云治理

什么是云治理？

云治理的主要框架

COBIT（信息和相关技术的控制目标）：COBIT 是一个全球公认的框架，专注于使 IT 运营（包括云环境）与业务战略保持一致。它由 40 个治理和管理流程组成，涉及风险管理、合规性和绩效优化等领域。COBIT 提供最佳实践、指标和指导，帮助组织确保其 IT 和云计划与业务目标保持一致。此外，还提供 COBIT 2019 Foundation 等认证，以验证专业知识并帮助确保合规性。COBIT 尤其适用于寻求全面 IT 治理框架的组织，该框架可扩展至云环境，在实现战略目标的同时确保运营效率和安全性。

ITIL（IT 信息库）：ITIL 是一种广泛使用的框架，强调通过最佳实践进行 IT 服务管理，以提供高质量的服务。它专注于管理服务生命周期，涵盖战略、设计、运营和持续改进。ITIL 实践（例如事故管理和变更管理）可以根据云环境进行调整，以提高可靠性和可扩展性。ITIL 领域的认证可验证对服务管理和合规性实践的掌握程度。这种框架非常适合希望将云服务纳入更广泛的 IT 产品组合的组织，以确保与业务需求和运营效率保持一致。

ISO/IEC 标准 (38500 & 27017)：ISO/IEC 标准为 IT 和云治理提供了国际认可的指导方针，重点强调安全性与合规性。ISO/IEC 38500 提供注重责任制、战略和性能评估的治理原则，以确保 IT 和云计划与更广泛的业务目标保持一致。另一方面，ISO/IEC 27017 为实施云安全控制提供指导，以解决数据泄露、未经授权访问和错误配置等风险。这些标准对于那些在云治理实践中优先考虑合规性、安全性和责任制的组织来说尤其重要。
 

需要考虑的其他框架

NIST 云计算框架：此框架由美国国家标准与技术研究所开发，提供了有关云计算标准、安全性和最佳运营实践的详细指导。尤其对公共部门和政府组织特别有用，因为这些组织需要根据其独特的运营和合规需求量身定制稳健的云管理。

CIS（互联网安全中心）控制：此框架提供了一组按优先级划分的、用于确保安全性的最佳实践。CIS 基准被广泛用于确保云配置和服务的安全，因此，它是以加强云安全态势为目标的组织的宝贵资源。

TOGAF（开放组架构框架）：TOGAF 专注于企业架构治理，将云治理整合为组织整体 IT 战略的一部分。它帮助组织创建一种结构化的方法，将云解决方案集成到更广泛的技术环境中，同时保持与业务目标的一致性。

FinOps 框架：FinOps 框架专门用于管理云环境内的财务运营。它可以帮助组织提高成本可见性、优化支出并使云投资与业务成果保持一致。该框架对于寻求在云战略中平衡运营效率与财务责任的组织特别有益。

总之，这些框架共同为组织提供了多种不同的工具和方法，使其能够根据自己的特定目标、行业要求和运营复杂性有效地管理云环境。

成功的企业云战略仰赖于有效云治理的 4 大支柱。围绕这四个类别制定策略可确保实现全面监督，且不会阻碍创新。

1. 财务治理（或称 FinOps）可协同 IT、财务和业务团队来控制云支出。实现这种治理，需要建立标记策略以跟踪资源消耗情况，设置自动预算警报，并制定相应的策略来识别和清理闲置资源。有效的 FinOps 治理可防止出现账单激增的情况，并确保每一笔云支出都用于提升业务价值。

2. 安全治理规定了如何保护数据和基础设施免受内外部威胁的影响。该支柱离不开身份和访问管理 (IAM) 策略，其强制执行最小特权原则并采用零信任架构，可确保云配置从根本上符合数据隐私法和企业安全规定。

3. 运营治理确保云环境满足各项性能、可用性和可靠性标准。运营治理涉及设定服务级别协议 (SLA)、部署模板（如基础设施即代码）标准化，以及建立灾难恢复和备份协议，以保持业务连续性。

4. 云卓越中心 (CCoE) 作为跨职能团队，负责制定和管理云策略、治理和最佳实践。该中心打破了 IT、财务和安全部门之间的隔阂，其重要性不言而喻。CCoE 作为中央治理机构，负责实施防护措施、评估新型云服务，并在整个企业内安全地推动云采用。

云环境需遵守严格的全球及行业特定法规。治理策略必须根据以下框架采取相应技术控制措施：

• NIST（美国国家标准与技术研究所）：提供用于管理风险和保护云基础设施的基础网络安全框架，尤其是针对美国联邦承包商。
• GDPR（通用数据保护条例）：规定欧洲公民的数据主权和隐私治理。云策略必须管控数据的地理存储位置及其加密方式。
• HIPAA（健康保险携带和责任法案）：要求对电子受保护健康信息 (ePHI) 实施严格治理，必须采用加密存储、审计跟踪和严格的 IAM 控制。
• ISO 27001：信息安全管理系统 (ISMS) 的国际标准，要求开展持续的风险评估和治理审计。
• STIGs（安全技术实施指南）：作为保护云环境所需的细化配置级加固蓝图，将 NIST SP 800-53 等高级框架转化为可操作的技术步骤。STIGs 由 DISA 为美国国防部开发，规定了保护云提供商底层基础设施和客户部署资产（包括虚拟机、数据库、容器和虚拟网络）所需的具体设置。在现代云治理中，实现 STIG 合规性需要通过基础设施即代码 (IaC) 和黄金镜像将这些严格的安全基线直接自动化集成到部署管道中，从而在不破坏应用功能的情况下保持连续、可审计的安全态势。

自动化云治理借助策略即代码 (PaC) 以编程方式执行规则，无需人工干预。

• 财务工具：云成本管理平台，可在非工作时间自动关闭非生产环境。
• 安全工具：云安全态势管理 (CSPM) 工具，能够持续扫描并自动修复配置错误（例如，开放的 S3 存储桶）。
• 运营工具：基础设施即代码 (IaC) 模板（例如 Terraform 或 Ansible），确保只能配置经过预先批准的合规基础设施。

云治理未来趋势

随着云计算使用的增长，云环境变得越来越复杂，对安全性、合规性、成本优化和运营效率均提出了挑战。新兴技术、方法和法规将重塑云治理体系，以应对这些挑战。云治理的未来趋势如下：

1. 采用 AI 技术的治理和自动化：AI 和 ML 将实现自动化、主动式云治理，效果更佳。

• AI 驱动型威胁检测和响应：AI 和 ML 将通过实时预测、检测并消除攻击来提高云安全性，同时消除人工参与。
• 自动合规性和策略执行：AI 系统监控云资源是否符合规则和策略，并针对违规行为触发补救措施。
• 智能资源优化：AI 算法评估云消费趋势，以提供经济高效、高性能且可扩展的资源分配技术。
• 自我修复型基础设施：AI 驱动型系统将检测并修复云环境中的故障，从而最小化停机时间并提高恢复能力。

2. 提高安全性和合规性：随着云安全风险和监管要求不断完善，云治理需要把健全的安全性和合规性框架作为优先事项。

• 零信任架构：云治理将秉持“从不信任，始终验证”的原则，要求对所有访问请求进行持续身份验证，无论用户身处何地。
• 机密计算：TEE 将愈发普及，可将敏感工作负载隔离在基于硬件的安全飞地中，以便在不受信任的环境中安全地处理。
• 量子安全加密：面临量子计算需求的组织必须采用各种加密手段（如基于网格和基于哈希的加密方法）来防范基于量子的攻击。
• 数据主权和本地化：治理框架将确保数据驻留在指定国家，以符合 GDPR、CCPA 和其他区域性立法。

3. 多云和混合云治理：随着企业实施多云和混合云策略，治理框架将随之改变，以实现对不同环境的一致管理。

• 统一治理框架：这些框架将为本地基础设施和不同的云服务提供商提供统一的策略和控制，简化复杂的云架构。
• 集中化可见性和控制：要实现有效治理，必须有能够统一查看多云和混合部署中的资产、安全状况、合规性状况和费用的工具。
• 互操作性和标准化：推动云服务之间互操作性的举措可促进统一的平台管理，减少供应商锁定，并简化治理流程。

4. FinOps 集成：随着企业优化云支出和业务价值，FinOps 将成为云治理的基本要素。

• 成本优化：治理框架将纳入用于明确财务责任的成本管理措施，以避免超支并优化云投资。
• 成本可见性和分配：使用各种高级工具实现团队、项目和业务部门之间精确且全面的云成本分配。
• 自动化成本控制和预算制定：强制执行支出限制、发出警报并执行节约成本的措施以提高财务效率。

5. 可持续性和绿色云计划：随着公司致力于减少其云运营对环境的影响，云治理将涵盖环境可持续性问题。

• 环境影响成为治理因素：组织将通过治理框架中的可持续性措施来促进环保流程并减少碳足迹。
• 能源效率和可再生资源：为了支持绿色云计划，云提供商将为数据中心提供节能技术和可再生能源。
• 碳核算和报告：透明的碳核算系统使企业能够监控并披露与云计算相关的排放量，促进可持续发展以及问责制的落实。

6. 云原生治理：随着云原生架构成为标准，治理框架也将适应当前的开发和部署流程。

• 治理集成到 DevOps 管道中：为了保证在开发生命周期的早期就纳入安全性和合规性，治理策略将被纳入 DevSecOps 管道中。
• 策略即代码：自动化治理规则、支持版本控制，并确保开发、测试和部署期间的一致性。
• Kubernetes 和容器安全：治理框架将进行调整以解决容器化应用和编排的运营和安全问题。

7. 高级分析和预测性治理：预测性分析中的主动决策和战略性规划将改变云治理。

• 预测性风险管理：利用高级分析来预测和避免合规性及安全问题。
• 使用趋势预测：使用预测性方法来评估使用趋势以预测资源需求并优化容量规划。
• 治理 KPI 和指标：经过改进的仪表板和报告功能将提供切实可行的合规性、成本效率和安全洞察，帮助实现持续发展。