クラウド ガバナンス ポリシーを文書化する

チームは、リスク評価の分析情報を使用して、これらのリスクを処理するためのポリシーを作成するようになりました。 重大なリスクまたはリスクのグループごとに、対応するガバナンス ポリシーが 1 つ以上存在する必要があります。 クラウド ガバナンス ポリシーを文書化するときは、次のベスト プラクティスを検討してください。

1. 標準ポリシーの形式と言語を確立する

すべてのポリシーに一貫性のあるテンプレートまたは形式を作成します。 各ポリシー ドキュメント (またはセクション) には、ID、ステートメント、スコープなどの主要な要素を含める必要があります。 明確で明確な言語を使用します。 ポリシーは、権限のある参照を目的としているため、関係者が誤って解釈する余地をなくして簡単に理解できるようにする必要があります。 たとえば、要件に対して "must" や "must not" などの標準的な表現を決定し、あいまいな用語を避けます。 ID、カテゴリ、目的を持つポリシーなどの標準化された形式により、ポリシーの移動と保守が容易になります。

2. クラウド ガバナンス ポリシーを定義する

リスクを軽減するためにクラウドを使用および管理する方法を説明するクラウド ガバナンス ポリシーを作成します。 頻繁なポリシー更新の必要性を最小限に抑えます。 クラウド ガバナンス ポリシーを定義するには、次の推奨事項に従います。

1. ポリシー ID を使用します。 ポリシー カテゴリと数値を使用して、最初のセキュリティ ガバナンス ポリシーの SC01 など、各ポリシーを一意に識別します。 新しいリスクを追加するときに、識別子を順番にインクリメントします。 リスクを取り除く場合は、シーケンスにギャップを残すか、使用可能な最小数を使用できます。

2. ポリシー ステートメントを含めます。 特定されたリスクに対処する特定のポリシー ステートメントを作成します。 must、should、must not、shouldn't といった確定的な表現を使用します。 リスク リストの適用コントロールを開始点として使用します。 構成手順ではなく、結果に焦点を当てます。 コンプライアンスを監視する場所を把握できるように、適用に必要なツールに名前を付けます。

3. リスク ID を含めます。 ポリシーのリスクを一覧表示します。 すべてのクラウド ガバナンス ポリシーをリスクに関連付けます。

4. ポリシー カテゴリを含めます。 ポリシーの分類には、セキュリティ、コンプライアンス、コスト管理などのガバナンス カテゴリを含めます。 カテゴリは、クラウド ガバナンス ポリシーの並べ替え、フィルター処理、および検索に役立ちます。

5. ポリシーの目的を含めます。 各ポリシーの目的を指定します。 ポリシーが満たすリスクまたは規制コンプライアンス要件を出発点として使用します。

6. ポリシー スコープを定義します。 すべてのクラウド サービス、リージョン、環境、ワークロードなど、このポリシーが適用される内容と対象を定義します。 あいまいさがないように、例外を指定します。 標準化された言語を使用して、ポリシーの並べ替え、フィルター処理、検索を簡単に行うことができます。

7. ポリシー修復戦略を含めます。 クラウド ガバナンス ポリシーの違反に対する望ましい対応を定義します。 非運用環境の違反に関するディスカッションのスケジュール設定や、運用環境の違反に対する即時の修復作業など、リスクの重大度に合わせて対応を調整します。

詳細については、 クラウド ガバナンス ポリシーの例を参照してください。

3. クラウド ガバナンス ポリシーを配布する

クラウド ガバナンス ポリシーに準拠する必要があるすべてのユーザーにアクセス権を付与します。 組織内のユーザーにとってクラウド ガバナンス ポリシーへの準拠を容易にする方法を探します。 クラウド ガバナンス ポリシーを配布するには、次の推奨事項に従います。

1. 一元化されたポリシー リポジトリを使用します。 すべてのガバナンス ドキュメントに対して、一元化された簡単にアクセスできるリポジトリを使用します。 すべての関係者、チーム、個人が最新バージョンのポリシーと関連ドキュメントにアクセスできることを確認します。

2. コンプライアンス チェックリストを作成します。 ポリシーの迅速で実用的な概要を提供します。 広範なドキュメントを参照しなくても、チームが簡単に準拠できるようにします。 詳細については、 コンプライアンス チェックリストの例を参照してください。

4. クラウド ガバナンス ポリシーを確認する

クラウド ガバナンス ポリシーを評価して更新し、クラウド環境の管理に関連性があり、効果的であることを確認します。 定期的なレビューは、変化する規制要件、新しいテクノロジ、進化するビジネス目標に合わせてクラウド ガバナンス ポリシーを確実に調整するのに役立ちます。 ポリシーを確認するときは、次の推奨事項を検討してください。

1. フィードバック メカニズムを実装します。 クラウド ガバナンス ポリシーの有効性に関するフィードバックを受け取る方法を確立します。 ポリシーの影響を受ける個人からの入力を収集して、引き続き効率的に仕事を実行できるようにします。 実際の課題とニーズを反映するようにガバナンス ポリシーを更新します。

2. イベントベースのレビューを確立します。 失敗したガバナンス ポリシー、テクノロジの変更、規制コンプライアンスの変更などのイベントに対応して、クラウド ガバナンス ポリシーを確認して更新します。

3. 定期的なレビューをスケジュールします。 ガバナンス ポリシーを定期的に見直し、進化する組織のニーズ、リスク、クラウドの進化に合わせて調整します。 たとえば、利害関係者との定期的なクラウド ガバナンス会議にガバナンス レビューを含めます。

4. 変更制御を容易にする。 ポリシーのレビューと更新のプロセスを含めます。 クラウド ガバナンス ポリシーが、組織、規制、技術の変更に合わせて維持されるようにします。 ポリシーを編集、削除、または追加する方法を明確にします。

5. 非効率性を特定する。 ガバナンス ポリシーを確認して、クラウド アーキテクチャと運用の非効率性を見つけて修正します。 たとえば、各ワークロードで独自の Web アプリケーション ファイアウォールを使用する必要があることを管理する代わりに、一元化されたファイアウォールの使用を要求するようにポリシーを更新します。 重複した作業を必要とするポリシーを確認し、作業を一元化する方法があるかどうかを確認します。

クラウド ガバナンス ポリシーの例

参考のために、次のクラウド ガバナンス ポリシーの例を示します。 これらのポリシーは、 リスク リストの例に基づいています。

次のステップ