如何為云計(jì)算安全制定一個(gè)戰(zhàn)略

如何為云計(jì)算安全制定一個(gè)戰(zhàn)略

為云計(jì)算實(shí)施設(shè)計(jì)一個(gè)端到端的安全措施可從制定一個(gè)安全的戰(zhàn)略計(jì)劃入手。這個(gè)戰(zhàn)略計(jì)劃的結(jié)果就是形成在財(cái)務(wù)上和法務(wù)上保護(hù)組織所需的行政和管理控制措施。

保護(hù)云計(jì)算基礎(chǔ)設(shè)施可從提供治理、政策和/或規(guī)則、政策執(zhí)行以及確保如何保護(hù)信息的控制措施入手。設(shè)計(jì)和交付這樣一個(gè)戰(zhàn)略計(jì)劃的方法有很多個(gè)。在本文中，我們將介紹如何使用一個(gè)兩步法來(lái)制定這樣一個(gè)戰(zhàn)略。首先，我們將回顧一下如何理解一個(gè)組織的業(yè)務(wù)模式，然后就根據(jù)業(yè)務(wù)模式來(lái)制定一個(gè)云計(jì)算安全的戰(zhàn)略計(jì)劃。

了解你的業(yè)務(wù)模式

一個(gè)業(yè)務(wù)模式描述了一家組織如何創(chuàng)建、交付以及捕獲價(jià)值以保持競(jìng)爭(zhēng)力和盈利能力的基本原理。為了制定出最好的保護(hù)戰(zhàn)略，了解你的組織的業(yè)務(wù)模式是非常重要的，因?yàn)闃I(yè)務(wù)模式定義了業(yè)務(wù)和保護(hù)目標(biāo)的優(yōu)先級(jí)。

即使你的組織并沒(méi)有一個(gè)公開(kāi)發(fā)布的業(yè)務(wù)模式，也會(huì)有人能夠根據(jù)組織的業(yè)務(wù)策略進(jìn)行推斷來(lái)得出其業(yè)務(wù)模式，而組織的業(yè)務(wù)策略通常每年都會(huì)在組織內(nèi)部共享。所謂業(yè)務(wù)策略，就是指為企業(yè)提供長(zhǎng)期目標(biāo)、目的以及成果的計(jì)劃，進(jìn)而實(shí)現(xiàn)組織長(zhǎng)期的成功。目標(biāo)定義了組織的產(chǎn)出，并對(duì)其中的主要產(chǎn)出給出了量化指標(biāo)。目的則是提供了實(shí)現(xiàn)組織產(chǎn)出而需經(jīng)歷的可度量的步驟，它給出了實(shí)現(xiàn)目標(biāo)的最終產(chǎn)品，并確定了客戶(hù)的需求。通過(guò)綜合前者和現(xiàn)有的組織結(jié)構(gòu)圖與關(guān)鍵路徑問(wèn)題，就能夠建立一個(gè)組織的業(yè)務(wù)模式。

其結(jié)果就是一個(gè)標(biāo)識(shí)從業(yè)務(wù)到生產(chǎn)輸出所需輸入的框架。業(yè)務(wù)模式的輸入包括：關(guān)系、價(jià)值主張、關(guān)鍵活動(dòng)、關(guān)鍵資源、關(guān)鍵合作伙伴以及成本結(jié)構(gòu)。其輸出包括：渠道、收益流以及客戶(hù)群。

向業(yè)務(wù)模式靠齊是實(shí)現(xiàn)成功的關(guān)鍵因素。對(duì)于云計(jì)算或其它來(lái)說(shuō)，信息安全并不會(huì)驅(qū)動(dòng)業(yè)務(wù)發(fā)展，它會(huì)支撐業(yè)務(wù)發(fā)展。無(wú)論是主動(dòng)還是被動(dòng)的，有意識(shí)還是無(wú)意識(shí)的，我們制定信息安全的戰(zhàn)略、框架和路線圖都是為了支持業(yè)務(wù)，并最終支持業(yè)務(wù)的驅(qū)動(dòng)因素。業(yè)務(wù)驅(qū)動(dòng)因素形成了保護(hù)業(yè)務(wù)模式，而它也是業(yè)務(wù)模式和業(yè)務(wù)戰(zhàn)略的輸出。一個(gè)業(yè)務(wù)模式中包含了輸入和輸出的相同總體框架，其間的差異在于其重點(diǎn)是基于系統(tǒng)的保護(hù)。例如，有一家專(zhuān)業(yè)從事家庭酒類(lèi)遞送業(yè)務(wù)的公司。公司正在開(kāi)發(fā)一個(gè)客戶(hù)關(guān)系管理應(yīng)用程序，以便于讓客戶(hù)能夠與銷(xiāo)售人員就虛擬品酒、酒類(lèi)排名、酒類(lèi)搜索、提交貨款以及交付時(shí)間表等問(wèn)題進(jìn)行交互。從企業(yè)的角度來(lái)看，他們需要一個(gè)安全的應(yīng)用程序來(lái)保護(hù)客戶(hù)的個(gè)人資料數(shù)據(jù)，并滿(mǎn)足與支付卡行業(yè)規(guī)定相關(guān)的合同協(xié)議。但是，目前的網(wǎng)絡(luò)設(shè)計(jì)并不支持支付卡行業(yè)的隔離要求，那么就必須更新該網(wǎng)站的使用條款。價(jià)值主張支持全面的安全和風(fēng)險(xiǎn)管理計(jì)劃，它包括遠(yuǎn)景規(guī)劃、差距分析、項(xiàng)目管理、威脅建模以及安全措施設(shè)計(jì)等。

業(yè)務(wù)價(jià)值主張從本質(zhì)上來(lái)說(shuō)是動(dòng)態(tài)的，而保護(hù)計(jì)劃業(yè)務(wù)模式則是相對(duì)靜態(tài)的。關(guān)鍵資源是可控因素 (例如，團(tuán)隊(duì))，它提供了價(jià)值主張。關(guān)鍵合作伙伴是那些在企業(yè)內(nèi)部你希望他們提供業(yè)務(wù)驅(qū)動(dòng)因素的人。你的業(yè)務(wù)模式必須具有與支持業(yè)務(wù)和客戶(hù)相關(guān)的明確功能(例如人員、流程以及技術(shù)等)。

設(shè)計(jì)你的戰(zhàn)略

這個(gè)戰(zhàn)略是為支持實(shí)現(xiàn)組織目標(biāo)和解決差距問(wèn)題的一個(gè)計(jì)劃。這個(gè)戰(zhàn)略具體涉及：展示定位、驗(yàn)證動(dòng)機(jī)、設(shè)置活動(dòng)背景以及描述具體戰(zhàn)術(shù)等。它確定了支持組織業(yè)務(wù)戰(zhàn)略中所需的4w1h，即什么、誰(shuí)、如何以及為什么。你的戰(zhàn)略應(yīng)遵循組織的戰(zhàn)略，其生命周期可能更短。如果業(yè)務(wù)戰(zhàn)略的生命周期為3至4年，那么你的戰(zhàn)略應(yīng)為2至3年。在最后的一年，應(yīng)針對(duì)更新的組織戰(zhàn)略進(jìn)行重新評(píng)估和重新規(guī)劃。它是使用基于邏輯的價(jià)值鏈方法來(lái)建立的。

業(yè)務(wù)驅(qū)動(dòng)因素將推動(dòng)戰(zhàn)略水平發(fā)展。而在縱向上，客戶(hù)被影射并與驅(qū)動(dòng)因素相關(guān)聯(lián)。其結(jié)果是與業(yè)務(wù)一致的，并確保達(dá)成業(yè)務(wù)目標(biāo)。

保護(hù)云計(jì)算可從建立管理控制措施方面入手：業(yè)務(wù)模式與戰(zhàn)略。一經(jīng)查實(shí)，這些控制措施的目的就是要形成管理控制措施：政策、程序、標(biāo)準(zhǔn)以及指導(dǎo)原則。這些控制措施將形成發(fā)展路線圖和選擇與實(shí)施技術(shù)控制措施的戰(zhàn)術(shù)，其中包括：安全控制措施和符合業(yè)務(wù)戰(zhàn)略。這是一個(gè)針對(duì)云計(jì)算供應(yīng)商和客戶(hù)促進(jìn)端到端安全性的模式。（鄧林）