事實表明，企業不僅可以在公有云環境中安全運營關鍵工作負載，而且還可以減輕IT合規性負擔。

毫無疑問，公有云提供了更高的速度、敏捷性、可擴展性、按需付費，以及基于消費的定價。這些是大多數想要更好地運營業務并采用云計算新的業務模式的企業正在尋求的屬性。大多數企業將數字化轉型視為創新和創造差異化價值的基礎，他們也意識到IT基礎設施現代化是數字化轉型的必要條件，而公有云為基礎設施的現代化提供了絕佳機會。很多企業在公有云上運行一些主要工作負載。然而在金融服務、保險或電信等受監管行業，在采用公有云運營關鍵工作負載的速度方面通常落后于中小型企業。有許多知名的初創公司在云中誕生。然而，很少有企業將關鍵型工作負載廣泛應用在公有云。

企業級計算在公有云上全面應用的障礙常常圍繞著企業級、加固的計算環境的需求而被提及，該運營環境圍繞安全性、隱私性、合規性、彈性和運營準備度提供持續的保證。公有云提供商具有良好的物理安全性，并且有更多安全運營的證據，可與企業的內部部署數據中心相媲美。云計算提供商迅速采取行動以應對其負責的云平臺出現的安全威脅。然而，在應用程序的運營環境中，通常認為擁有工作負載的客戶有責任處理有關安全和數據保護的保證，但對控制的一致性并不總是那么可靠。云計算提供商在過去通常是提供各種低成本、低消費壁壘的計算平臺，而不一定是為個別客戶強化應用程序工作負載環境。一些云計算提供商已經認識到企業級計算對于運營環境的需求，并開始為這樣的工作負載認證他們的環境。

多年來，很多企業已經在內部部署數據中心開發和強化了運營環境，這些環境符合他們對安全性、合規性、性能、彈性、災難恢復等方面的控制要求。很多企業嘗試在公有云中尋找相同類型的運營環境，并且經常由于缺乏對在那里運行的工作負載的透明度和控制度而受到阻礙。因此，很多企業不愿意遷移到公有云。各種研究表明，在已遷移到云平臺的關鍵企業工作負載中，這一數字不到30%。企業花費了數年時間來開發一個他們現在可以信任的環境，并確信這是一個完全由他們控制的安全操作環境。他們普遍的感覺是，這種受控的環境無法復制到內部部署數據中心之外。隨著云計算服務提供商意識到需要更加關注為客戶的應用程序工作負載提供企業級計算的運營環境，這種看法正在發生變化。公有云提供商越來越意識到他們需要提供滿足企業計算需求的運營環境，并正在采取措施提供被認為值得“受監管的工作負載”的運營環境。

實際考慮

為了緩解和降低進入公有云的風險，并開始實現快速上市，企業需要考慮以下一些問題：

(1)從證明其運營環境可以輕松滿足和展示符合行業標準的IT控制應用的云計算提供商開始。例如，很多企業尋求采用與治理、風險和合規性(GRC)管理相關的行業最佳實踐的云計算提供商合作，并已建立一個受控框架，以確保可追溯性和控制符合性的證據，以及持續的合規性。企業應查看為自己的數據中心工作負載實施的控制，并將其映射到云計算提供商環境中的控制，以查看這些控制是否已經到位，或者在持續合規性的情況下建立所需控制的速度有多快。在通常情況下，企業應用程序需要幾個月的時間才能通過認證以投入生產。在公有云環境中，已經有一個框架來建立對客戶工作負載以及云平臺提供服務的企業控制的合規性，可以顯著地減少這一時間以實現云計算運營環境的真正好處。

(2)企業應為其團隊制定一份全面的風險和控制評估手冊，可以管理確定控制范圍、數據分類、合規要求、準備情況評估和驗收標準。這一手冊將有助于避免每個團隊從頭開始。企業應根據工作負載和數據存儲特性集中評估控制措施。這應該使用云計算提供商的評估框架來完成，而不是讓分散在風險和合規范圍內的小組來查看他們的控制措施是否與其他小組重疊，并且通常以人工方式使用不同的電子表格。

(3)企業架構師和基礎設施架構師應利用由云計算提供商提供的參考架構來設計彈性、安全的環境，并從轉型項目的藍圖階段開始規劃生產級準備。他們應該規劃管理區域和工作負載區域的明確分離，以便在環境中建立明確的職責分離，并且管理活動可以與生產活動區分開來并且易于審計。應用程序團隊在構建應用程序后經常會面臨這一事實，這導致許多周期被用于生產環境的重新設計。云計算由于其靈活性，使其使用和資源配置變得非常容易。但是，如果事后對運營環境進行了強化，則可能會導致應用程序在最終用戶面前出現顯著延遲。

(4)企業應該建立一個輕量級和敏捷的治理框架，創建和推廣經過驗證的公有云基礎設施和服務的使用模式，這些基礎設施和服務經過強化和審查，并符合企業自身的控制。公有云有一個龐大的目錄，包含數百種具有不同成熟度的服務，通常來自各種第三方提供商。在通常情況下，大多數工作負載會根據企業中現有的穩定性、受歡迎程度和技能基礎使用這些服務的一小部分。作為公有云之旅的一部分，企業應建立自己的內部的云服務目錄，并為其應用程序團隊提供指導。隨著其他使用模式的確定，該目錄應該不斷發展和補充。企業應該進行自己的概念驗證，以從安全、隱私和合規性角度評估使用的可行性，然后再將其開放給應用程序團隊廣泛使用。關鍵方面包括使用諸如本機加密和保留密鑰、傳輸級別加密等構造的服務，以及多個云計算提供商區域中的可用性。這些關鍵方面是建立強化運行時環境所需的良好屬性。

(5)企業應采用公有云中現成的眾多工具進行安全開發和部署的實踐。云計算提供標準的構建和部署管道、內置漏洞檢查和靜態代碼分析。企業應指導應用程序團隊在開發生命周期的早期引入安全原則。企業不應僅僅將工作負載從現有運營環境中遷移出來，并將其特征反映在公有云上。相反，他們應該靈活地重新設計，并構建成為獨立的可擴展、可觀察、有彈性、功能不同的組件。降低公有云的成本不應始終是決定性因素，在獲得速度和敏捷性的同時需要優先考慮安全性、合規性和可審計性。

結論

本文探討了在風險管理、合規性、安全性、隱私和運營彈性方面使用全面的企業范圍方法。通過這種方法，企業不僅可以在公有云環境中運營其關鍵工作負載獲得信心，而且還可以在他們踏上公有云之旅的過程中減輕IT合規性負擔。