Dokumentowanie zasad ładu w chmurze

Korzystając ze szczegółowych informacji z oceny ryzyka, zespół formułuje teraz zasady do obsługi tych zagrożeń. Dla każdego znaczącego ryzyka lub grupy ryzyka należy zastosować co najmniej jedną odpowiednią politykę ładu. Podczas dokumentowania zasad ładu w chmurze należy wziąć pod uwagę następujące najlepsze rozwiązania:

1. Ustanowienie standardowego formatu zasad i języka

Utwórz spójny szablon lub format dla wszystkich zasad. Każdy dokument zasad (lub sekcja) powinien zawierać kluczowe elementy, takie jak ID, oświadczenie, zakres. Używaj jasnego, jednoznacznego języka. Zasady mają być autorytatywnymi odwołaniami, więc powinny one być łatwe do zrozumienia przez uczestników projektu bez miejsca na błędną interpretację. Na przykład należy zdecydować się na standardowe sformułowanie, takie jak "musi" lub "nie wolno" dla wymagań, i unikać niejasnych terminów. Standardowy format, taki jak zasady z identyfikatorem, kategorią, celem, ułatwia nawigację i konserwację zasad.

2. Definiowanie zasad ładu w chmurze

Utwórz zasady ładu w chmurze, które przedstawiają sposób używania chmury i zarządzania nią w celu ograniczenia ryzyka. Zminimalizuj potrzebę częstych aktualizacji zasad. Aby zdefiniować zasady ładu w chmurze, wykonaj następujące zalecenia:

1. Użyj identyfikatora polityki. Użyj kategorii zasad i liczby, aby jednoznacznie zidentyfikować poszczególne zasady, takie jak SC01 dla pierwszych zasad ładu zabezpieczeń. Zwiększaj identyfikator sekwencyjnie podczas dodawania nowych czynników ryzyka. Jeśli usuniesz ryzyko, możesz pozostawić luki w sekwencji lub użyć najniższej dostępnej liczby.

2. Dołącz oświadczenie polityki. Utwórz konkretne zasady, które dotyczą zidentyfikowanych zagrożeń. Użyj ostatecznego języka, takiego jak musi, powinien, nie może i nie powinien. Użyj mechanizmów egzekwowania z listy ryzyka jako punktu startowego. Skoncentruj się na wynikach, a nie na krokach konfiguracji. Nadaj nazwę narzędziu wymaganemu do wymuszania, aby wiedzieć, gdzie monitorować zgodność.

3. Uwzględnij identyfikator ryzyka. Wymień ryzyko w polityce. Skojarz wszystkie zasady ładu w chmurze z ryzykiem.

4. Uwzględnij kategorię zasad. Uwzględnij kategorie ładu, takie jak zabezpieczenia, zgodność lub zarządzanie kosztami, do kategoryzacji zasad. Kategorie ułatwiają sortowanie, filtrowanie i znajdowanie zasad ładu w chmurze.

5. Uwzględnij cel zasad. Podaj przeznaczenie poszczególnych zasad. Użyj ryzyka lub wymagania zgodności z przepisami, które zasady spełniają jako punkt wyjścia.

6. Zdefiniuj zakres zasad. Zdefiniuj, do czego mają zastosowanie te zasady, takie jak wszystkie usługi w chmurze, regiony, środowiska i obciążenia. Określ wszelkie wyjątki, aby upewnić się, że nie ma wątpliwości. Używaj standardowego języka, aby łatwo sortować, filtrować i znajdować zasady.

7. Uwzględnij strategie korygowania zasad. Zdefiniuj żądaną odpowiedź na naruszenie zasad ładu w chmurze. Dostosuj odpowiedzi na ważność ryzyka, takie jak planowanie dyskusji dotyczących naruszeń nieprodukcyjnych i natychmiastowe działania naprawcze w przypadku naruszeń produkcji.

Aby uzyskać więcej informacji, zobacz przykładowe zasady ładu w chmurze.

3. Dystrybuowanie zasad ładu w chmurze

Udziel dostępu wszystkim, którzy muszą przestrzegać zasad ładu w chmurze. Poszukaj sposobów ułatwienia przestrzegania zasad ładu w chmurze dla osób w organizacji. Aby dystrybuować zasady ładu w chmurze, postępuj zgodnie z następującymi zaleceniami:

1. Użyj scentralizowanego repozytorium zasad. Użyj scentralizowanego, łatwo dostępnego repozytorium dla całej dokumentacji zarządzania. Upewnij się, że wszyscy uczestnicy projektu, zespoły i osoby fizyczne mają dostęp do najnowszych wersji zasad i powiązanych dokumentów.

2. Utwórz listy kontrolne zgodności. Podaj szybki i praktyczny przegląd zasad. Ułatwiaj zespołom przestrzeganie zasad bez potrzeby przeszukiwania obszernej dokumentacji. Aby uzyskać więcej informacji, zobacz przykładowa lista kontrolna zgodności.

4. Przegląd zasad ładu w chmurze

Ocenianie i aktualizowanie zasad zapewniania ładu w chmurze w celu zapewnienia, że pozostają one istotne i skuteczne w zarządzaniu środowiskami chmury. Regularne przeglądy pomagają zapewnić, że zasady ładu w chmurze są zgodne ze zmieniającymi się wymaganiami prawnymi, nowymi technologiami i zmieniającymi się celami biznesowymi. Podczas przeglądania zasad należy wziąć pod uwagę następujące zalecenia:

1. Implementowanie mechanizmów przesyłania opinii. Ustanów sposoby otrzymywania opinii na temat skuteczności zasad ładu w chmurze. Zbierz dane wejściowe od osób, których dotyczą zasady, aby upewnić się, że nadal mogą wykonywać swoją pracę wydajnie. Aktualizowanie zasad ładu w celu odzwierciedlenia praktycznych wyzwań i potrzeb.

2. Utwórz przeglądy oparte na zdarzeniach. Przejrzyj i zaktualizuj zasady ładu w chmurze w odpowiedzi na zdarzenia, takie jak nieudane zasady ładu, zmiana technologii lub zmiana zgodności z przepisami.

3. Zaplanuj regularne przeglądy. Regularnie przeglądaj zasady ładu, aby upewnić się, że są one zgodne ze zmieniającymi się potrzebami organizacji, ryzykiem i postępami w chmurze. Na przykład należy uwzględnić przeglądy ładu w regularnych spotkaniach dotyczących ładu w chmurze z uczestnikami projektu.

4. Ułatwia sterowanie zmianami. Uwzględnij proces przeglądu zasad i aktualizacji. Upewnij się, że zasady ładu w chmurze są zgodne ze zmianami organizacyjnymi, regulacyjnymi i technologicznymi. Wyjaśnij, jak edytować, usuwać lub dodawać zasady.

5. Identyfikowanie nieefektywności. Przejrzyj zasady ładu, aby znaleźć i naprawić nieefektywność w architekturze i operacjach w chmurze. Na przykład, zamiast narzucać, aby każde obciążenie musiało używać własnej webowej zapory aplikacyjnej, zaktualizuj politykę, aby wymagała użycia scentralizowanej zapory sieciowej. Przejrzyj zasady wymagające zduplikowanego nakładu pracy i sprawdź, czy istnieje sposób na scentralizowanie pracy.

Przykładowe zasady ładu w chmurze

Poniżej przedstawiono przykłady zasad zapewniania ładu w chmurze. Te zasady są oparte na przykładach na przykładowej liście ryzyka.

Następny krok