.jpg)
L'evolució de l'arquitectura multinúvol ha deixat enrere l'antic dilema d'on ubicar una càrrega de treball. Avui el veritable repte no és triar entre AWS, Azure, Google Cloud o VMware Cloud Foundation (VCF), sinó gestionar l'explosió de plans de control que cada plataforma imposa. Identitat, polítiques, observabilitat, xarxes, automatització i cicle de vida operen amb lògiques pròpies, generant una fragmentació que converteix la governança en un trencaclosques. En aquest article explorem com construir una columna vertebral de govern empresarial que unifiqui la intenció sense eliminar les capacitats natives de cada núvol.
Durant anys els equips d'infraestructura van centrar els seus esforços a decidir si una aplicació s'havia d'executar a Azure per la seva integració amb Active Directory, a AWS pel seu catàleg de serveis o a Google Cloud per les seves capacitats analítiques. Aquesta pregunta continua sent rellevant, però ha passat a un segon pla. Ara la qüestió crítica és qui controla realment el comportament d'aquesta càrrega de treball un cop desplegada. Cada núvol públic i cada plataforma privada introdueix el seu propi model d'identitat, el seu motor de polítiques, la seva jerarquia de recursos, el seu stack d'observabilitat i la seva superfície d'automatització. El resultat és una multiplicació de plans de control que actuen de manera independent, i que sovint generen interpretacions contradictòries de les regles de negoci.
La temptació d'aplanar totes les plataformes sota una consola genèrica és comprensible, però sol fracassar. El patró correcte és construir una espina dorsal de govern compartit que defineixi la intenció empresarial —propietari, metadades, evidències, excepcions— i permeti que cada plataforma executi aquesta intenció amb els seus controls nadius. Aquest enfocament evita la duplicació d'esforços i respecta la maduresa operativa de cada ecosistema. A Q2BSTUDIO, com a empresa de desenvolupament de programari i tecnologia, apliquem aquest principi als nostres projectes de serveis cloud AWS i Azure, on combinem la governança centralitzada amb la flexibilitat nativa de cada proveïdor.
La fragmentació es manifesta primer en la identitat. Els administradors humans, els comptes de servei, els operadors de plataforma, les identitats de workload i els accessos d'emergència s'han de regir per una taxonomia comuna. Si cada equip de núvol defineix el seu propi model de rols sense un llenguatge compartit, la revisió de privilegis es converteix en un exercici manual inmanejable. Una arquitectura madura unifica la federació d'identitats, però respecta que Azure RBAC, AWS IAM, Google Cloud IAM i els rols de VCF s'implementin de forma diferent. La columna vertebral de govern estableix què significa ser un 'operador de seguretat de xarxa' i cada plataforma tradueix aquest concepte als seus permisos específics.
De la mateixa manera, les polítiques necessiten una capa d'intenció. En lloc d'intentar que Azure Policy, les SCP d'AWS, les Organization Policy de Google Cloud i les regles de NSX siguin idèntiques, el sensat és definir un catàleg de controls amb identificadors estables, domini de risc, propietari, abast, acció per defecte i model d'excepció. Cada plataforma mapeja aquest control al seu motor nadiu. L'evidència de compliment flueix cap a un repositori compartit on es verifica que el control està actiu i que les desviacions tenen una excepció aprovada i amb data de caducitat. Aquest enfocament transforma la política d'un munt de regles inconnexes en un sistema governat i auditable.
L'observabilitat és un altre punt crític. Recol·lectar telemetria de forma massiva no equival a tenir visibilitat real. Si un incident de producció obliga a quatre equips a comparar manualment quatre panells amb quatre convencions de noms diferents, l'operació es torna ineficient. Per això recomanem establir un estàndard mínim de metadades multinúvol: identificador d'aplicació, entorn, classificació de dades, propietari de negoci, propietari tècnic, plataforma d'origen, control associat i número d'excepció. Amb aquesta base, eines de serveis intel·ligència de negoci com Power BI poden correlacionar la informació independentment que els dashboards nadius de cada núvol continuïn sent diferents.
La governança de xarxes també pateix quan cada plataforma inventa el seu propi model de zones. Azure parla de Virtual Networks i NSGs, AWS de VPCs i Security Groups, Google Cloud de VPCs i firewalls, VCF de segments NSX i polítiques distribuïdes. En lloc de forçar una nomenclatura única, la columna vertebral defineix zones empresarials —internet edge, zona d'aplicacions privades, zona de serveis compartits, zona regulada, pla de gestió— i cada plataforma implementa aquesta zona amb les seves construccions natives. L'important és que qualsevol decisió de xarxa sigui traçable fins a la mateixa intenció empresarial.
L'automatització és potser el pla de control més poderós perquè crea, modifica i destrueix infraestructura. Moltes organitzacions tracten l'automatització com a mera fontaneria de lliurament, però haurien de gestionar-la com un pla de control de primer ordre. Un model operatiu multinúvol madur defineix quines eines d'automatització estan aprovades, quines identitats utilitzen, quin flux d'aprovació requereixen, quines metadades han d'estampar i com es detecta la deriva després del desplegament. Si un operador privilegiat pot saltar-se el pipeline i crear recursos no gestionats, el forat al pla de control és enorme. Per això a Q2BSTUDIO integrem aquests principis a les nostres solucions de programari a mida i intel·ligència artificial, assegurant que cada desplegament preservi l'evidència de govern.
VCF mereix un tractament especial. Sovint es tracta com el racó de les càrregues legacy, governat mitjançant coneixement tribal i tiquets d'incidències. Però VCF té el seu propi pla de gestió, cicle de vida, identitat, pila de xarxa, automatització i observabilitat. Si Azure, AWS i Google Cloud es governen amb regles modernes mentre VCF es deixa al marge, la fragmentació no es resol, només s'amaga. La columna vertebral ha d'incloure VCF com un ciutadà de primera classe, amb mapeigs equivalents per a identitat, polítiques, xarxes, observabilitat, automatització i excepcions. No necessita controls idèntics, però sí responsabilitat equivalent.
Per implementar aquest model sense caure en un programa faraònic, recomanem una seqüència pràctica en cinc fases. Primer, inventariar els plans de control existents a cada plataforma, documentant qui pren cada decisió i on s'executa realment l'aplicació de les regles. Segon, acordar un estàndard de metadades comú abans d'expandir el catàleg de controls. Tercer, construir un catàleg petit de controls mesurables, com la prohibició d'exposició pública no gestionada, l'obligació de metadades de propietat, l'ús d'automatització aprovada per a canvis en producció i la revisió periòdica d'accessos privilegiats. Quart, mapejar cada control a la implementació nativa a cada plataforma, incloent evidència, gestió d'excepcions, remediació i propietari. Cinquè, establir un ritme operatiu de revisió de deriva i excepcions, fent visible la fragmentació abans que es normalitzi.
La governança multinúvol està entrant en una nova fase. Ja no n'hi ha prou amb decidir si una càrrega de treball corre a AWS o a Azure; el repte és determinar quin pla de control posseeix cada decisió i com aquesta decisió s'aplica, observa i revisa a través de totes les plataformes. Un disseny madur no fingeix que les plataformes són iguals; defineix una columna vertebral de govern comú i deixa que cada plataforma executi aquesta intenció amb les eines per a les quals va ser construïda. Així s'evita la fragmentació sense lluitar contra la naturalesa de cada núvol.
En aquest context, la incorporació d'agents IA i assistents intel·ligents afegeix una nova capa de complexitat. La identitat d'aquests agents, els seus permisos d'accés a eines, els límits dels models i la supervisió humana s'han d'integrar a la mateixa columna vertebral de govern. A Q2BSTUDIO treballem amb ia per a empreses i agents IA que requereixen un marc de control homogeni entre plataformes. Així mateix, la ciberseguretat es reforça quan cada decisió d'accés i identitat queda registrada i auditable, i quan les excepcions tenen un cicle de vida definit. Els nostres serveis d'intel·ligència artificial i aplicacions a mida ajuden les organitzacions a implementar aquesta arquitectura sense perdre agilitat. La clau està a tractar el multinúvol no com un problema d'ubicació, sinó com un problema de plans de control.
