Documenter les stratégies de gouvernance cloud

À l’aide des insights de l’évaluation des risques, l’équipe formule maintenant des stratégies pour gérer ces risques. Pour chaque risque important ou groupe de risques, il doit y avoir une ou plusieurs stratégies de gouvernance correspondantes. Lors de la documentation des stratégies de gouvernance cloud, tenez compte des meilleures pratiques suivantes :

1. Établir un format et une langue de stratégie standard

Créez un modèle ou un format cohérent pour toutes les stratégies. Chaque document de stratégie (ou section) doit inclure des éléments clés, comme l'identifiant, la déclaration, l'étendue. Utilisez une langue claire et non ambiguë. Les politiques sont destinées à faire autorité, de sorte qu’elles doivent être faciles à comprendre, sans possibilité de mauvaise interprétation. Par exemple, choisissez une formulation standard comme « doit » ou « ne doit pas » pour les exigences, et évitez les termes vagues. Un format standardisé, tel qu’une stratégie avec l’ID, la catégorie, l’objectif, facilite la navigation et la maintenance des stratégies.

2. Définir des stratégies de gouvernance cloud

Créez des stratégies de gouvernance cloud qui décrivent comment utiliser et gérer le cloud pour atténuer les risques. Réduisez le besoin de mises à jour fréquentes de stratégie. Pour définir des stratégies de gouvernance cloud, suivez ces recommandations :

1. Utilisez un ID de stratégie. Utilisez la catégorie de stratégie et un nombre pour identifier de manière unique chaque stratégie, telle que SC01 pour la première stratégie de gouvernance de la sécurité. Incrémentez l’identificateur séquentiellement à mesure que vous ajoutez de nouveaux risques. Si vous supprimez des risques, vous pouvez laisser des lacunes dans la séquence ou utiliser le numéro disponible le plus bas.

2. Incluez la déclaration de politique. Créez des énoncés de stratégie spécifiques qui traitent des risques identifiés. Utilisez un langage définitif tel que doit, devrait, ne doit pas, et ne devrait pas. Utilisez les contrôles d’application de la liste des risques comme point de départ. Concentrez-vous sur les résultats plutôt que sur les étapes de configuration. Nommez l’outil requis pour l’application afin de savoir où surveiller la conformité.

3. Incluez un ID de risque. Répertoriez le risque dans la stratégie. Associez chaque stratégie de gouvernance cloud à un risque.

4. Incluez la catégorie de stratégie. Incluez des catégories de gouvernance, telles que la sécurité, la conformité ou la gestion des coûts, dans la catégorisation de la stratégie. Les catégories aident à trier, filtrer et rechercher des stratégies de gouvernance cloud.

5. Incluez l’objectif de la stratégie. Indiquez l’objectif de chaque stratégie. Utilisez le risque ou l’exigence de conformité réglementaire que la stratégie satisfait comme point de départ.

6. Définissez l’étendue de la stratégie. Définissez ce à quoi et à qui cette stratégie s’applique, comme tous les services cloud, régions, environnements et charges de travail. Spécifiez les exceptions pour vous assurer qu’il n’y a aucune ambiguïté. Utilisez un langage standardisé afin qu’il soit facile de trier, de filtrer et de rechercher des stratégies.

7. Incluez les stratégies de correction de stratégie. Définissez la réponse souhaitée à une violation d’une stratégie de gouvernance cloud. Adaptez les réponses à la gravité du risque, telles que la planification des discussions pour les violations de non-production et les efforts de correction immédiats pour les violations de production.

Pour plus d’informations, consultez les exemples de stratégies de gouvernance cloud.

3. Distribuer des stratégies de gouvernance cloud

Accordez l’accès à tous ceux qui doivent adhérer aux stratégies de gouvernance cloud. Recherchez des façons de faciliter l’adhésion aux stratégies de gouvernance cloud pour les personnes de votre organisation. Pour distribuer des stratégies de gouvernance cloud, suivez ces recommandations :

1. Utilisez un référentiel de stratégie centralisé. Utilisez un référentiel centralisé et facilement accessible pour toutes les documentations de gouvernance. Assurez-vous que toutes les parties prenantes, équipes et personnes ont accès aux dernières versions des stratégies et documents associés.

2. Créez des listes de contrôle de conformité. Fournissez une vue d’ensemble rapide et exploitable des stratégies. Facilitez la conformité des équipes sans avoir à parcourir une documentation complète. Pour plus d’informations, consultez l’exemple de liste de contrôle de conformité.

4. Passer en revue les stratégies de gouvernance cloud

Évaluez et mettez à jour les stratégies de gouvernance cloud pour vous assurer qu’elles restent pertinentes et efficaces dans les environnements cloud. Les révisions régulières permettent de s’assurer que les stratégies de gouvernance cloud s’alignent sur la modification des exigences réglementaires, les nouvelles technologies et l’évolution des objectifs métier. Lorsque vous passez en revue les stratégies, tenez compte des recommandations suivantes :

1. Implémentez des mécanismes de commentaires. Établissez des moyens de recevoir des commentaires sur l’efficacité des stratégies de gouvernance cloud. Rassemblez des commentaires des individus affectés par les politiques pour s’assurer qu’ils peuvent toujours faire leur travail efficacement. Mettez à jour les stratégies de gouvernance pour refléter les défis et les besoins pratiques.

2. Établissez des révisions basées sur des événements. Passez en revue et mettez à jour les stratégies de gouvernance cloud en réponse à des événements, tels qu’une stratégie de gouvernance défaillante, un changement technologique ou un changement de conformité réglementaire.

3. Planifiez des révisions régulières. Passez régulièrement en revue les stratégies de gouvernance pour s’assurer qu’elles s’alignent sur les besoins, les risques et les avancées en matière de cloud en constante évolution. Par exemple, incluez des révisions de gouvernance dans les réunions de gouvernance cloud régulières avec les parties prenantes.

4. Faciliter le contrôle des modifications. Incluez un processus pour l’examen et les mises à jour de stratégie. Assurez-vous que les stratégies de gouvernance cloud restent alignées sur les changements organisationnels, réglementaires et technologiques. Indiquez clairement comment modifier, supprimer ou ajouter des stratégies.

5. Identifiez les inefficacités. Passez en revue les stratégies de gouvernance pour rechercher et corriger les inefficacités dans l’architecture et les opérations cloud. Par exemple, au lieu de demander à chaque charge de travail d’utiliser son propre pare-feu d’applications web, mettez à jour la stratégie pour exiger l’utilisation d’un pare-feu centralisé. Passez en revue les stratégies qui nécessitent un effort en double et vérifiez s’il existe un moyen de centraliser le travail.

Exemples de stratégies de gouvernance cloud

Les stratégies de gouvernance cloud suivantes sont des exemples de référence. Ces stratégies sont basées sur les exemples de la liste des exemples de risques.

Étape suivante