Share via

Kebijakan tata kelola cloud dokumen

  • Artikel

Artikel ini memperlihatkan kepada Anda cara menentukan dan mendokumen kebijakan tata kelola cloud. Kebijakan tata kelola cloud menentukan apa yang harus atau tidak boleh terjadi di cloud. Tim tata kelola cloud harus membuat satu atau beberapa kebijakan tata kelola cloud untuk setiap risiko yang diidentifikasi dalam penilaian risiko. Kebijakan tata kelola cloud menentukan pagar pembatas untuk berinteraksi dengan dan di cloud.

Diagram memperlihatkan proses untuk menyiapkan dan memelihara tata kelola cloud. Diagram menunjukkan lima langkah berurutan: membangun tim tata kelola cloud, mendokumen kebijakan tata kelola cloud, menerapkan kebijakan tata kelola cloud, dan memantau tata kelola cloud. Langkah pertama yang Anda lakukan sekali. Empat langkah terakhir yang Anda lakukan sekali untuk menyiapkan tata kelola cloud dan terus mempertahankan tata kelola cloud.

Menentukan pendekatan untuk mendokumen kebijakan tata kelola cloud

Buat pendekatan untuk membuat, memelihara, dan memperbarui aturan dan panduan yang mengatur penggunaan layanan cloud. Kebijakan tata kelola cloud tidak boleh unik untuk beban kerja tertentu. Tujuannya adalah untuk menghasilkan kebijakan tata kelola cloud yang tidak memerlukan pembaruan yang sering dan yang mempertimbangkan efek kebijakan tata kelola cloud di seluruh lingkungan cloud. Untuk menentukan pendekatan dokumentasi kebijakan, ikuti rekomendasi berikut:

  • Tentukan bahasa tata kelola standar. Kembangkan struktur dan format standar untuk mendokumenkan kebijakan tata kelola cloud. Kebijakan harus menjadi referensi yang jelas dan otoritatif bagi pemangku kepentingan.

  • Kenali berbagai cakupan tata kelola. Tentukan dan tetapkan tanggung jawab tata kelola tertentu yang disesuaikan dengan peran unik dalam organisasi Anda. Misalnya, pengembang mengatur kode aplikasi. Tim beban kerja bertanggung jawab atas satu beban kerja, dan tim platform bertanggung jawab atas tata kelola yang diwarisi beban kerja.

  • Mengevaluasi efek luas tata kelola cloud. Tata kelola cloud menciptakan gesekan. Temukan keseimbangan antara gesekan dan kebebasan. Pertimbangkan efek tata kelola pada arsitektur beban kerja, praktik pengembangan perangkat lunak, dan area lain saat Anda mengembangkan kebijakan tata kelola cloud. Misalnya, apa yang Anda izinkan atau larang menentukan arsitektur beban kerja dan memengaruhi praktik pengembangan perangkat lunak.

Menentukan kebijakan tata kelola cloud

Buat kebijakan tata kelola cloud yang menguraikan cara menggunakan dan mengelola cloud untuk mengurangi risiko. Minimalkan kebutuhan akan pembaruan kebijakan yang sering. Untuk menentukan kebijakan tata kelola cloud, ikuti rekomendasi berikut:

  • Gunakan ID kebijakan. Gunakan kategori kebijakan dan angka untuk mengidentifikasi setiap kebijakan secara unik, seperti SC01 untuk kebijakan tata kelola keamanan pertama. Tingkatkan pengidentifikasi secara berurutan saat Anda menambahkan risiko baru. Jika Anda menghapus risiko, Anda dapat meninggalkan celah dalam urutan atau menggunakan angka terendah yang tersedia.

  • Sertakan pernyataan kebijakan. Buat pernyataan kebijakan tertentu yang mengatasi risiko yang diidentifikasi. Gunakan bahasa definitif seperti harus, harus, tidak boleh, dan tidak boleh. Gunakan kontrol penegakan dari daftar risiko sebagai titik awal. Fokus pada hasil daripada langkah-langkah konfigurasi. Beri nama alat yang diperlukan untuk penegakan sehingga Anda tahu di mana harus memantau kepatuhan.

  • Sertakan ID risiko. Cantumkan risiko dalam kebijakan. Kaitkan setiap kebijakan tata kelola cloud dengan risiko.

  • Sertakan kategori kebijakan. Sertakan kategori tata kelola, seperti keamanan, kepatuhan, atau manajemen biaya, ke dalam kategorisasi kebijakan. Kategori membantu mengurutkan, memfilter, dan menemukan kebijakan tata kelola cloud.

  • Sertakan tujuan kebijakan. Menyatakan tujuan setiap kebijakan. Gunakan risiko atau persyaratan kepatuhan peraturan yang dipenuhi kebijakan sebagai titik awal.

  • Tentukan cakupan kebijakan. Tentukan apa dan siapa kebijakan ini berlaku, seperti semua layanan cloud, wilayah, lingkungan, dan beban kerja. Tentukan pengecualian apa pun untuk memastikan tidak ada ambiguitas. Gunakan bahasa standar sehingga mudah untuk mengurutkan, memfilter, dan menemukan kebijakan.

  • Sertakan strategi remediasi kebijakan. Tentukan respons yang diinginkan terhadap pelanggaran kebijakan tata kelola cloud. Menyesuaikan respons terhadap tingkat keparahan risiko, seperti menjadwalkan diskusi untuk pelanggaran nonproduksi dan upaya remediasi segera untuk pelanggaran produksi.

Untuk informasi selengkapnya, lihat contoh kebijakan tata kelola cloud.

Mendistribusikan kebijakan tata kelola cloud

Berikan akses ke semua orang yang perlu mematuhi kebijakan tata kelola cloud. Cari cara untuk mempermudah kepatuhan terhadap kebijakan tata kelola cloud bagi orang-orang di organisasi Anda. Untuk mendistribusikan kebijakan tata kelola cloud, ikuti rekomendasi berikut:

  • Gunakan repositori kebijakan terpusat. Gunakan repositori terpusat dan mudah diakses untuk semua dokumentasi tata kelola. Pastikan semua pemangku kepentingan, tim, dan individu memiliki akses ke versi terbaru kebijakan dan dokumen terkait.

  • Membuat daftar periksa kepatuhan. Berikan gambaran umum kebijakan yang cepat dan dapat ditindakkan. Jadikan lebih mudah bagi tim untuk mematuhi tanpa harus menavigasi melalui dokumentasi yang luas. Untuk informasi selengkapnya, lihat contoh daftar periksa kepatuhan.

Meninjau kebijakan tata kelola cloud

Menilai dan memperbarui kebijakan tata kelola cloud untuk memastikan kebijakan tersebut tetap relevan dan efektif dalam mengatur lingkungan cloud. Tinjauan rutin membantu memastikan bahwa kebijakan tata kelola cloud selaras dengan perubahan persyaratan peraturan, teknologi baru, dan tujuan bisnis yang berkembang. Saat Anda meninjau kebijakan, pertimbangkan rekomendasi berikut:

  • Menerapkan mekanisme umpan balik. Tetapkan cara untuk menerima umpan balik tentang efektivitas kebijakan tata kelola cloud. Kumpulkan masukan dari individu yang terpengaruh oleh kebijakan untuk memastikan mereka masih dapat melakukan pekerjaan mereka secara efisien. Perbarui kebijakan tata kelola untuk mencerminkan tantangan dan kebutuhan praktis.

  • Menetapkan tinjauan berbasis peristiwa. Tinjau dan perbarui kebijakan tata kelola cloud sebagai respons terhadap peristiwa, seperti kebijakan tata kelola yang gagal, perubahan teknologi, atau perubahan kepatuhan peraturan.

  • Jadwalkan ulasan reguler. Tinjau kebijakan tata kelola secara teratur untuk memastikan kebijakan tersebut selaras dengan kebutuhan organisasi, risiko, dan kemajuan cloud yang terus berkembang. Misalnya, sertakan tinjauan tata kelola dalam rapat tata kelola cloud reguler dengan pemangku kepentingan.

  • Memfasilitasi kontrol perubahan. Sertakan proses untuk peninjauan dan pembaruan kebijakan. Pastikan kebijakan tata kelola cloud tetap selaras dengan perubahan organisasi, peraturan, dan teknologi. Perjelas cara mengedit, menghapus, atau menambahkan kebijakan.

  • Identifikasi inefisiensi. Tinjau kebijakan tata kelola untuk menemukan dan memperbaiki inefisiensi dalam arsitektur dan operasi cloud. Misalnya, alih-alih mengamanatkan bahwa setiap beban kerja harus menggunakan firewall aplikasi webnya sendiri, perbarui kebijakan untuk mewajibkan penggunaan firewall terpusat. Tinjau kebijakan yang memerlukan upaya duplikat dan lihat apakah ada cara untuk memusatkan pekerjaan.

Contoh kebijakan tata kelola cloud

Kebijakan tata kelola cloud berikut adalah contoh untuk referensi. Kebijakan ini didasarkan pada contoh dalam contoh daftar risiko.

ID Azure Policy Kategori kebijakan ID Risiko Pernyataan kebijakan Tujuan Cakupan Remediasi Pemantauan
RC01 Kepatuhan peraturan R01 Microsoft Purview harus digunakan untuk memantau data sensitif. Kepatuhan peraturan Tim beban kerja, tim platform Tindakan langsung oleh tim yang terpengaruh, pelatihan kepatuhan Microsoft Purview
RC02 Kepatuhan peraturan R01 Laporan kepatuhan data sensitif harian harus dibuat dari Microsoft Purview. Kepatuhan peraturan Tim beban kerja, tim platform Resolusi dalam satu hari, audit konfirmasi Microsoft Purview
SC01 Keamanan R02 Autentikasi multifaktor (MFA) harus diaktifkan untuk semua pengguna. Mengurangi pelanggaran data dan akses yang tidak sah Pengguna Azure Mencabut akses pengguna Akses Bersyar id Microsoft Entra
SC02 Keamanan R02 Tinjauan akses harus dilakukan setiap bulan dalam Tata Kelola ID Microsoft Entra. Memastikan integritas data dan layanan Pengguna Azure Pencabutan akses segera untuk ketidakpatuhan Tata Kelola ID
SC03 Keamanan R03 Teams harus menggunakan organisasi GitHub yang ditentukan untuk hosting yang aman dari semua kode perangkat lunak dan infrastruktur. Memastikan manajemen repositori kode yang aman dan terpusat Tim pengembangan Transfer repositori yang tidak sah ke organisasi GitHub yang ditentukan dan potensi tindakan disipliner untuk ketidakpatuhan Log audit GitHub
SC04 Keamanan R03 Tim yang menggunakan pustaka dari sumber publik harus mengadopsi pola karantina. Pastikan pustaka aman dan sesuai sebelum integrasi ke dalam proses pengembangan Tim pengembangan Penghapusan pustaka yang tidak patuh dan tinjau praktik integrasi untuk proyek yang terpengaruh Audit manual (bulanan)
CM01 Cost management R04 Tim beban kerja harus menetapkan pemberitahuan anggaran di tingkat grup sumber daya. Mencegah pengeluaran berlebih Tim beban kerja, tim platform Tinjauan segera, penyesuaian untuk pemberitahuan Microsoft Cost Management
CM02 Cost management R04 Rekomendasi biaya Azure Advisor harus ditinjau. Mengoptimalkan penggunaan cloud Tim beban kerja, tim platform Audit pengoptimalan wajib setelah 60 hari Penasihat
OP01 Operasional R05 Beban kerja produksi harus memiliki arsitektur pasif aktif di seluruh wilayah. Memastikan kelangsungan layanan Tim beban kerja Evaluasi arsitektur, ulasan dua tahunan Audit manual (per rilis produksi)
OP02 Operasional R05 Semua beban kerja misi penting harus menerapkan arsitektur aktif-aktif lintas wilayah. Memastikan kelangsungan layanan Tim beban kerja misi penting Pembaruan dalam waktu 90 hari, ulasan kemajuan Audit manual (per rilis produksi)
DG01 Data R06 Enkripsi saat transit dan tidak aktif harus diterapkan ke semua data sensitif. Melindungi data sensitif Tim beban kerja Penerapan enkripsi segera dan pelatihan keamanan Kebijakan Azure
DG02 Data R06 Kebijakan siklus hidup data harus diaktifkan di Microsoft Purview untuk semua data sensitif. Mengelola siklus hidup data Tim beban kerja Implementasi dalam waktu 60 hari, audit triwulanan Microsoft Purview
RM01 Manajemen sumber daya R07 Bicep harus digunakan untuk menyebarkan sumber daya. Menstandarkan provisi sumber daya Tim beban kerja, tim platform Rencana transisi Bicep langsung Alur integrasi berkelanjutan dan pengiriman berkelanjutan (CI/CD)
RM02 Manajemen sumber daya R07 Tag harus diberlakukan pada semua sumber daya cloud menggunakan Azure Policy. Memfasilitasi pelacakan sumber daya Semua sumber daya cloud Pemberian tag yang benar dalam waktu 30 hari Kebijakan Azure
AI01 AI R08 Konfigurasi pemfilteran konten AI harus diatur ke sedang atau lebih tinggi. Mengurangi output berbahaya AI Tim beban kerja Langkah-langkah korektif segera Azure OpenAI Service
AI02 AI R08 Sistem AI yang menghadap pelanggan harus digabungkan secara merah setiap bulan. Mengidentifikasi bias AI Tim model AI Tinjauan segera, tindakan korektif untuk kesalahan Audit manual (bulanan)

Langkah selanjutnya

Menerapkan kebijakan tata kelola cloud