可信云服务认证评估标准和方法.docx

卩葬可信云服务大会 W T Trusted Cloud Service Summit 可信云服务认证标准和评估方法 栗蔚 2014年7月 可信云服务认证标准和评估方法 承诺完整性、承诺规范性 《云计算服务协议参考框架》 通信标准化协会标准：YDB144-2014 5项核心披露内容 企业基本信息 承诺真实性 云服务基本信息 承诺规范性 承诺完整性 企业基本信息、服务基本信息 承诺真实性 数据中心联盟技术文件 可信云服务评估方法 ?《第1部分：云主机服务》 ?《第2部分：对象存储服务》 ?《第3部分：云数据库服务》 ?《第4部分：块存储服务》 ?《第5部分：云引擎服务》 ?根据发展，进一步补充其他服务 企业信息和业务基本信息-评估方法 项目 是否必选 材料审查(提交材料) 企业基本信息 IDC牌照(是自有IDC牌照，还是 租用有IDC牌照的机房) 必选 (1)自有IDC牌照:出示IDC牌照； (2 )租用有IDC牌照的机房：出示租 用证明及出租方的IDC牌照编号。 经营牌照 必选 经营许可证复印件 规模 必选 企业社保证明 资金 必选 资金规模的材料 组织机构 必选 组织机构代码证书 ICRISP ,第二方支付等等行业部 门发的相关牌照 可选 牌照复印件 已经通过的认证有哪些，例如 IS027001 可选 证书复印件 连续几年纳税证明 可选 纳税证明复印件 股权结构 可选 业务基本信息 参评业务名称 必选 业务功能介绍 业务运营起始时间 必选 同上 业务功能 必选 同上 支付方式等 必选 同上 业务采用的软件、硬件 必选，要向专个组公 开，但自愿向公众披露 系统设计方案 云服务承诺的完备性-评估方法 用户关心 的问题 具体指标 考察项 必选/可选 服务协议 必选/可选 数据安全 数据存储的持久性 必选 云主机可选,对象存储、云数据库、 块存储、云引擎必选 数据可销毁性 必选 必选 数据可迁移性 必选 必选 数据私密性 必选 必选 数据知情权 必选 必选 服务可审查性 必选 必选 服务质量 服务功能 必选 可选 服务可用性 必选 必选 服务资源调配能力 必选 可选 故障恢复能力 必选 可选 网络接入性能 厶数据库可选,其彳也必 选 可选 服务计量准确性 必选 可选 权益保障 服务变更、终止条款 必选 必选 服务赔偿条款 必选 必选 用户约束条款 必选 必选 服务商免责条款 必选 ■必选 .. 3归 3归 云服务承诺的规范性标准-《云计算服务协议参考框架》 ?数据存储持久性 ＜定义：承诺在合同期内数据保存不丢的概率，即每月完好数据/（每月完好数据+每月 丢失数据）。 ?规范性描述： ?数据存储的持久性概率值； ?以自然月为统计周期，不满一个月按一个月计； .根据不同云服务，明确数据类型: ?明确数据计量单位:如按文件个数、位数等方式计量 ?数据可销毁性 ＜定义：承诺在用户要求删除数据或设备在弃置、转售前必须将其所有数据彻底删除 ,并无法复原。 ?规范性描述 ?数据删除 ?根据不同云服务，明确数据类型; ?彻底删除的程度； ?用户要求数据删除时，服务商使用的彻底清除技术或手段; .约定删除期限。 ?设备销毁：服务商的操作； 3归 3归 云服务承诺的规范性标准?《云计算服务协议参考框架》 云服务承诺的规范性标准?《云计算服务协议参考框架》 ?数据可迁移性 ＜定义：承诺用户能够控制数据或主机镜像的迁移，保证启用或弃用该云服务时，数 据能迁入和迁出。 ?规范性描述 ?根据不同云服务,说明迁移数据的类型； ?说明不同云服务迁移支持的数据格式： .如果是专有格式，是否有技术手段可以转换成标准格式; ?是否在迁入和迁出提供方便的方式和技术手段。 ?数据私密性 定义：承诺用户应有加密或隔离等手段保证同一资源池用户数据互不可见，并且在 用户授权的情况下，云服务商才能获得数据。 ?规范性标准 ?根据不同云服务，说明数据的类型； ?说明通过什么技术让同一资源池的多租户相互之间不可见的; 承诺在无用户授权情况下，云服务商不能获得用户数据或明确告知用户数据在 什么情况下可能会被用于哪些用途; 应承诺有能力记录运维人员相关操作; ?数据知情权 ?定义：承诺用户数据存储位置和使用的知情程度。 ?规范性描述： ?数据存储在哪些数据中心，数据存储所在数据中心的地理位置，应到细到数据中心名称; 有几份拷贝，是否有冷备份，备份的数据存储的数据中心位置; 数据位置用户是否可选。如果可选,可选的方式; ?告知用户数据包括备份所在的数据中心的当地与数据中心相关的法律法规; 用户数据的使用人和使用的数据类型，数据类型包括日志、用户个人信息等等: 承诺有无跨境流动，是否用于国外业务，哪些数据类型有跨境流动; ?有无数据分析，及其用途，例如机器人自动分析. ?服务可审