditoría, inicio de sesión y aprovisionamiento. Revise también el puntaje de seguridad de identidad y use el panel de gobernanza de identidades para obtener una vista centralizada de las identidades en su entorno.

Configuración de la supervisión para la gobernanza de la administración de costos

• Analice los costos de la nube. Realice un análisis de costos en Azure para obtener visibilidad completa de los costos de la nube.

• Cree presupuestos.Cree un presupuesto que se alinee con la inversión deseada en la nube.

• Recopilación de datos de costos. Use recomendaciones de optimización de costos y el libro de trabajo de optimización de costos para guiar los esfuerzos de gestión de costos, como la detección de recursos inactivos. Identificar anomalías y cambios inesperados en el costo.

Configuración de la supervisión para la gobernanza de operaciones

• Supervise las directivas en las operaciones en la nube. Use Azure Policy para realizar un seguimiento del cumplimiento de las directivas de gobernanza que se aplican a las operaciones.

• Supervise los registros y las métricas. Para realizar un seguimiento de la disponibilidad y el rendimiento, analice los registros y las métricas en entornos en la nube.

• Supervisar la optimización de recursos.Use Azure Advisor para supervisar los recursos de Azure en busca de confiabilidad, seguridad, excelencia operativa, rendimiento y costo. Establezca alertas para las nuevas recomendaciones de Advisor.

• Supervisar el estado de los recursos.Supervise el estado de los servicios de Azure y supervise los eventos que afectan al servicio, el mantenimiento planeado y otros cambios que podrían afectar a la disponibilidad.

Configuración de la supervisión para la gobernanza de datos

• Supervisar la gobernanza de datos.Supervisar el cumplimiento, la administración y el uso de datos.

• Utiliza tableros de control. Use paneles para supervisar el cumplimiento de las directivas del plano de datos.

Configuración de la supervisión para la gobernanza de la administración de recursos

• Supervise las directivas en la administración de recursos. Supervise el cumplimiento de las directivas de gobernanza en la nube que se aplican a las implementaciones de recursos, como las directivas de cumplimiento de etiquetas.

Configuración de la supervisión de la gobernanza de la inteligencia artificial

• Supervise las salidas del sistema de IA. Use Azure para la supervisión de abusos y el filtrado de contenido de los sistemas de inteligencia artificial.

• Sistemas de inteligencia artificial de equipo rojo. Modelos de lenguaje de equipo rojo periódicamente para encontrar salidas perjudiciales. Use pruebas manuales y herramientas automatizadas para revisar la línea de base de riesgo.

2. Configuración de alertas de gobernanza en la nube

Configure alertas basadas en métricas o eventos de cumplimiento específicos que indiquen una desviación de las directivas de gobernanza. Para configurar alertas de gobernanza en la nube, siga estas recomendaciones:

1. Use mecanismos de alertas nativos de la nube. Se prefieren herramientas nativas de nube que proporcionan supervisión y alertas en tiempo real para problemas de cumplimiento.

2. Defina la no conformidad. Defina umbrales claros y líneas base para no cumplimiento. Establezca alertas cuando los datos superen estos umbrales o cuando se produzcan cambios inesperados que podrían indicar incumplimiento.

3. Enrutar las alertas adecuadamente. Envíe alertas al equipo adecuado o a la persona responsable de aplicar el cumplimiento de las directivas de gobernanza en la nube.

4. Incluya información de incumplimiento en las alertas. Configure alertas para incluir información detallada sobre el evento de incumplimiento. Lo ideal es incluir la directiva infringida, los recursos afectados y la corrección sugerida.

Facilitación de Azure: configuración de alertas de gobernanza en la nube

Las instrucciones siguientes le ayudarán a empezar a configurar alertas de gobernanza en la nube en Azure. Proporciona un punto de partida de ejemplo para las principales categorías de gobernanza de la nube.

• Alertas de gobernanza de cumplimiento normativo. Use los registros de actividad de Azure para generar alertas de incumplimiento en Azure.

• Alertas de gobernanza de seguridad. Configure alertas de seguridad y alertas por incumplimiento.

• Alertas de gobernanza de costos. Configure alertas para notificar a los equipos las posibles saturaciones de costos y anomalías de gasto. Configure alertas de costos y alertas de anomalías de costos. Establezca alertas de uso de reservas para mantener el uso de reservas y planes de ahorro en o cerca del uso completo.

• Alertas de gobernanza de operaciones.Configurar alertas en registros y métricas específicas. Establezca alertas para nuevas recomendaciones alineadas con la confiabilidad y el rendimiento. Configure alertas de estado del servicio para recibir notificaciones de los problemas de estado del servicio actuales y próximos. Configure las alertas de Resource Health para recibir notificaciones del estado de salud actual e histórico de los recursos de Azure.

• Alertas de gobernanza de datos.Configure alertas de gobernanza de datos para notificar infracciones de gobernanza de datos.

• Alertas de gobernanza de administración de recursos. Configurar alertas para cuando se implemente un recurso no conforme. Por ejemplo, utilice advertencias de construcción en la canalización de implementación o supervise situaciones de incumplimiento.

• Alertas de gobernanza de inteligencia artificial. Configure alertas cuando sean entradas y salidas perjudiciales en los sistemas de IA. Por ejemplo, supervise los correos electrónicos de Azure OpenAI que le notifiquen el comportamiento abusivo.

3. Desarrollar un plan de corrección

Desarrolle un plan de acción dirigido para abordar los eventos de incumplimiento. Cuando detecte incumplimiento, realice el plan de corrección para corregir las desviaciones y minimizar el riesgo y el impacto. Agregue los detalles de corrección a la directiva de gobernanza de la nube para facilitar el acceso. Siga estas recomendaciones:

1. Discuta la cronología de remediación. Negociar una escala de tiempo para la corrección en función de la prioridad de riesgo. El equipo responsable del cumplimiento debe corregir el cumplimiento de forma oportuna.

2. Corrija las infracciones de alto riesgo rápidamente. Para las alertas de incumplimiento que son de alto riesgo, como un punto de conexión de datos expuesto, tenga un plan para escalar y corregir esos problemas de no conformidad. Actualice el mecanismo de aplicación de directivas para evitar una repetición de esta infracción de alto riesgo. Use Azure para reaccionar a los cambios en el estado de cumplimiento, corregir los recursos no compatibles con las directivas y corregir las recomendaciones de seguridad.

3. Seguimiento de infracciones de bajo riesgo. Tenga una postura centrada en las auditorías sobre las políticas de bajo riesgo para discutir con el equipo que infringió la política de gobernanza de la nube, como la implementación de un servicio en una lista de bloqueo. Quizá haya una nueva característica disponible, un mejor nivel de servicio (SKU) o un mejor precio en una región específica. El equipo de gobernanza de la nube debe analizar las necesidades del equipo y ajustar las directivas y los mecanismos de cumplimiento de acuerdo con la conversación.

4. Automatice la corrección siempre que sea posible. Configure flujos de trabajo automatizados que no solo notifiquen a los equipos pertinentes, sino que también inicien procesos de corrección predefinidos cuando proceda. Esta solución es principalmente para soluciones de alto riesgo conocidas que no se pueden evitar con la automatización.

5. Actualizar las directivas de gobernanza y los mecanismos de cumplimiento. En función de la información obtenida del evento de incumplimiento, actualice las directivas de gobernanza y los mecanismos de cumplimiento. Las actualizaciones pueden implicar la restricción de las definiciones de directivas, la mejora de las funcionalidades de supervisión o la refinación de los umbrales de alerta para mejorar los tiempos de detección y respuesta.

4. Auditar la gobernanza de la nube con regularidad

Incluso con la supervisión automatizada, realice revisiones y auditorías manuales periódicas para validar los procesos de supervisión de cumplimiento y asegurarse de que las herramientas de automatización funcionan correctamente. Para auditar la gobernanza de la nube, siga estas recomendaciones:

1. Realizar auditorías internas. Realice auditorías internas periódicas para evaluar el cumplimiento de las directivas de gobernanza.

2. Realizar auditorías externas. Póngase en contacto con auditores externos según sea necesario para validar el cumplimiento de los requisitos legales y normativos. Asegúrese de consultar con expertos legales para confirmar que las directivas de gobernanza están de acuerdo con las leyes y reglamentos aplicables en su región.

Pasos siguientes

La gobernanza de la nube es un proceso continuo que requiere atención continua. Repita constantemente el proceso de gobernanza para evaluar los riesgos, documentar las directivas de gobernanza, aplicar esas directivas y supervisar la eficacia del cumplimiento. El equipo de gobernanza de la nube también debe trabajar a través del proceso de gobernanza de la nube siempre que identifique nuevos riesgos en la nube.