云计算风险评估方法-云计算开源产业联盟

4种评估手段，86个子项
承诺完整性 承诺规范性
承诺真实性
注：以上仅为评估准入标准，评审与家会参考测试情况综合考虑，最终评审结果以与家评审意见为准
可信于服务类服务协议完备性、规范性和真实性评估
指标要求 (云主机为例)
数据存储的持久性 数据可销毁性 数据可迁移性 数据私密性 数据知情权 服务可审查性 服务功能 服务可用性
服务资源调配能力 故障恢复能力 网络接入性能 服务计量准确性 服务变更、终止条款 服务赔偿条款 用户约束条款 服务商免责条款
参评业务名称 业务运营起始时间 业务功能 支付方式等 服务规模
业务采用的软件、硬件
是否必选 企业基本信息
必选 在线应用服务可选
必选 必选 必选 必选
可选
材料审查（提交材料）
IaaS和部分PaaS按照新版电信业务分类目录中 IDC亏联网资源协作业务的监管要求（2017年 底） 绊营许可证复印件 企业社保证明 资金规模的材料 组织机构代码证书
无
是否 必选
必选
必选
必选
必选 可选
材料审查 （提交材料）
牌照复印件
牌照复印件
牌照复印件
牌照复印件 无
材料审查（提交材料） 业务基本信息
企业级SaaS类于服务符合以下标准： 1.全行业SaaS：2B客户2000家以上，或终端用户数达到一定规模，或CPU物理颗数240个以上或虚 拟CPU核数480核以上； 2.垂直行业SaaS：2B客户200家以上，或行业占有率达到一定规模，或CPU物理颗数120个以上或虚 拟CPU核数240核以上；
•《第8.1部分：本地负载均衡》 •《第8.2部分：全局负载均衡》 •《第9部分：于分发服务》 •《第10部分：在线应用服务》 •《第11部分：桌面于服务》 •《第12部分：企业移劢化管理服务》 •《第13部分：备仹服务》
评估流程
事前：严把评估关
文档 技术 现场 与家 外部 审核 测评 查验 评审 评议
15个
混合于
11个
超融合
2个
容器产品
运维产品
5个
私有于项目成熟 度评估
事中
可用性监测
于主机分级 13个云服务商
41个可用区
事后
于保险
8个
政务 金融 电信
评估项目介绉
云计算服务基础评估
云计算解决方案评估 混合云评估
评估项目 可信云服务评估：云主机服务 可信云服务评估：对象存储服务 可信云服务评估：云数据库服务 可信云服务评估：块存储服务 可信云服务评估：应用托管容器服务 可信云服务评估：云缓存服务 可信云服务评估：全局负载均衡服务 可信云服务评估：本地负载均衡 可信云服务评估：云分发 可信云服务评估：云桌面 可信云服务评估：云备份 可信云服务评估：数据中心间VPN 可信云服务评估：在线应用 可信云OpenStack解决方案评估 可信云容器解决方案评估（基本能力+任一场景） 可信云容器解决方案评估（基本能力+四个场景） 混合云解决方案：公有云 混合云解决方案：私有云 多云管理平台评估
可信于评估介绉
中国信息通信研究院 郭雪
可信于评估背景
• 2013年开始制定标准试评估，目前已完成8批次的评估 • 评估单位：中国信息通信研究院 • 评估时间：每年两批 1月/7月公布评估结果
数据 安全
•客户关心的指 标
•云计算特有的 安全
支持第三方机构开展于计算服务质 量、可信度和网络安全等评估测评 工作，引导于计算服务企业加强内 部管理，提升服务质量和诚信水平， 逐步建立于计算信仸体系。
牌照复印件
可选
可选
可选
业务基本信息 必选 必选 必选 必选 必选 必选，要向与个组公开， 但自愿向公众披露
证书复印件 纳税证明复印件
业务功能介绉 同上 同上 同上 虚拟机300台-500台以上 系统设计方案
可信于服务类-企业级SaaS评估范围
云服务类型
电子商务等类似平台服务 语音信箱、在线邮箱、传真存储 转发类
即时通讯类，网站类、网盘类等 呼叫中心 其他计算机软件服务类
项目
服务规模/用户数
SaaS类云服务
所属电信业务类型
第一类增值电信业务 第二类增值电信业务 第二类增值电信业务 第二类增值电信业务
无
所需牌照类型
在线数据处理不交易处理业务 类牌照
存储转发类业务牌照
信息服务业务牌照 照等）
呼叫中心类牌照
（ICP牌
云计算运维平台评估 可信云服务评估：GPU服务
评估标准
承诺完整性、承诺规范性
《于计算服务Hale Waihona Puke Baidu议参考框架》 通信标准化协会标准：YDB144-2014
企业基本信息、服务基本信息、承诺真实性
•《第1部分：于主机服务》 •《第2部分：对象存储服务》 •《第3部分：于数据库服务》 •《第4部分：块存储服务》 •《第5部分：应用托管容器服 •《第6部分：于缓存服务》 •《第7部分：数据中心间VPN》
可信云品牌-厂商和客户之间的桥梁，建立云计算信任体系
真实性
规范性
评估项目介绉
专
项 风险管控能力 能 力 8个
事前
运维能力
6个
云服务用户数 据保护能力
性能
云计算服务类 基
础 服 务
IaaS （于主机等）
企业级SaaS
PaaS 于分发
和
桌面于
于备仹
产
品
99个云服务商
的185个云服务
云计算软件类
虚拟化产品及 虚拟化管理
事中：状态持续监测
于主机 可用性 和性能 监测
可信云服务评估
可信于服务类IaaS/PaaS企业和服务基本信息审查
项目
IDC牌照（是自有IDC牌照，还是租用 有IDC牌照的机房）
绊营牌照 规模 资金 组织机构 ICP,ISP，第三方支付等等行业部门发的 相关牌照 已绊通过的评估有哪些，例如 ISO27001 连续几年纳税证明 股权结构
用户数据保护 评估
运维评估 安全评估 云计算风险管 理评估
分级 2018年拟开展 新评估
评估项目 云服务用户数据保护能力评估：公有 云 云服务用户数据保护能力评估：私有 云 金牌运维评估
云主机安全评估
云计算风险评估
云计算风险评估+云保险 云主机分级评估
政务云综合水平评估
可信身份管理评估
私有云成熟度评估
服务 能力
•对客户业务的 价值
•云计算服务能 力
权益 •对客户的保护 保障 •对厂商的保护
完备性
数据存储的持久性 数据可销毁性 数据可迁移性 数据私密性 数据知情权 服务可审查性 服务功能 服务可用性 服务资源调配能力 故障恢复能力 网络接入性能 服务计量准确性 服务变更、终止条款 服务赔偿条款 用户约束条款 服务商免责条款