Monitorar a conformidade com a nuvem

O monitoramento é sobre medir continuamente o quão bem o ambiente de nuvem está em conformidade com suas políticas de governança e detectar quando ele fica fora de conformidade. O monitoramento eficaz permite verificar o impacto de seus esforços de governança, fornece visibilidade sobre os níveis de risco e dispara processos de correção imediatamente quando necessário. Esse estágio envolve a configuração da telemetria, dos alertas e dos processos de revisão corretos para manter a governança no controle.

Depois de impor a governança de nuvem, execute uma avaliação inicial da linha de base de conformidade. Veja quais políticas estão sendo atendidas e onde há lacunas. Em seguida, acompanhe essas métricas ao longo do tempo. O objetivo final é levar a não conformidade a zero ou tão perto quanto prático, melhorando iterativamente as políticas e a imposição em que o monitoramento mostra problemas.

1. Configurar o monitoramento de governança de nuvem

Implemente soluções de monitoramento para acompanhar a conformidade com suas políticas de governança de nuvem. O objetivo é ter visibilidade das equipes responsáveis por impor a conformidade para que você possa corrigir a não conformidade rapidamente. Para configurar o monitoramento de governança, siga estas recomendações:

1. Use ferramentas de monitoramento. Escolha as ferramentas de monitoramento de conformidade que oferecem recursos de monitoramento em tempo real. Verifique se eles podem monitorar a conformidade com suas políticas de governança específicas. Colete as métricas e os logs conforme necessário para o monitoramento de governança. Examine as recomendações de visibilidade e monitoramento na área de design de gerenciamento da zona de destino do Azure.

2. Monitore manualmente quando necessário. Examine a conformidade manualmente em que os mecanismos de monitoramento automatizados não estão disponíveis.

3. Solução de monitoramento de documentos. Acompanhe como você está monitorando cada política de governança de nuvem para saber onde coletar dados de conformidade. Na política de governança de nuvem, liste a ferramenta de monitoramento, como o Azure Policy ou o Microsoft Purview. Se houver uma abordagem manual, liste a frequência de auditoria.

4. Centralize o monitoramento de governança. Use ou crie uma solução que permita exibir o status da conformidade de governança de nuvem em um só lugar. Por exemplo, a pasta de trabalho de governança do Azure centraliza muitos serviços de monitoramento de governança do Azure.

5. Estabelecer uma linha de base de conformidade. Avalie o quão compatível é o ambiente de nuvem com suas políticas de governança de nuvem. Faça disso sua linha de base. Acompanhe o progresso em relação à linha de base ao longo do tempo.

6. Forneça acesso ao monitoramento de governança. Configure o nível apropriado de acesso aos resultados de monitoramento de governança para que as equipes responsáveis pela governança possam avaliar a eficácia dos controles de imposição.

7. Auditar a eficácia do monitoramento. Revise manualmente a conformidade para validar a conformidade. Por exemplo, verifique se as tags estão recebendo os valores corretos e não um valor indesejado, como NA.

Facilitação do Azure: configurando o monitoramento de governança de nuvem

As diretrizes a seguir servem para ajudá-lo a configurar o monitoramento de governança de nuvem no Azure. Ele fornece um ponto de partida de exemplo para as principais categorias de governança de nuvem. Considere agregar esses sinais na pasta de trabalho de governança do Azure. Para configurar o monitoramento de governança de nuvem, você precisa de uma identidade do Azure que tenha permissões para coletar dados de monitoramento de suas assinaturas.

Configurar o monitoramento para governança de conformidade regulatória

• Use painéis de conformidade.Obtenha dados de conformidade de política nas políticas atribuídas.

• Determinar a conformidade. Use os dados de conformidade para determinar as causas de não conformidade.

Configurar o monitoramento para governança de segurança

• Use o monitoramento de governança de segurança.Examine as recomendações de segurança e monitore a governança de segurança ao longo do tempo com sua pontuação segura. O recurso fornece um painel para monitorar a conformidade regulatória em relação a estruturas de segurança comuns.

• Configurar o monitoramento de governança de identidade.Configurar o monitoramento de identidades para coletar logs de auditoria, de entrada e de provisionamento. Examine também sua pontuação de segurança de identidade e use o painel de governança de identidade para obter uma única exibição de identidades em seu locatário.

Configurar o monitoramento para governança de gerenciamento de custos

• Analise os custos de nuvem. Realize uma análise de custo no Azure para obter visibilidade total dos custos de nuvem.

• Criar orçamentos.Crie um orçamento que se alinhe ao investimento desejado na nuvem.

• Coletar dados de custo. Use recomendações de otimização de custo e a pasta de trabalho de otimização de custos para orientar os esforços de gerenciamento de custos, como detecção de recursos ociosos. Identificar anomalias e alterações inesperadas no custo.

Configurar o monitoramento para governança de operações

• Monitorar políticas em operações de nuvem. Use o Azure Policy para acompanhar a conformidade com as políticas de governança que se aplicam às operações.

• Monitorar logs e métricas. Para acompanhar a disponibilidade e o desempenho, analise logs e métricas em ambientes de nuvem.

• Monitorar a otimização de recursos.Use o Assistente do Azure para monitorar os recursos do Azure quanto à confiabilidade, segurança, excelência operacional, desempenho e custo. Defina alertas para quaisquer novas recomendações do Assistente.

• Monitore a integridade do recurso.Monitore a integridade dos serviços do Azure e monitore eventos que afetam o serviço, a manutenção planejada e outras alterações que podem afetar a disponibilidade.

Configurar o monitoramento para governança de dados

• Monitorar a governança de dados.Monitore a conformidade, o gerenciamento e o uso de dados.

• Use painéis. Use painéis para monitorar a conformidade com as políticas do plano de dados.

Configurar o monitoramento para governança de gerenciamento de recursos

• Monitore as políticas no gerenciamento de recursos. Monitore a conformidade com políticas de governança de nuvem que se aplicam a implantações de recursos, como políticas de imposição de marca.

Configurar o monitoramento para governança de IA

• Monitore as saídas do sistema de IA. Use o Azure para monitoramento de abuso e filtragem de conteúdo de sistemas de IA.

• Sistemas de IA da equipe vermelha. Modelos de linguagem de equipe vermelhos regularmente para encontrar saídas prejudiciais. Use testes manuais e ferramentas automatizadas para examinar a linha de base de risco.

2. Configurar alertas de governança de nuvem

Configure alertas com base em métricas ou eventos de conformidade específicos que indicam um desvio de suas políticas de governança. Para configurar alertas de governança de nuvem, siga estas recomendações:

1. Use mecanismos de alerta nativos de nuvem. Prefira ferramentas nativas de nuvem que fornecem monitoramento em tempo real e alertas para problemas de conformidade.

2. Defina a não conformidade. Defina limites claros e linhas de base para não conformidade. Defina alertas quando os dados excederem esses limites ou quando ocorrerem alterações inesperadas que possam indicar não conformidade.

3. Direcionar alertas de forma adequada. Envie alertas à equipe apropriada ou ao indivíduo responsável por impor a conformidade com as políticas de governança de nuvem.

4. Inclua informações de não conformidade em alertas. Configure alertas para incluir informações detalhadas sobre o evento de não conformidade. O ideal é incluir a política violada, os recursos afetados e a correção sugerida.

Facilitação do Azure: configurando alertas de governança de nuvem

As diretrizes a seguir ajudam você a começar a configurar alertas de governança de nuvem no Azure. Ele fornece um ponto de partida de exemplo para as principais categorias de governança de nuvem.

• Alertas de governança de conformidade regulatória. Use os logs de atividades do Azure para gerar alertas de não conformidade no Azure.

• Alertas de governança de segurança. Configure alertas de segurança e alertas de não conformidade.

• Alertas de governança de custos. Configure alertas para notificar as equipes sobre possíveis excedentes de custos e anomalias de gastos. Configure alertas de custo e alertas de anomalias nos custos. Defina alertas de utilização de reserva para manter o uso de reservas e planos de economia em uso total ou próximo disso.

• Alertas de governança de operações.Configure alertas para logs e métricas específicas. Defina alertas para novas recomendações alinhadas à confiabilidade e ao desempenho. Configure alertas de saúde do serviço para serem notificados sobre problemas atuais e futuros de saúde do serviço. Configure alertas de integridade do recurso para receber notificações sobre o status de integridade atual e histórico dos recursos do Azure.

• Alertas de governança de dados.Configure alertas de governança de dados para relatar violações de governança de dados.

• Alertas de governança em gerenciamento de recursos. Configure alertas para quando um recurso de não conformidade for implantado. Por exemplo, use avisos de build em seu pipeline de implantação ou monitore estados de não conformidade.

• Alertas de governança de IA. Configure alertas quando forem entradas e saídas prejudiciais em seus sistemas de IA. Por exemplo, monitore emails do Azure OpenAI que notifiquem você sobre comportamentos abusivos.

3. Desenvolver um plano de correção

Desenvolva um plano de ação direcionado para resolver quaisquer eventos de não conformidade. Ao detectar a não conformidade, execute o plano de correção para corrigir os desvios e minimizar o risco e o impacto. Adicione os detalhes de correção à política de governança de nuvem para facilitar o acesso. Siga estas recomendações:

1. Analisar o cronograma de correção. Negocie um cronograma para correção dependendo da prioridade de risco. A equipe responsável pela conformidade deve corrigir a conformidade em tempo hábil.

2. Corrija rapidamente violações de alto risco. Para alertas de não conformidade que são de alto risco, como um endpoint de dados exposto, tenha um plano para escalar e corrigir esses problemas de não conformidade. Atualize o mecanismo de imposição de política para evitar uma repetição dessa violação de alto risco. Use o Azure para reagir a alterações de estado de conformidade, corrigir recursos não compatíveis com políticas e corrigir recomendações de segurança.

3. Acompanhe as violações de baixo risco. Tenha uma postura prioritária de auditoria em relação a políticas de baixo risco, para que você possa discutir com a equipe que violou as políticas de governança da nuvem, como ao implantar um serviço em uma lista de bloqueio. Talvez haja um novo recurso disponível, uma melhor camada de serviço (SKU) ou um melhor preço em uma região específica. A equipe de governança de nuvem deve discutir as necessidades da equipe e ajustar políticas e mecanismos de imposição de acordo com a conversa.

4. Automatize a correção sempre que possível. Configure fluxos de trabalho automatizados que não apenas notifiquem as equipes relevantes, mas também iniciem processos de correção predefinidos quando apropriado. Essa solução é principalmente para soluções conhecidas de alto risco que você não pode evitar com a automação.

5. Atualize as políticas de governança e os mecanismos de imposição. Com base nos insights obtidos com base no evento de não conformidade, atualize suas políticas de governança e mecanismos de imposição. As atualizações podem envolver o endurecimento das definições de política, o aprimoramento dos recursos de monitoramento ou a refinação de limites de alerta para melhorar os tempos de detecção e resposta.

4. Auditar a governança de nuvem regularmente

Mesmo com o monitoramento automatizado, realize revisões e auditorias manuais periódicas para validar os processos de monitoramento de conformidade e garantir que as ferramentas de automação estejam funcionando corretamente. Para auditar a governança de nuvem, siga estas recomendações:

1. Realizar auditorias internas. Realize auditorias internas regulares para avaliar a conformidade com as políticas de governança.

2. Realizar auditorias externas. Envolva auditores externos conforme necessário para validar a conformidade com os requisitos legais e regulatórios. Verifique se você consulta especialistas jurídicos para confirmar que suas políticas de governança estão de acordo com as leis e regulamentos aplicáveis em sua região.

Próximas etapas

A governança de nuvem é um processo contínuo que requer atenção contínua. Repita consistentemente o processo de governança de avaliar riscos, documentar políticas de governança, impor essas políticas e monitorar a eficácia da imposição. A equipe de governança de nuvem também deve trabalhar no processo de governança de nuvem sempre que identificar novos riscos na nuvem.