事實表明，企業(yè)不僅可以在公有云環(huán)境中安全運營關(guān)鍵工作負載，而且還可以減輕IT合規(guī)性負擔(dān)。

　　毫無疑問，公有云提供了更高的速度、敏捷性、可擴展性、按需付費，以及基于消費的定價。這些是大多數(shù)想要更好地運營業(yè)務(wù)并采用云計算新的業(yè)務(wù)模式的企業(yè)正在尋求的屬性。大多數(shù)企業(yè)將數(shù)字化轉(zhuǎn)型視為創(chuàng)新和創(chuàng)造差異化價值的基礎(chǔ)，他們也意識到IT基礎(chǔ)設(shè)施現(xiàn)代化是數(shù)字化轉(zhuǎn)型的必要條件，而公有云為基礎(chǔ)設(shè)施的現(xiàn)代化提供了絕佳機會。很多企業(yè)在公有云上運行一些主要工作負載。然而在金融服務(wù)、保險或電信等受監(jiān)管行業(yè)，在采用公有云運營關(guān)鍵工作負載的速度方面通常落后于中小型企業(yè)。有許多知名的初創(chuàng)公司在云中誕生。然而，很少有企業(yè)將關(guān)鍵型工作負載廣泛應(yīng)用在公有云。

　　企業(yè)級計算在公有云上全面應(yīng)用的障礙常常圍繞著企業(yè)級、加固的計算環(huán)境的需求而被提及，該運營環(huán)境圍繞安全性、隱私性、合規(guī)性、彈性和運營準備度提供持續(xù)的保證。公有云提供商具有良好的物理安全性，并且有更多安全運營的證據(jù)，可與企業(yè)的內(nèi)部部署數(shù)據(jù)中心相媲美。云計算提供商迅速采取行動以應(yīng)對其負責(zé)的云平臺出現(xiàn)的安全威脅。然而，在應(yīng)用程序的運營環(huán)境中，通常認為擁有工作負載的客戶有責(zé)任處理有關(guān)安全和數(shù)據(jù)保護的保證，但對控制的一致性并不總是那么可靠。云計算提供商在過去通常是提供各種低成本、低消費壁壘的計算平臺，而不一定是為個別客戶強化應(yīng)用程序工作負載環(huán)境。一些云計算提供商已經(jīng)認識到企業(yè)級計算對于運營環(huán)境的需求，并開始為這樣的工作負載認證他們的環(huán)境。

　　多年來，很多企業(yè)已經(jīng)在內(nèi)部部署數(shù)據(jù)中心開發(fā)和強化了運營環(huán)境，這些環(huán)境符合他們對安全性、合規(guī)性、性能、彈性、災(zāi)難恢復(fù)等方面的控制要求。很多企業(yè)嘗試在公有云中尋找相同類型的運營環(huán)境，并且經(jīng)常由于缺乏對在那里運行的工作負載的透明度和控制度而受到阻礙。因此，很多企業(yè)不愿意遷移到公有云。各種研究表明，在已遷移到云平臺的關(guān)鍵企業(yè)工作負載中，這一數(shù)字不到30%。企業(yè)花費了數(shù)年時間來開發(fā)一個他們現(xiàn)在可以信任的環(huán)境，并確信這是一個完全由他們控制的安全操作環(huán)境。他們普遍的感覺是，這種受控的環(huán)境無法復(fù)制到內(nèi)部部署數(shù)據(jù)中心之外。隨著云計算服務(wù)提供商意識到需要更加關(guān)注為客戶的應(yīng)用程序工作負載提供企業(yè)級計算的運營環(huán)境，這種看法正在發(fā)生變化。公有云提供商越來越意識到他們需要提供滿足企業(yè)計算需求的運營環(huán)境，并正在采取措施提供被認為值得“受監(jiān)管的工作負載”的運營環(huán)境。

　　實際考慮

　　為了緩解和降低進入公有云的風(fēng)險，并開始實現(xiàn)快速上市，企業(yè)需要考慮以下一些問題：

　　(1)從證明其運營環(huán)境可以輕松滿足和展示符合行業(yè)標(biāo)準的IT控制應(yīng)用的云計算提供商開始。例如，很多企業(yè)尋求采用與治理、風(fēng)險和合規(guī)性(GRC)管理相關(guān)的行業(yè)最佳實踐的云計算提供商合作，并已建立一個受控框架，以確?？勺匪菪院涂刂品闲缘淖C據(jù)，以及持續(xù)的合規(guī)性。企業(yè)應(yīng)查看為自己的數(shù)據(jù)中心工作負載實施的控制，并將其映射到云計算提供商環(huán)境中的控制，以查看這些控制是否已經(jīng)到位，或者在持續(xù)合規(guī)性的情況下建立所需控制的速度有多快。在通常情況下，企業(yè)應(yīng)用程序需要幾個月的時間才能通過認證以投入生產(chǎn)。在公有云環(huán)境中，已經(jīng)有一個框架來建立對客戶工作負載以及云平臺提供服務(wù)的企業(yè)控制的合規(guī)性，可以顯著地減少這一時間以實現(xiàn)云計算運營環(huán)境的真正好處。

　　(2)企業(yè)應(yīng)為其團隊制定一份全面的風(fēng)險和控制評估手冊，可以管理確定控制范圍、數(shù)據(jù)分類、合規(guī)要求、準備情況評估和驗收標(biāo)準。這一手冊將有助于避免每個團隊從頭開始。企業(yè)應(yīng)根據(jù)工作負載和數(shù)據(jù)存儲特性集中評估控制措施。這應(yīng)該使用云計算提供商的評估框架來完成，而不是讓分散在風(fēng)險和合規(guī)范圍內(nèi)的小組來查看他們的控制措施是否與其他小組重疊，并且通常以人工方式使用不同的電子表格。

　　(3)企業(yè)架構(gòu)師和基礎(chǔ)設(shè)施架構(gòu)師應(yīng)利用由云計算提供商提供的參考架構(gòu)來設(shè)計彈性、安全的環(huán)境，并從轉(zhuǎn)型項目的藍圖階段開始規(guī)劃生產(chǎn)級準備。他們應(yīng)該規(guī)劃管理區(qū)域和工作負載區(qū)域的明確分離，以便在環(huán)境中建立明確的職責(zé)分離，并且管理活動可以與生產(chǎn)活動區(qū)分開來并且易于審計。應(yīng)用程序團隊在構(gòu)建應(yīng)用程序后經(jīng)常會面臨這一事實，這導(dǎo)致許多周期被用于生產(chǎn)環(huán)境的重新設(shè)計。云計算由于其靈活性，使其使用和資源配置變得非常容易。但是，如果事后對運營環(huán)境進行了強化，則可能會導(dǎo)致應(yīng)用程序在最終用戶面前出現(xiàn)顯著延遲。

　　(4)企業(yè)應(yīng)該建立一個輕量級和敏捷的治理框架，創(chuàng)建和推廣經(jīng)過驗證的公有云基礎(chǔ)設(shè)施和服務(wù)的使用模式，這些基礎(chǔ)設(shè)施和服務(wù)經(jīng)過強化和審查，并符合企業(yè)自身的控制。公有云有一個龐大的目錄，包含數(shù)百種具有不同成熟度的服務(wù)，通常來自各種第三方提供商。在通常情況下，大多數(shù)工作負載會根據(jù)企業(yè)中現(xiàn)有的穩(wěn)定性、受歡迎程度和技能基礎(chǔ)使用這些服務(wù)的一小部分。作為公有云之旅的一部分，企業(yè)應(yīng)建立自己的內(nèi)部的云服務(wù)目錄，并為其應(yīng)用程序團隊提供指導(dǎo)。隨著其他使用模式的確定，該目錄應(yīng)該不斷發(fā)展和補充。企業(yè)應(yīng)該進行自己的概念驗證，以從安全、隱私和合規(guī)性角度評估使用的可行性，然后再將其開放給應(yīng)用程序團隊廣泛使用。關(guān)鍵方面包括使用諸如本機加密和保留密鑰、傳輸級別加密等構(gòu)造的服務(wù)，以及多個云計算提供商區(qū)域中的可用性。這些關(guān)鍵方面是建立強化運行時環(huán)境所需的良好屬性。

　　(5)企業(yè)應(yīng)采用公有云中現(xiàn)成的眾多工具進行安全開發(fā)和部署的實踐。云計算提供標(biāo)準的構(gòu)建和部署管道、內(nèi)置漏洞檢查和靜態(tài)代碼分析。企業(yè)應(yīng)指導(dǎo)應(yīng)用程序團隊在開發(fā)生命周期的早期引入安全原則。企業(yè)不應(yīng)僅僅將工作負載從現(xiàn)有運營環(huán)境中遷移出來，并將其特征反映在公有云上。相反，他們應(yīng)該靈活地重新設(shè)計，并構(gòu)建成為獨立的可擴展、可觀察、有彈性、功能不同的組件。降低公有云的成本不應(yīng)始終是決定性因素，在獲得速度和敏捷性的同時需要優(yōu)先考慮安全性、合規(guī)性和可審計性。

　　結(jié)論

　　本文探討了在風(fēng)險管理、合規(guī)性、安全性、隱私和運營彈性方面使用全面的企業(yè)范圍方法。通過這種方法，企業(yè)不僅可以在公有云環(huán)境中運營其關(guān)鍵工作負載獲得信心，而且還可以在他們踏上公有云之旅的過程中減輕IT合規(guī)性負擔(dān)。