可信云服務認證(可信云服務認證體系及評估方法)

　　2013年10月，可信云服務認證正式啟動，這標志著我國也擁有了自己的云服務質量評估體系?？尚旁品照J證是在工信部通信發展司的指導下，由云計算發展與政策論壇成立的“可信云服務工作組”組織開展，認證的核心目標是建立云服務商的評估體系，為用戶選擇安全、可信的云服務商提供支撐，并最終促進我國云計算市場健康、有序發展。

　　“可信云服務工作組”的主要成員包括工信部電信研究院、三家電信運營商、主要互聯網企業和設備提供商?；诳茖W性的原則，可信云服務認證充分借鑒了日本、韓國和德國的先進經驗，并針對我國云服務市場的特征，結合用戶關心的核心問題開展相關認證。在認證過程中，可信云服務認證分為標準編寫、服務測評、專家評議三個階段。

　　為了充分體現云服務商的技術指標和水平，可信云服務認證的具體測評內容包括三大類共16項，分別是：數據管理類(數據存儲的持久性、數據可銷毀性、數據可遷移性、數據保密性、數據知情權、數據可審查性)、業務質量類(業務功能、業務可用性、業務彈性、故障恢復能力、網絡接入性能、服務計量準確性)和權益保障類(服務變更、終止條款、服務賠償條款、用戶約束條款和服務商免責條款)，基本涵蓋了云服務商需要向用戶承諾或告知(基于服務SLA)的90%的問題?？尚旁品照J證將系統評估云服務商對這16個指標的實現程度，為用戶選擇云服務商提供基本依據。

　　可信云服務認證體系

　　1.評估目的和對象

　　(1)可信云服務認證的目的

　　●一是幫助云用戶弄清專業性問題，對用戶關心的90%的共性問題進行評估鑒定，并且減輕云服務商的負擔，減少云服務商同用戶溝通的成本，從而培育市場。

　　●二是規范云服務服務行為和運營管理流程，統一指標的解釋，使云服務評估的指標解釋統一，可比性更強，從而規范市場。

　　(2)可信云服務認證的對象

　　由于當前云服務的形態較多，且沒有統一的業務分類標準，不同云服務商不同產品的發展水平不一。因此，從嚴謹性出發，評估對象為單個的云服務，避免以偏概全為整個云服務商。

　　2.評估方法

　　“可信云服務”的可信，即評估方法的維度有以下3個方面：

　　(1)企業信息真實性披露，即參評企業基本信息和業務基本信息是否可信。

　　(2)云服務指標的完備性和規范性，即參評云計算服務協議是否就用戶關心的關鍵問題都做了承諾或告知，承諾或告知的描述是否規范。

　　(3)云服務指標的真實性，即承諾或告知的指標的真實能力。

　　●第一個維度的評估方法

　　主要采用材料審查的方式，對參評企業基本信息和業務基本信息的真實性進行驗證。企業基本信息包括經營資質、規模、人員等，業務基本信息包括業務名稱、起始時間、支付方式等。通過的準則是參評云業務提交的基本信息材料必須真實，所有必選項必須通過。

　　●第二個維度的評估方法

　　本維度考察云服務商是否就用戶關心的所有指標和條款進行了承諾或說明，承諾或說明的出處為云計算服務協議(含SLA)和其他說明文檔，如白皮書等。需承諾或說明的指標和條款為《云計算服務協議參考框架》中推薦的所有指標項和條款項，其中云服務需要承諾的有l6個指標，具體包括以下幾類：

　　——數據管理類：數據存儲的持久性、數據可銷毀性、可遷移性、數據私密性、數據知情權、數據可審查性。

　　——業務質量類：業務功能、業務可用性、業務彈性、故障恢復能力、網絡接人性能、服務計量準確性。——權益保障類：服務變更、終止條款、服務賠償條款、用戶約束條款和服務商免責條款。

　　《云計算服務協議參考框架》為云計算服務協議的參考框架，適合所有的云計算業務和不同類型的用戶，用來指導云服務商制定最佳服務協議，有助于用戶和服務商從統一標準化的角度理解服務協議的指標或條款。本標準中，服務協議最佳實踐所應包括的指標項和條款項、每項定義和每項的規范性描述，規范性描述規范了服務商向用戶承諾每項指標項和條款項時，應說明哪幾方面的信息。并未規定具體指標數值和內容。

　　●第三個維度的評估方法

　　根據不同的云服務同一指標的評估方法稍有不同。

　　——目前已經完成并實踐的：《可信云服務認證評估方法第1部分：云主機》、《可信云服務認證評估方法第2部分：對象存儲》和《可信云服務認證評估方法第3部分：云數據庫》。

　　——計劃制定的：《可信云服務認證評估方法第4部分：塊存儲》、《可信云服務認證評估方法第5部分：云引擎》和《可信云服務認證評估方法第6部分：云分發》。

　　評估方法對服務協議中的每個指標和條款承諾的真實性進行評估?？傮w通過的準則是服務協議中的所有指標項和條款項都必須按照評估方法通過驗證。以云主機為例，16個指標都為必選評估項，其中所有的指標都要有材料審查，包括28項材料審查、遷移性等6個指標需要技術測試、業務可審查性等3個指標需要實際考察。

　　3.評估機制

　　《云計算政策與發展論壇可信云服務認證操作辦法》對評估操作流程進行規范。整個評估過程包括6個環節，即材料形式審查、技術測試、實際考察、技術專家組評審、技術專家組復審和評審委員會評議。

　　——工業和信息化部電信研究院進行材料形式審查、技術測試和實際考察。材料形式審查：審查材料是否齊全和真實。技術測試：利用虛擬化平臺等多種技術手段對指標進行測試，出具完整測試報告。實際考察：對云服務的相關系統進行實際考察驗證。材料齊全、技術測試和實際考察都通過的云服務才可進入下一階段，未通過要進行整改。

　　——技術專家組評審和復審：根據《云計算服務協議參考框架》和《可信云服務認證評估方法》系列標準，對提供的材料和測試報告判定16個指標完備性、規范性和真實性，評審采取同行評議，企業答辯，獨立打分，本單位回避等機制。對前階段評審有問題的企業根據專家意見整改，再次復審，判定整改結果。

　　——評審委員會評議：組織工信部、財政部、發改委、中咨、北郵、賽迪等多方領導和專家鑒定評估過程的合理性及技術專家組評定結果的客觀公正性。

　　4.評估進展

　　可信云服務認證首輪云服務評估情況。目前，可信云服務認證已經根據第一版本的標準完成了20個云服務的評估，并正在根據新細化的標準，進行補測工作。20個云服務覆蓋云主機、對象存儲和云數據庫3大類，分屬1O家企業，包括中國電信、中國移動、阿里巴巴、百度、騰訊、新浪、京東、藍汛、世紀互聯和UCloud。