Documentación de directivas de gobernanza en la nube

Con la información de la evaluación de riesgos, el equipo ahora formula directivas para controlar esos riesgos. Para cada riesgo significativo o grupo de riesgos, debe haber una o varias directivas de gobernanza correspondientes. Al documentar las directivas de gobernanza en la nube, tenga en cuenta los procedimientos recomendados siguientes:

Diagrama que muestra el proceso para configurar y mantener la gobernanza en la nube. En el diagrama se muestran cinco pasos secuenciales: crear un equipo de gobernanza de la nube, evaluar riesgos en la nube, documentar directivas de gobernanza de la nube, aplicar directivas de gobernanza de la nube y supervisar el cumplimiento de la nube. El primer paso que realice una vez. Los cuatro últimos pasos que se realizan una vez para configurar la gobernanza de la nube y mantener continuamente la gobernanza en la nube.

1. Establecer un formato de directiva estándar y un idioma

Cree una plantilla o formato coherentes para todas las directivas. Cada documento de directiva (o sección) debe incluir elementos clave, como identificador, instrucción y ámbito. Use un lenguaje claro e inequívoco. Las políticas están pensadas para ser referencias autoritativas, por lo que deben ser fáciles de entender sin posibilidad de interpretación incorrecta. Por ejemplo, decida el texto estándar como "debe" o "no debe" para los requisitos, y evite términos imprecisos. Un formato estandarizado, como una directiva con identificador, categoría y propósito, facilita la navegación y el mantenimiento de las directivas.

2. Definición de directivas de gobernanza en la nube

Cree directivas de gobernanza en la nube que describen cómo usar y administrar la nube para mitigar los riesgos. Minimice la necesidad de actualizaciones frecuentes de directivas. Para definir directivas de gobernanza en la nube, siga estas recomendaciones:

1. Use un ID de política. Use la categoría de directiva y un número para identificar de forma única cada directiva, como SC01 para la primera directiva de gobernanza de seguridad. Incremente el identificador secuencialmente a medida que se agregan nuevos riesgos. Si elimina riesgos, puede dejar huecos en la secuencia o usar el número más bajo disponible.

2. Incluya la declaración de política. Cree declaraciones de directiva específicas que aborden los riesgos identificados. Use un lenguaje definitivo, como debe, debería, no debe, y no debería. Use los controles de cumplimiento de la lista de riesgos como punto de partida. Céntrese en los resultados en lugar de en los pasos de configuración. Asigne un nombre a la herramienta necesaria para la aplicación para saber dónde supervisar el cumplimiento.

3. Incluya un identificador de riesgo. Enumere el riesgo en la directiva. Asocie cada directiva de gobernanza de la nube a un riesgo.

4. Incluya la categoría de directiva. Incluya categorías de gobernanza, como seguridad, cumplimiento o administración de costos, en la categorización de directivas. Las categorías ayudan a ordenar, filtrar y buscar directivas de gobernanza en la nube.

5. Incluya el propósito de la directiva. Indique el propósito de cada directiva. Use el riesgo o el requisito de cumplimiento normativo que cumple la directiva como punto de partida.

6. Defina el ámbito de la política. Defina a qué y a quién se aplica esta directiva, como todos los servicios en la nube, las regiones, los entornos y las cargas de trabajo. Especifique las excepciones para asegurarse de que no haya ambigüedad. Use lenguaje estandarizado para que sea fácil ordenar, filtrar y buscar directivas.

7. Incluya las estrategias de corrección de directivas. Defina la respuesta deseada a una infracción de una directiva de gobernanza en la nube. Adapte las respuestas a la gravedad del riesgo, como programar discusiones para infracciones en entornos no productivos y esfuerzos inmediatos para la corrección de infracciones en entornos productivos.

Para obtener más información, consulte el ejemplo de directivas de gobernanza en la nube.

3. Distribuir directivas de gobernanza en la nube

Conceda acceso a todos los usuarios que necesiten cumplir las directivas de gobernanza en la nube. Busque formas de facilitar el cumplimiento de las directivas de gobernanza en la nube para las personas de su organización. Para distribuir directivas de gobernanza en la nube, siga estas recomendaciones:

1. Use un repositorio de directivas centralizado. Use un repositorio centralizado y fácilmente accesible para toda la documentación de gobernanza. Asegúrese de que todas las partes interesadas, los equipos y las personas tengan acceso a las versiones más recientes de directivas y documentos relacionados.

2. Cree listas de comprobación de cumplimiento. Proporcione información general rápida y accionable de las directivas. Facilite que los equipos cumplan sin tener que navegar por una extensa documentación. Para obtener más información, consulte la lista de comprobación de cumplimiento de ejemplo.

4. Revisión de las directivas de gobernanza de la nube

Evalúe y actualice las directivas de gobernanza de la nube para asegurarse de que siguen siendo relevantes y eficaces en el gobierno de los entornos en la nube. Las revisiones periódicas ayudan a garantizar que las directivas de gobernanza de la nube se alineen con los requisitos normativos cambiantes, las nuevas tecnologías y los objetivos empresariales en constante evolución. Al revisar las directivas, tenga en cuenta las siguientes recomendaciones:

1. Implementar mecanismos de comentarios. Establecer formas de recibir comentarios sobre la eficacia de las directivas de gobernanza en la nube. Recopile información de las personas afectadas por las directivas para asegurarse de que todavía puede hacer su trabajo de forma eficaz. Actualice las directivas de gobernanza para reflejar desafíos y necesidades prácticos.

2. Establecer revisiones basadas en eventos. Revise y actualice las directivas de gobernanza en la nube en respuesta a eventos, como una directiva de gobernanza errónea, un cambio tecnológico o un cambio de cumplimiento normativo.

3. Programar revisiones periódicas. Revise periódicamente las directivas de gobernanza para asegurarse de que se alinean con las necesidades, los riesgos y los avances en la nube en constante evolución. Por ejemplo, incluya revisiones de gobernanza en las reuniones periódicas de gobernanza de la nube con las partes interesadas.

4. Facilitar el control de cambios. Incluya un proceso para la revisión y las actualizaciones de directivas. Asegúrese de que las directivas de gobernanza de la nube se mantengan alineadas con los cambios organizativos, normativos y tecnológicos. Deje claro cómo editar, quitar o agregar políticas.

5. Identificar ineficacias. Revise las directivas de gobernanza para buscar y corregir ineficacias en la arquitectura y las operaciones en la nube. Por ejemplo, en lugar de exigir que cada carga de trabajo debe usar su propio firewall de aplicaciones web, actualice la directiva para requerir el uso de un firewall centralizado. Revise las directivas que requieren un esfuerzo duplicado y vea si hay una manera de centralizar el trabajo.

Ejemplo de directivas de gobernanza en la nube

Las siguientes directivas de gobernanza en la nube son ejemplos de referencia. Estas directivas se basan en los ejemplos de la lista de riesgos de ejemplo.

Paso siguiente