Documenter les stratégies de gouvernance cloud

Cet article explique comment définir et documenter des stratégies de gouvernance cloud. Les stratégies de gouvernance cloud spécifient ce qui doit ou ne doit pas se produire dans le cloud. Votre équipe de gouvernance cloud doit créer une ou plusieurs stratégies de gouvernance cloud pour chaque risque identifié dans l’évaluation des risques. Les stratégies de gouvernance cloud définissent les garde-fous pour interagir avec et dans le cloud.

Définir une approche pour documenter les stratégies de gouvernance cloud

Établissez une approche pour la création, la maintenance et la mise à jour des règles et des recommandations qui régissent l’utilisation des services cloud. Les stratégies de gouvernance cloud ne doivent pas être propres à une charge de travail spécifique. L’objectif est de produire des stratégies de gouvernance cloud qui ne nécessitent pas de mises à jour fréquentes et qui prennent en compte les effets de ces stratégies dans l’ensemble de l’environnement cloud. Pour définir une approche de documentation de stratégie, suivez ces recommandations :

• Définir le langage de gouvernance standard. Développez une structure et un format standard pour documenter les stratégies de gouvernance cloud. Les stratégies doivent être une référence claire et faisant autorité pour les parties prenantes.

• Reconnaître les différentes étendues de gouvernance. Définissez et attribuez des responsabilités de gouvernance spécifiques adaptées aux rôles uniques au sein de votre organisation. Par exemple, un développeur régit le code d’application. Une équipe de charge de travail est responsable d’une charge de travail unique, et l’équipe de plateforme est chargée de la gouvernance que les charges de travail héritent.

• Évaluer les effets généraux de la gouvernance cloud. La gouvernance cloud crée des frictions. Trouvez un équilibre entre friction et liberté. Tenez compte des effets de la gouvernance sur l’architecture des charges de travail, les pratiques de développement de logiciels et d’autres domaines à mesure que vous développez des stratégies de gouvernance cloud. Par exemple, ce que vous autorisez ou interdisez détermine l’architecture de la charge de travail et affecte les pratiques de développement de logiciels.

Définir des stratégies de gouvernance cloud

Créez des stratégies de gouvernance cloud qui décrivent la façon d’utiliser et de gérer le cloud pour atténuer les risques. Réduisez le besoin de mises à jour fréquentes de stratégie. Pour définir des stratégies de gouvernance cloud, suivez ces recommandations :

• Utiliser un ID de stratégie. Utilisez la catégorie de stratégie et un nombre pour identifier de manière unique chaque stratégie, telle que SC01 pour la première stratégie de gouvernance de la sécurité. Incrémentez l’identifiant séquentiellement au fur et à mesure que vous ajoutez de nouveaux risques. Si vous supprimez des risques, vous pouvez laisser des lacunes dans la séquence ou utiliser le numéro disponible le plus bas.

• Inclure la déclaration de stratégie. Créez des déclarations de stratégie spécifiques qui traitent des risques identifiés. Utilisez un langage définitif tel que doit, devrait, ne doit pas, et ne devrait pas. Utilisez les contrôles d’application provenant de la liste des risques comme point de départ. Concentrez-vous sur les résultats plutôt que sur les étapes de configuration. Nommez l’outil requis pour l’application afin de savoir où surveiller la conformité.

• Inclure un ID de risque. Répertoriez le risque dans la stratégie. Associez chaque stratégie de gouvernance cloud à un risque.

• Inclure la catégorie de stratégie. Incluez des catégories de gouvernance, telles que la sécurité, la conformité ou la gestion des coûts, dans la catégorisation de la stratégie. Les catégories aident à trier, filtrer et rechercher des stratégies de gouvernance cloud.

• Inclure l’objectif de la stratégie. Indiquez l’objectif de chaque stratégie. Utilisez le risque ou l’exigence de conformité réglementaire que la stratégie satisfait comme point de départ.

• Définir l’étendue de la stratégie. Définissez ce à quoi et à qui cette stratégie s’applique, par exemple à tous les services cloud, régions, environnements et charges de travail. Spécifiez les exceptions pour vous assurer qu’il n’y a aucune ambiguïté. Utilisez un langage standardisé afin qu’il soit aisé de trier, de filtrer et de rechercher des stratégies.

• Inclure les stratégies de correction de stratégie. Définissez la réponse souhaitée à une violation d’une stratégie de gouvernance cloud. Adaptez les réponses à la gravité du risque, telles que la planification des discussions pour les violations de non-production et les efforts de correction immédiats pour les violations de production.

Pour plus d’informations, consultez les exemples de stratégies de gouvernance cloud.

Distribuer des stratégies de gouvernance cloud

Octroyez l’accès à toutes les personnes qui doivent adhérer aux stratégies de gouvernance cloud. Cherchez des moyens de faciliter l’adhésion aux stratégies de gouvernance cloud pour les personnes de votre organisation. Pour distribuer des stratégies de gouvernance cloud, suivez ces recommandations :

• Utiliser un référentiel de stratégie centralisé. Utilisez un référentiel centralisé et facilement accessible pour toutes les documentations de gouvernance. Assurez-vous que toutes les parties prenantes, équipes et personnes ont accès aux dernières versions des stratégies et documents associés.

• Créer des listes de contrôle de conformité. Fournissez une vue d’ensemble rapide et exploitable des stratégies. Facilitez la conformité des équipes sans avoir à parcourir une documentation complète. Pour plus d’informations, consultez l’exemple de liste de contrôle de conformité.

Passer en revue des stratégies de gouvernance cloud

Évaluez et mettez à jour les stratégies de gouvernance cloud afin de vérifier qu’elles restent pertinentes et efficaces pour la gouvernance des environnements cloud. Les révisions régulières permettent de s’assurer que les stratégies de gouvernance cloud s’alignent sur la modification des exigences réglementaires, les nouvelles technologies et l’évolution des objectifs stratégiques. Lorsque vous passez en revue les stratégies, tenez compte des recommandations suivantes :

• Implémenter des mécanismes de retour d’expérience. Établissez des moyens de recevoir des retours d’expérience sur l’efficacité des stratégies de gouvernance cloud. Recueillez les avis des personnes concernées par les stratégies pour garantir qu’elles puissent continuer à faire leur travail de manière efficace. Mettez à jour les stratégies de gouvernance pour refléter les défis et les besoins pratiques.

• Mettre en place des révisions basées sur des événements. Passez en revue et mettez à jour les stratégies de gouvernance cloud en réponse à des événements, tels qu’une stratégie de gouvernance défaillante, un changement technologique ou un changement de conformité réglementaire.

• Planifier des révisions régulières. Passez régulièrement en revue les stratégies de gouvernance pour s’assurer qu’elles s’alignent sur les besoins, les risques et les avancées en matière de cloud en constante évolution. Par exemple, incluez des révisions de gouvernance dans les réunions de gouvernance cloud régulières avec les parties prenantes.

• Faciliter le contrôle des modifications. Incluez un processus pour l’examen et les mises à jour de stratégie. Assurez-vous que les stratégies de gouvernance cloud restent alignées sur les changements organisationnels, réglementaires et technologiques. Indiquez clairement comment modifier, supprimer ou ajouter des stratégies.

• Identifier les inefficacités. Passez en revue les stratégies de gouvernance pour rechercher et corriger les inefficacités dans l’architecture et les opérations cloud. Par exemple, au lieu de demander à chaque charge de travail d’utiliser son propre pare-feu d’applications Web, mettez à jour la stratégie pour exiger l’utilisation d’un pare-feu centralisé. Passez en revue les stratégies qui nécessitent un effort en double et vérifiez s’il existe un moyen de centraliser le travail.

Exemples de stratégies de gouvernance cloud

Les stratégies de gouvernance cloud suivantes sont des exemples de référence. Ces stratégies sont basées sur les exemples issus de la liste d’exemples de risques.

ID de stratégie	Catégorie Policy	ID de risque	Instruction de la stratégie	Objectif	Étendue	Correction	Surveillance
RC01	Conformité réglementaire	R01	Microsoft Purview doit être utilisé pour surveiller les données sensibles.	Conformité réglementaire	Équipes de charge de travail, équipe de plateforme	Action immédiate de l’équipe concernée, formation sur la conformité	Microsoft Purview
RC02	Conformité réglementaire	R01	Les rapports de conformité des données sensibles quotidiens doivent être générés à partir de Microsoft Purview.	Conformité réglementaire	Équipes de charge de travail, équipe de plateforme	Résolution dans un délai d’un jour, audit de confirmation	Microsoft Purview
SC01	Sécurité	R02	L’authentification multifacteur (MFA) doit être activée pour tous les utilisateurs.	Atténuer les violations de données et l’accès non autorisé	Utilisateurs Azure	Révoquer l’accès d’un utilisateur	Accès conditionnel Microsoft Entra ID
SC02	Sécurité	R02	Les révisions d’accès doivent être effectuées tous les mois dans Gouvernance des ID Microsoft Entra.	Garantir l’intégrité des données et des services	Utilisateurs Azure	Révocation d’accès immédiat pour la non-conformité	Gouvernance informatique
SC03	Sécurité	R03	Teams doit utiliser l’organisation GitHub spécifiée pour sécuriser l’hébergement de tous les logiciels et du code d’infrastructure.	Garantir la gestion sécurisée et centralisée des référentiels de code	Équipes chargées du développement	Transfert de dépôts non autorisés vers l’organisation GitHub spécifiée et les actions disciplinaires potentielles pour la non-conformité	Journal d’audit GitHub
SC04	Sécurité	R03	Les équipes qui utilisent des bibliothèques provenant de sources publiques doivent adopter le modèle de quarantaine.	Vérifier que les bibliothèques sont sécurisées et conformes avant l’intégration au processus de développement	Équipes chargées du développement	Suppression de bibliothèques non conformes et examen des pratiques d’intégration pour les projets affectés	Audit manuel (mensuel)
CM01	Gestion des coûts	R04	Les équipes de charge de travail doivent définir des alertes de budgets au niveau du groupe de ressources.	Empêcher les dépassements de dépenses	Équipes de charge de travail, équipe de plateforme	Révisions immédiates, ajustements pour les alertes	Microsoft Cost Management
CM02	Gestion des coûts	R04	Les recommandations en matière de coûts d’Azure Advisor doivent être examinées.	Optimiser l’utilisation du cloud	Équipes de charge de travail, équipe de plateforme	Audits d’optimisation obligatoires après 60 jours	Advisor
OP01	Opérations	R05	Les charges de travail de production doivent avoir une architecture active–passive dans l’ensemble des régions.	Garantir la continuité du service	Équipes de charge de travail	Évaluations d’architecture, révisions bisannuelles	Audit manuel (par version de production)
OP02	Opérations	R05	Toutes les charges de travail stratégique doivent implémenter une architecture active-active interrégion.	Garantir la continuité du service	Équipes de charge de travail stratégique	Mises à jour dans les 90 jours, révisions de progression	Audit manuel (par version de production)
DG01	Données	R06	Le chiffrement en transit et au repos doit être appliqué à toutes les données sensibles.	Protection des données sensibles	Équipes de charge de travail	Application immédiate du chiffrement et formation sur la sécurité	Azure Policy
DG02	Données	R06	Les stratégies de cycle de vie des données doivent être activées dans Microsoft Purview pour toutes les données sensibles.	Gérer le cycle de vie des données	Équipes de charge de travail	Implémentation dans les 60 jours, audits trimestriels	Microsoft Purview
RM01	Gestion des ressources	R07	Bicep doit être utilisé pour déployer des ressources.	Normaliser l’approvisionnement des ressources	Équipes de charge de travail, équipe de plateforme	Plan de transition Bicep immédiat	Pipeline d’intégration continue et livraison continue (CI/CD)
RM02	Gestion des ressources	R07	Les balises doivent être appliquées à toutes les ressources cloud à l’aide d’Azure Policy.	Faciliter le suivi des ressources	Toutes les ressources cloud	Correction de la catégorisation dans les 30 jours	Azure Policy
AI01	Intelligence artificielle	R08	La configuration du filtrage de contenu IA doit être définie sur « moyen » ou un niveau supérieur.	Atténuer les productions nuisibles de l’IA	Équipes de charge de travail	Mesures correctives immédiates	Azure OpenAI Service
AI02	Intelligence artificielle	R08	Les systèmes IA côté client doivent être mis en équipe tous les mois.	Identifier les biais d’IA	Équipes de modèles IA	Révision immédiate, actions correctives pour les échecs	Audit manuel (mensuel)

Étape suivante

Appliquer des stratégies de gouvernance cloud