概述
企業往往需要應對來自企業外部和內部的審計合規要求。
- 企業外部的三方審計認證機構會依據國家法律法規和行業標準對企業進行審計評測，要求企業在管理IT系統時具備足夠的可見和可控性，如必須保留180天及以上的審計日志。外部審計評測不通過則很可能會影響企業的經營資質和正常的商業活動。
- 而在企業內部IT運維團隊和安全合規團隊往往承擔著巨大的風險。為了充分利用云的靈活性和敏捷性，企業將業務搬遷上云。相比于傳統云下的IT系統，運維團隊面對更龐大的IT規模、更復雜的拓撲關系、更高頻的運維動作，這使每天的運維工作潛藏著巨大的風險，也讓安全合規團隊的監管工作面臨更大的挑戰。一旦運維管控或安全監管不充分，就很容易發生錯誤操作、失誤操作、遺漏操作，致使業務中斷或重要業務數據泄露，使企業遭受巨大損失。
阿里云建議企業通過審計合規能力構建一個可見、可控、可追溯的安全運維環境：
- 可見：可見的才是可控的，企業首先要確保能看到IT資源清單、IT資源狀態、IT資源的詳細配置、IT資源拓撲關系，以及實時的運維動作及資源變更。
- 可控：在企業的運維團隊管控云上IT資源的整個過程中，在合適的環節設置卡點。阻止紅線行為的發生，及時發現并修復非法配置。
- 可追溯：記錄云上管控的整個過程并長期留存，這對于故障排查和歷史問題回溯有必不可少的作用。也讓企業能夠基于歷史不斷完善和優化運維框架。
如果把企業運行在云上的業務比作行駛在高速上的車隊，那審計合規就是高速護欄、違章攝像頭和行車記錄儀，這會使企業IT運維團隊和安全合規團隊有可見的抓手和可控的手段，是使自身工作低風險進行所必需的能力。
- 審計：客觀記錄云上IT運維的全過程，并做長期留存。
- 合規：通過限制和持續監控，確保IT配置始終符合合規預期。
示例
X企業在上云之初啟用了完整的審計合規能力，在后續長達數年的持續運營中，依賴審計數據和合規能力解決諸多問題。
- 在上云之初開始記錄云上IT的操作日志并長期留存。這些日志一方面可以滿足三方審計的要求（留存180天及以上的審計日志），另一方面通過對歷史日志的建模分析得到該企業的安全運維數據畫像，該畫像將有助于在后續運維中及時發現異常的來訪IP和異常的管控動作，及時制止風險發生。
- 企業持續記錄云上資源的配置變更歷史。即便是某些資源已經被釋放，仍然能在數月后回溯當時保有的資源以及資源的詳細配置，包括資源全生命周期的變更和標簽信息。
- 測試業務在云上運行一段時間后，在正式業務上云之前，X企業先在云上實施了最基本的合規管控策略，讓業務一開始就跑在一個可控環境下：
- 除了指定的幾個用戶和角色，禁止授予其他用戶角色Admin權限
- 禁止授權中出現“*”
- 限定資源采購的地域、規格、數量
- 除了指定的幾個用戶和角色，其他人禁止采購和釋放資源
- 強制設定強密碼策略
- 必須開啟基礎計算、存儲資源的刪除保護功能
- .......
審計合規工具
IT運維團隊管理云上資源的過程中，有三個關鍵環節：事前限制、事中及時發現和修復、事后審計記錄，對應的環境在阿里云上都有匹配的云服務或功能。
- 事前限制：禁止零容忍違規的發生，禁止修復成本極高的違規發生。
- 事中發現和修復：在日常管控中需保留足夠的靈活度，所以并不是所有事情都能一開始被攔截禁止，那就需要在靈活管控的過程中及時發現不合規問題并快速響應修復。
- 事后審計記錄：無論企業是否實現了事前限制和事中發現修復，事后審計都是最基本的手段，確保在問題暴露出來后有線索可排查和追溯。
關于合規策略的設計將在第5章運營治理中詳細闡述。合規策略的本質目的是實現長期的持續的風險控制，通過禁止違規操作、及時發現并修復非法配置來保證云上IT的配置始終符合運維團隊的預期要求，避免IT配置失誤造成的數據泄露或業務中斷等。
合規策略的制定需要充分考慮在企業不同的發展階段所面對的潛在風險，識別風險、量化風險、制定合規策略、建立流程確保合規策略的運轉，這是另一個龐大的方法體系。這對于企業在云上長期的安全穩定至關重要，更多信息請您參閱第5章運營治理。
使用限制