云服務級別協議中應該包括的十條最佳實踐

美國政府問責辦公室(GAO)最近出臺的一份報告著重指出：購買云服務時最重要的一點就是制定并執行服務級別協議。

GAO稱：“從提供商購買IT服務，可以免去部署支持此類服務所需的硬件、軟件和網絡，讓聯邦機構得以更快更節約地使用服務。為充分發揮效能，聯邦機構計劃在2016財年投入至少20億美元在云計算服務上。”

在報告成形過程中，GAO總結了云服務級別協議(SLA, Service Level Agreements)的十條最佳實踐，適用于美國聯邦機構和私營企業，也可作為國內機構使用或購買云服務時的一個參考。

1. 詳細定義SLA相關的各方角色和責任，至少，要包括機構和云提供商。

這些定義包括負責合同監管、審計、效率管理、維護和安全等方面的人員。定義關鍵條款，比如生效日期、性能等，還要商定云計算術語定義中任何模棱兩可的部分。

2. 定義云服務性能衡量標準，包括是誰負責衡量。云服務可用性、最大用戶數、客戶事務響應時間等都包括在衡量標準中。

3. 定義清晰的承包商表現測評標準。包含由哪方進行測評。這些標準的例子可以有：

服務水平(例如：服務可用性——機構可使用服務的持續時間)

云服務能力(例如：同時登錄最大用戶數，提供商擴容能力)

響應時間(例如：客戶事務處理速度，服務中斷的響應時間)

4. 指定機構訪問自身數據和網絡的方式和時間。

包括SLA存續期間數據和網絡將怎樣被管理和維護，以及服務退出/終止的情況下數據和網絡將怎樣轉換回機構。

5. 指定以下服務管理要求：

云服務提供商將怎樣監控服務表現并報告給機構；

機構通過審計確認云服務提供商表現水平的時間和方式。

6. 準備災難恢復和運營持續性計劃和測試方案。

包括云服務提供商應在何時，以怎樣的方式向機構報告此類宕機。另外，提供商將如何修復此類情形，以及防止同樣的情況再次發生，也應該包含在方案中。

7. 描述清楚當云服務提供商的表現衡量標準不適用時應遵循的例外準則(例如：在按計劃維護或升級期間的表現衡量便不適用常規標準)。

8. 指定云服務提供商必須達到的各項安全指標，確保符合機構的數據保護安全表現要求(例如：清楚指明誰有權限訪問數據，明確機構數據的防護措施)。

指定服務提供商應符合的安全表現要求，包括描述數據保護安全表現指標，比如：數據可靠性、數據存儲、數據保密性等。清楚定義云服務提供商和機構的訪問權，以及各自在防護數據、應用和流程安全中的責任，保證符合所有聯邦要求。描述安全缺口定義，規定一旦未能達標，服務提供商應在何時以何種方式通知機構。

9. 指定安全表現要求和屬性，確保能夠定義云服務提供商在安全要求未能滿足時應在何時以何種方式通知機構。

10. 劃定可實行的后果處理措施，比如處罰條款，以備未能遵守SLA時的處置。

制定這些處罰機制的實施方式。若缺乏處罰和補救措施，機構便有可能在發生狀況時無法在強制遵從合同條款上占據優勢。