Firefly спонсировал этот пост.
Поскольку организации продолжают масштабировать свою облачную инфраструктуру, безопасность и соответствие все чаще переплетаются с инфраструктурными операциями. Последний отчет о состоянии инфраструктуры в качестве Кодекса 2025 года подтверждает тревожную, но предсказуемую тенденцию: хотя риски безопасности и соответствия растут наряду с облачной сложностью, многие команды по -прежнему не интегрировали формальное управление и соответствие в процессах управления инфраструктурой. Этот надзор оставляет инфраструктуру уязвимой для предотвратимых нарушений, дорогостоящего простоя и нарушений соответствия.
И все же есть четкий путь вперед.
Внедряя безопасность, соблюдение и управление непосредственно в инфраструктуру в качестве трубопроводов Кодекса (IAC) — посредством практики, известных как политика как кодекс (PAC) и управление как кодекс (GAC), — организации могут активно снижать риски, улучшать согласованность на операционном уровне и оптимизировать соответствие нормативным требованиям, не жертвуя водностью.
Растущая потребность в упреждающей безопасности и соответствии
Согласно отчету 2025 года, 68% организаций в настоящее время работают в нескольких облаках. Эта повышенная сложность не только создает больше возможностей для неправильных конфигураций, но и вводит новый слой сложности. Каждый облачный провайдер приносит свою собственную оперативную модель, поверхность API, примитивы безопасности и политические конструкции. Guardrails, которые имеют смысл для AWS, не могут отображаться чисто на Google Cloud Platform (GCP) или Microsoft Azure.
В отличие от предварительной эпохи, где инструменты управления конфигурацией применяли единообразие на идентичных серверах, сегодняшняя инфраструктура по своей природе неоднородна. В результате установление базовых линий по обеспечению безопасности и соответствия стало экспоненциально сложнее. Фактически, 61% респондентов признают, что риски безопасности и соответствия растут наряду с их облачной шкалой. Данные предполагают разъединение: пока риски растут, формальные рамки управления остаются недоразвитыми или непоследовательными.
Отчет 2025 года показывает, что обнаружение дрейфа остается в значительной степени реактивным для большинства организаций, причем менее трети активно мониторинг и исправление неправильных конфигураций по мере их возникновения. С тревоги, 17% признают, что не имеют формального процесса обнаружения дрейфа, а еще 53% реагируют только в отношении дрейфа, когда это вызывает проблему или только с специальными проверками.
В мультиколевых средах эта проблема только усиливает — каждый облачный провайдер вводит свои собственные API, форматы конфигурации и эксплуатационные предположения, что затрудняет поддержание единой стратегии обнаружения. Без облачного влияния инструментов команды часто вынуждены создавать и поддерживать отдельные процессы для каждой платформы, увеличивая как усилия, так и риск. Платформы, такие как Firefly, рассматривают эту сложность, предоставляя единое обнаружение дрейфов в режиме реального времени во всех основных облаках, помогая группам выявлять и разрешать расхождения, прежде чем они обострятся.
Политика как код: внедрение безопасности рано
Эта растущая операционная сложность-особенно в многопользовательской среде-делает проактивное управление больше, чем приятно. Недостаточно обнаружить неправильные конфигурации после развертывания или идентификации дрейфа, как только системы уже не синхронизированы. Чтобы оставаться впереди, организации внедряют профилактические ограждения в начале жизненного цикла: использование PAC для обеспечения соблюдения правил безопасности и соответствия на уровне кода и GAC для выравнивания более широкой практики инфраструктуры между командами и облаками.
PAC Frameworks — такие как открытый агент политики (OPA), Checkov или Sentinel — позволяют командам определять и внедрять проверки соответствия непосредственно в свои трубопроводы IAC.
Конфигурации инфраструктуры могут быть автоматически подтверждены против этих политик перед развертыванием, рано улавливая проблемы и сокращение ручного вмешательства. Например, политики могут потребовать, чтобы каждое ведро S3 было зашифровано по умолчанию, принудительно тегин для отслеживания затрат или обеспечение того, чтобы конфигурации соответствовали конкретным нормативным требованиям, таким как GDPR или HIPAA. Нарушения помечаются в режиме реального времени во время проверки кода или исполнения CI/CD, помогая группам обеспечить безопасность и соответствие, не замедляя доставку.
Управление как кодекс: согласованность вождения и стандарты кросс-облака
Там, где PAC регулирует правильность отдельных конфигураций, GAC работает на более широком организационном уровне, определяя, как инфраструктура должна быть структурирована, развернута и управляется между командами, средами и облачными поставщиками. Согласно отчету 2025 года, улучшенная последовательность окружающей среды считается преимуществом IAC № 1 для 27% респондентов, однако многие команды по -прежнему не достигли его достижения на практике.
GAC обеспечивает соблюдение таких стандартов, как конвенции именования, политики помечения, границы сети и правила владения ресурсами, обеспечивая инфраструктуру предсказуемой, совместимой и согласованной с внутренними и внешними требованиями. Кодифицируя эти правила высокого уровня, организации устраняют необходимость ручного аудита или исправления после развертывания. Инфраструктура, которая не соответствует критериям управления, просто не переходит на этап планирования, помогая группам избежать дорогостоящих отклонений и поддерживать доверие к процессу развертывания.
Вместе PAC и GAC образуют многослойную модель управления, которая позволяет командам создавать инфраструктуру, которая является безопасной, совместимой и оперативно согласованной по умолчанию, независимо от поставщика облачных средств или размера команды.
Преодоление барьеров для усыновления
Разрыв между признанием растущих рисков безопасности и активным обращением с ними остается значительным.
Почему?
Часть задачи заключается в воспринимаемой сложности интеграции политического обеспечения в автоматизированные трубопроводы. Организации часто беспокоятся о том, что дополнительные проверки безопасности и соответствия будут замедлять циклы развертывания или добавлять трение к опыту разработчика.
Чтобы преодолеть эти проблемы, организациям рекомендуется принять постепенный, итеративный подход к внедрению проверки безопасности и соответствия. Начиная с основных политик — например, обеспечение потребования ресурсов, настройки шифрования или ограниченных уровней доступа — помогает укрепить доверие. Постепенно добавление более сложных правил управления с течением времени может дополнительно улучшить положение безопасности без подавляющих команд.
Использование автоматизации и искусственного интеллекта для соответствия в масштабе
Согласно отчету, трубопроводы автоматизации стали отраслевым стандартом, причем приблизительно 59% респондентов приняли рабочие процессы CI/CD или Gitops. Политика внедрения и управление в этих автоматизированных трубопроводах гарантирует, что проверки соответствия выполняются непрерывно, последовательно и прозрачно, удаляя ручные узкие места и уменьшая человеческую ошибку.
Возможности, управляемые ИИ, также имеют обещание для дальнейшего упрощения соответствия и управления. Хотя только 17% респондентов в настоящее время используют ИИ в облачных операциях, 41% активно изучают решения ИИ. Команды могут использовать анализ, управляемый AI, для таких задач, как выявление нарушений политики или разумное исправление конфигурации в режиме реального времени, что еще больше усиливает их общее положение управления.
Реализуя весь потенциал МАК с встроенным управлением
Усыновление IAC явно является основным (89%), однако только 6% команд имеют 100% покрытие инфраструктуры, определенное в коде. Чтобы достичь полного охвата и получить максимальные преимущества IAC, организации должны расставлять приоритеты в безопасности и соответствии, наряду с автоматизацией и эффективностью. Политика внедрения и проверки управления в трубопроводы по инфраструктуре — это не просто лучшая практика — это все более важно.
Ведущие команды уже видят преимущества: меньше ошибок на конфигурации, улучшенные положения соответствия, более быстрые циклы аудита и в целом больше доверия со стороны заинтересованных сторон. Внедрение соответствия в качестве кода в корне смещает повествование от реактивного пожара к упреждающему управлению, что делает безопасность и соблюдение требований бесшовной и неотъемлемой частью доставки инфраструктуры.
Отчет 2025 года предлагает четкий призыв к действию: упреждающее управление и встроенные политики безопасности больше не являются необязательными. По мере того, как организации продолжают ориентироваться в сложных, многопользовательских условиях, срочность политики внедрения и управления в трубопроводы инфраструктуры только растет.
Организации, которые успешно применяют PAC и GAC сегодня, будут позиционировать себя, чтобы уверенно масштабироваться завтра, наслаждаясь не просто повышенной безопасностью и соответствием, но и более предсказуемой, эффективной и надежной облачной инфраструктурой, полностью реализуя первоначальное обещание IAC.
Если вы еще этого не сделали, прочитайте полностью отчет о состоянии IAC 2025 года.
Firefly-это плоскость управления облаком, которая позволяет DevOps и командам инженеров платформы сканировать и обнаруживать весь свой облачный след, обнаружение облачных конфигураций, классифицировать активы с использованием политики как код и управлять одним инвентаризацией облачных ресурсов в разных кластерах и Kubernetes Clusters. Узнайте больше последних из Firefly Trending Stories YouTube.com/ThenewStack Tech Moving быстро, не пропустите эпизод. Подпишитесь на наш канал YouTube, чтобы транслировать все наши подкасты, интервью, демонстрации и многое другое. Группа подпишитесь с эскизом. Идо Ниман является генеральным директором и соучредителем Firefly, а также бывшим генеральным директором и соучредителем Nuweba, быстрой и безопасной платформы без сервера. К разнообразию ролей, которые он занимал, он приносит более десятилетнего опыта в элите … читайте больше от Ido Neeman
