您的公司已經(jīng)決定采用云——或者它可能是最早決定依賴虛擬化環(huán)境的公司之一。無論哪種情況，都必須管理云安全。你是怎么做到的?

在查看供應(yīng)商營(yíng)銷材料以尋找完美的技術(shù)解決方案之前，讓我們先退一步，從治理的角度來考慮它。在您這樣的企業(yè)中，有許多業(yè)務(wù)功能和部門具有不同程度的自治權(quán)。

您是信任他們管理特定于業(yè)務(wù)流程的風(fēng)險(xiǎn)，還是選擇通過集中設(shè)置安全控制目標(biāo)和標(biāo)準(zhǔn)來減輕他們的這種負(fù)擔(dān)?或者介于兩者之間?

中心模型

集中管理安全性允許您統(tǒng)一地規(guī)劃您的安全策略，并跨所有部門指導(dǎo)策略。當(dāng)目標(biāo)是實(shí)現(xiàn)跨業(yè)務(wù)功能的一致性時(shí)，這尤其有用。當(dāng)您的客戶、產(chǎn)品或服務(wù)在整個(gè)公司中是相似的時(shí)，它會(huì)有所幫助，但即使不是這樣，集中化的治理和明確的問責(zé)制也可能通過簡(jiǎn)化流程和節(jié)約成本地使用人員和技術(shù)(如果組織在一個(gè)中央池中)來減少工作的重復(fù)。

如果其中一個(gè)部門在財(cái)務(wù)上陷入困境或利潤(rùn)較低，集中的方法可以確保總體風(fēng)險(xiǎn)仍然得到適當(dāng)?shù)墓芾恚⑶也粫?huì)忽視安全性。在考慮可能影響整個(gè)公司的安全事件(例如錯(cuò)誤配置的訪問權(quán)限)時(shí)，這一點(diǎn)尤其重要。

一般來說，對(duì)事件的反應(yīng)不僅可以從報(bào)告的角度加以簡(jiǎn)化，而且可以通過確保適當(dāng)?shù)某绦虻玫竭m當(dāng)?shù)谋O(jiān)督加以簡(jiǎn)化。

當(dāng)然，也有一些缺點(diǎn)。在制定統(tǒng)一策略的過程中，您可能會(huì)遇到這樣的情況:它失去了吸引力，現(xiàn)在被認(rèn)為過于高級(jí)，與實(shí)際的業(yè)務(wù)單元需求脫節(jié)。因此，來自業(yè)務(wù)涉眾的購(gòu)買可能很難實(shí)現(xiàn)。

讓我們探索另一種選擇——分散模型。

分散模型

當(dāng)您的公司部門擁有不同的客戶、不同的需求和業(yè)務(wù)模型時(shí)，這種方法是最佳的應(yīng)用。這種情況自然需要更細(xì)粒度的安全需求，最好設(shè)置在業(yè)務(wù)單元級(jí)別。

在這個(gè)場(chǎng)景中，每個(gè)部門都被授權(quán)開發(fā)自己的一組策略和控制。這些策略應(yīng)該與與該團(tuán)隊(duì)相關(guān)的特定業(yè)務(wù)需求保持一致。這允許地方調(diào)整和提高自治水平。例如，石油公司的上下游業(yè)務(wù)由于涉及的活動(dòng)的性質(zhì)而有很大不同的需求。從地下開采和開采原材料與經(jīng)營(yíng)加油站不同，加油站更像是零售企業(yè)，而不是由工業(yè)控制系統(tǒng)主導(dǎo)的企業(yè)。

另一個(gè)例子可能是通過一系列兼并和收購(gòu)而成長(zhǎng)起來的公司，在這些兼并和收購(gòu)中，被收購(gòu)的公司保留了一定程度的個(gè)性，并在母公司的保護(hù)傘下作為企業(yè)經(jīng)營(yíng)。有了這種程度的分散化，資源分配就不再是集中管理的，再加上購(gòu)買的增加，就可以對(duì)安全方案有更大的所有權(quán)。

這種模式自然有局限性。在確定集中方法的好處時(shí)，重點(diǎn)強(qiáng)調(diào)了這些好處:潛在的重復(fù)工作、不一致的策略框架、在響應(yīng)企業(yè)范圍的事件時(shí)遇到的挑戰(zhàn)，等等。但是，有沒有一種方法可以將兩個(gè)世界的優(yōu)點(diǎn)結(jié)合起來呢?讓我們來看看混合模型是什么樣子的。

混合云模型

可以通過建立一個(gè)治理主體來實(shí)現(xiàn)中間地帶，該治理主體為公司整體設(shè)置目標(biāo)和目標(biāo)，并允許部門選擇實(shí)現(xiàn)這些目標(biāo)的方法。這種集中定義的安全結(jié)果有哪些例子?遵守相關(guān)法律法規(guī)是顯而易見的，但這一點(diǎn)更為微妙。

這里的目的是確保安全性支持業(yè)務(wù)目標(biāo)和策略。混合模型中的每個(gè)部門依次決定它們的安全工作如何有助于總體風(fēng)險(xiǎn)的降低和更好的安全狀態(tài)。

這意味著設(shè)置安全控制的基線，將其傳達(dá)給所有業(yè)務(wù)單元，然后逐步展開培訓(xùn)，更新策略，并設(shè)置風(fēng)險(xiǎn)、保證和審計(jì)流程以匹配。然而，在制定這一基線時(shí)，應(yīng)考慮各部門的投入，因?yàn)榇_保采用這一基線是必不可少的。

當(dāng)一個(gè)全面的控制框架被開發(fā)時(shí)，部門被要求提出一組特定的控制來滿足他們的業(yè)務(wù)需求，并考慮到獨(dú)特的業(yè)務(wù)單元特征。接下來應(yīng)該進(jìn)行差距評(píng)估，理解與基線框架的潛在不一致。

在云的上下文中，分散和混合模型可能允許不同的業(yè)務(wù)單元根據(jù)個(gè)人需求和成本效益分析選擇不同的云提供商。他們可以更進(jìn)一步，關(guān)注不同的解決方案類型，比如SaaS而不是IaaS。

如上所述，業(yè)務(wù)單元可以自由決定安全控制的實(shí)現(xiàn)方法，前提是它們與總體策略保持一致。然而，法規(guī)遵循監(jiān)視職責(zé)最好是共享的。業(yè)務(wù)單元可以管理實(shí)現(xiàn)的控件，但是應(yīng)該與報(bào)告的中心功能相連接，以便就一致的度量達(dá)成一致，并消除潛在的偏差。這種方法類似于許多組織中用于有效管理風(fēng)險(xiǎn)的三條防線。該模型表明，部門本身首先擁有和管理風(fēng)險(xiǎn)，安全、審計(jì)和保證功能分別構(gòu)成第二道防線和第三道防線。

下一步會(huì)怎么樣

我們已經(jīng)研究了三種不同的治理模型，并討論了它們與云相關(guān)的優(yōu)缺點(diǎn)。根據(jù)組織的不同，選擇可能相當(dāng)明顯。它可能會(huì)自然而然地從公司運(yùn)營(yíng)的方式中產(chǎn)生。您所需要做的就是適應(yīng)組織文化，并相應(yīng)地采用云治理方法。

然而，這篇博客文章的目的是鼓勵(lì)您在業(yè)務(wù)上下文中考慮安全性。不要僅僅根據(jù)聽起來不錯(cuò)或您過去所做的事情來選擇治理模型。相反，你應(yīng)該分析公司，與人交談，看看什么是有效的，并準(zhǔn)備好調(diào)整行動(dòng)的方向。

如果選擇的治理結(jié)構(gòu)是錯(cuò)誤的，或者更糟的是沒有定義，這可能會(huì)扼殺而不是啟用業(yè)務(wù)。相信我，這是你最不想做的事。

準(zhǔn)備好傾聽:選擇上述模式之一的決定不一定是最終決定。它可以作為持續(xù)改進(jìn)和反饋周期的一部分進(jìn)行調(diào)整。然而，它始終必須與業(yè)務(wù)需求保持一致。

注：作者Leron Zinatullin   編譯：牧荑