云资讯业界资料

桌面版本繁體 English

搜寻

粤港云计算服务采购实务指南

鸣谢

香港特别行政区政府资讯科技总监办公室及广东省经济和信息化委员会谨此鸣谢「粤港云计算服务和标准专家委员会」和它辖下的「粤港云计算服务采购实务指南联合专责小组」各成员( 见下表)。他们积极投入，并付出宝贵的时间和努力，贡献他们的专业知识，使《粤港云计算服务采购实务指南》的拟备、审阅、批注和定稿工作得以顺利完成。

粤港云计算服务和标准专家委员会成员
粤方	港方
邹生博士（粤方召集人)	赖锡璋（港方召集人）
陈少媚	张伟荦教授
赵淦森教授	黄仲翘博士
季统凯博士	锺伟强博士
徐泽明博士	陈永诚
唐宏	何伟中
刘忻	陈峻斌博士
许洪波	缪正维
吕伟华	林伟乔
陈晓健	李志贤
梁天爵	莫桂英

粤港云计算服务采购实务指南联合专责小组成员
粤方			港方
赵淦森教授（粤方召集人)			锺伟强博士（港方召集人）
唐华副教授	李尧	张宇	黄仲翘博士
丁曙初	汪疆平	张昉	缪正维
王芳	周冠宇	毕锦雄	吴瀚博士
王翔	季统凯博士	许晖	李子图
刘小茵	罗章江	许红涛
吕晖	邹理贤	谢浩安
何惠研	黄邵明	赵辉国
李巧玲	黄海	陈天
李惊生	孙傲冰博士	李刚
刘峻	许正强	陈统
林成创

我们特别鸣谢电子工业标准化研究院软件与信息服务中心周平副主任、香港云端运算服务和标准专家小组以及其辖下的云端保安及私隐工作小组和云端服务提供、互用性及使用事宜工作小组各成员为《粤港云计算服务采购实务指南》提供了宝贵的意见。

我们也特别感谢广东省软件行业协会、广东省云计算产业联盟及联盟的成员单位积极参与和支持《粤港云计算服务采购实务指南》的编制、试点、验证和推广等工作。

免责声明

在《粤港云计算服务采购实务指南》（下称「本指南」）所提供的资料仅限于作一般参考之用。本指南所载的资料并非为采购云计算服务（下称「云服务」）提供详尽指导。粤港云计算服务和标准专家委员会（下称「专家委」）并没有就本指南所载资料的准确性和就个别目的或使用的适用性作出明示或隐含保证。

本指南亦载有由其他各方提供的资料及连接到其他网站的链接（统称「其他资料」）。专家委不对网站所载其他资料和相关资料的权威性和准确性作保证。

对于与本指南有关联的任何原因所引致的任何损失或损害，专家委概不负责。专家委保留增加、删除或编辑本指南所载的各项资料而无须给予任何理由的权利。读者须负责自行评估本指南所载的各项资料或与本指南有关联的各项资料。

目的

《粤港云计算服务采购实务指南》（下称“实务指南”）适用于粤港地区的组织，其主要目的在于帮助各类组织了解云计算及其可带来的好处，以及如何评估和考量采购云服务所涉及的风险。在这方面，组织在考虑采用云计算时须全面评估自身对云计算解决方案的要求，以及这些解决方案能够在多大程度上满足这些要求。就此，云服务采购方需要谨慎判断。

简介

云计算是服务提供商通过网络向用户交付IT资源，例如网络、服务器、存储、应用软件及服务等。用户无需自己建设、部署和管理信息基础设施、系统和服务。用户仅仅需要参照租用服务模式，按照使用量来支付使用这些云服务的费用。

云服务模式分类

参照财政部2013年下发的《政府采购品目分类目录》的分类，云服务大致上可分为三种「服务模式」：

基础设施即服务(IaaS) —向用户提供信息系统基础设施的租用服务，如数据中心服务、存储转发服务等。
平台即服务(PaaS) —向用户提供数据库、业务支撑平台、系统开发、系统配置、系统测试、商业智能等工具的租用服务。
软件即服务(SaaS) —向用户提供软件系统的部分或全部功能的租用服务。

部署模式

云服务共有四种部署模式：

公有云 — 可任意被云服务客户使用，且资源被云服务提供商控制。
私有云 — 仅被一个云服务客户使用，且资源仅被该客户所控制。云基础设施特定为某个组织服务，可以是该组织或某个第三方负责管理，可以是场内服务，也可以是场外服务。
社区云 — 仅支持一组特定的云服务客户，且在这组云服务客户内共享。这组云服务客户的需求共享，彼此相关，且资源至少由一名组内的云服务客户所控制。
混合云 —至少包含两种不同的云计算部署模式。

采购云服务时要考虑的关键领域

采购云服务时要考虑的9个关键领域: 服务水平、服务协议、服务费用、服务管理、迁入及迁出云计算、信息安全管理和隐私保护、数据所有权、位置及知识产权所有权、订约（服务条款）和服务违约。各个关键领域的考虑都在实务指南中各自章节有详细阐述。

关键领域1：服务水平

服务水平协议（SLA）规定了云服务提供商与用户之间的相互制约关系。服务水平协议主要分为两种：格式协议和定制化协议，并包含若干服务水平目标（SLO）。这些服务水平目标客观规定了可计量的服务要求，并设定服务期望值。

一般而言，这些服务水平目标客观规定了可计量的服务要求，须考虑以下内容：

所界定的服务水平目标的相关性
所界定的服务水平目标的充分性
所选服务水平目标的指标是否恰当
如何有效地测量及客观地监视服务水平目标
若服务提供商未能达到服务水平目标会有什么后果。用户如何作出相应的业务应变计划

关键领域2：服务协议

就任何有关云计算的协议而言，服务提供商就其服务所作的承诺，以及就其服务表现所作的保证，均是协议的重要部分。若服务提供商未能兑现所作的承诺或保证，则须采取特定补救措施。因此，服务承诺应明确规定以下内容：

各方的责任；
任何时限或其他限制；以及
未能履行承诺的赔偿或补救措施。

如果服务提供商在签约前向用户作出任何涉及服务承诺和保证的声明（不论是以书面、口头或是通过提供服务相关信息的方式作出），则该等声明应作为协议的一部分，并在协议文件中再次注明。用户常误以为此类签约前声明最终将构成协议的一部分，且可在后期承诺未兑现时加以倚赖。事实却往往相反，协议会清楚写明，凡没有记录在合约内的声明，一律不予接受。

服务提供商的免责声明、责任限制及免责条款是用户须注意的主要问题。鉴于服务提供商通常会尽力免除或限制其在云服务协议下承担的风险，免责条款或责任限制一般会削减或尽量减低服务供应商所愿意提供的任何承诺的价值。因此，在评估服务提供商拟就其服务提供承诺及保证时，用户还须了解这些承诺的限制。

关键领域3：服务费用

云服务的特点在于按需、灵活、可计量，其付费模式一般可分为「按实际使用量付费」和「批量优惠付费」等两大类，用户可不用考虑传统信息技术周期中计划、采购、维护硬件的成本和复杂性，按需、灵活的使用各类云服务。

在采购云服务时，用户须:

了解收费详情－例如收费的计量单位、有关费用是按资源分配量还是资源使用量收取、未经使用的计算资源（如闲置的虚拟机）是否收费等等。
须比较收费率－查看更具体的虚拟计算资源的性能信息（例如反映虚拟处理器性能的处理器内核性能），以客观比较不同云服务提供商的单位收费率。并将捆绑在一起的软件和服务纳入考虑之列。
考虑退出安排－了解是否设有最短使用期承诺，以及是否须就提早终止合约付罚款。以及查明在终止合约时是否须就移走虚拟服务器、数据和软件许可而支付额外费用。

关键领域4：服务管理

服务运营的目标在于服务提供商如何稳妥地向用户交付可靠和优质的服务，并符合服务水平协议的标准。如同任何新兴的IT技术一样，用户应谨慎应用云服务，并对服务提供商的服务管理进行详细研究。根据用户所选择不同服务模式的云服务，用户和云服务提供商需承担的责任会有所不同。然而，用户必须先了解云服务提供商所采用的云服务策略、云服务监控，才能评估其提供的云服务质量、相关的安全性和隐私风险、以及对采用其云服务的用户所能产生的潜在效益。

用户应将服务提供商的服务管理与行业中最佳实践作比较，例如，比较服务管理中有关安全性的最佳实践。云服务提供商通常提供多种服务计划，用户需要自行管理这些计划。用户所属组织需委派个别人士或小组处理、监察及协调各种云计算业务流程相关的问题，以及制订管理云环境的妥善做法。

除与云服务提供商交互外，用户亦须监察这些云服务提供商的工作。有部分提供商提供工具，如仪表板界面，使用户可自行监察他们的云服务。

关键领域5：迁入及迁出云计算

迁入云计算，是指用户把传统业务的应用及数据迁移到云计算中时采取的方法和步骤。与任何技术转换的情况相同，用户须就所作出的改变 — 包括迁移数据及应用，制订项目计划以及风险缓解措施。

另一方面，迁出云计算，则是指用户因更换云服务提供商或停用云计算而将应用及数据迁出云计算的方法和步骤。用户关注的重点是确保从云计算平台安全地取回及迁出（并在适当时删除）用户数据。往往极少用户会从私有云中再把数据和应用转换到传统模式。

用户与云服务提供商为确保迁入和迁出云计算环境的过程顺利，须研究以下五个方面：

应用迁移－用户应按照三步原则对组织内部现有应用进行分析：系统兼容性、安全要求、迁移成本。
数据迁移－用户应查看云服务提供商所提供的数据迁移选项，尤其是工具或文档。当数据迁移涉及复杂的系统和数据转换时，用户应注意是否须支付额外费用。用户应查询并清楚了解云服务提供商如何处理数据外泄问题以及如何保护数据。
迁移流程－用户应该考虑与云服务提供商协商迁移流程，确保迁移不会影响用户业务的正常运行。同时，如果用户数据迁移不成功，应有回退机制，确保在迁移不成功时，能退回到用户的原有系统上。
服务计费及计量－由于云服务通常按使用量收费，用户应注意查看及审核云服务相关计费及计量的程序，以确保计费项目和使用量相符。
数据处置－终止云服务时，用户必须决定如何处理存储在云计算环境中的数据。用户可选择将数据迁移到另一云服务提供商或用户本身拥有的磁盘空间，然后彻底删除数据，或在原云服务提供商中购买服务进行数据备份和归档。

关键领域6：信息安全管理和隐私保护

用户应了解在云服务环境中，其数据管理方式的变化，并须深入了解相关问题和关注事项，以确保其数据在云服务环境中受到持续的保护。此外，用户应具有相关的知识及评估能力，确定云服务提供商已采取足够的安全性控制措施充分保护其敏感数据。

云计算安全问题涉及到信息系统运行过程中的方方面面，需要综合考虑与评估。如下图所展示，云计算安全问题涉及到信息系统的各个范畴。对于缺乏足够专业能力和评估手段的云服务用户，建议可参考云服务提供商所获得的云计算安全管理资质情况。（如ISO/IEC 27001、C-STAR、等级保护等）。

为了让用户组织了解使用云服务所涉及的安全性问题，以及协助云服务提供商制订合适的安全性控制措施，可在以下链接获得更详细的指导。

图像: PDF 云用户的信息安全备忘事项

图像: PDF 云服务提供商在云上处理个人识别资料的信息安全及隐私保障备忘事项

关键领域7：数据所有权、位置及知识产权所有权

云服务与传统IT外包相似，会产生涉及所有权及知识产权（IP）的问题，此外，云服务还会涉及数据位置的问题。鉴于云服务（无论是基础设施即服务（IaaS）、平台即服务（PaaS）或软件即服务（SaaS））的商业性质，云服务提供商一般不会影响用户数据和应用程序的所有权及归属，反之亦然。但是，由于服务器、存储器、网络及应用的共享及虚拟化程度非常高，而且有一些云服务是跨地域的，用户可能应关心其数据所在位置、安全等问题。

共有几个关键点要注意：

数据及应用的所有权－用户应向服务提供商核实他们的数据及应用（包括在云开发的应用程序以及在云建立的数据）的权属关系，以及了解服务提供商怎样管理这些数据及应用。
数据位置－用户应了解云数据存储的具体位置，并应在必要时与服务提供商议定数据位置。云服务提供商更可能委聘分包商，以应付高峰期的需求，用户应了解服务提供商要对分包商有足够的管理。用户亦应了解当服务提供商不再提供IT资源时，如何妥当地处理用户的数据和系统，保障用户数据和系统的安全。
知识产权（IPR）－除数据外，用户可利用云服务开发和运行应用。对于这些应用和数据，用户应与服务提供商议定知识产权属于哪一方。
纠纷的处理－为避免与第三方发生数据和应用的纠纷，用户与服务提供商应在服务合约中确定自己提供的内容的知识产权的合法性。

关键领域8：订约（服务条款）

在任何交易中，交易各方之间的规则和承诺由合约或协议确立。如果具约束力的合约中没有订明承诺，那么总的来看，有关承诺应假定为不存在。在服务交易（如云计算）中，合约起到了尤为关键的作用，这是因为能够定义交付的有形产品并不存在。

要稳妥地订立云计算解决方案合约，用户必须采取一系列不同的步骤，每个步骤必须适切地针对某种情况：

第一步：用户需求 — 数据、应用及业务需求
第二步：格式合约条款
第三步：评估用户需求与格式合约条款的一致性
第四步：特殊风险考虑因素 — 可变更条款
第五步：针对传统服务提供商的尽责审查

服务合约的订立总是由用户而起。由于云计算可节省成本和具灵活性，促使用户作出快速的业务决策，因此带来了新的挑战。用户必须严加克制，管理本身的风险，以及有效地进行必要的评估和决定。用户应就云订约制定明确的内部规则，避免不经意地在云计算潜在的巨大裨益（例如节省成本及灵活性）和风险之间失却平衡。

为了让用户了解一般云服务合约的内容，云计算网载有一些云服务合约的样本或链接。可用以下链接来访问：
http://www.infocloud.gd.gov.cn/
http://www.infocloud.gov.hk/

关键领域9：服务违约

云服务合约往往甚少（如有的话）规定服务提供商须作出提供服务的具体承诺。而且，即使服务提供商作出履约承诺，通常该等承诺的范围亦甚为狭隘，或在很大程度上可获豁免。因此，用户决定在其业务采用某特定云服务前，务必先了解服务提供商所作的承诺，以及服务提供商违约时用户所享有的权利。

用户应了解服务提供商的服务承诺和服务内容之间是否完全对应，特别是在服务提供商的承诺远少于服务内容的情况。

订明履约责任的合约通常包含特定豁免条文。用户须格外审慎研究该等合约条文，以判断这些条文会否将风险提升至不可接受的程度。在此类豁免履约的条文中，最常见的是适用于「不可抗力」事件的条文。用户须审慎考虑该等豁免履约条文是否可接受，又或该等条文会否为用户带来过高的风险，以致无法在业务运作中采用云服务。

若服务合约载明服务提供商有履约责任，但服务提供商却作出不获豁免的未履约行为，用户便可再次审视合约中因服务提供商未履约而可享有的权利，最常见的有两种，即合约终止权和损害赔偿申索权。

终止合约－　云服务的终止中必须考虑的因素是所属资产的取回，例如数据是否能有效取回。由于数据在服务提供商中可能存在多个副本，服务提供商应对数据的销毁负有相应责任。对于敏感信息，服务提供商对于信息的保密责任不应随着合约终止而终止。
损害赔偿及责任限制－损害赔偿通常是指服务提供商就其未能提供服务致令用户蒙受的损失（至少是部分损失）而作出的金钱补偿。在这方面，根据标准行业惯例，服务合约中会加入明确条文，订明服务提供商须就违约而负上责任的程度。该等赔偿通常以合约期内或指定期内一笔（或多笔）款项的最高总金额为限，且根据合约须在若干个月内支付有关款项。