Документирование политик управления облаком

Используя аналитические сведения из оценки рисков, команда теперь формулирует политики для обработки этих рисков. Для каждого значительного риска или группы рисков следует иметь одну или несколько соответствующих политик управления. При документировании политик облачного управления рассмотрите следующие рекомендации.

1. Установка стандартного формата политики и языка

Создайте согласованный шаблон или формат для всех политик. Каждый документ политики (или раздел) должен содержать ключевые элементы, такие как идентификатор, заявление, область. Используйте четкий, неоднозначный язык. Правила должны служить авторитетными ориентирами, поэтому они должны быть легко понятными для заинтересованных сторон, исключая возможность неправильного толкования. Например, примите решение о стандартизированной формулировке, такой как "должны" или "не должны" для требований, и избегайте расплывчатых терминов. Стандартизованный формат, например политика с идентификатором, категорией, назначением, упрощает навигацию и обслуживание политик.

2. Определение политик управления облаком

Создайте политики управления облаком, которые описывают использование облака и управление им для устранения рисков. Свести к минимуму потребность в частых обновлениях политики. Чтобы определить политики управления облаком, выполните следующие рекомендации.

1. Используйте идентификатор политики. Используйте категорию политики и число для уникальной идентификации каждой политики, например SC01 для первой политики управления безопасностью. Последовательно увеличивайте идентификатор при добавлении новых рисков. При удалении рисков можно оставить пробелы в последовательности или использовать наименьшее доступное число.

2. Включите заявление о политике. Создание конкретных инструкций политики, которые устраняют выявленные риски. Используйте определённые выражения, такие как должен, следует, не должен и не следует. Используйте меры принудительного выполнения из списка рисков в качестве начальной точки. Сосредоточьтесь на результатах, а не на шагах конфигурации. Назовите инструмент, необходимый для обеспечения принудительных мер, чтобы знать, где отслеживать соблюдение требований.

3. Включите идентификатор риска. Перечислите риски в политике компании. Свяжите каждую политику управления облаком с риском.

4. Включите категорию политики. Включите категории управления, такие как безопасность, соответствие или управление затратами, в категорию политик. Категории помогают с сортировкой, фильтрацией и поиском политик управления облаком.

5. Включите назначение политики. Укаите назначение каждой политики. Используйте риск или требование соответствия нормативным требованиям, удовлетворяемые политикой, в качестве отправной точки.

6. Определите область политики. Определите, к кому применяется эта политика, например ко всем облачным службам, регионам, средам и рабочим нагрузкам. Укажите все исключения, чтобы убедиться, что неоднозначность отсутствует. Используйте стандартизованный язык, чтобы легко сортировать, фильтровать и находить политики.

7. Включите стратегии исправления политики. Определите требуемый ответ на нарушение политики управления облаком. Адаптировать ответы на серьезность риска, такие как планирование обсуждений по нарушениям непроизводства и немедленные усилия по устранению нарушений производства.

Дополнительные сведения см. в примере политик управления облаком.

3. Распространение политик управления облаком

Предоставьте доступ всем, кто должен соответствовать политикам управления облаком. Ищите способы упрощения соблюдения политик управления облаком для пользователей в организации. Чтобы распространить политики управления облаком, следуйте приведенным ниже рекомендациям.

1. Используйте централизованный репозиторий политик. Используйте централизованный, легкодоступный репозиторий для всех документации по управлению. Убедитесь, что у всех заинтересованных лиц, команд и отдельных лиц есть доступ к последним версиям политик и связанных документов.

2. Создание контрольных списков соответствия требованиям. Предоставьте краткий и практический обзор политик. Упростите соблюдение требований для команд, исключив необходимость изучать обширную документацию. Дополнительные сведения см. в примере контрольного списка соответствия.

4. Проверка политик управления облаком

Оцените и обновите политики управления облаком, чтобы они оставались актуальными и эффективными в управлении облачными средами. Регулярные проверки помогают обеспечить соответствие политик управления облаком изменяющимся нормативным требованиям, новым технологиям и изменяющимся бизнес-целям. При проверке политик рассмотрите следующие рекомендации:

1. Реализуйте механизмы обратной связи. Создание способов получения отзывов об эффективности политик управления облаком. Соберите входные данные от лиц, затронутых политикой, чтобы убедиться, что они по-прежнему могут эффективно выполнять свою работу. Обновите политики управления, чтобы отразить практические проблемы и потребности.

2. Организация обзоров на основе событий. Просмотрите и обновите политики управления облаком в ответ на события, такие как сбой политики управления, изменение технологии или изменение требований нормативного соответствия.

3. Планирование регулярных проверок. Регулярно просматривайте политики управления, чтобы обеспечить соответствие изменяющимся потребностям организации, рискам и улучшению облака. Например, включите проверки системы управления в регулярных собраниях по управлению облаком с заинтересованными лицами.

4. Упрощение управления изменениями. Включите процесс проверки и обновления политики. Убедитесь, что политики управления облаком соответствуют организационным, нормативным и технологическим изменениям. Узнайте, как редактировать, удалять или добавлять политики.

5. Определите неэффективность. Просмотрите политики управления, чтобы найти и исправить неэффективность в облачной архитектуре и операциях. Например, вместо того, чтобы указать, что каждая рабочая нагрузка должна использовать собственный брандмауэр веб-приложения, обновите политику, чтобы требовать использования централизованного брандмауэра. Просмотрите политики, требующие повторяющихся усилий, и проверьте, существует ли способ централизации работы.

Примеры политик управления облаком

Ниже приведены примеры политик управления облаком. Эти политики основаны на примерах в примере списка рисков.

Следующий шаг