如今，數(shù)據(jù)中心管理人員正在不斷地與面臨的風(fēng)險(xiǎn)進(jìn)行戰(zhàn)斗。除了使用有限的電力和制冷系統(tǒng)將計(jì)算資源在有限的空間發(fā)揮到極致之外，他們的工作還要確保計(jì)算資源能夠不間斷性運(yùn)作。這意味著需要識別和管理各種來源的風(fēng)險(xiǎn)。
基于標(biāo)準(zhǔn)的風(fēng)險(xiǎn)管理方法可以幫助解決這一挑戰(zhàn)。它可以幫助數(shù)據(jù)中心管理人員優(yōu)先考慮其重大風(fēng)險(xiǎn)，并為數(shù)據(jù)中心或關(guān)鍵環(huán)境審計(jì)做好準(zhǔn)備。那么具體是從哪兒開始?
了解不同類型的風(fēng)險(xiǎn)
在能夠管理數(shù)據(jù)中心風(fēng)險(xiǎn)之前，必須了解不同類別的操作威脅。法國跨國IT咨詢機(jī)構(gòu)凱捷公司的GIO英國高級派送中心經(jīng)理Kevin Read主要負(fù)責(zé)管理其組織中的數(shù)據(jù)中心風(fēng)險(xiǎn)，該機(jī)構(gòu)擁有并運(yùn)營自己的數(shù)據(jù)中心設(shè)施為客戶提供服務(wù)。他指出了數(shù)據(jù)中心管理人員擔(dān)心的幾個(gè)風(fēng)險(xiǎn)類別。
他警告說："關(guān)鍵任務(wù)型數(shù)據(jù)中心面臨的首要風(fēng)險(xiǎn)類別是電力中斷。這種風(fēng)險(xiǎn)對于每個(gè)數(shù)據(jù)中心來說都是存在的，而風(fēng)險(xiǎn)管理框架將其納入其中。像許多其他數(shù)據(jù)中心一樣，凱捷公司使用等級對風(fēng)險(xiǎn)進(jìn)行評級，這有助于揭示諸如此類的破壞性風(fēng)險(xiǎn)。"
"凱捷公司按照Tier 3標(biāo)準(zhǔn)設(shè)計(jì)和建設(shè)了數(shù)據(jù)中心設(shè)施，采用'N + 1'和'N + N'冗余的UPS供電系統(tǒng)為客戶提供，并為機(jī)架設(shè)備和冷卻系統(tǒng)提供不間斷電源。"Read說，"此外，將不同來源電力提供給數(shù)據(jù)中心，可防止本地發(fā)生的電力故障，而采用備用發(fā)電機(jī)是最后的技術(shù)保障手段。"
第二個(gè)風(fēng)險(xiǎn)是火災(zāi)，由數(shù)據(jù)中心內(nèi)部的IT設(shè)備故障導(dǎo)致服務(wù)中斷。他補(bǔ)充說，該公司在所有數(shù)據(jù)中心所有房間內(nèi)布置使用惰性氣體滅火系統(tǒng)，以便在火災(zāi)蔓延前撲滅。
"第三個(gè)風(fēng)險(xiǎn)類別是洪水(河水上漲和雷電、暴雨等極端天氣)、飛機(jī)、傳染病以及空氣污染，"他繼續(xù)說。 "數(shù)據(jù)中心建設(shè)場地不應(yīng)該選擇建在飛行路線上，或者是靠近洪水風(fēng)險(xiǎn)區(qū)域，以及靠近污染或可能含有爆炸性化學(xué)物質(zhì)的工廠。"
最后，讀取指向安全是第四個(gè)風(fēng)險(xiǎn)類別。這其中包括物理安全和邏輯安全漏洞(黑客)的風(fēng)險(xiǎn)。該公司甚至將恐怖主義威脅納入這一風(fēng)險(xiǎn)類別。
像其他類別的風(fēng)險(xiǎn)一樣，安全性自然會分解成許多子類別，而這些分類可以進(jìn)一步分化。例如，在邏輯安全性中，管理人員可以將員工對應(yīng)用程序的訪問視為特定的風(fēng)險(xiǎn)區(qū)域，并將移動(dòng)設(shè)備訪問作為另一個(gè)風(fēng)險(xiǎn)區(qū)域。
一些風(fēng)險(xiǎn)隨著新技術(shù)的出現(xiàn)而成為主流。例如，CA 技術(shù)公司安全解決方案總監(jiān)Paul Ferron警告說，虛擬化應(yīng)用是一種特殊的安全隱患。他警告說，這種經(jīng)常被描述為管理和資源風(fēng)險(xiǎn)的現(xiàn)象也可能對數(shù)據(jù)安全造成影響。
"虛擬機(jī)可以很容易地被復(fù)制在沒有適當(dāng)?shù)?a href=http://www.90chu.com/index.php?m=content&c=index&a=infolist&typeid=1&siteid=1&type=keyword&serachType=2&key=%E5%AE%89%E5%85%A8 style='color:#57A306' target='_blank'>安全特權(quán)時(shí)，"他警告說。 "當(dāng)用戶在使用結(jié)束后，它們可能不會被關(guān)閉。"
在這種情況下，與許多其他方案一樣，為某些操作設(shè)計(jì)安全過程有助于規(guī)范虛擬化技術(shù)，并降低通過網(wǎng)絡(luò)進(jìn)入漏洞的風(fēng)險(xiǎn)，使用IT服務(wù)管理工具來編纂和自動(dòng)化這些流程，這進(jìn)一步減少了風(fēng)險(xiǎn)。
云計(jì)算托管商Pulsant公司首席技術(shù)官M(fèi)att Lovell在這些風(fēng)險(xiǎn)組合中還增加了健康和安全風(fēng)險(xiǎn)。
他警告說，這些風(fēng)險(xiǎn)都是多方面的，工作人員將面對從電氣實(shí)踐和機(jī)械操作安全，到環(huán)境和噪聲控制，以及在空間有限的領(lǐng)域工作的挑戰(zhàn)。
他說："這需要對合規(guī)性和安全性進(jìn)行大量的工作測量，以確保在環(huán)境中所有工作人員面臨最小的風(fēng)險(xiǎn)。"
風(fēng)險(xiǎn)管理方法
這些風(fēng)險(xiǎn)并不都是平等的。其中，有些風(fēng)險(xiǎn)會比其他風(fēng)險(xiǎn)更有威脅，而有些風(fēng)險(xiǎn)可能會有更大的潛在影響。因此，人們需要從預(yù)算視角來了解哪些優(yōu)先事項(xiàng)是這個(gè)進(jìn)程的重要組成部分。
Ferron建議數(shù)據(jù)中心管理人員使用傳統(tǒng)風(fēng)險(xiǎn)管理矩陣最新版本來評估同時(shí)存在風(fēng)險(xiǎn)的概率以及潛在的業(yè)務(wù)影響。"這將是一個(gè)三維圖形，"他補(bǔ)充說，三維圖形可以表明減輕相關(guān)風(fēng)險(xiǎn)的預(yù)計(jì)支出。
讀取操作也具有類似的方法，旨在識別和量化風(fēng)險(xiǎn)及其潛在的緩解成本。值得注意的是，他的風(fēng)險(xiǎn)管理系統(tǒng)被設(shè)計(jì)成一個(gè)隨時(shí)間推移而不斷變化的文件。
他說："在凱捷公司，我們制定了一個(gè)月度風(fēng)險(xiǎn)管理系統(tǒng)，將所有風(fēng)險(xiǎn)和問題記錄在遏制和行動(dòng)計(jì)劃中。但這需要更改投資預(yù)算".
雖然數(shù)據(jù)中心面臨著自己獨(dú)特的風(fēng)險(xiǎn)，但用于管理數(shù)據(jù)中心的方法并不只是針對這種環(huán)境。更通用的風(fēng)險(xiǎn)管理方法適合描述和處理數(shù)據(jù)中心的風(fēng)險(xiǎn)，因?yàn)轱L(fēng)險(xiǎn)在其他領(lǐng)域也是如此。
Lovell說，這個(gè)通用的風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)是ISO 31000：2009.該標(biāo)準(zhǔn)規(guī)定了風(fēng)險(xiǎn)管理的一般原則和準(zhǔn)則，旨在根據(jù)每個(gè)用戶認(rèn)為合適的風(fēng)險(xiǎn)類型進(jìn)行調(diào)整。它更符合風(fēng)險(xiǎn)管理框架，但Lovell表示，它也可用于審計(jì)數(shù)據(jù)中心內(nèi)的審計(jì)風(fēng)險(xiǎn)防范。
他說："審計(jì)程序必須設(shè)法確定正確的響應(yīng)程序是否到位，這些都是由員工排練和理解的，這將隨時(shí)間而改變，因此必須不斷更新。".
數(shù)據(jù)中心不能單獨(dú)發(fā)揮作用。它們存在于一個(gè)更廣泛的連續(xù)的技術(shù)與商業(yè)目標(biāo)。風(fēng)險(xiǎn)管理技術(shù)將成為一個(gè)更廣泛風(fēng)險(xiǎn)管理的一部分。特別是大公司將會探索各種風(fēng)險(xiǎn)，從財(cái)務(wù)到監(jiān)管和組織。
數(shù)據(jù)中心的風(fēng)險(xiǎn)在多大程度上與公司不同。在凱捷公司的案例中，數(shù)據(jù)中心管理人員負(fù)責(zé)該設(shè)施的安全，并將管理每月的風(fēng)險(xiǎn)和問題流程。數(shù)據(jù)中心管理人員連同其英國數(shù)據(jù)中心主管一起，每月都會與首席財(cái)務(wù)官團(tuán)隊(duì)進(jìn)行會議溝通，以預(yù)測任何重大風(fēng)險(xiǎn)支出。
Pulsant公司的Lovell說，數(shù)據(jù)中心合規(guī)團(tuán)隊(duì)通常會以某種形式向董事會匯告。"這個(gè)團(tuán)隊(duì)有向董事會成員提交管理和報(bào)告的責(zé)任和義務(wù)。這可能與其他可能通過各種項(xiàng)目或組織結(jié)構(gòu)報(bào)告的IT治理計(jì)劃不同。"他說。
Lovell補(bǔ)充說，在理想情況下，在管理風(fēng)險(xiǎn)和報(bào)告結(jié)果時(shí)應(yīng)該分擔(dān)責(zé)任。"建議始終是適當(dāng)?shù)毓芾盹L(fēng)險(xiǎn)，這應(yīng)該涉及監(jiān)控和提供數(shù)據(jù)中心服務(wù)的運(yùn)營團(tuán)隊(duì)之外的獨(dú)立管理和驗(yàn)證水平。這可以是獨(dú)立的內(nèi)部或外部治理團(tuán)隊(duì)。"
選擇審計(jì)方法
這里的關(guān)鍵詞是驗(yàn)證。量化，優(yōu)先排序和降低風(fēng)險(xiǎn)是風(fēng)險(xiǎn)管理挑戰(zhàn)的一部分，但衡量數(shù)據(jù)中心在這些領(lǐng)域的業(yè)績是該過程的重要組成部分。對風(fēng)險(xiǎn)進(jìn)行審計(jì)將有助于內(nèi)部員工和潛在客戶(如有必要)了解如何在數(shù)據(jù)中心的運(yùn)營中控制各種風(fēng)險(xiǎn)來源。
在選擇審計(jì)以彌補(bǔ)數(shù)據(jù)中心的風(fēng)險(xiǎn)之前，管理人員必須了解自己想要實(shí)現(xiàn)的目標(biāo)。風(fēng)險(xiǎn)審計(jì)是否以客戶為導(dǎo)向?如果是，客戶正在尋找什么具體的標(biāo)準(zhǔn)?是否有客戶希望獲得特定的數(shù)據(jù)中心打擊的風(fēng)險(xiǎn)管理指標(biāo)?
數(shù)據(jù)中心的風(fēng)險(xiǎn)緩解服務(wù)供應(yīng)商也可能會進(jìn)行審計(jì)。Read說，例如，凱捷公司的數(shù)據(jù)中心由其本集團(tuán)和政府客戶以及凱捷公司的保險(xiǎn)公司定期進(jìn)行審核。
審計(jì)標(biāo)準(zhǔn)
風(fēng)險(xiǎn)審計(jì)面臨的最大挑戰(zhàn)之一是所涉風(fēng)險(xiǎn)類別的多樣性。很難在一個(gè)標(biāo)準(zhǔn)下對所有這些風(fēng)險(xiǎn)進(jìn)行審核，這意味著數(shù)據(jù)中心管理人員在進(jìn)行審核時(shí)可能需要采用各種標(biāo)準(zhǔn)。
在考慮安全性時(shí)，ISO 27002標(biāo)準(zhǔn)涵蓋了信息安全管理的實(shí)踐守則。它對各種不同的方面進(jìn)行規(guī)范，包括人力資源安全，物理和環(huán)境安全以及訪問控制。
支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)(PCI-DSS)也涵蓋了信息安全，這是一個(gè)高度規(guī)范的標(biāo)準(zhǔn)，重點(diǎn)是數(shù)據(jù)中心信用卡數(shù)據(jù)的組織和保留。它涵蓋了安全網(wǎng)絡(luò)的建設(shè)和維護(hù)，漏洞的管理以及網(wǎng)絡(luò)和系統(tǒng)監(jiān)控等。
對于處理政府部門信息的商業(yè)運(yùn)營商而言，可能需要進(jìn)行其他審核。在英國，List X是承包商處理政府?dāng)?shù)據(jù)的通常理解的安全許可系統(tǒng)，而在美國，F(xiàn)acility Clearance Levels是備選方案。
"從健康和安全的角度來看，許多數(shù)據(jù)中心運(yùn)營商正在努力做到符合OHSAS18001的標(biāo)準(zhǔn)，OHSAS18001是國際公認(rèn)的衛(wèi)生和安全管理及相關(guān)系統(tǒng)標(biāo)準(zhǔn)。"Lovell補(bǔ)充說。
環(huán)境保護(hù)審核往往低于ISO14001標(biāo)準(zhǔn)。數(shù)據(jù)中心不妨考慮這種審計(jì)標(biāo)準(zhǔn)和環(huán)境風(fēng)險(xiǎn)，在現(xiàn)場儲存大量柴油來處理發(fā)電機(jī)的要求可采用這種標(biāo)準(zhǔn)。
利益相關(guān)者
Tenable網(wǎng)絡(luò)安全公司的技術(shù)總監(jiān)Gavin Millard表示，在定義和降低風(fēng)險(xiǎn)方面，通常有多個(gè)利益相關(guān)者參與其中，該公司銷售旨在掃描網(wǎng)絡(luò)以進(jìn)行安全威脅的軟件。他將利益相關(guān)者分為三個(gè)主要組織：安全團(tuán)隊(duì)，運(yùn)營團(tuán)隊(duì)和業(yè)務(wù)部門。
問題是，并不是所有人都有相同的議程，他警告說："正如許多組織發(fā)現(xiàn)的那樣，每個(gè)組織的目標(biāo)和需求往往是相互沖突的，這就是為了減少每個(gè)特定組織的風(fēng)險(xiǎn)定義所需要的行動(dòng)。"他說。
這些沖突看起來像什么?一個(gè)例子涉及軟件補(bǔ)丁。這是減少組織安全風(fēng)險(xiǎn)的最有效方法之一。2013年7月，澳大利亞安全部門發(fā)布了一系列減輕網(wǎng)絡(luò)入侵的策略。補(bǔ)丁操作系統(tǒng)是這些措施之一，補(bǔ)丁應(yīng)用程序是另一個(gè)措施。該機(jī)構(gòu)表示，與此同時(shí)，應(yīng)用白名單和最小化管理權(quán)限將會消除85%的黑客攻擊。
問題在于，IT安全小組的重點(diǎn)是集中在消除攻擊者可能侵入的系統(tǒng)中的漏洞，從而可以減少數(shù)據(jù)泄露的風(fēng)險(xiǎn)。這需要它快速修補(bǔ)關(guān)鍵漏洞。相反，IT運(yùn)營團(tuán)隊(duì)需要盡量減少停機(jī)的風(fēng)險(xiǎn)，這意味著系統(tǒng)的任何更改必須進(jìn)行結(jié)構(gòu)化，計(jì)劃和控制。這可能會導(dǎo)致運(yùn)營團(tuán)隊(duì)要求不太頻繁的修補(bǔ)計(jì)劃來降低可用性風(fēng)險(xiǎn)。
企業(yè)的業(yè)務(wù)經(jīng)理有自己獨(dú)立的議程：維持底線并達(dá)到其業(yè)績目標(biāo)。所以他們只想要補(bǔ)丁部署，如果底線的利益超過完成工作的成本的話。
"相互沖突的目標(biāo)可能難以解決，但這樣做的最有效的方法之一是有一個(gè)高效的過程，不斷識別風(fēng)險(xiǎn)所在，"Millard說，"用戶還需要一種可預(yù)測的，可靠的更新系統(tǒng)的方法，而不影響組織的總體業(yè)務(wù)目標(biāo)。
那么有效管理風(fēng)險(xiǎn)就不僅僅是對數(shù)據(jù)中心的威脅進(jìn)行評估，而且還包括團(tuán)隊(duì)成員之間合作的意愿，以便所有的議程都能被愉快地容納。在某些情況下，這可能為新的工作實(shí)踐創(chuàng)造機(jī)會。
引入DevOps(開發(fā)/運(yùn)營)學(xué)科來簡化開發(fā)，測試和部署之間的工作流程，可能有助于緩解諸如Millard所描述的緊張關(guān)系。
與IT中的大多數(shù)事情一樣，有效的風(fēng)險(xiǎn)管理和以技術(shù)為重點(diǎn)的流程一樣，也是以人為本的流程。使用標(biāo)準(zhǔn)化方法和審計(jì)可以幫助量化數(shù)據(jù)中心面臨的風(fēng)險(xiǎn)，并可能影響未來的預(yù)算。它總是有助于衡量數(shù)據(jù)中心必須管理的內(nèi)容。
數(shù)字化要一盤棋更要各自為戰(zhàn)
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。