你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

评估云风险

  • 项目

本文概述了如何评估与云相关的风险。 所有技术都会给组织带来某些风险。 风险是可能影响业务（如不符合行业标准）的意外结果。 采用云时，需要确定云对组织构成的风险。 云治理团队创建云治理策略，以防止和缓解这些风险。 若要评估云风险，请完成这些任务。

显示设置和维护云治理过程的关系图。此图显示了五个顺序步骤：构建云治理团队、记录云治理策略、强制实施云治理策略以及监视云治理。执行的第一步。执行的最后四个步骤是设置云治理，并持续维护云治理。

确定云风险

编录云风险的综合列表。 了解风险后，可以创建可以防范和缓解这些风险的云治理策略。 若要识别云风险，请遵循以下建议：

  • 列出所有云资产。 列出所有云资产，以便全面识别与其关联的风险。 例如，可以使用 Azure 门户、Azure Resource Graph、PowerShell 和 Azure CLI 查看订阅中的所有资源。

  • 发现云风险。 制定稳定的风险目录，指导云治理策略。 为防止频繁调整，请专注于一般云风险，而不是特定工作负荷特有的风险。 从高优先级风险开始，并随着时间的推移制定更全面的列表。 常见的风险类别包括法规合规性、安全性、操作、成本、数据、资源和 AI。 包括组织特有的风险，例如非 Microsoft 软件、合作伙伴或供应商支持以及内部云能力。

  • 涉及关键利益干系人。 收集各种组织角色（IT、安全、法律、财务和业务部门）的投入，以考虑所有潜在风险。 这种协作方法可确保全面了解与云相关的风险。

  • 验证风险。 让对云风险识别有深入了解的外部专家来评审和验证风险列表。 这些专家可以是 Microsoft 帐户团队或专门的 Microsoft 合作伙伴。 他们的专业知识有助于确认所有潜在风险的识别，并提高风险评估的准确性。

Azure 便利化：识别云风险

以下指南旨在帮助识别 Azure 中的云风险。 它为主要类别的云治理提供了一个示例起点。 Azure 可以帮助自动完成查找风险过程的一部分。 使用 Azure 工具，例如 Azure 顾问、Microsoft Defender for Cloud、Azure Policy、Azure 服务运行状况和 Microsoft Purview。

  • 确定法规合规性风险。 确定不符合影响云数据和操作的法律和法规框架的风险。 了解行业监管要求。 使用 Azure 符合性文档开始。

  • 确定安全风险。 识别危及云环境的机密性、完整性和可用性的威胁和漏洞。 使用 Azure 评估 云安全状况 并检测 标识风险。

  • 确定成本风险。 确定与云资源成本相关的风险。 与成本相关的风险包括过度预配、预配不足、未充分利用以及数据传输费用或服务缩放产生的意外成本。 使用成本评估来确定成本风险。 使用 Azure 通过 Azure 定价计算器估算成本。 分析和预测 当前资源的成本。 确定 云成本中的意外更改 。

  • 确定操作风险。 确定威胁云操作连续性的风险，例如停机时间和数据丢失。 使用 Azure 工具确定可靠性和性能的风险。

  • 确定数据风险。 确定与云中数据管理相关的风险。 考虑在数据生命周期管理中处理数据和缺陷不当。 使用 Azure 工具帮助 识别数据风险 并 探索敏感数据的风险。

  • 确定资源管理风险。 确定源自云资源的预配、部署、配置和管理的风险。 确定卓越运营风险。

  • 识别 AI 风险。 定期 使用红色团队语言模型。 使用适用于 AI 的自动化风险识别工具手动测试 AI 系统并补充手动测试。 查找常见的 人工-AI 交互失败。 考虑与 AI 系统的使用、访问和输出相关的风险。 查看负责任的 AI 和负责任的 AI 成熟度模型原则。

分析云风险

为每个风险分配定性或定量排名，以便你可以按严重性确定其优先级。 风险优先顺序结合了风险概率和风险影响。 优先使用定量分析而不是定性分析，以更精确地确定风险优先级。 若要分析云风险，请遵循以下策略：

评估风险概率

估计每年发生的每个风险的定量或定性概率。 使用百分比范围（0%-100%）来表示年度量化风险概率。 低、中、高是定性风险概率的常见标签。 若要评估风险概率，请遵循以下建议：

  • 使用公共基准。 使用报告、研究或服务级协议（SLA）中的数据，记录常见风险及其发生率。

  • 分析历史数据。 查看内部事件报告、审核日志和其他记录，以确定过去发生的类似风险的频率。

  • 测试控制有效性。 若要尽量减少风险，请评估当前风险缓解控制的有效性。 考虑查看控制测试结果、审核结果和性能指标。

确定风险影响

估计对组织发生风险的定量或定性影响。 货币金额是表示定量风险影响的常见方法。 低、中、高是用于定性风险影响的常见标签。 若要确定风险影响，请遵循以下建议：

  • 进行财务分析。 通过查看停机成本、法律费用、罚款和修正工作成本等因素来估计风险的潜在财务损失。

  • 进行信誉影响评估。 使用有关类似事件的调查、市场研究或历史数据来估计对组织声誉的潜在影响。

  • 执行操作中断分析。 通过估算停机时间、生产力损失和替代安排的成本来评估运营中断的程度。

  • 评估法律影响。 估算与不合规或违规相关的潜在法律成本、罚款和处罚。

计算风险优先级

为每个风险分配风险优先级。 风险优先级是分配给风险的重要性，因此你知道是使用高、中或低紧迫性对待风险。 风险影响比风险概率更重要，因为高影响风险可能会产生持久的后果。 治理团队必须在整个组织中使用一致的方法来确定风险的优先级。 若要计算风险优先级，请遵循以下建议：

  • 使用风险矩阵进行定性评估。 创建一个矩阵，以为每个风险分配定性风险优先级。 矩阵的一个轴表示风险概率（高、中、低），另一个表示风险影响（高、中、低）。 下表提供了一个示例风险矩阵：

    低影响 中等程度的影响 高影响
    低概率 极低 中等低 中等高
    中等概率 低 中 高
    高概率 中 高 很高

  • 使用公式进行定量评估。 使用以下计算作为基线： 风险优先级 = 风险概率 x 风险影响。 根据需要调整变量的权重，以定制风险优先级结果。 例如，可以更强调此公式对风险的影响： 风险优先级 = 风险概率 x （风险影响 x 1.5）。

分配风险级别

将每个风险分为三个级别之一：主要风险（级别 1）、子风险（级别 2）和风险驱动因素（级别 3）。 风险级别允许你规划适当的风险管理策略，并预测未来的挑战。 级别 1 风险威胁组织或技术。 级别 2 风险低于级别 1 的风险。 级别 3 风险是可能最终导致一个或多个级别 1 或级别 2 风险的趋势。 例如，考虑不符合数据保护法（级别 1）、不当的云存储配置（级别 2），以及提高法规要求（级别 3）的复杂性。

确定风险管理策略

对于每个风险，请确定适当的风险处理选项，例如避免、缓解、转移或接受风险。 提供选择的说明。 例如，如果你决定接受风险，因为缓解风险的成本太贵，则应记录该原因以供将来参考。

分配风险所有者

为每个风险指定主要风险所有者。 风险所有者负责管理每个风险。 此人协调每个参与团队的风险管理策略，是风险升级的初始联系点。

记录云风险

记录每个风险和风险分析的详细信息。 创建风险列表（风险寄存器），其中包含识别、分类、确定优先级和管理风险所需的所有信息。 为风险文档开发标准化语言，以便每个人都可以轻松理解云风险。 请考虑包括以下元素：

  • 风险 ID： 每个风险的唯一标识符。 添加新风险时按顺序递增标识符。 如果消除风险，则可以在序列中留出空白或填补序列中的空白。
  • 风险管理状态： 风险的状态（打开、关闭）。
  • 风险类别： 法规合规性、安全性、成本、运营、AI 或资源管理等标签。
  • 风险说明： 风险的简要说明。
  • 风险概率： 每年发生风险的概率。 使用百分比或定性标签。
  • 风险影响： 发生风险时对组织的影响。 使用货币金额或定性标签。
  • 风险优先级： 风险的严重性（概率 x 影响）。 使用美元金额或定性标签。
  • 风险级别： 风险类型。 使用主要威胁（级别 1）、子风险（级别 2）或风险驱动因素（级别 3）。
  • 风险管理策略： 管理风险的方法，例如缓解、接受或避免。
  • 风险管理强制实施： 实施风险管理策略的技术。
  • 风险所有者： 管理风险的个人。
  • 风险关闭日期： 应应用风险管理策略的日期。

有关详细信息，请参阅 风险列表示例。

传达云风险

清楚地向执行发起人和高管级管理传达已确定的云风险。 目标是确保组织确定云风险的优先级。 提供云风险管理的定期更新，并在需要额外资源来管理风险时进行通信。 提升管理云风险管理和管理是日常运营的一部分的文化。

查看云风险

查看当前的云风险列表，确保它有效且准确。 评审应是常规的，也是针对特定事件的响应。 根据需要维护、更新或删除风险。 若要查看云风险，请遵循以下建议：

  • 计划定期评估。 设置定期计划来审查和评估云风险，例如季度、每年或每年。 查找最适合人员可用性、云环境变化率和组织风险容忍度的评审频率。

  • 进行基于事件的评审。 查看应对特定事件的风险，例如无法预防风险。 在采用新技术、更改业务流程和发现新的安全威胁事件时，请考虑查看风险。 还要考虑在技术、法规合规性和组织风险容忍度发生变化时进行评审。

  • 查看云治理策略。 保留、更新或删除云治理策略，以解决新风险、现有风险或过时风险。 根据需要查看云治理策略声明和云治理强制策略。 删除风险时，评估与其关联的云治理策略是否仍然相关。 咨询利益干系人以删除云治理策略或更新策略以将它们与新风险相关联。

示例风险列表

下表是一个示例风险列表，也称为风险寄存器。 根据组织的 Azure 云环境的特定需求和上下文定制示例。

风险 ID 风险管理状态 风险类别 风险说明 风险概率 风险影响 风险优先级 风险级别 风险管理策略 风险管理强制实施 风险所有者 风险关闭日期
R01 开放 法规符合性 不符合敏感数据要求 20% 或中等 $100,000 OR High $20,000 OR High 2 级 缓解 使用 Microsoft Purview 进行敏感数据监视。
Microsoft Purview 中的合规性报告。		 合规性潜在顾客 2024-04-01
R02 开放 安全性 对云服务的未经授权的访问 30% 或高 $200,000 OR High $60,000 OR 非常高 1 级 缓解 Microsoft Entra ID 多重身份验证（MFA）。
Microsoft Entra ID 治理每月访问评审。		 安全线索 2024-03-15
R03 开放 安全性 不安全的代码管理 20% 或中等 $150,000 OR High $30,000 OR High 2 级 缓解 使用定义的代码存储库。
对公共库使用隔离模式。		 开发人员主管 2024-03-30
R04 开放 成本 由于过度预配和缺乏监视，云服务超支 40% 或高 $50,000 OR Medium $20,000 OR High 2 级 缓解 为工作负荷设置预算和警报。
查看并应用顾问成本建议。		 成本潜在顾客 2024-03-01
R05 开放 Operations 由于 Azure 区域中断而导致的服务中断 25% 或中等 $150,000 OR High $37,500 OR High 1 级 缓解 任务关键型工作负荷具有主动-主动体系结构。
其他工作负荷具有主动-被动体系结构。		 操作潜在顾客 2024-03-20
R06 开放 数据 由于加密和数据生命周期管理不当，敏感数据丢失 35% 或高 $250,000 OR High $87,500 OR High 1 级 缓解 在传输中和静态应用加密。
使用 Azure 工具建立数据生命周期策略。		 数据潜在顾客 2024-04-10
R07 开放 资源管理 云资源配置不当，导致未经授权的访问和数据泄露 30% 或高 $100,000 OR High $30,000 OR 非常高 2 级 缓解 使用基础结构即代码 (IaC)。
使用 Azure Policy 强制实施标记要求。		 资源潜在顾客 2024-03-25
R08 开放 AI 由于缺乏代表性的训练数据，AI 模型生成有偏见的决定 15% 或低 $200,000 OR High $30,000 或中等高 级别 3 缓解 使用内容筛选缓解技术。
每月红团队 AI 模型。		 AI 潜在顾客 2024-05-01

下一步

记录云治理策略