平台工程中的有效治理涉及从即兴的手动流程过渡到更具结构化和主动性的框架。 本文探讨治理能力的各个阶段，重点介绍如何定义和实施安全、合规性和修正策略、监视威胁和管理访问控制。
独立
组织从临时治理开始，依靠基本的手动流程来确保合规性。 治理通常通过集中控制和手动门控强制实施。 开发人员和安全团队独立运营，从而尽量减少协作，并依赖于手动评审和审批。 因此，策略违规和未经授权的访问通常会被动解决，使组织面临可能更主动地缓解的风险。 对手动控制的依赖在构建更具伸缩性和可持续的治理框架方面提出了挑战。
定义安全、合规性和修正策略和框架：中心治理团队分别为每个团队/项目定义安全性和合规性措施。
实施安全性和符合性策略：通过满足无需正式流程的基本标准来实现合规性。 安全措施（包括身份及秘密管理）是作为后续手动添加的。
监视威胁和违规行为并实施纠正措施：应对事件发生后的事件，无需正式流程来防止策略违规或安全漏洞。
管理和控制对平台资源的访问：根据即时需求授予权限。
已记录入档案
随着组织开始认识到需要提高一致性，因此，将努力跨团队记录和共享安全性和合规性策略。 但是，这些策略仍然基本，通常应用不均衡。 开发团队应遵循提供给他们的策略。 引入集中系统（如票证）来管理策略评审，但此方法可能会引入瓶颈，因为手动审核和评审会增加开销，并可能会降低开发和部署周期。
转向有记录的治理结构带来了可追溯性和控制方面的初步改进，但缺乏统一性和强制措施限制了这些措施的有效性。 已建立标准角色和权限，但未全面实施。
定义安全、合规性和修正策略和框架：为一致性引入了标识和机密管理的一些常用工具，但策略创建仍基本上是手动的，并且缺乏统一性。 这些策略开始记录和跨团队共享，但他们仍然是基本的。
实施安全性和符合性策略：中心治理团队在开发生命周期的关键阶段手动应用策略，并做出一些努力来标准化跨团队的这种集成。
监视威胁和违规行为并实施纠正措施：为一些关键领域建立基本审核流程。
管理和控制对平台资源的访问：建立了一些标准角色和权限，但可能并不涵盖所有方案。
标准化
组织转向集中化，以减少可变性并提高运营效率。 引入了标准化治理流程，从而在所有团队中实现安全性和合规性措施的更一致应用。 此阶段需要大量的协调和专业知识，特别是在采用基础结构即代码（IaC）做法方面。 虽然这些努力为更精简的作奠定了基础，但挑战在于确保所有团队都遵守标准化的做法，这些做法可能是资源密集型和复杂的实施。 开发团队具有直接更改策略的能力有限。
定义安全、合规性和修正策略和框架：策略是标准化和集中管理的。 建立了集中式文档和控制机制。
实施安全性和合规性策略：策略的实施集中管理，并通过评审或票证流程实现一定程度的自动化。
监视威胁和违规行为，并实施纠正措施：在整个组织中系统地定义和应用监视过程，重点是确保维持关键治理和安全标准。 会定期审核所有平台活动。
管理和控制对平台资源的访问：访问控制是集中和自动化的，具有正式的基于角色的访问控制系统，用于定义与作业功能一致的角色和权限。
集成
组织通过将安全性和合规性完全集成到其工作流中来实现更成熟的治理模型。 自动化成为关键启用者，允许跨多个系统和团队一致地应用和更新策略。 重点从简单地保持合规性转向积极防止治理中的差距和重叠。 将部署高级工具和实时分析来监视活动，从而快速响应潜在威胁。 这种成熟度级别提供了一个可缩放的框架，可最大程度地减少漏洞，但也需要持续努力在整个组织中保持一致。
定义安全、合规性和修正策略和框架：根据反馈和运营需求定期审查和优化策略。
实施安全性和符合性策略：安全性和符合性策略系统地集成到可重用的模板和工作流（即代码），尤其是在初始设置阶段，以确保在所有项目（例如，正确的模板）之间实现一致的应用程序。 这些策略嵌入到 CI/CD 管道中，保证在整个开发和部署过程中一致的强制实施。 自动化策略检查进一步强化治理，在整个项目生命周期中维护合规性和安全标准（例如，保持正确的模板）。
监视威胁和违规行为并实施纠正措施：高级工具和分析用于实时监视平台活动，从而快速检测和响应威胁和违规行为。
管理和控制对平台资源的访问：策略使用自动访问评审强制实施最低特权。 全面的 IAM 系统与 HR 和企业工具集成，以自动将访问权限与组织更改保持一致。
预测性
在最高级别的成熟度上，组织采用主动治理方法，使用预测分析来预见和缓解风险，以防风险实际发生。 根据实时反馈和不断变化的运营需求不断优化治理策略，确保它们在动态环境中保持有效。 组织通过自适应上下文感知访问管理来平衡集中式控制，使团队能够在保持严格的安全标准的同时自主运行。 这种高级治理模型使组织能够领先于潜在威胁，并持续优化其安全态势，但需要一个高度敏捷且响应迅速的系统，能够根据组织的需求不断发展。
该平台为开发人员提供了自定义其环境和符合性设置的灵活性，使他们能够高效工作。 同时，提供预定义的符合性选项可确保满足组织标准。 灵活性和控制之间的这种平衡使开发人员能够根据特定的项目需求定制工作流，同时遵守必要的法规要求。
定义安全、合规性和修正策略和框架：策略会根据高级分析和预测反馈不断优化和优化。
实施安全性和合规策略：开展合规活动，以确保现有应用程序符合当前的最佳实践。
监视威胁和违规，并实施纠正措施：平台使用预测分析在潜在威胁具体化之前识别潜在威胁，使组织能够主动降低风险。
管理和控制对平台资源的访问：组织实现自适应上下文感知访问控制，根据用户行为、位置和访问时间等实时因素动态调整权限。