虛擬化帶來的管理盲區
- 流程繞過：實體伺服器採購→上架→佈線→OS 安裝需跨部門簽核；虛擬機僅需「滑鼠點兩下」從範本複製，極易繞過變更管理。
- 資產追蹤失效：vMotion/DRS 讓 VM 在宿主機間自動遷移，CMDB 難以即時反映實際位置與關聯。
- 資料/應用分區失守：受管制資料 (PCI-DSS、HIPAA) 的 VM 可能被遷移至非合規叢集/存儲。
- 傳統告警失靈：靜態門檻告警在動態資源池中產生大量雜訊，關鍵風險被淹沒。
GRC 模型失衡示意
虛擬環境擴大時，自動化控制 ↓、人工流程 ↑ → 控制有效性降低、風險上升。每個企業皆有「臨界點」，超過後成本與事故率雙雙飆升。
必須新增的五大專項政策
- 身分管理：強制命名規範 (含環境、擁有者、生命週期標籤) + 標籤基礎策略引擎 (如 vSphere Tags + vRealize Automation)。
- 虛擬機流動性控制：定義「不可遷移」標籤 (合規/授權/效能)；設定 DRS 親和性/反親和性規則；審計遷移日誌。
- 佈建授權流程：建立服務型錄，所有 VM 請求經工單審批，自動化執行 (IaC)，禁止手動建立。
- 資料分離強制：以資料分級標籤驅動存儲/網絡微隔離 (NSX/ACI)；生命週期全程稽核，防止誤/惡意遷移。
- 廢棄/回收機制：設定 VM 存活 TTL、閒置偵測 (CPU<5% 連續 30 天) 自動封存→刪除流程；快照清理政策 (保留 ≤ 3 天)。
安全性補充
- 傳統 Agent 型防毒/入侵偵測在 VM 密度高時造成「掃描風暴」，需改用無代理/虛擬化感知安全方案 (如 VMware Carbon Black, Trend Micro Deep Security)。
- Hypervisor 層漏洞 (VM Escape) 需納入修補週期，嚴格限制管理介面存取來源。
結語
虛擬化不是終點，而是新治理模式的起點。唯有將「政策即代碼」植入自動化流水線，才能在享受彈性紅利的同時，守住 GRC 底線。
