事實(shí)表明，企業(yè)不僅可以在公有云環(huán)境中安全運(yùn)營關(guān)鍵工作負(fù)載，而且還可以減輕IT合規(guī)性負(fù)擔(dān)。

　　毫無疑問，公有云提供了更高的速度、敏捷性、可擴(kuò)展性、按需付費(fèi)，以及基于消費(fèi)的定價(jià)。這些是大多數(shù)想要更好地運(yùn)營業(yè)務(wù)并采用云計(jì)算新的業(yè)務(wù)模式的企業(yè)正在尋求的屬性。大多數(shù)企業(yè)將數(shù)字化轉(zhuǎn)型視為創(chuàng)新和創(chuàng)造差異化價(jià)值的基礎(chǔ)，他們也意識(shí)到IT基礎(chǔ)設(shè)施現(xiàn)代化是數(shù)字化轉(zhuǎn)型的必要條件，而公有云為基礎(chǔ)設(shè)施的現(xiàn)代化提供了絕佳機(jī)會(huì)。很多企業(yè)在公有云上運(yùn)行一些主要工作負(fù)載。然而在金融服務(wù)、保險(xiǎn)或電信等受監(jiān)管行業(yè)，在采用公有云運(yùn)營關(guān)鍵工作負(fù)載的速度方面通常落后于中小型企業(yè)。有許多知名的初創(chuàng)公司在云中誕生。然而，很少有企業(yè)將關(guān)鍵型工作負(fù)載廣泛應(yīng)用在公有云。

　　企業(yè)級計(jì)算在公有云上全面應(yīng)用的障礙常常圍繞著企業(yè)級、加固的計(jì)算環(huán)境的需求而被提及，該運(yùn)營環(huán)境圍繞安全性、隱私性、合規(guī)性、彈性和運(yùn)營準(zhǔn)備度提供持續(xù)的保證。公有云提供商具有良好的物理安全性，并且有更多安全運(yùn)營的證據(jù)，可與企業(yè)的內(nèi)部部署數(shù)據(jù)中心相媲美。云計(jì)算提供商迅速采取行動(dòng)以應(yīng)對其負(fù)責(zé)的云平臺(tái)出現(xiàn)的安全威脅。然而，在應(yīng)用程序的運(yùn)營環(huán)境中，通常認(rèn)為擁有工作負(fù)載的客戶有責(zé)任處理有關(guān)安全和數(shù)據(jù)保護(hù)的保證，但對控制的一致性并不總是那么可靠。云計(jì)算提供商在過去通常是提供各種低成本、低消費(fèi)壁壘的計(jì)算平臺(tái)，而不一定是為個(gè)別客戶強(qiáng)化應(yīng)用程序工作負(fù)載環(huán)境。一些云計(jì)算提供商已經(jīng)認(rèn)識(shí)到企業(yè)級計(jì)算對于運(yùn)營環(huán)境的需求，并開始為這樣的工作負(fù)載認(rèn)證他們的環(huán)境。

　　多年來，很多企業(yè)已經(jīng)在內(nèi)部部署數(shù)據(jù)中心開發(fā)和強(qiáng)化了運(yùn)營環(huán)境，這些環(huán)境符合他們對安全性、合規(guī)性、性能、彈性、災(zāi)難恢復(fù)等方面的控制要求。很多企業(yè)嘗試在公有云中尋找相同類型的運(yùn)營環(huán)境，并且經(jīng)常由于缺乏對在那里運(yùn)行的工作負(fù)載的透明度和控制度而受到阻礙。因此，很多企業(yè)不愿意遷移到公有云。各種研究表明，在已遷移到云平臺(tái)的關(guān)鍵企業(yè)工作負(fù)載中，這一數(shù)字不到30%。企業(yè)花費(fèi)了數(shù)年時(shí)間來開發(fā)一個(gè)他們現(xiàn)在可以信任的環(huán)境，并確信這是一個(gè)完全由他們控制的安全操作環(huán)境。他們普遍的感覺是，這種受控的環(huán)境無法復(fù)制到內(nèi)部部署數(shù)據(jù)中心之外。隨著云計(jì)算服務(wù)提供商意識(shí)到需要更加關(guān)注為客戶的應(yīng)用程序工作負(fù)載提供企業(yè)級計(jì)算的運(yùn)營環(huán)境，這種看法正在發(fā)生變化。公有云提供商越來越意識(shí)到他們需要提供滿足企業(yè)計(jì)算需求的運(yùn)營環(huán)境，并正在采取措施提供被認(rèn)為值得“受監(jiān)管的工作負(fù)載”的運(yùn)營環(huán)境。

　　實(shí)際考慮

　　為了緩解和降低進(jìn)入公有云的風(fēng)險(xiǎn)，并開始實(shí)現(xiàn)快速上市，企業(yè)需要考慮以下一些問題：

　　(1)從證明其運(yùn)營環(huán)境可以輕松滿足和展示符合行業(yè)標(biāo)準(zhǔn)的IT控制應(yīng)用的云計(jì)算提供商開始。例如，很多企業(yè)尋求采用與治理、風(fēng)險(xiǎn)和合規(guī)性(GRC)管理相關(guān)的行業(yè)最佳實(shí)踐的云計(jì)算提供商合作，并已建立一個(gè)受控框架，以確?？勺匪菪院涂刂品闲缘淖C據(jù)，以及持續(xù)的合規(guī)性。企業(yè)應(yīng)查看為自己的數(shù)據(jù)中心工作負(fù)載實(shí)施的控制，并將其映射到云計(jì)算提供商環(huán)境中的控制，以查看這些控制是否已經(jīng)到位，或者在持續(xù)合規(guī)性的情況下建立所需控制的速度有多快。在通常情況下，企業(yè)應(yīng)用程序需要幾個(gè)月的時(shí)間才能通過認(rèn)證以投入生產(chǎn)。在公有云環(huán)境中，已經(jīng)有一個(gè)框架來建立對客戶工作負(fù)載以及云平臺(tái)提供服務(wù)的企業(yè)控制的合規(guī)性，可以顯著地減少這一時(shí)間以實(shí)現(xiàn)云計(jì)算運(yùn)營環(huán)境的真正好處。

　　(2)企業(yè)應(yīng)為其團(tuán)隊(duì)制定一份全面的風(fēng)險(xiǎn)和控制評估手冊，可以管理確定控制范圍、數(shù)據(jù)分類、合規(guī)要求、準(zhǔn)備情況評估和驗(yàn)收標(biāo)準(zhǔn)。這一手冊將有助于避免每個(gè)團(tuán)隊(duì)從頭開始。企業(yè)應(yīng)根據(jù)工作負(fù)載和數(shù)據(jù)存儲(chǔ)特性集中評估控制措施。這應(yīng)該使用云計(jì)算提供商的評估框架來完成，而不是讓分散在風(fēng)險(xiǎn)和合規(guī)范圍內(nèi)的小組來查看他們的控制措施是否與其他小組重疊，并且通常以人工方式使用不同的電子表格。

　　(3)企業(yè)架構(gòu)師和基礎(chǔ)設(shè)施架構(gòu)師應(yīng)利用由云計(jì)算提供商提供的參考架構(gòu)來設(shè)計(jì)彈性、安全的環(huán)境，并從轉(zhuǎn)型項(xiàng)目的藍(lán)圖階段開始規(guī)劃生產(chǎn)級準(zhǔn)備。他們應(yīng)該規(guī)劃管理區(qū)域和工作負(fù)載區(qū)域的明確分離，以便在環(huán)境中建立明確的職責(zé)分離，并且管理活動(dòng)可以與生產(chǎn)活動(dòng)區(qū)分開來并且易于審計(jì)。應(yīng)用程序團(tuán)隊(duì)在構(gòu)建應(yīng)用程序后經(jīng)常會(huì)面臨這一事實(shí)，這導(dǎo)致許多周期被用于生產(chǎn)環(huán)境的重新設(shè)計(jì)。云計(jì)算由于其靈活性，使其使用和資源配置變得非常容易。但是，如果事后對運(yùn)營環(huán)境進(jìn)行了強(qiáng)化，則可能會(huì)導(dǎo)致應(yīng)用程序在最終用戶面前出現(xiàn)顯著延遲。

　　(4)企業(yè)應(yīng)該建立一個(gè)輕量級和敏捷的治理框架，創(chuàng)建和推廣經(jīng)過驗(yàn)證的公有云基礎(chǔ)設(shè)施和服務(wù)的使用模式，這些基礎(chǔ)設(shè)施和服務(wù)經(jīng)過強(qiáng)化和審查，并符合企業(yè)自身的控制。公有云有一個(gè)龐大的目錄，包含數(shù)百種具有不同成熟度的服務(wù)，通常來自各種第三方提供商。在通常情況下，大多數(shù)工作負(fù)載會(huì)根據(jù)企業(yè)中現(xiàn)有的穩(wěn)定性、受歡迎程度和技能基礎(chǔ)使用這些服務(wù)的一小部分。作為公有云之旅的一部分，企業(yè)應(yīng)建立自己的內(nèi)部的云服務(wù)目錄，并為其應(yīng)用程序團(tuán)隊(duì)提供指導(dǎo)。隨著其他使用模式的確定，該目錄應(yīng)該不斷發(fā)展和補(bǔ)充。企業(yè)應(yīng)該進(jìn)行自己的概念驗(yàn)證，以從安全、隱私和合規(guī)性角度評估使用的可行性，然后再將其開放給應(yīng)用程序團(tuán)隊(duì)廣泛使用。關(guān)鍵方面包括使用諸如本機(jī)加密和保留密鑰、傳輸級別加密等構(gòu)造的服務(wù)，以及多個(gè)云計(jì)算提供商區(qū)域中的可用性。這些關(guān)鍵方面是建立強(qiáng)化運(yùn)行時(shí)環(huán)境所需的良好屬性。

　　(5)企業(yè)應(yīng)采用公有云中現(xiàn)成的眾多工具進(jìn)行安全開發(fā)和部署的實(shí)踐。云計(jì)算提供標(biāo)準(zhǔn)的構(gòu)建和部署管道、內(nèi)置漏洞檢查和靜態(tài)代碼分析。企業(yè)應(yīng)指導(dǎo)應(yīng)用程序團(tuán)隊(duì)在開發(fā)生命周期的早期引入安全原則。企業(yè)不應(yīng)僅僅將工作負(fù)載從現(xiàn)有運(yùn)營環(huán)境中遷移出來，并將其特征反映在公有云上。相反，他們應(yīng)該靈活地重新設(shè)計(jì)，并構(gòu)建成為獨(dú)立的可擴(kuò)展、可觀察、有彈性、功能不同的組件。降低公有云的成本不應(yīng)始終是決定性因素，在獲得速度和敏捷性的同時(shí)需要優(yōu)先考慮安全性、合規(guī)性和可審計(jì)性。

　　結(jié)論

　　本文探討了在風(fēng)險(xiǎn)管理、合規(guī)性、安全性、隱私和運(yùn)營彈性方面使用全面的企業(yè)范圍方法。通過這種方法，企業(yè)不僅可以在公有云環(huán)境中運(yùn)營其關(guān)鍵工作負(fù)載獲得信心，而且還可以在他們踏上公有云之旅的過程中減輕IT合規(guī)性負(fù)擔(dān)。