Cómo diseñar e implantar un marco de Cloud Governance Framework

Una estrategia de gestión de la nube debe incorporar 6 aspectos clave de Cloud Governance Framework, esenciales para establecer controles adecuados y optimizar el uso de los servicios en cloud: gestión financiera, gestión de operaciones, gestión de seguridad y cumplimiento, gestión de datos, gestión del rendimiento, gestión de activos y configuraciones.

Estos elementos no son objetivos independientes y aislados, sino que se influyen y, en algunos casos, se limitan entre sí. La gestión de datos y la seguridad están entrelazadas. La gestión de operaciones y los controles de costos se superponen y se influyen mutuamente, mientras que la gestión de operaciones también ayuda a dar forma a cómo una empresa implementa políticas de gestión del ciclo de vida de los datos. Los desarrolladores y los gerentes de productos pueden elegir un servicio especializado de protección de pérdida de datos para aumentar la seguridad.

Veamos cada uno de los 6 aspectos de Cloud Governance Framework y cómo lograrlos:

1. La gestión de seguridad y cumplimiento normativo

Cloud Governance Framework incluye los mismos temas de seguridad que se encuentran en cualquier esfuerzo de seguridad empresarial: evaluación de riesgos, gestión de identidad y acceso, cifrado de datos y gestión de claves, seguridad de aplicaciones, planificación de contingencia y muchas otras áreas. Desde una perspectiva de gobernanza, los objetivos de las prácticas de seguridad de la información están conformados por una combinación de objetivos empresariales y regulaciones.

Al formular prácticas de seguridad de la información, es importante entender que se necesitarán elegir compromisos entre la rapidez empresarial y los riesgos de seguridad. Por ejemplo, se puede intentar eliminar todas las vulnerabilidades moderadas y graves en las aplicaciones, pero esto implicará desviar los recursos de TI del desarrollo de nuevas funciones a la corrección de vulnerabilidades de código. Se debe equilibrar el desarrollo de productos y otras consideraciones empresariales con las regulaciones gubernamentales y de seguridad que se aplican a la empresa.

Un Cloud Governance debe construirse sobre políticas y Cloud Governance Framework existentes, incluyendo la ciberseguridad, la privacidad y la gestión de riesgos. Por ejemplo, los recursos de ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST) señalan marcos para esos tres aspectos. Además, se deben aprovechar los servicios de seguridad especializados de los proveedores de Cloud  pública para mitigar el riesgo de fugas de datos, ataques de denegación de servicio y otros riesgos comunes.

2. Gestión financiera

Los proveedores de servicios en Cloud y sus defensores argumentan con razón que estos servicios tienen más sentido económico que comprar y administrar su propia infraestructura. Sin embargo, esto solo es cierto si se controlan de manera efectiva los costos en Cloud con políticas y reportes diligentes.

Las políticas de gestión financiera proporcionan un marco para tomar decisiones empresariales sobre los recursos en Cloud. La mayoría de los proveedores de Cloud proporcionan herramientas de informes de costos. Si estos no satisfacen sus necesidades, busque servicios de terceros para llenar esa brecha.

Configure políticas realistas en torno a alertas de costos. Si su entorno en Cloud supera el 50% de su presupuesto solo unos días después del comienzo del mes, una alerta le da tiempo para ajustar su infraestructura y uso de servicios. Muchas alertas reflejan el uso y gasto en tiempo real, pero otras pueden llegar después de que se haya superado un umbral de gasto, por lo que es importante crear presupuestos y políticas que le den flexibilidad adicional.

3. Gestión de operaciones

Cloud Governance Framework se enfoca en controlar cómo los recursos en Cloud ofrecen servicios. Para lograr esto, es necesario:

• Definir reglas y procesos que controlen la creación de nuevas aplicaciones o cargas de trabajo que se ejecuten en Cloud.
• Establecer acuerdos de nivel de servicio (SLAs) para asignar recursos.
• Implementar el código de la aplicación en varios entornos, especialmente en los entornos de producción.
• Monitorear el estado de los servicios para garantizar que se cumplan los SLAs.

En el caso de que un desarrollador o gerente de producto pregunte, «¿cómo podemos entregar esta nueva aplicación a nuestros clientes?», la respuesta debe encontrarse en una política de operaciones bien definida, que incluya cómo coordinarse con el equipo de operaciones, cómo especificar los requisitos de gestión de identidad y acceso, cómo estimar los requisitos de cómputo, almacenamiento y redes, y cómo cumplir con los requisitos de monitoreo y registro.

Además, una práctica clara y bien definida de gestión de operaciones es una de las mejores formas de evitar que las operaciones de TI en la sombra se filtren en su entorno en Cloud. Un buen monitoreo de costos y de rendimiento también puede ayudar a identificar cuándo se despliegan recursos en Cloud fuera de los procedimientos operativos normales.

4. Gestión de datos

La gestión de datos dentro de Cloud Governance Framework se vuelve cada vez más difícil a medida que se expande la capacidad de recolectar, almacenar y analizar datos. Por lo tanto, su estrategia y prácticas de gobierno deben incluir una guía clara para manejar todo el ciclo de vida de los datos en su organización.

Comience con un esquema de clasificación de datos. No todos los datos tienen el mismo valor o necesitan niveles comparables de seguridad. Los datos sensibles y confidenciales requieren más controles de seguridad que la información pública. La mejor práctica para los datos en cloud es cifrar todos los datos en tránsito y en reposo, considere esto como su comportamiento predeterminado. Otros controles, como quién puede acceder o actualizar tipos de datos particulares, variarán según la clasificación de datos y los requisitos funcionales en torno a cómo se utiliza la información.

Las políticas de gobierno ayudan a los propietarios de datos, gerentes de productos y desarrolladores de aplicaciones a comprender cómo proteger los datos en función de su clasificación. Esto incluye orientación sobre cómo gestionar el ciclo de vida de los datos, como cuánto tiempo almacenar los datos y cuándo mover los datos de sistemas de almacenamiento de alto rendimiento (y alto costo) a sistemas de archivo de menor costo.

La gestión manual del ciclo de vida de los datos no se escala bien y es propensa a errores. Aproveche las herramientas de gestión de datos de los proveedores de cloud para migrar automáticamente los datos a diferentes sistemas de almacenamiento o eliminar los datos que ya no sean útiles.

5. Rendimiento en la informática

El manejo del rendimiento en la informática en Cloud Governance Framework se enfoca en monitorear las aplicaciones y los recursos de infraestructura para garantizar que se entreguen los niveles esperados de servicios de TI y un uso eficiente de la infraestructura en cloud.

Las métricas de rendimiento de las aplicaciones varían según la aplicación.

Algunas de las más comunes incluyen:

• Latencia para recuperar datos, cargar páginas web o llamar a una función de API;
• Número de transacciones de base de datos por período de tiempo; y
• Número de usuarios conectados.

Además, se deben crear alertas que notifiquen a los gerentes de aplicaciones y a los equipos de soporte cuando un servicio no funcione como se espera.

La monitorización de la infraestructura es particularmente importante para controlar los costos en Cloud. Una de las principales ventajas de cloud es la capacidad de escalar y ajustar los recursos a los niveles de carga de trabajo, por lo que en cualquier momento debería tener suficientes recursos de computación y almacenamiento para manejar la carga de trabajo existente y evitar recursos infrautilizados.

6. Gestión de activos y configuración

Un gran desafío para las organizaciones es mantener una variedad dinámica de recursos de infraestructura en cloud dentro de los límites de lo que esperan desplegar. Los desarrolladores y los ingenieros de cloud pueden implementar manualmente una máquina virtual para una necesidad ad hoc y olvidarse de apagarla, lo cual no es una gran preocupación. Sin embargo, los equipos deben confiar en procesos controlados para implementar grandes clústeres o utilizar servicios en cloud de alto costo.

Una forma de gestionar la infraestructura es utilizando infraestructura como código (IaC). En lugar de que los ingenieros de cloud inicien y detengan los recursos, IaC especifica qué se debe ejecutar o implementar en su entorno para admitir la aplicación. La aplicación IaC puede monitorear el estado de la infraestructura, que es distinto del estado de la configuración. Si varía del estado deseado, como si algunas máquinas virtuales fallan, puede devolver su infraestructura al estado deseado automáticamente.

La gestión de la configuración también ayuda a las organizaciones a controlar el uso y almacenamiento de secretos, como credenciales y claves de cifrado. Utilice repositorios centralizados para almacenar secretos, en lugar de prácticas inseguras como credenciales de inicio de sesión en scripts o programas, que pueden ser visibles para cualquier persona con acceso al script.