Documentare i criteri di governance del cloud

Questo articolo illustra come definire e documentare i criteri di governance del cloud. I criteri di governance del cloud specificano cosa deve o non deve accadere nel cloud. Il team di governance del cloud deve creare uno o più criteri di governance del cloud per ogni rischio identificato nella valutazione dei rischi. I criteri di governance del cloud definiscono le protezioni per interagire con e nel cloud.

Definire un approccio per documentare i criteri di governance del cloud

Stabilire un approccio per la creazione, la gestione e l'aggiornamento delle regole e delle linee guida che regolano l'uso dei servizi cloud. I criteri di governance del cloud non devono essere univoci per un carico di lavoro specifico. L'obiettivo è quello di produrre criteri di governance del cloud che non richiedono aggiornamenti frequenti e che considerino gli effetti dei criteri di governance cloud nell'ambiente cloud. Per definire un approccio alla documentazione dei criteri, seguire queste indicazioni:

• Definire il linguaggio di governance standard. Sviluppare una struttura e un formato standard per documentare i criteri di governance del cloud. I criteri devono essere un riferimento chiaro e autorevole per gli stakeholder.

• Riconoscere i diversi ambiti di governance. Definire e assegnare responsabilità di governance specifiche personalizzate ai ruoli univoci all'interno dell'organizzazione. Ad esempio, uno sviluppatore regola il codice dell'applicazione. Un team del carico di lavoro è responsabile di un singolo carico di lavoro e il team della piattaforma è responsabile della governance ereditata dai carichi di lavoro.

• Valutare gli effetti generali della governance del cloud. La governance del cloud crea attriti. Trovare un equilibrio tra attrito e libertà. Prendere in considerazione gli effetti della governance sull'architettura del carico di lavoro, sulle procedure di sviluppo software e su altre aree durante lo sviluppo di criteri di governance del cloud. Ad esempio, ciò che si consente o non consente determina l'architettura del carico di lavoro e influisce sulle procedure di sviluppo software.

Definire i criteri di governance del cloud

Creare criteri di governance del cloud che descrivono come usare e gestire il cloud per attenuare i rischi. Ridurre al minimo la necessità di aggiornamenti frequenti dei criteri. Per definire i criteri di governance del cloud, seguire queste raccomandazioni:

• Usare un ID criterio. Usare la categoria di criteri e un numero per identificare in modo univoco ogni criterio, ad esempio SC01 per i primi criteri di governance della sicurezza. Incrementare l'identificatore in sequenza man mano che si aggiungono nuovi rischi. Se si rimuovono i rischi, è possibile lasciare le lacune nella sequenza o usare il numero disponibile più basso.

• Includere l'istruzione dei criteri. Creare istruzioni di criteri specifiche che risolvano i rischi identificati. Usare un linguaggio definitivo, ad esempio must, non deve e non deve. Usare i controlli di imposizione dall'elenco di rischi come punto di partenza. Concentrarsi sui risultati anziché sui passaggi di configurazione. Denominare lo strumento necessario per l'imposizione in modo da sapere dove monitorare la conformità.

• Includere un ID rischio. Elencare il rischio nei criteri. Associare ogni criterio di governance del cloud a un rischio.

• Includere la categoria di criteri. Includere categorie di governance, ad esempio sicurezza, conformità o gestione dei costi, nella categorizzazione dei criteri. Le categorie consentono di ordinare, filtrare e trovare criteri di governance del cloud.

• Includere lo scopo del criterio. Specificare lo scopo di ogni criterio. Usare il rischio o il requisito di conformità alle normative che il criterio soddisfa come punto di partenza.

• Definire l'ambito dei criteri. Definire a cosa e a chi si applica questo criterio, ad esempio tutti i servizi cloud, le aree, gli ambienti e i carichi di lavoro. Specificare eventuali eccezioni per assicurarsi che non ci siano ambiguità. Usare il linguaggio standardizzato in modo che sia facile ordinare, filtrare e trovare criteri.

• Includere le strategie di correzione dei criteri. Definire la risposta desiderata a una violazione dei criteri di governance del cloud. Adattare le risposte alla gravità del rischio, ad esempio pianificare discussioni per violazioni non di produzione e interventi immediati di correzione per le violazioni di produzione.

Per altre informazioni, vedere i criteri di governance del cloud di esempio.

Distribuire i criteri di governance del cloud

Concedere l'accesso a tutti gli utenti che devono rispettare i criteri di governance del cloud. Cercare modi per semplificare il rispetto dei criteri di governance del cloud per gli utenti dell'organizzazione. Per distribuire i criteri di governance del cloud, seguire queste raccomandazioni:

• Usare un repository di criteri centralizzato. Usare un repository centralizzato e facilmente accessibile per tutta la documentazione sulla governance. Assicurarsi che tutti gli stakeholder, i team e i singoli utenti abbiano accesso alle versioni più recenti dei criteri e dei documenti correlati.

• Creare elenchi di controllo di conformità. Fornire una panoramica rapida e pratica dei criteri. Semplificare la conformità dei team senza dover passare alla documentazione completa. Per altre informazioni, vedere l'elenco di controllo di conformità di esempio.

Esaminare i criteri di governance del cloud

Valutare e aggiornare i criteri di governance del cloud per assicurarsi che rimangano pertinenti ed efficaci nella governance degli ambienti cloud. Le revisioni regolari consentono di garantire che i criteri di governance del cloud siano allineati ai requisiti normativi, alle nuove tecnologie e agli obiettivi aziendali in continua evoluzione. Quando si esaminano i criteri, considerare le raccomandazioni seguenti:

• Implementare meccanismi di feedback. Stabilire modi per ricevere feedback sull'efficacia dei criteri di governance del cloud. Raccogliere l'input degli utenti interessati dai criteri per garantire che possano comunque svolgere il proprio lavoro in modo efficiente. Aggiornare i criteri di governance per riflettere sfide e esigenze pratiche.

• Stabilire revisioni basate su eventi. Esaminare e aggiornare i criteri di governance del cloud in risposta a eventi, ad esempio criteri di governance non riusciti, cambiamento tecnologico o modifica della conformità alle normative.

• Pianificare revisioni regolari. Esaminare regolarmente i criteri di governance per assicurarsi che siano allineati alle esigenze organizzative in continua evoluzione, ai rischi e ai progressi del cloud. Ad esempio, includere revisioni della governance nelle normali riunioni di governance del cloud con gli stakeholder.

• Facilitare il controllo delle modifiche. Includere un processo per la revisione e gli aggiornamenti dei criteri. Assicurarsi che i criteri di governance del cloud rimangano allineati ai cambiamenti organizzativi, normativi e tecnologici. Chiarire come modificare, rimuovere o aggiungere criteri.

• Identificare le inefficienze. Esaminare i criteri di governance per trovare e correggere le inefficienze nell'architettura e nelle operazioni cloud. Ad esempio, invece di imporre che ogni carico di lavoro debba usare il proprio web application firewall, aggiornare i criteri per richiedere l'uso di un firewall centralizzato. Esaminare i criteri che richiedono uno sforzo duplicato e verificare se esiste un modo per centralizzare il lavoro.

Criteri di governance cloud di esempio

I criteri di governance cloud seguenti sono esempi di riferimento. Questi criteri sono basati sugli esempi nell'elenco di rischi di esempio.

Passaggio successivo