QCon上海站购票倒计时最后3天!查看精彩日程 了解详情
写点什么

在云中自动实现合规性的 3 个好处

2019 年 11 月 08 日

在云中自动实现合规性的 3 个好处

“建立声誉需要 20 年的时间,而毁掉声誉只需 5 分钟。” — Warren Buffett


在我的技术生涯中,我一直支持遵从性和安全需求。在某些情况下,这些要求是极其苛刻的 - 例如,当我的团队为国防部审核做准备时,花费了几个月的时间,超出了我们时间的 50%。但是,在几乎所有的情况下,我都能够促进使用自动化的解决方案来使我们的生活更轻松,同时提高我们的安全性和遵从性水平。现今,移至云为您提供了明显改善合规性工作的可能性,而不需要在人力和成本上有同样的显著提升。


我来解释一下 –

合规官通常负责评估和管理企业财务、组织和声誉的风险。在企业环境中,这是一项艰巨的任务,因为人员、流程和技术的复杂性,加上跨行业和地理区域的监管差异。


企业和合规性之间也存在着一种天然的紧张关系。企业必须进行产品创新并改善客户体验。另一方面,合规性团队专注于限制或防止风险暴露,这可能与引入新产品和新特性相冲突。这就是合规性团队经常寻求维持现状的原因。底线是企业和合规性之间的自然紧张关系 - 有时运行状况 - 可能会导致关系紧张并经常导致成本增加,以及减慢上市速度。


通常,合规性团队会进行年度合规性评估、撰写报告和设定补救目标。随后,为业务和技术团队提供对任何发现结果进行补救的时间安排。产品经理和技术领导者了解合规性的重要性,但他们通常将评估视为“练习”并且从价值生成中分散注意力。对他们来说,企业领导者担心年度合规性报告的结果,因为他们认为这些“非功能性”要求会将资源重定向到未来几个季度的战略路线图中未包含的事情上。此外,在开发过程中,合规性常常被作为事后的补充。但遗憾的是,经验告诉我们,如果放任不管,合规性问题最终可能会转化为技术债务。


尽管合规性过程通常被认为是繁重的,但结果可以为客户增加有意义的价值。实际上,根据法律和道德的考虑,合规性应该被看作是一种质量的度量,确保了良好的客户体验,特别是在审查包含了安全性、可靠性和响应性的情况下。您的云策略可在这里扮演重要角色 - 方式是转化企业和合规性利益相关者之间的关系,从而改善企业及其客户的结果。更具体地说,通过在产品或服务生命周期的早期包含合规性要求,您可确保您满足政策和法规目标,同时改善您的价值主张。


方法如下 –

首先,迁移到 AWS 是一种直接的节省。在我自己的云之旅中,我发现 AWS 责任共担模式可让我们获益。以前,我们必须管理物理基础设施才能确保法规遵从性。当我们不得不采购硬件以支持技术计划时,这就造成了额外的延迟。它也总是增加我们的运营负担,因为它通常意味着基础设施团队的工作更多,而不需要额外的人员。通过将我们的工作负载迁移到云,我们将维护一个安全的、合规的物理基础设施的责任转移给了 AWS,从而带来了我们永远无法提供的资源和专业知识。换句话说,我们能够提升我们的能力,同时减少我们必须自己保护的表面积。这为我们的运营团队腾出了时间来专注于其他的增值工作,例如,创建其他自动化。



AWS 责任共担模型


其次,将工作负载转移到云可鼓励更大的自动化。可以基于标准化的和经过批准的模板部署环境,然后可以进行版本控制。此概念称为“基础设施即代码”,安全性和合规性的好处是深远的。在将基础设施作为代码进行管理时,可使用脚本自动验证基础设施来确保遵循安全最佳实践。AWS 还支持在 AWS Config 中定义可自动验证的合规性规则。因此,在使用自动化时,合规性团队可在每次系统更改时验证法律和安全需求,而不是依赖于定期的系统审查。此外,合规性和安全性测试自动化可推入软件开发过程中,并有可能在部署到生产环境之前防止策略违规。最后,可以在每日的报告中捕捉到这些发现,并发送到一个将问题分配给某个特定个体的票证系统,甚至可以触发一个自动修复响应。例如,Capital One 已开发出名为云 Custodian 的规则引擎,此引擎用于在其云平台中定义策略并以编程方式强制实施策略。


第三,当自动化过程或手动审查发现问题时,可更轻松地部署补救措施。例如,在基础设施存在漏洞的情况下,基础设施模板可在代码中进行修改并将自动应用于所有未来的实现。如果应用程序中存在此问题,则可通过将修复部署到应用程序,或通过实现补偿控件 (例如,将规则添加到 AWS Web 应用程序防火墙) 来缓解风险。


随着时间的推移,您的云策略可形成一种积极的合规性文化,将合规性和安全性作为增值的以客户为中心的活动。当您的产品团队在产品待办事项列表中将合规性要求作为用户案例包含时,或当开发人员定期向其软件开发过程添加与合规性相关的测试时,您将实现此里程碑。


如果您已在 AWS 中实现合规性过程的自动化,或者您想要了解有关此主题的更多信息,请告诉我。与此同时,这里还有一些其他的资源可能会有所帮助 –


自动在 AWS 上执行管理


如何监控 AWS 账户配置更改和对 Amazon EC2 安全组的 API 调用


AWS 上的 DevSecOps 简介 — Slideshare


期待再次相会,


– Thomas


thoblood@amazon.com


@groberstiefel


http://aws.amazon.com/enterprise/


本文转载自 AWS 技术博客。


原文链接:


https://amazonaws-china.com/cn/blogs/china/3-benefits-of-automatically-implementing-compliance-in-the-cloud/


2019 年 11 月 08 日 08:00242

欲了解 AWS 的更多信息,请访问【AWS 技术专区】

评论

发布
暂无评论
发现更多内容

linux之iconv命令

入门小站

Linux

学生管理系统详细设计

缘分呐

设计 学生管理系统架构

☕【JVM 技术指南】「理论总结笔记」Java 虚拟机垃圾回收认知和调优的"思南(司南)"【下部】

李浩宇/Alex

ZGC JVM G1垃圾回收器 9月日更

【架构实战营作业】模块三:学生管理系统架构设计文档

聆息

JavaScript 进阶(下)

Augus

JavaScript 9月日更

我在产品岗位上的一些思考

石云升

产品思维 产品思考 9月日更

Supervisor 基础配置

耳东@Erdong

Supervisor 9月日更

微前端拆分实践

Teobler

前端 服务拆分

从特岗教师的需求金字塔,重新理解乡村、教育和科技

脑极体

算法裁员,释放出了哪些“恶之花”?

脑极体

hutool如何实现数据导出到Excel

卢卡多多

hutool 数据导出 9月日更

聊一聊芯片上电复位和掉电检测

不脱发的程序猿

嵌入式 硬件开发 芯片上电 上电复位 掉电检测

17. 关于超人工智能来临,霍金的忧虑

数据与智能

人工智能

枚举在 Golang 中的实现

baiyutang

Go 9月日更

链路压测中如何记录每一个耗时的请求

FunTester

性能测试 接口测试 测试框架 FunTester 链路压测

架构实战训练营|作业|模块3

Frode

架构实战

MySQL事务学习笔记

风翱

MySQL 9月日更

怎样才能写好前端页面,css书写顺序和布局真的有那么重要吗

前端史塔克

CSS html 前端 结构

XLSX海量数据复杂填充解决方案

九叔

中间件 EasyExcel Apache POI java核心

【直播预告】从校园学习到职场实践——淘系技术开学季特别分享系列

阿里巴巴淘系技术

程序员 应聘tips

WEB全屏API简介及示例

devpoint

web api 9月日更

在线JSON转sarcastic工具

入门小站

工具

架构实战营模块三作业

michael

#架构实战营

Python——Map-Reduce

在即

9月日更

【Vuex 源码学习】第二篇 - vuex 插件安装 install 逻辑

Brave

源码 vuex 9月日更

网络攻防学习笔记 Day136

穿过生命散发芬芳

vpn 9月日更 恶意代码

Sentinel 常用流控算法

Z

sentinel 流控算法 服务监控 服务降级 流控

内网渗透攻击技术的利用

网络安全学海

网络安全 信息安全 渗透测试 WEB安全 安全漏洞

推荐一个Mac端的截图工具

IT蜗壳-Tango

9月日更

测试需求分析如何做

刘帅强

【LeetCode】寻找峰值Java题解

HQ数字卡

算法 LeetCode 9月日更

在云中自动实现合规性的 3 个好处-InfoQ