|
资料来源：https://cloud./strategy/ 编译：小智 大可  为了更新美国政府遗留的联邦云计算战略（“云优先”），美国政府制定了一项新战略——云智能，以加速机构采用基于云的解决方案。 云智能战略在其前身“云优先”发展近十年后，为各机构提供了可行的信息和建议，这些信息和建议来自美国一些最具影响力的公共和私营部门用例。《超越云优先》(Beyond Cloud First)战略授予各机构权力来采用基于云的解决方案，云智能为政府任务提供了切实可行的实施指导，以充分实现基于云技术的承诺和潜力，同时确保结合实际情况考虑执行。 新战略基于三个关键因素：安全性、采购和人员。总的来说，这些要素体现了联邦企业所需的跨学科IT现代化方法，以便为美国人民提供更高的投资回报，更高的安全性和更高质量的服务。 关键行动首席信息官委员会(CIO Council)制定了一份执行云智能战略的行动项目清单。这些行动将构成一项工作计划，旨在创建和更新整个政府将用于推进云智能议程的程序、政策和资源。 此外，所有联邦机构将对其应用程序组合进行合理化处理，以推动联邦云的采用。合理化过程将包括通过以下方式减少应用程序组合：1）评估应用程序的需求和使用情况; 2）丢弃过时、冗余或资源过于密集的应用程序。减少应用程序管理职责将使各机构能够通过优化其剩余的应用程序来专注于改进服务。 一、云概览重新定义云计算尽管“云”一词有广泛的用途，但“云”一词最准确地应用于那些体现了美国国家标准与技术研究院(NIST)定义的云计算的五个基本特征的解决方案:按需服务、广泛的网络访问、资源池、具备弹性和可测量的服务。 这些特性和解决方案与供应商无关，这意味着任何人（无论是外部供应商还是联邦机构）都可以开发和部署云解决方案。行业已经转向在不同系统层提供的更加精细的功能，这使得几乎任何由供应商、政府机构或两者混合管理的各种组合都成为可能。在技术创新方面处于领先地位的行业也证明，混合和多云环境可以有效地管理工作负载。因此，云智能战略鼓励机构将云看作一系列解决方案，这些解决方案提供许多功能和管理选项，以增强任务和服务交付。 此外，云智能的运作原则是，机构应该根据其服务和任务需求、技术要求以及现有的政策限制来评估其选项。计算和技术决策还应考虑客户对成本和网络安全风险管理标准的影响。代理机构需要权衡将应用程序按原样迁移到云环境的长期低效性与提前实现现代化或完全替换应用程序的成本。 满足云智能的云采用策略不应该围绕谁拥有哪些资源或存在预期的成本节约问题来开发。相反，机构应该评估他们的需求并寻求环境及解决方案、云计算或其他方式，以便能够实现目标，同时又能很好地管理纳税人的资源。 现代化与成熟化现代化是一种不断变化的状态，是每个机构日常技术业务的一部分。为了充分利用云技术，机构必须培养不断改进和学习的组织思维，关键是机构领导要优先考虑对员工的培训和教育，对其进行详细全面的迁移规划，平衡解决方案的可持续性与将新功能纳入机构运营环境这一重点。为此，各机构将需要不断改进政策、技术指导和业务需求，以适应不断变化的需求，推动取得积极的成果。 机构应定期评估客户体验和用户需求，以确保其解决方案可以提高效率并具有可访问性和隐私性。此外，机构应定期维护和更新其应用程序，根据需要进行迁移，以降低大规模故障的风险，更好地分配资源，并为员工提供足够的时间来熟悉当代产品的管理技术。各机构应该认真考虑和投资三个关键支柱： 安全、采购和劳动力。 鉴于云的分布式特性、可供选择的离散功能以及部署模型数量的不断增加，机构或可能会考虑将安全和隐私性移动添加到数据层本身。通过这样做，机构可以改善其整体安全和隐私状况，使其能够充分利用云技术确保数据的机密性和完整性。 为实现云基础架构具有的安全性、可扩展性和可快速上线等相关优势，机构应利用包括DevSecOps在内的成熟、敏捷的开发方式，因为使用人工智能和机器学习等自动化和辅助技术可以帮助机构进一步提高安全性。各机构还应定期审查其IT组合，以确定现有工具的现代化计划，并比较被指定为最佳（BIC）解决方案的潜在服务产品，以实现最大化的投资回报。 此外，为员工提供培训以及教育资源对于促进隐私，安全和采购领域的进步至关重要。作为任何现代化计划的一部分，机构IT人员应该熟悉精益产品管理、敏捷开发、持续交付以及团队和自动化基础设施。此外，支持隐私、安全和采购的非IT人员应该接受上述多个核心学科的培，这些员工培训领域的持续进步是成功实施云战略的基础。 根据《联邦信息技术收购改革法》的要求，机构首席信息官(CIO)应监督现代化进程以帮助企业寻找改进的机会。首席财务官的参与有助于为规划、评估和技术采用提供适当的预算。 二、安全机构应采取基于风险的方法来保护云环境。正如提交给总统的关于联邦IT现代化的报告所建议的那样，各机构应强调“数据级保护并充分利用现代虚拟化技术”。这就要求各机构除了重视网络和物理基础设施层外还应重视数据层的保护，并逐步过渡到多层防御即深度防御的策略。 在云智能环境中，此安全策略成功的关键是保证联邦信息的机密性、完整性和可用性。此外，机构必须持续监控以检测恶意活动，并致力于改进系统治理。 成功管理云采用的风险需要机构领导、任务所有者、技术从业者和治理机构之间的协作。信息安全和隐私程序之间的协调是必要的，以确保符合适用的隐私需求并成功地识别和管理个人在处理个人身份信息(PII)时面临的风险。 云智能鼓励机构根据预期的结果和功能来处理安全和隐私问题。联邦安全战略必须与技术进步一起发展，使各机构采取这种整体和结果驱动的方法。 可信的Internet连接 OMB备忘录M-08-059于2007年发布，为联邦机构制定了新的要求，旨在减少联邦范围内的外部网络连接数量，同时规范其安全性。自该政策发布以来，符合OMB要求的代理网络流量仅通过有限数量的外部连接（可信互联网连接（TIC））传输。 虽然这个最初的架构概念在开始时起了重要作用，但在这个网络受到物理限制以及网络安全代理方法限制，而不是标准化和高度分散限制的时代，技术领域已经发展出向机构提供更多工具和技术及保护数据的方法。 随着私有云服务的普及、软件定义网络的出现以及越来越多的员工，TIC模型必须与更新、更灵活的解决方案竞争，这些解决方案提供同等或更高的安全性。通过采取这些行动，扩大各机构保护其网络和数据的选择范围，联邦政府利用新模式(如零信任网络)的集体能力得到加强，因为零信任网络在管理风险方面具有效力。 数据保护意识 鉴于联邦所有数据从内部网络到外部终端用户设备的易流动性，加密现代身份凭证和对访问实施管理（ICAM）至关重要。在代理与外部服务提供商合作管理网络可见性和数据保护的情况下，加密和实施I CAM在基于云的环境中尤为重要。 为确保迁移过程期间及迁移之后信息安全的连续性，各机构有责任彻底评估其运营、政策和业务需求，并在与云服务提供商进行合作时进行宣传。无论提供者类型是商业机构还是联邦机构，都应该考虑与所有提供者就访问和使用日志数据达成协议。此外，由于每个机构都是代表公众保管其信息的机构，因此每个机构都有责任确定自己的云托管数据治理模型，该模型与其身份和凭证管理系统保持一致。为此，在供应商部署云解决方案的地方，应该有一个服务级别协议(SLA)，为代理提供对其信息的机密性、完整性和可用性的持续了解。 此外，在签署任何服务协议之前，应告知各机构其信息是否存在第三方信息系统；应向各机构提供对日志数据的连续访问；如果发生涉及与云服务提供商的服务协议涵盖的任何信息或信息系统的网络安全事件、违规或其他不利事件，必须及时通知。 为进一步加强持续的数据保护意识，各机构及其合作伙伴应定期进行互惠信息共享。网络安全需要公私合作，随着越来越多的联邦实体采用商业云解决方案，客户和提供商应共同努力保护信息。 联邦风险和授权管理计划（FedRAMP） 联邦风险和授权管理计划（FedRAMP）为云服务的安全评估、授权和持续监控提供了标准化方法。为云服务提供商提供通过标准化基线展示其满足联邦安全要求的能力机会，使得经过审查的提供商市场蓬勃发展。它还允许各机构能够以更快速、一致和安全的方式，从晦涩难懂的传统技术转向基于云的、以任务为中心的经济高效的系统。 在FedRAMP项目中增强工作人员在云安全方面的技能，将允许联邦政府在采用云系统时继续提高机构安全实践的效率和有效性，同时减轻安全专业人员、提供者和机构领导层的负担。组织一批专业人员，直接参与安全授权过程的各个方面，将有助于建立对云安全的全面的理解，并在共享ATOs时增强信任。此外，还鼓励各机构采用多学科方法雇用和培训其员工队伍，并为数字服务专家、信息安全专业人员、采购专家和其他有共同兴趣的人员提供社区空间。 三、采购由于私营部门普遍使用云计算，代理机构经常通过合同购买服务，这些合同虽然没有明确宣传其基于云的服务或功能，但涉及将代理信息放到基于云的系统中进行处理或存储。这一趋势带来了潜在的安全和隐私问题，并要求各机构更加关注专业服务合同，其中可能隐含着将联邦信息存储在非政府信息系统上。为应对这些挑战，各机构将需要使用各种方法，利用联邦政府的购买力，对知识共享及其他相关风险进行管理。 分类管理 分类管理描述了联邦政府正在实施的战略业务实践以购买更智能的产品。具体来说，政府的分类管理旨在：1)为联邦机构提供更多的储蓄、价值和效率；2)消除不必要的合同冗余；3)实现政府的小企业目标。 通过减少重复合同和降低投标、提案和合同管理的成本，类别管理简化了行业与政府开展业务的流程。它还为联邦政府提供了改进采购措施的机会，这些措施支持云智能策略，增加在联邦市场中采用经过验证的云计算方式，并开发新方式来满足新需求。 服务等级协定 客户和服务提供者之间的服务水平协议(SLA)定义了服务提供者期望的性能水平、如何度量该性能以及将使用什么强制机制来确保达到指定水平。云智能通过改进SLA，为跨联邦机构的更智能的云购买和使用提供了一种双轨方法。 首先，重要的是要注意，作为适用于FAR中商业项目的标准条款，候选者(包括新的SLA )通常必须满足以下标准中至少一个：（1）该条款必须实现适用于收购商业项目的法律条款；（2）该条款一般符合商业惯例。 其次，执行机构的负责人要对管理企业的风险负责，获取云服务的一个重要因素是明确云提供商所执行的服务以及在什么级别上执行服务。因此，为了通过与商业云服务提供商的关系促进有效的风险管理，机构应该明确阐明角色和职责，建立明确的绩效指标，并为不合规的计划实施补救。这样的治理、体系结构和操作清晰度将有助于确保按预期执行服务，并且在与正确的SLA语言配对时，将为代理机构提供一种方法来降低风险，同时优化其新购买的基于云解决方案的性能和效率。 合同的安全要求 在制定云采购和部署决策时，机构必须考虑和管理信息以及服务的安全和隐私风险。联邦CIO将此方法作为收购流程和系统开发生命周期的一部分，已发布更新的高价值资产（HVA）备忘录建立在之前的计划之上，并增加了跨混合环境管理风险的注意事项。机构现在必须确保影响其HVA的合同（包括在云管理和运营的合同）满足为机构提供持续的资产可见性的要求。这使机构能够主动评估其资产的安全性和隐私状态，并通过要求开发人员，制造商和供应商采用最佳方式来设计、部署和保护系统以寻求提高HVA的可信度。这将推动安全和隐私设计原则、安全编码技术和可信计算方法的集成。 四、劳动力联邦IT人员在执行机构任务，向公众提供服务以及为国家基本系统和信息提供安全保障方面发挥着不可或缺的作用。 机构不应将自己局限于劳动力转型的单一模式。策略可能包括针对新兴人才或未来领导人的发展计划、学徒计划、在资质一致的情况下，转换非IT人员的举措；通过公私伙伴关系或机构间的机会交换合格人员。一般来说，机构的云策略还应该包括劳动力发展和规划部分，以便为该机构量身定制转型和培训方法。此外，如果确定了对现有劳动力的影响，这种方法应包括新技能和职业类别与遗留职业类别的交叉，以促进过渡的清晰度和易用性。 识别当前和未来工作角色的技能差距 成功采用云解决方案要求员工了解如何管理迁移的复杂性以及如何在完全部署后支持云环境。机构CIO、首席人力资本官（CHCO）和SAOP应协作进行技能差距分析，将当前的IT劳动力资源映射到未来的技能和职位要求。强烈建议各机构利用行业预测来帮助预测未来的劳动力技能和职位要求，尤其是IT角色。 联邦机构使用的国家网络安全教育计划（NICE）网络安全劳动力框架是在2015 年联邦网络安全劳动力评估法案规定的，建议采用一种方法来识别执行IT或网络安全相关职能的所有联邦文职职位。虽然联邦机构应继续遵守NICE框架以帮助规范政府的网络安全评估劳动力缺口，但应鼓励他们进行自身的企业技能差距分析，以确保包含所有当前和未来的特定技能和岗位员工的需求。 重新雇佣并挽留现有雇员 机构应通过制定以培训和专业发展机会为重点的员工再培训策略（如OMB的数字信息技术采购专业人员（DITAP）计划来解决劳动力缺口分析中发现的最紧迫的赤字，且完整的再培训战略应当并且将考虑技术和非技术需求。鉴于云计算对于采购专业人士而言是相对较新的领域，例如首席采购官、合同官和项目经理，应该利用OMB、联邦采购协会和TechFAR HUB 等资源的现有指导资源。 CHCO和首席学习官应帮助确定最佳培训和重新部署选项（例如，认证和轮岗计划）以利用其重新培训的员工。与许多新技术计划一样，各机构应该有一个初始培训期，并且还应计划在这个快速发展的领域中进行持续的教育和实验。为有价值的员工提供继续教育资源及应用知识的机会，将为新的云计划提供信息并提高工作满意度。 招募和雇用人才以解决技能差距 美国劳工部劳工统计局报告称，云计算是促进技术职业变多的一个主要因素，预计2016年到2026 年将扩大13％（除了重新培训现有员工），以解决最关键的技能和职位差距，各机构应不断评估和更新其招聘策略。主要战略包括借鉴行业招聘最佳方式，扩大薪酬灵活性的使用以及消除迅速雇用员工的官僚障碍。各机构必须建立一个方式，不断向联邦政府提供网络安全和IT人才。 拥有云计算技能的技术专业人员市场竞争非常激烈。在可能的情况下，各机构应利用私营部门使用的技术吸引和雇用最佳候选人。各机构应与其首席人力资源部门协调，主动执行招聘和挽留战略，例如：
员工沟通 随着机构实施云智能策略，它们应该执行通信计划，帮助员工理解将要发生的更改。例如，迁移到云可能需要停用使用多年的遗留系统。员工可能不愿意学习在云环境中的操作新系统，尤其是在许多职位将被重新定义的情况下。机构可以清楚地说明一旦完成云采用，当前的工作人员将如何进行协调，从而减轻工作人员的担忧。强烈建议将技术路线图社会化，以包含将全部或部分迁移到云的系统，并将变更管理流程的大纲社会化。代理机构还应该放心地利用参与云迁移活动的供应商为当前员工提供或培训。 消除官僚主义障碍，迅速招聘人才 对拥有云计算技能的技术专业人士的需求正处于历史最高水平。这意味着，为吸引、招聘和留住合适的人才，将采取可执行的人力资本战略，简化招聘流程和非传统激励措施。具有招聘时间表和具有竞争力的薪酬及招聘激励机制的机构将吸引人才。机构领导层必须查明并迅速解决阻碍机构迅速招聘人才的官僚障碍。 五 、结论要想实现云智能，机构必须考虑如何利用现有资源实现价值最大化：重新培训员工，增强安全措施以及在收购中使用最佳方式并确保能够共享知识。云智能旨在为机构提供他们自己做出这些决策所需的工具和知识，而不是提供一刀切的解决方法。 通过利用现代技术实践，各机构将能够利用新功能并扩大现有能力，以便更快地完成任务并向公众提供服务。要实现这一转变，各机构将需要从“在构建之前购买”转向“在购买之前解决”，从而解决他们的服务需求、基本需求，以及那些在开始新采购之前就存在的流程和技能上的差距。通过定期对其应用程序组合进行合理化，随着不断变化的技术前景，机构可以在目标变化的同时继续取得现代化进展。 自该战略原始草案发布以来，OMB一直与其合作伙伴——政府机构和私营部门合作，共同更新政策指导并创建新资源以帮助联邦政府采用云。然而，由于技术没有终点，因此总会有更多的工作要做。将变革作为我们核心的业务原则，对于为美国人民提供最佳投资回报至关重要。 |
|
|
