【云安全02】云治理与策略

二、云治理与策略（Cloud Governance and Strategies）

2.1、云治理

2.1.1、ISACA 对治理的定义

ISACA 定义治理为：

治理 是一种方法，通过评估利益相关方的需求、条件和选项，来确定平衡的、达成一致的企业目标。它涉及通过优先级设置、决策和监控来推动方向，并根据达成的方向和目标监控绩效和合规性。

简而言之，治理就是通过战略决策、绩效监控和合规检查，确保组织朝着共同的目标前进。

2.1.2、治理标准

以下是一些影响 IT 治理要求的标准和框架：

• ISO/IEC 38500:2024 —— 信息技术 - 组织的 IT 治理。该标准为组织提供了治理 IT 的方法和最佳实践，确保 IT 能够有效支持组织目标，并促进合规性和风险管理。
• ISACA - COBIT —— COBIT：企业 IT 治理与管理的业务框架。COBIT 是一个广泛使用的 IT 治理框架，旨在确保信息技术资源得到有效的管理与控制，并帮助组织建立和维持信息技术治理的标准。
• ISO/IEC 27014:2020 —— 信息技术 - 安全技术 - 信息安全治理。该标准专注于信息安全治理，提供了确保信息安全管理与组织目标对齐的策略和框架。
• The Open Group Cloud Computing Governance Framework —— 云计算治理框架。该框架为云计算环境中的治理提供了具体的指导和方法，帮助组织在云计算中实现有效的风险管理、合规性和控制。

一些法律和法规直接影响组织在 IT 治理中的要求，这些包括：

1. Gramm-Leach-Bliley Act (GLBA)
   • 规定金融服务行业的信息安全和隐私保护要求。
2. Sarbanes-Oxley Act (SOX)
   • 对上市公司和其财务报告的准确性、透明性及相关的 IT 系统控制进行了严格要求。
3. The Health Insurance Portability and Accountability Act (HIPAA)
   • 规定了医疗保健领域的隐私保护、数据安全和 IT 系统治理要求。
4. General Data Protection Regulation (GDPR)
   • 欧洲关于数据保护的法律，要求组织采取措施确保个人数据的安全性和隐私性，特别是 IT 系统中的数据治理。
5. Singapore Personal Data Protection Act 2012 (PDPA)
   • 新加坡的个人数据保护法，规定了对个人数据的收集、存储和处理要求，确保其在 IT 系统中的治理合规。

云计算具有以下特点：

• 多租户架构（Multi-tenancy）
• 共享责任模型（Shared Responsibility Model）
• 敏感数据的重新分布
• 关键应用和基础设施托管在云中
• 安全与隐私问题

因此必须通过有效的治理机制（Governance）来进行管理。

当数据存储在云中时，合规（Compliance）是一个重要问题，因为云环境涉及：

• 不同国家或地区的 法律管辖权（Jurisdiction）
• 各种 监管要求
• 安全标准
• 隐私保护法规

如果缺乏合理的治理体系：

• 安全风险
• 财务风险
• 运营风险

都会在云环境中指数级增长，最终使企业认为云计算并不是一个可行的选择。

2.1.3、云采用（Cloud Adoption）的驱动因素

企业采用云通常有以下动机：

1、组织战略目标（Strategic Objectives）

例如：

• 数字化转型
• 全球扩展

2、技术创新

例如：

• AI
• Big Data
• Serverless
• 微服务

3、成本优化

减少数据中心建设成本

4、运营支出模式

使用：

• Pay-as-you-go
• Subscription

许多企业采用云计算的一个重要原因是 成本优化。

传统数据中心模式是：CapEx（Capital Expenditure）资本支出

例如：

• 购买服务器
• 建设机房
• 网络设备

而云计算通常采用：OpEx（Operational Expenditure）运营支出

例如：

• 按使用量付费（Pay-as-you-go）
• 订阅模式（Subscription）

因此很多企业的上云策略是：Lift and Shift（直接迁移），也叫：Rehost

意思是：

直接把原来的应用和基础设施迁移到云环境，而不做架构修改。

例如：

原本运行在数据中心的：

• Web服务器
• 数据库
• 应用服务器

直接搬到：

• 云 VM
• 云网络
• 云存储

2.1.4、云治理需要考虑的问题

在云采用过程中，治理需要关注：风险管理

包括：

• 信息风险（Information Risk）
• 物理风险（Physical Risk）

并且需要控制在组织可以接受的范围内：Risk Appetite（风险承受度）

意思是：

企业能够接受的最大风险水平。

2.1.5、迁移策略需要与业务目标匹配

企业不应该盲目上云，而应该：根据业务目标制定迁移策略

例如：

不同企业策略可能不同：

• Lift & Shift
• Replatform
• Refactor
• Rebuild
• Replace

这些在云架构里叫：The 6R Cloud Migration Model

[!IMPORTANT]

总结成一句话：

云治理 = 控制风险 + 满足合规 + 支持业务战略

治理主要解决三个问题：

问题	解释
谁负责安全	Shared Responsibility
如何管理风险	Risk Governance
如何满足法规	Compliance

很多安全架构师会这么理解：

Cloud Governance = Risk Management：

• Compliance
• Security Control
• Cost Management

2.1.6、云计算对云治理带来的影响

云计算对 安全治理（Security Governance） 主要产生了 两方面的影响：

1、共享责任模型（Shared Responsibility Model）

在云环境中，安全治理责任不再由单一组织承担，而是由 云服务提供商（CSP） 与 云服务客户（CSC） 共同承担。

涉及角色：

• Amazon Web Services
• Microsoft Azure
• Google Cloud

云安全责任分为两部分：

1）云服务提供商（CSP）

负责 云本身的安全（Security of the Cloud）

例如：

• 数据中心安全
• 物理服务器
• 网络基础设施
• 虚拟化平台
• 硬件安全

2）云服务客户（CSC）

负责 云中的安全（Security in the Cloud）

例如：

• 应用程序安全
• 数据保护
• 访问控制
• 身份与权限管理
• 系统配置

3）第三方服务的加入

在实际云环境中，情况往往更加复杂。

很多企业还会引入 第三方服务商，例如：

• 安全厂商
• SaaS 服务提供商
• 托管服务商

这些第三方也会进入 云供应链（Cloud Supply Chain）。

因此：

• 每个第三方都会带来新的安全风险
• 即使某些安全职责被外包出去

最终责任仍然必须由 CSP 或 CSC 承担。

换句话说：

责任可以外包，但问责不能外包。

2、云计算带来的技术与运维差异

云计算的本质特性，使 IT 安全治理方式发生了重大变化。

1）传统 IT 环境

在云出现之前：

IT 安全治理主要基于 数据中心架构。

特点：

• 资源有限
• IT基础设施集中
• 网络边界清晰
• 管理权限集中

典型安全模型：

互联网
   ↓
防火墙
   ↓
企业内网
   ↓
数据中心

安全治理主要依赖：

• 网络边界
• 内外网隔离
• 访问控制

2）云环境

公有云的特点几乎与传统数据中心 完全相反。

虽然云厂商并不是拥有无限资源，但他们通常会确保拥有足够容量满足客户需求。

云环境具有以下特点：

① 资源高度弹性

用户可以快速创建资源，例如：

• 虚拟机
• 存储
• 数据库
• 整个应用架构

② 去中心化（Decentralized）

不同团队可以：

• 使用一个账号
• 使用一张信用卡

就可以直接创建完整的云基础设施。

例如：

开发团队
直接创建服务器

测试团队
创建数据库

数据团队
创建存储集群

如果没有有效的治理机制：

这些资源 不会受到集中管理。

③ 没有传统网络边界

在云环境中：

几乎不存在传统意义上的物理网络边界。

用户只要拥有正确的凭证（credentials），就可以：

• 登录云控制台
• 调用 API
• 管理云资源

④ 管理平面暴露在互联网

所有云资源都通过 统一的管理平面（Management Plane） 管理。

例如：

• AWS Management Console
• Azure Portal
• Google Cloud Console

这些管理接口：

• 可以通过互联网访问
• 控制整个虚拟基础设施

如果攻击者获得：

• API Key
• IAM权限
• 管理账号

攻击者就可以：

• 删除服务器
• 创建新的资源
• 修改网络架构
• 复制数据

3、云治理面临的新挑战

云环境形成了一种新的风险组合：

1）去中心化资源使用

不同团队可以独立创建资源。

2）统一的管理平面

所有资源由一个管理接口控制。

3）互联网开放访问

管理接口通常直接暴露在互联网。

[!IMPORTANT]

云计算对安全治理产生两大影响：

1️⃣ 责任变化

安全责任由：

单一企业
↓
CSP + CSC + 第三方

共同承担。

2️⃣ 架构变化

传统：

中心化
有网络边界
数据中心

云环境：

去中心化
无网络边界
互联网管理平面

---

因此：

云安全治理必须采用新的治理模型和控制机制。

2.1.7、云治理的复杂性

在云计算环境中，组织在进行 云治理（Cloud Governance） 时会面临三个主要复杂性：

1. 控制与责任（Control and Accountability）
2. 法律与监管合规（Legal and Regulatory Compliance）
3. 可见性与透明度（Visibility and Transparency）

1、控制与责任（Control and Accountability）

使用云计算可能会导致组织 对 IT 基础设施的直接控制减少。

原因是：

• IT基础设施不再完全由企业自己管理
• 一部分控制权转移到了 云服务提供商（CSP）

例如：

• Amazon Web Services
• Microsoft Azure
• Google Cloud

因此，企业必须：采用新的云治理框架和管理流程。

​ 使用云服务 ≠ 外包责任

即使企业把某些控制措施交给：

• CSP
• 第三方服务商
• 托管服务商

最终的问责（Accountability）仍然属于企业自己。

云计算采用 共享责任模型（Shared Responsibility Model, SRM）。

但 SRM 并不是固定的。

它会根据以下因素变化：

• 不同的云服务商
• 不同的服务模式
• 不同的技术栈

因此：

企业必须 清晰划分控制责任：

CSP负责什么
CSC负责什么
第三方负责什么

否则容易出现：

• 安全漏洞
• 合规问题
• 责任不清

2、法律与监管合规（Legal and Regulatory Compliance）

云计算可能会涉及 多个国家和地区的法律管辖（Jurisdictions）。

原因：

• 云数据可能存储在不同国家
• 云服务商的数据中心分布全球

例如：

一个企业在日本使用云服务，但数据可能存储在：

• 新加坡
• 美国
• 欧洲

产生的问题：

企业可能需要同时遵守多个法律法规，例如：

• General Data Protection Regulation
• Personal Information Protection Law
• California Consumer Privacy Act

特别是 隐私法规（Privacy Laws）。

数据相关问题

在云环境中，一些关键问题可能不够清晰，例如：

1. 数据所有权（Data Ownership）
2. 数据分类（Data Classification）
3. 隐私控制（Privacy Control）

3、可见性与透明度（Visibility and Transparency）

可见性与透明度

在云环境中，企业可能 无法完全看到底层系统的运行情况。

企业可能看不到：

• 物理服务器
• 数据中心结构
• 网络拓扑
• 硬件安全措施

这些都由 云服务商控制。

缺乏可见性会导致：

• 安全审计困难
• 风险评估困难
• 事件调查困难

企业通常通过以下方式获得透明度：

1. 合规认证报告
2. 安全白皮书
3. 第三方审计报告
4. API监控与日志

[!IMPORTANT]

云治理复杂性主要来自 三个方面：

复杂性	解释
控制与责任	云环境下控制权减少，但责任仍在企业
法律合规	数据跨国存储，需遵守多国法规
可见性	企业无法完全看到底层基础设施

2.1.8、云治理的复杂性（2）

1、定制化与标准化（Customization and Standardization）

定制化需求

• CSC（云服务客户）*的需求通常是*特定的，因此治理框架需要根据这些需求进行定制化。
• 云服务提供商（CSP）可能提供一个标准化的服务模型，但这些标准化服务可能并不完全满足每个客户的特定要求。

CSP 提供的服务差异

• CSP 的成熟度差异较大，有的 CSP 提供基础的云服务，而有的则提供完整的企业级服务。
• 此外，不同 CSP 的 服务、许可和定价模型 也各不相同，这使得制定统一的、适用于所有企业的 云治理政策 变得更加复杂。

结论

CSP 提供的服务可能无法完全符合某些企业的特定需求，企业需要在选择时权衡不同提供商的标准化服务和定制化要求。

2、治理复杂性（Governance Complexity）

多层次的 CSP 链条

• 云服务通常建立在多个 CSP 之间的链条上，这使得对治理活动的范围定义变得复杂。

例如：

• SaaS 提供商（软件即服务）可能运行在另一个 IaaS 提供商（基础设施即服务）的基础设施之上，这种结构使得治理责任的划分更加困难。

混合云模型的挑战

• 混合云模型（Hybrid Cloud）进一步加大了治理复杂性，尤其是在明确划分 CSP 和 CSC 责任之间的边界时。

例如：

• 私有云和公有云的结合，可能导致资源的跨环境管理。
• 各种云服务的不同职责和安全控制措施必须在两个或更多不同环境之间协调。

结论

• 云服务的多层级结构和混合云环境使得云治理必须适应更为复杂的架构，需要更细致的责任划分和管理方法。

3、CSP 和 CSC 之间的动态关系（CSP and CSC Dynamics）

CSP 的快速变化

• CSP 的发展非常快速，他们的服务和能力在短时间内可能发生重大变化。
• 因此，云治理模型必须能适应这些变化，并在不断变化的云服务市场中保持灵活性。

CSC 可能需要额外技能

• CSC 可能需要引入额外的技能来管理云服务，例如：
  • 云审计技能
  • 云安全技能
  • 云相关的安全工具的使用知识

这些技能可能在 CSC 当前团队中并不具备，需要额外的培训或人员引进。

结论

• CSP 的快速发展可能导致治理模型的不适应，而 CSC 需要不断提升技术能力，以应对新的安全、审计和管理要求。

2.1.9、高效云治理（Effective Cloud Governance）

有效的云治理是指建立一套 健全的治理框架和策略体系，从而确保云资源能够被：

• 安全地使用（Secure）
• 合规地使用（Compliant）
• 高效地管理（Efficient）

这需要组织实施：

• 强有力的控制框架（Control Framework）
• 明确的管理策略（Policies）

从而实现对云资源的 安全、合规和高效管理。

1、定义角色与责任（Defining Roles and Responsibilities）

企业必须明确不同角色在云环境中的责任，例如：

• 云架构负责人
• 云安全负责人
• DevOps团队
• 合规与审计团队

目标：

避免责任不清导致安全漏洞。

2、建立云卓越中心（Establishing a Cloud Center of Excellence (CCoE)）

CCoE（Cloud Center of Excellence）

是企业内部专门负责：

• 云战略
• 云架构
• 云安全
• 云治理

的 核心团队。

CCoE通常负责：

• 云最佳实践
• 云架构设计
• 云安全标准
• 云治理策略

3、收集业务需求（Conducting Requirements Gathering）

在使用云之前，企业必须明确：

• 业务需求
• 技术需求
• 安全需求
• 合规需求

例如：

• 是否涉及敏感数据
• 是否需要跨国部署
• 是否有高可用要求

4、基于风险的规划（Risk-based Planning）

云治理应该基于 风险管理（Risk-based approach）。

企业需要评估：

• 安全风险
• 合规风险
• 业务风险
• 运营风险

然后制定相应的治理策略。

5、风险管理与整改（Management of Risks and Remediations）

企业需要建立完整的风险处理流程：

风险识别
↓
风险评估
↓
风险缓解
↓
持续监控

例如：

• 配置错误
• 权限过大
• 数据暴露

6、数据与资产分类（Classifying Data and Digital Assets）

云环境中的数据和数字资产必须进行 分类（Classification）。

常见分类：

数据类型	示例
Public	公开信息
Internal	内部数据
Confidential	敏感数据
Restricted	高机密数据

分类后可以制定不同的：

• 加密策略
• 访问控制策略
• 备份策略

7、遵守法律和监管要求（Complying with Legal and Regulatory Requirements）

企业需要确保云使用符合相关法律和监管要求。

例如：

• General Data Protection Regulation
• Health Insurance Portability and Accountability Act

治理体系必须保证：

• 数据保护
• 隐私保护
• 审计能力

8、建立云资产清单（Maintaining a Cloud Registry (Inventory))

企业需要维护 云资源清单（Cloud Inventory）。

记录所有云资源，例如：

• 虚拟机
• 存储
• 数据库
• API
• 网络资源

目的：

防止出现 Shadow IT。

9、建立治理层级结构（Establishing a Governance Hierarchy）

企业需要建立分层治理结构，例如：

企业治理层
↓
云治理委员会
↓
云安全团队
↓
技术团队

这样可以：

• 明确决策流程
• 提高管理效率

10、使用云安全框架（Leveraging Cloud-Specific Security Frameworks）

企业可以使用专门的云安全框架来指导治理，例如：

• Cloud Security Alliance 的 CCM
• NIST Cybersecurity Framework
• ISO/IEC 27017

这些框架可以帮助：

• 制定安全控制措施
• 满足合规要求

11、制定云安全策略（Defining Cloud Security Policies）

企业需要制定云安全策略，例如：

• 身份与访问控制策略
• 数据加密策略
• 网络安全策略
• 日志与监控策略

12、设定控制目标与控制规范（Setting Control Objectives and Control Specifications）

治理体系需要明确：

• 控制目标（Control Objectives）
• 具体控制措施（Control Specifications）

例如：

控制目标：

保护敏感数据

控制措施：

所有敏感数据必须启用加密

两种常见云治理组织模型

• Cloud Center of Excellence (CCoE)：一种 集中式治理模型（Centralized Hub）。
• Cloud Advisory Council (CAC)：一个 跨部门决策委员会。

[!IMPORTANT]

有效的云治理核心是三件事：

治理框架
+ 安全控制
+ 合规管理

企业必须：

• 明确责任
• 管理风险
• 建立治理结构
• 使用安全框架

才能确保云资源被 安全、合规、有效地使用。

2.1.10、安全冠军（Security Champion）

Security Champion 是在团队内部指定的一名成员，负责在团队中推动和实践安全工作。

他们通常：

• 来自 开发团队或业务团队
• 不是专职安全部门成员
• 负责在团队内部推动安全实践