云安全知识证书 (CCSK v5) 官方学习指南

第 2 章. 云和 IT 治理的原则

本作品已使用人工智能进行翻译。欢迎您提供反馈和意见：[e-mail]

作为领导者，你要为整个团队定下基调。传达你的愿景。

科林-鲍威尔

科林-鲍威尔（Colin Powell）的这段话描述了整个组织对治理的需求。有关公司如何运营（公司治理）、IT 系统如何采购和运行（IT 治理）以及云服务如何采购和安全的一切，都要归结到良好的治理。

在第1章中，你看到了一些我称之为 "云灾难 "的例子。这些都是由于公司没有重视 SSRM 中自己的部分而造成的。

怎样才能帮助解决这些问题？适当的管理，这就是本章的主题。治理是基调。没有治理，你的手中就会有一个狂野的西部。如果没有被称为策略的指令性控制措施传达给每个人，人们就不会知道在构建或管理云服务时应该做什么。本章稍后将讨论策略，但目前这些策略仅被称为指令控制。策略指导人们了解对他们和他们所构建的系统的期望。

那么，治理到底是什么呢？嗯，它有许多不同的定义，但让我们从《牛津英语词典》中的定义开始：

治理一个国家、一个人、一项活动、一个人的愿望等的行为或事实：方向、规则；监管。

好的。所以，基本上，治理就是管理某件事情。

公司治理

现在，让我们深入了解一下什么是公司治理。让我们来看看信息系统审计与控制协会（ ，现称为 ISACA）在其最新（2019 年）版本的《信息及相关技术控制目标》（COBIT）中对治理这一主题的阐述，，因为它是这一问题的权威来源：

治理确保对利益相关者的需求、条件和选择进行评估，以确定要实现的均衡、一致的企业目标；通过优先排序和决策来确定方向；并根据一致同意的方向和目标来监控绩效和合规性。

在谈及公司治理时，ISACA 帮助对治理一词的传统定义增加了一些细节。公司治理是指管理公司以实现大目标，同时监督这些目标的合规性。

图 2-1是公司治理结构的直观描述。

图 2-1. 公司治理

各领域的职责如下：

董事会和委员会

提供战略监督，制定目标，确保执行管理层与股东和利益相关者的利益保持一致。委员会（如审计、风险）专门负责特定的治理领域。

价值观和道德规范

确定组织的道德标准和文化期望。在企业各个层面倡导诚信、透明和负责任的决策。

策略和监管框架

制定内部策略，确保遵守外部法律法规。提供治理和运营控制的结构化方法。值得注意的是，这被称为指令性控制。它指导个人必须做什么来支持治理。我将在第 3 章介绍不同的控制类型和类别。

风险管理

识别、评估和降低可能影响组织目标和可持续发展的风险。做出明智的决策，提高应变能力。

问责制

确保个人和团体对其行动和决定负责。鼓励主人翁精神、绩效跟踪和道德行为。

监测和内部控制

实施评估绩效和确保遵守策略的流程。帮助发现偏差、实施控制和支持持续改进。

IT 治理

现在我们来谈谈信息技术治理。以下是全球领先的研究和咨询公司 Gartner 在其官方 IT 术语表中对 IT 治理的定义：

IT 治理（ITG）的定义是：，确保有效和高效地使用 IT 使组织实现其目标的流程。

最新版本的 COBIT 核心模型 包括 40 个用于建立 IT 治理的治理和管理目标，这些目标分为五个领域。图 2-2显示了这些领域的高级视图。作为 CCSK 考试的一部分，这些内容不会对你进行测试，但了解 ...