Разработка процессов, обеспечивающих соблюдение политикEstablish policy adherence processes

После установления положений облачной политики и разработки руководства по проектированию необходимо создать стратегию, обеспечивающую соответствие облачного развертывания требованиям политики.After establishing your cloud policy statements and drafting a design guide, you'll need to create a strategy for ensuring your cloud deployment stays in compliance with your policy requirements. Эта стратегия должна охватывать процессы текущей проверки и коммуникации группы управления облаком, а также установить критерии, когда нарушения политики требуют действий, и определить требования для автоматизированных систем мониторинга и обеспечения соответствия требованиям, которые будут обнаруживать нарушения и активировать действия по исправлению.This strategy will need to encompass your cloud governance team's ongoing review and communication processes, establish criteria for when policy violations require action, and defining the requirements for automated monitoring and compliance systems that will detect violations and trigger remediation actions.

Примеры соответствия политик в плане управления облаком см. в разделах корпоративные политики руководств руководства по управлению .See the corporate policy sections of the actionable governance guides for examples of how policy adherence process fit into a cloud governance plan.

Назначение приоритета процессам соблюдения политикиPrioritize policy adherence processes

Какой объем инвестиций в разработку процессов требуется для поддержки целей политики?How much investment in developing processes is required to support your policy goals? В зависимости от размера и зрелости облачного развертывания усилия, необходимые для создания процессов, обеспечивающих соответствие, и затраты, связанные с этим усилием, могут значительно варьироваться.Depending on the size and maturity of your cloud deployment, the effort required to establish processes that support compliance, and the costs associated with this effort, can vary widely.

Для небольших развертываний, состоящих из ресурсов для разработки и тестирования, требования политики могут быть простыми и для устранения будет достаточно несколько выделенных ресурсов.For small deployments consisting of development and test resources, policy requirements may be simple and require few dedicated resources to address. С другой стороны, для зрелого критически важного облачного развертывания с высокоприоритетными требованиями к безопасности и производительности может потребоваться команда сотрудников, значительные внутренние процессы и настраиваемые средства мониторинга для поддержки целей политики.On the other hand, a mature mission-critical cloud deployment with high-priority security and performance needs may require a team of staff, extensive internal processes, and custom monitoring tooling to support your policy goals.

В качестве первого шага в определении стратегии соблюдения политики оцените, как процессы, обсуждаемые ниже, могут удовлетворить требования политики.As a first step in defining your policy adherence strategy, evaluate how the processes discussed below can support your policy requirements. Определите, сколько усилий стоит инвестировать в эти процессы, а затем используйте эти сведения, чтобы составить реалистичный бюджет и планы по персоналу для удовлетворения этих потребностей.Determine how much effort is worth investing in these processes, and then use this information to establish realistic budget and staffing plans to meet these needs.

Установка процессов группы управления облакомEstablish cloud governance team processes

Перед определением триггеров для исправления соответствия политике необходимо установить общие процессы, которые будет использовать ваша команда, а также предоставить доступ к информации и передать ее ИТ-специалистам и группе управления Cloud.Before defining triggers for policy compliance remediation, you need establish the overall processes that your team will use and how information will be shared and escalated between IT staff and the cloud governance team.

Назначение членов команды для управления облакомAssign cloud governance team members

Ваша группа по управлению облаком предоставит текущие рекомендации по соответствию политике и обработке связанных с политиками проблем, возникающих при развертывании и эксплуатации облачных ресурсов.Your cloud governance team will provide ongoing guidance on policy compliance and handle policy-related issues that emerge when deploying and operating your cloud assets. При создании этой команды вы можете пригласить сотрудников, которые имеют опыт в областях, охваченных определенными операторами политики и определенными рисками.When building this team, invite staff members that have expertise in areas covered by your defined policy statements and identified risks.

Для начальных развертываний тестов это может быть ограничено многими системными администраторами, ответственными за создание основ управления.For initial test deployments, this can be limited to a few system administrators responsible for establishing the basics of governance. По мере развития процессов управления рекомендуется регулярно просматривать членство в группе руководств по облаку, чтобы убедиться в том, что вы можете правильно решать новые потенциальные риски и требования к политике.As your governance processes mature, review the cloud guidance team's membership regularly to ensure that you can properly address new potential risks and policy requirements. Выявление участников ИТ-отдела и сотрудников Организации с соответствующими возможностями или интересами в конкретных областях управления и включение их в группы на постоянной или временной основе по мере необходимости.Identify members of your IT and business staff with relevant experience or interest in specific areas of governance and include them in your teams on a permanent or temporary basis as needed.

Проверки и итерация политикиReviews and policy iteration

По мере развертывания дополнительных ресурсов и рабочих нагрузок группа управления облаком должна обеспечить соответствие новых рабочих нагрузок или активов требованиям политики.As additional resources and workloads are deployed, the cloud governance team will need to ensure that new workloads or assets comply with policy requirements. Оцените новые требования от групп разработки рабочей нагрузки, чтобы обеспечить соответствие запланированных развертываний руководствам по проектированию, и обновите политики для поддержки этих требований при необходимости.Evaluate new requirements from workload development teams to ensure their planned deployments will align with your design guides, and update your policies to support these requirements when appropriate.

Запланируйте оценку новых потенциальных рисков, а также обновите инструкции политик и руководства по проектированию по мере необходимости.Plan to evaluate new potential risks and update policy statements and design guides as needed. Поработайте с ИТ-специалистами и группами рабочей нагрузки, чтобы оценивать новые функции и службы Azure на постоянной основе.Work with IT staff and workload teams to evaluate new Azure features and services on an ongoing basis. Также запланируйте регулярную проверку, чтобы убедиться в том, что политика актуальна и соответствует требованиям.Also schedule regular review cycles each of the five governance disciplines to ensure policy is current and in compliance.

ОбразованиеEducation

Соответствие политике требует от ИТ-специалистов и разработчиков понимания требований политики, которые влияют на области их ответственности.Policy compliance requires IT staff and developers to understand the policy requirements that affect their areas of responsibility. Запланируйте выделять ресурсы для составления документации по решениях и требованиях и обучайте все соответствующие команды с помощью руководств по разработке, которые поддерживают требования политики.Plan to devote resources to document decisions and requirements, and educate all relevant teams on the design guides that support your policy requirements.

По мере изменения политики регулярно обновляйте документацию и учебные материалы, а также следите за тем, чтобы усилия по обучению соответствовали обновленным требованиям и рекомендациям для соответствующих ИТ-специалистов.As policy changes, regularly update documentation and training materials, and ensure education efforts communicate updated requirements and guidance to relevant IT staff.

На различных стадиях вашего облака вы, возможно, сможете обратиться к партнерам и профессиональным обучающим программам, чтобы улучшить образование группы, как технически, так и процедурными.At various stages of your cloud journey, you may find it best to consult with partners and professional training programs to enhance the education of your team, both technically, and procedurally. Кроме того, многие считают, что формальные сертификаты являются ценным дополнением к портфелю учебных заведений и должны быть рассмотрены.Additionally, many find that formal certifications are a valuable addition to your education portfolio and should be considered.

Установление путей эскалацииEstablish escalation paths

Кто получает уведомление, если ресурс перестает соответствовать?If a resource goes out of compliance, who gets notified? С кем ИТ-специалисты будут связываться при обнаружении проблемы соответствия политике?If IT staff detect a policy compliance issue, who do they contact? Убедитесь, что процесс эскалации для команды Cloud Управление четко определен.Make sure the escalation process to the cloud governance team is clearly defined. Убедитесь, что эти коммуникационные каналы обновляются с учетом изменения персонала и организации.Ensure these communication channels are kept updated to reflect staff and organization changes.

Триггеры нарушения и действияViolation triggers and actions

После определения команды управления облаком и ее процессов необходимо явным образом определить, какие из них будут рассматриваться как нарушения соответствия требованиям, вызывающие действия, и какие действия должны быть.After defining your cloud governance team and its processes, you need to explicitly define what qualifies as compliance violations that will triggers actions, and what those actions should be.

Определение триггеровDefine triggers

Проверьте требования для каждого из положений политики, чтобы определить, что является нарушением политики.For each of your policy statements, review requirements to determine what constitutes a policy violation. Создайте триггеры, используя сведения, которые вы уже определили как часть процесса определения политики.Generate your triggers using the information you've already established as part of the policy definition process.

  • Допустимый риск: Создание триггеров нарушений на основе метрик и индикаторов риска, установленных в рамках анализа отказоустойчивости рисков.Risk tolerance: Create violation triggers based on the metrics and risk indicators you established as part of your risk tolerance analysis.
  • Требования к политике: Операторы политики могут предоставлять соглашение об уровне обслуживания (SLA), непрерывность бизнес-процессов и аварийного восстановления (BCDR), а также требования к производительности, которые следует использовать в качестве основания для триггеров соответствия.Defined policy requirements: Policy statements may provide service-level agreement (SLA), business continuity and disaster recovery (BCDR), or performance requirements that should be used as the basis for compliance triggers.

Определение действийDefine actions

Каждый триггер нарушения должен иметь соответствующее действие.Each violation trigger should have a corresponding action. Активированные действия должны всегда уведомлять соответствующего сотрудника отдела ИТ или группы управления облачными специалистами при возникновении нарушения.Triggered actions should always notify an appropriate IT staff or cloud governance team member when a violation occurs. Это уведомление может привести к ручному анализу проблемы соответствия или появлению предварительно определенного процесса исправления в зависимости от типа и серьезности обнаруженного нарушения.This notification can lead to a manual review of the compliance issue or kickoff a predefined remediation process depending on the type and severity of the detected violation.

Ниже приведены некоторые примеры триггеров и действий в случае нарушения.Some examples of violation triggers and actions:

Дисциплина управленияGovernance discipline Пример триггераSample trigger Пример действияSample action
Управление затратамиCost Management Ежемесячные расходы на облако более чем на 20 % выше, чем ожидалось.Monthly cloud spending is more than 20% higher than expected. Уведомить руководителя единицы выставления счетов, который начнет проверку использования ресурсов.Notify the billing unit leader who will begin a review of resource usage.
Базовые показатели безопасностиSecurity Baseline Обнаружение подозрительных действий пользователя.Detect suspicious user activity. Уведомите группу ИТ Security и отключить подозрительную учетную запись пользователя.Notify the IT security team and disable the suspect user account.
Согласованность ресурсовResource Consistency Загрузка ЦП для рабочей нагрузки превышает 90%.CPU utilization for a workload is greater than 90%. Уведомите группу ИТ и разверните дополнительные ресурсы, чтобы справиться с нагрузкой.Notify the IT operations team and scale out additional resources to handle the load.

Автоматизация мониторинга и соответствия требованиямAutomation of monitoring and compliance

После того как вы определили триггеры и действия в случае нарушения соответствия, вы можете приступить к планированию того, как наилучшим образом использовать средства ведения журналов и отчетов и другие функции облачной платформы, чтобы помочь автоматизировать стратегию мониторинга и соответствия политике.After you've defined your compliance violation triggers and actions, you can start planning how best to use the logging and reporting tools and other features of the cloud platform to help automate your monitoring and policy compliance strategy.

Сведения о выборе наилучшего шаблона мониторинга для развертывания см. в разделе рекомендации по ведению журнала и отчетности.For help choosing the best monitoring pattern for your deployment, see the logging and reporting decision guide.

Дальнейшие действияNext steps

Узнайте больше о соответствии нормативным требованиям в облаке.Learn more about regulatory compliance in the cloud.