Criar uma equipa de governação da cloud

Governança de nuvem é como uma organização controla seu uso de serviços de nuvem estabelecendo guarda-corpos. Estas barreiras de proteção são um conjunto de políticas, procedimentos e ferramentas que definem atividades cloud aceitáveis e inaceitáveis. A governança eficaz da nuvem alinha o uso da nuvem com os objetivos de negócios, reduz os riscos, garante a conformidade regulatória e evita ações não gerenciadas ou não autorizadas na nuvem. Na prática, a governação da cloud abrange domínios-chave, como segurança, conformidade regulatória, operações, gestão de custos, gestão de dados, provisionamento de recursos e até áreas emergentes como a IA.

Links rápidos:Ferramentas de governação do Azure e Exemplo de matriz RACI de governação

Processo de governação: A governança de nuvem não é um projeto único, mas um processo contínuo. Após a configuração inicial, requer monitoramento, avaliação e atualizações contínuas para se adaptar às novas tecnologias, à evolução dos riscos e às mudanças nos requisitos. Após estabelecer a base de governação no Passo 1, os Passos 2-5 repetem-se num ciclo para sustentar e melhorar a governação ao longo do tempo.

O primeiro passo é estabelecer uma equipe dedicada de governança de nuvem para supervisionar a governança de nuvem em toda a organização. Essa equipe é responsável por gerenciar riscos relacionados à nuvem, desenvolver e atualizar políticas de governança e relatar o progresso da governança. Os membros da equipe devem entender as necessidades de várias unidades de negócios e garantir que as políticas de governança minimizem efetivamente os riscos sem bloquear as metas de negócios. O resultado desta etapa é ter uma propriedade e responsabilidade claras para o sucesso da governança da nuvem.

1. Definir a função da equipa

Descreva claramente pelo que a equipe de governança de nuvem é responsável e quais atividades ela realizará para implementar a governança. No mínimo, a equipa deve ser capaz de:

1. Envolva as partes interessadas. A equipe de governança de nuvem deve envolver ativamente as partes interessadas em toda a organização (TI, finanças, operações, segurança e conformidade) para coletar informações sobre a definição de políticas de governança de nuvem. O objetivo é garantir que as políticas de governança da nuvem minimizem os riscos sem impedir que as equipes atinjam as metas de negócios.

2. Avalie os riscos da nuvem. A equipe de governança da nuvem deve supervisionar a identificação e a avaliação dos riscos relacionados à nuvem. A equipa conduz os processos de avaliação de riscos e comunica os resultados dos riscos. Eles podem fornecer ferramentas ou estruturas para que outras pessoas avaliem riscos de segurança, conformidade e operacionais na nuvem.

3. Desenvolver e atualizar políticas de governança. A equipe de governança de nuvem deve documentar as políticas de governança de nuvem que abordam os riscos identificados. A equipe resolve quaisquer desafios que essas políticas criem para vários grupos e revisa periodicamente as políticas para mantê-las atualizadas com as mudanças tecnológicas e novos requisitos. As políticas devem ser abrangentes, aplicáveis e alinhadas com as necessidades atuais dos negócios.

4. Monitorar e revisar a conformidade. A equipe de governança de nuvem precisa estabelecer métricas e métodos de relatórios para medir a eficácia das políticas de governança. Rastreie os níveis de conformidade, violações de políticas, tempos de resposta a incidentes e até mesmo a satisfação do usuário. Reveja regularmente estas métricas para identificar áreas a melhorar e reporte sobre a postura de governação cloud da organização.

2. Selecione os membros da equipe

Escolha indivíduos para a equipe de governança de nuvem que tenham as habilidades e a experiência certas para aplicar políticas, gerenciar riscos e garantir a conformidade. Algumas recomendações para a composição da equipa:

1. Mantenha uma equipa pequena. Escolha uma pequena equipa para incentivar a agilidade e uma tomada de decisão mais rápida.

2. Assegurar uma representação diversificada. Inclua membros da equipe de diferentes departamentos ou domínios. Por exemplo, operações de TI, arquitetura de nuvem, segurança, conformidade, finanças e talvez desenvolvimento de aplicativos. A representação interfuncional assegura que as políticas de governação consideram múltiplas perspetivas.

3. Definir as responsabilidades dos membros da equipa. Defina as funções e responsabilidades dentro da sua equipe de governança de nuvem. Adapte-os ao tamanho, complexidade e maturidade da nuvem da sua organização. As principais áreas de responsabilidade normalmente incluem o sucesso geral do programa de governança de nuvem, supervisão da arquitetura de nuvem, segurança de nuvem, conformidade regulatória e gerenciamento financeiro de nuvem (otimização de custos).

3. Definir a autoridade da equipa

Capacite a equipe de governança de nuvem com o mandato e o suporte necessários para implementar a governança em toda a organização. As etapas para fazer isso incluem:

1. Garantir patrocínio executivo. Obtenha suporte e reporte a um executivo nomeado, como o CIO ou o CTO, para apoiar a iniciativa de governança de nuvem. O patrocinador executivo serve como um ponto de escalonamento para desafios e ajuda a alinhar a governança da nuvem com os objetivos de negócios.

2. Estabeleça níveis de autoridade. O patrocinador executivo deve conceder à equipe a autoridade para definir políticas de governança de nuvem e tomar medidas corretivas para não conformidade.

3. Comunicar autoridade. O patrocinador executivo deve comunicar a autoridade da equipe de governança de nuvem para toda a organização. Inclua a importância de aderir às políticas de governança de nuvem que eles criam.

4. Definir o âmbito da equipa

Estabeleça os limites das responsabilidades da equipe de governança de nuvem. O objetivo é esclarecer áreas de responsabilidade para que a equipe de governança de nuvem possa se concentrar em suas funções definidas. Para definir o escopo, siga estas recomendações:

1. Definir relacionamento com outras equipes. Determine como a equipa de governação da cloud irá interagir com a governação de TI existente, equipas de infraestrutura on-premises ou equipas de carga de trabalho. Por exemplo, em um ambiente híbrido, especifique quais são os aspetos que a equipa de governança de nuvem deve lidar em comparação com a governança de TI tradicional. Delimitar claramente o âmbito evita confusão sobre quem gere o quê.

2. Use uma matriz RACI. Pode ser útil criar um gráfico RACI (Responsável, Responsável, Consultado, Informado) que mapeie as tarefas relacionadas à governança e quem está envolvido. Por exemplo, a equipe de governança de nuvem pode ser responsável pelo desenvolvimento de políticas, enquanto os engenheiros de plataforma de nuvem são responsáveis pela implementação de controles específicos, e assim por diante. Uma matriz RACI garante que todos saibam sua parte na governança da nuvem e como a equipe de governança colabora com outros grupos.

Exemplo de matriz RACI de governança de nuvem

A tabela a seguir é um exemplo de uma matriz RACI para governança de nuvem. A matriz indica quem é responsável (R), quem presta contas (A), quem é consultado (C) e quem é informado (I) em várias tarefas de governação na nuvem. Crie uma matriz RACI que se alinhe à sua organização e atenda às suas necessidades específicas.

Ter essa matriz ajuda a esclarecer quem faz o quê. Por exemplo, a Equipe de Governança de Nuvem é responsável (A) pela avaliação de riscos de nuvem, mas as equipes de Plataforma de Nuvem e Carga de Trabalho são responsáveis (R) por realizar avaliações de risco em suas áreas. A equipa de Governação da Nuvem é consultada (C) ou responsável pela aplicação, mas são as equipas de plataforma e de cargas de trabalho que a realizam.

Uma vez que as funções, os membros, a autoridade e o âmbito da equipa estão estabelecidos, criou uma base para a governação em nuvem. Essa equipe agora conduzirá as próximas etapas: definir políticas, aplicá-las e monitorar a conformidade.

Próximo passo