事實表明，企業(yè)不僅可以在公有云環(huán)境中安全運營關鍵工作負載，而且還可以減輕IT合規(guī)性負擔。

　　毫無疑問，公有云提供了更高的速度、敏捷性、可擴展性、按需付費，以及基于消費的定價。這些是大多數(shù)想要更好地運營業(yè)務并采用云計算新的業(yè)務模式的企業(yè)正在尋求的屬性。大多數(shù)企業(yè)將數(shù)字化轉型視為創(chuàng)新和創(chuàng)造差異化價值的基礎，他們也意識到IT基礎設施現(xiàn)代化是數(shù)字化轉型的必要條件，而公有云為基礎設施的現(xiàn)代化提供了絕佳機會。很多企業(yè)在公有云上運行一些主要工作負載。然而在金融服務、保險或電信等受監(jiān)管行業(yè)，在采用公有云運營關鍵工作負載的速度方面通常落后于中小型企業(yè)。有許多知名的初創(chuàng)公司在云中誕生。然而，很少有企業(yè)將關鍵型工作負載廣泛應用在公有云。

　　企業(yè)級計算在公有云上全面應用的障礙常常圍繞著企業(yè)級、加固的計算環(huán)境的需求而被提及，該運營環(huán)境圍繞安全性、隱私性、合規(guī)性、彈性和運營準備度提供持續(xù)的保證。公有云提供商具有良好的物理安全性，并且有更多安全運營的證據(jù)，可與企業(yè)的內部部署數(shù)據(jù)中心相媲美。云計算提供商迅速采取行動以應對其負責的云平臺出現(xiàn)的安全威脅。然而，在應用程序的運營環(huán)境中，通常認為擁有工作負載的客戶有責任處理有關安全和數(shù)據(jù)保護的保證，但對控制的一致性并不總是那么可靠。云計算提供商在過去通常是提供各種低成本、低消費壁壘的計算平臺，而不一定是為個別客戶強化應用程序工作負載環(huán)境。一些云計算提供商已經認識到企業(yè)級計算對于運營環(huán)境的需求，并開始為這樣的工作負載認證他們的環(huán)境。

　　多年來，很多企業(yè)已經在內部部署數(shù)據(jù)中心開發(fā)和強化了運營環(huán)境，這些環(huán)境符合他們對安全性、合規(guī)性、性能、彈性、災難恢復等方面的控制要求。很多企業(yè)嘗試在公有云中尋找相同類型的運營環(huán)境，并且經常由于缺乏對在那里運行的工作負載的透明度和控制度而受到阻礙。因此，很多企業(yè)不愿意遷移到公有云。各種研究表明，在已遷移到云平臺的關鍵企業(yè)工作負載中，這一數(shù)字不到30%。企業(yè)花費了數(shù)年時間來開發(fā)一個他們現(xiàn)在可以信任的環(huán)境，并確信這是一個完全由他們控制的安全操作環(huán)境。他們普遍的感覺是，這種受控的環(huán)境無法復制到內部部署數(shù)據(jù)中心之外。隨著云計算服務提供商意識到需要更加關注為客戶的應用程序工作負載提供企業(yè)級計算的運營環(huán)境，這種看法正在發(fā)生變化。公有云提供商越來越意識到他們需要提供滿足企業(yè)計算需求的運營環(huán)境，并正在采取措施提供被認為值得“受監(jiān)管的工作負載”的運營環(huán)境。

　　實際考慮

　　為了緩解和降低進入公有云的風險，并開始實現(xiàn)快速上市，企業(yè)需要考慮以下一些問題：

　　(1)從證明其運營環(huán)境可以輕松滿足和展示符合行業(yè)標準的IT控制應用的云計算提供商開始。例如，很多企業(yè)尋求采用與治理、風險和合規(guī)性(GRC)管理相關的行業(yè)最佳實踐的云計算提供商合作，并已建立一個受控框架，以確?？勺匪菪院涂刂品闲缘淖C據(jù)，以及持續(xù)的合規(guī)性。企業(yè)應查看為自己的數(shù)據(jù)中心工作負載實施的控制，并將其映射到云計算提供商環(huán)境中的控制，以查看這些控制是否已經到位，或者在持續(xù)合規(guī)性的情況下建立所需控制的速度有多快。在通常情況下，企業(yè)應用程序需要幾個月的時間才能通過認證以投入生產。在公有云環(huán)境中，已經有一個框架來建立對客戶工作負載以及云平臺提供服務的企業(yè)控制的合規(guī)性，可以顯著地減少這一時間以實現(xiàn)云計算運營環(huán)境的真正好處。

　　(2)企業(yè)應為其團隊制定一份全面的風險和控制評估手冊，可以管理確定控制范圍、數(shù)據(jù)分類、合規(guī)要求、準備情況評估和驗收標準。這一手冊將有助于避免每個團隊從頭開始。企業(yè)應根據(jù)工作負載和數(shù)據(jù)存儲特性集中評估控制措施。這應該使用云計算提供商的評估框架來完成，而不是讓分散在風險和合規(guī)范圍內的小組來查看他們的控制措施是否與其他小組重疊，并且通常以人工方式使用不同的電子表格。

　　(3)企業(yè)架構師和基礎設施架構師應利用由云計算提供商提供的參考架構來設計彈性、安全的環(huán)境，并從轉型項目的藍圖階段開始規(guī)劃生產級準備。他們應該規(guī)劃管理區(qū)域和工作負載區(qū)域的明確分離，以便在環(huán)境中建立明確的職責分離，并且管理活動可以與生產活動區(qū)分開來并且易于審計。應用程序團隊在構建應用程序后經常會面臨這一事實，這導致許多周期被用于生產環(huán)境的重新設計。云計算由于其靈活性，使其使用和資源配置變得非常容易。但是，如果事后對運營環(huán)境進行了強化，則可能會導致應用程序在最終用戶面前出現(xiàn)顯著延遲。

　　(4)企業(yè)應該建立一個輕量級和敏捷的治理框架，創(chuàng)建和推廣經過驗證的公有云基礎設施和服務的使用模式，這些基礎設施和服務經過強化和審查，并符合企業(yè)自身的控制。公有云有一個龐大的目錄，包含數(shù)百種具有不同成熟度的服務，通常來自各種第三方提供商。在通常情況下，大多數(shù)工作負載會根據(jù)企業(yè)中現(xiàn)有的穩(wěn)定性、受歡迎程度和技能基礎使用這些服務的一小部分。作為公有云之旅的一部分，企業(yè)應建立自己的內部的云服務目錄，并為其應用程序團隊提供指導。隨著其他使用模式的確定，該目錄應該不斷發(fā)展和補充。企業(yè)應該進行自己的概念驗證，以從安全、隱私和合規(guī)性角度評估使用的可行性，然后再將其開放給應用程序團隊廣泛使用。關鍵方面包括使用諸如本機加密和保留密鑰、傳輸級別加密等構造的服務，以及多個云計算提供商區(qū)域中的可用性。這些關鍵方面是建立強化運行時環(huán)境所需的良好屬性。

　　(5)企業(yè)應采用公有云中現(xiàn)成的眾多工具進行安全開發(fā)和部署的實踐。云計算提供標準的構建和部署管道、內置漏洞檢查和靜態(tài)代碼分析。企業(yè)應指導應用程序團隊在開發(fā)生命周期的早期引入安全原則。企業(yè)不應僅僅將工作負載從現(xiàn)有運營環(huán)境中遷移出來，并將其特征反映在公有云上。相反，他們應該靈活地重新設計，并構建成為獨立的可擴展、可觀察、有彈性、功能不同的組件。降低公有云的成本不應始終是決定性因素，在獲得速度和敏捷性的同時需要優(yōu)先考慮安全性、合規(guī)性和可審計性。

　　結論

　　本文探討了在風險管理、合規(guī)性、安全性、隱私和運營彈性方面使用全面的企業(yè)范圍方法。通過這種方法，企業(yè)不僅可以在公有云環(huán)境中運營其關鍵工作負載獲得信心，而且還可以在他們踏上公有云之旅的過程中減輕IT合規(guī)性負擔。