GB/T 37734-2019 信息技术 云计算 云服务采购指南

　　IcS 35 . 240 . 0 1 L 70

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 37734—2019

　　信息技术 云计算 云服务采购指南 Informationtechnology—cloudcomputing—cloudservicepurchaseguideline

　　2019-08-30 发布 2020-03-01 实施

　　国家市场监督管理总局中国国家标准化管理委员会

　　发

　　布

　　GB/T 37734—2019

　　GB/T 37734—2019

　　前 言

　　本标准按照 GB/T 1 . 1—2009 给出的规则起草。

　　请注意本文件的某些内容可能涉及专利。 本文件的发布机构不承担识别这些专利的责任。

　　本标准由全国信息技术标准化技术委员会(SAC/TC 28)提出并归口 。

　　本标准起草单位：中国电子技术标准化研究院、广东软件行业协会、香港特别行政区政府政府资讯科技总监办公室、新华三技术有限公司、山东浪潮云信息技术有限公司、华为技术有限公司、陕西省信息化工程研究院、北京百度网讯科技有限公司、阿里云计算有限公司、腾讯云计算(北京)有限责任公司、广州市品高软件股份有限公司、深圳赛西信息技术有限公司、广东省电信规划设计院有限公司、中国平安保险(集团)股份有限公司、国云科技股份有限公司、云宏信息科技股份有限公司、东莞中国科学院云计算产业技术创新与育成中心、IBM(中国)、成都市大数据中心、中移(苏州)软件技术有限公司、烽火通信科技股份有限公司、城云科技(中国有限公司)、兴业数字金融服务(上海)股份有限公司、中山大学、网宿科技股份有限公司、上海优刻得信息科技有限公司、北京神州数码有限公司、无锡华云数据技术服务有限公司、浪潮电子信息产业股份有限公司、北京华胜天成科技股份有限公司、中国舰船研究院。

　　本标准主要起草人：杨丽蕴、周平、吕晖、周启明、饶通宇、郝轶、潘正泰、张敏、赵华、郑善龙、刘峤、闵震强、王文岩、贾立国、徐东、王泽胜、刘成龙、张卫中、程海旭、谭思敏、王春涛、郑文 雯、张 亚 辉、陈志峰、温武少、祁学颖、张大江、刘晨、吴涛、朱勇、万海、但 强、陈 行、刘 畅、赵 江、赵 光 亮、易 晶 晶 、侯大鹏、陈刚、杨鹏、梁钢、谢天杰、李宁。

　　GB/T 37734—2019

　　信息技术 云计算 云服务采购指南

　　1 范围

　　本标准规定了云服务采购流程、云服务采购需求分析、云服务提供商选择、协议/合同签订和服务交付与验收的基本要求。

　　本标准适用于云服务客户和云服务提供者，用于指导云服务客户采购云服务。

　　2 规范性引用文件

　　下列文件对于本文件的应用是必不可少的。 凡是注 日期的引用文件，仅注 日期的版本适用于本文件 。凡是不注 日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

　　GB/T 28827 . 1—2012 信息技术服务 运行维护 第 1 部分：通用要求

　　GB/T 32400—2015 信息技术 云计算 概览与词汇

　　GB/T 35301—2017 信息技术 云计算 平台即服务(PaaS)参考架构

　　GB/T 36325—2018 信息技术 云计算 云服务级别协议基本要求

　　GB/T 36326—2018 信息技术 云计算 云服务运营通用要求

　　GB/T 37735—2019 信息技术 云计算 云服务计量指标

　　GB/T 37740—2019 信息技术 云计算 云平台间应用和数据迁移指南

　　GB/T 37741—2019 信息技术 云计算 云服务交付要求

　　3 术语和定义

　　GB/T 32400—2015 和 GB/T 35301—2017 界定的以及下列术语和定义适用于本文件。 为了便于使用，以下重复列出了 GB/T 32400—2015 和 GB/T 35301—2017 中的一些术语和定义。

　　3.1

　　云计算 cloudcomputing

　　一种通过网络将可伸缩、弹性的共享物理和虚拟资源池以按需自服务的方式供应和管理的模式。注：资源包括服务器、操作系统、网络、软件、应用和存储设备等。

　　[GB/T 32400—2015,定义 3 . 2 . 5]

　　3.2

　　云服务 cloudservice

　　通过云计算已定义的接口提供的一种或多种能力。

　　[GB/T 32400—2015,定义 3 . 2 . 8]

　　3.3

　　云服务客户 cloudservicecustomer

　　为使用云服务而处于一定业务关系中的参与方。

　　注：业务关系不一定包含经济条款。

　　[GB/T 32400—2015,定义 3 . 2 . 11]

　　GB/T 37734—2019

　　3.4

　　云服务提供者 cloudserviceprovider

　　提供云服务的参与方。

　　[GB/T 32400—2015,定义 3 . 2 . 15]

　　3.5

　　基础设施即服务 infrastructureasa service

　　为云服务客户提供云能力类型中的基础设施能力类型的一种云服务类别。

　　注：云服务客户并不管理或控制底层的物理和虚拟资源，但是控制使用物理和虚拟资源的操作系统、存储，以及部署的应用。 云服务客户也可拥有对某些网络组件(如防火墙)的部分控制能力。

　　[GB/T 32400—2015,定义 3 . 2 . 24]

　　3.6

　　平台即服务 platform asa service

　　为云服务客户提供云能力类型中的平台能力类型的一种云服务类别。

　　[GB/T 32400—2015,定义 3 . 2 . 30]

　　3.7

　　软件即服务 softwareasa service

　　为云服务客户提供云能力类型中的应用能力类型的一种云服务类别。

　　[GB/T 32400—2015,定义 3 . 2 . 36]

　　3.8

　　云平台 cloudplatform

　　云计算中能够提供部署、管理和运行应用程序能力的服务模式。

　　[GB/T 35301—2017,定义 3 . 1 . 2]

　　3.9

　　资产 asset

　　云服务采购过程中涉及的数据和软件。

　　注：本标准中定义的资产不包括硬件资产。

　　4 缩略语

　　下列缩略语适用于本文件。

　　API：应用编程接口(Application Programming Interface)

　　CPU：中央处理单元(Central Processing Unit)

　　CSC：云服务客户(Cloud Service Customer)

　　CSP：云服务提供者(Cloud Service Provider)

　　DevOps：过程、方法与系统的统称(Development and Operations)

　　GPU：图形处理器(Graphics Processing Unit)

　　IDE：集成开发环境(Integrated Development Environment)

　　IP：网际协议(Internet Protocol)

　　IOPS：每秒进行读写操作的次数(Input/Output Operations Per Second)

　　Meta：元素可提供相关页面的元信息(Meta-information)

　　REST API：表现层状态转移接口(Representational State Transfer API)

　　GB/T 37734—2019

　　SATA：串行高级技术附件(Serial Advanced Technology Attachment)

　　SSD：固态硬盘(Solid State Drives)

　　SAS：串行连接小型计算机系统接 口(Serial Attached Small Computer System Interface)

　　SLA：服务水平协议(Service Level Agreement)

　　VLAN：虚拟局域网(Virtual Local Area Network)

　　VXLAN：可扩展虚拟局域网(Virtual Extensible LAN)

　　WEB：全球广域网或万维网(World Wide Web)

　　5 云服务采购流程

　　云服务采购流程包含云服务采购需求分析、云服务提供商选择、协议/合同签订、服务交付与验收四个阶段，四个阶段为递进关系，且存在内部循环与递归。 云服务采购流程见图 1 。

　　图 1 云服务采购流程

　　其中，“采购流程中的阶段”图例箭头方向为由某个阶段指向其下一个阶段，整个流程说明如下：

　　a) 云服务采购需求分析阶段：从资产、云服务的功能性、非功能性和安全四个方面，分析并提出CSC 的采购需求。

　　b) 云服务提供商选择阶段：根据上一阶段提出的需求，从服务级别、服务管理和服务费用三个方面遴选 CSP。

　　c) 协议/合同签订阶段：CSC选定 CSP后，双方签订协议/合同;当 CSC 与选定 CSP 不能就协议/合同条款达成一致时，则返回 b)阶段;当由于需求分析不充分，导致 CSC 需求未被完全覆盖时，则返回 a)阶段，并依次执行之后的流程。

　　d) 服务交付/验收阶段：CSP 根据签订的协议/合同进行服务交付，如在服务交付过程中，协议/合同部分条款需要变更或补充，应返回 c)阶段签订补充协议，并依次执行之后的流程;交付完毕后，按已签订协议/合同验收。

　　合同/协议是采购过程中的重要内容，后续章节中的各条款是用户签订采购协议/合同的重要参考。

　　6 云服务采购需求分析

　　6 . 1 概述

　　云服务采购需求分析阶段站在 CSC视角，从资产、云服务的功能性、非功能性和安全四个方面展开需求分析。

　　GB/T 37734—2019

　　6 . 2 资产

　　6 . 2 . 1 资产的归属

　　6 . 2 . 1 . 1 软件资产

　　CSC对软件资产的归属需求包括但不限于：

　　a) CSC应拥有其部署的软件资产的所有权/使用权，CSC 不能在 CSP 提供的云服务上部署没有授权的软件，并对软件的侵权行为承担相应的法律责任。

　　b) CSC应与 CSP共同协商确认 CSC利用云服务开发的软件资产的所有权、使用权，与 CSP共同协商确认其归属，并在双方签署的服务协议中明确划分归属及权责;涉及第三方或多方时， CSC应与 CSP共同协商与第三方或多方的使用权和所有权。

　　c) CSC应关注 CSP 提供的软件的合法性，要求 CSP 对其合法性进行确认，CSP 应在服务合约中说明，并对可能存在的侵权行为承担相应的法律责任。

　　6 . 2 . 1 . 2 数据资产

　　CSC对数据资产的归属需求包括但不限于：

　　a) CSC 的业务数据资产归 CSC所有。CSC 的业务数据是指 CSC上传至业务应用系统的初始数据以及业务应用运行过程中产生的数据，包括注册信息、操作信息、业务信息、日志信息等。

　　b) CSC 和 CSP应共同协商支撑业务运行的平台数据资产的归属，如协商归属一方或双方共同拥有等。 平台数据资产是指 CSC业务运行时平台产生的数据，包括业务运行状态数据、资源消耗状况数据、基础设施性能数据等，这部分数据资产一般在 CSP 的控制管理下，虽然不属于业务数据，但是通过对该数据的分析挖掘可能分析出 CSC业务运行相关的信息。

　　c) CSC 和 CSP应共同协商数据资产使用和处理行为的权限。数据资产的使用行为包括数据查看、分析、挖掘等;数据资产的处理行为包括数据增加、修改、删除等。 数据资产的使用和处置权限与数据资产的归属有关，CSC对归属于 CSC 的数据资产拥有其完整的使用和处置权限， CSP对归属于 CSP 的数据资产拥有其完整的使用和处置权限;双方共同拥有的数据资产应由CSC 和 CSP共同协商明确其使用和处置权限，并在协议/合同中进行说明。

　　d) CSC 和 CSP应共同协商是否可将双方共有的数据资产提供给第三方，以及数据资产提供的范围、内容和方式等，保证各方的利益不受侵害。

　　e) CSC 可根据其业务数据资产的重要性及安全性需求，获取或指定其业务数据资产的传输路径，以及存储和备份位置。 包括：

　　1) CSC可要求 CSP 提供 CSC业务数据的传输路径、存储和备份位置;

　　2) CSC可指定其业务数据传输路径，以及存储和备份位置。 存储和备份位置应详细到数据中心物理位置，必要时可详细到具体的机柜位置。

　　示例：对于希望独享存储空间的 CSC,可获取具体机柜位置;对于购买私有云的 CSC,可获取或指定具体机柜位置。

　　f) CSC应确认其存放数据资产的合法性，不损害第三方合法权益。第三方合法权益包括著作权、专利权、商标权、隐私权等。

　　6 . 2 . 2 资产的知识产权

　　CSC对资产的知识产权需求包括但不限于：

　　a) CSC应与 CSP共同协商确认 CSC利用 CSP所提供的云服务创造出来的有价值的资产的知识

　　产权，并在协议/合同中予以说明。 有价值的资产包括软件产品、发明专利、专有算法等;知识

　　GB/T 37734—2019

　　产权包括专利权、著作权、商标权、商业秘密、反不正当竞争与垄断等。

　　b) CSC应与 CSP共同明确发生知识产权纠纷时，双方承担的责任和解决方式，以及知识产权的

　　内容、属性和权属等内容，并在协议/合同中予以说明。

　　示例 1 ：归属为 CSC 的资产所产生的知识产权纠纷由 CSC 承担并解决。

　　示例 2：归属为 CSP 的资产所产生的知识产权纠纷由 CSP 承担并解决，如因 CSP 发生侵权行为，某项服务停用给 CSC造成损失，CSP 与 CSC协商给出解决办法。

　　示例 3：双方共有的资产所产生的知识产权纠纷由双方协商解决的途径、原则和方法。

　　6 . 3 功能性需求

　　6 .3 . 1 基础设施即服务(Iaas)

　　CSC应从当前和未来业务需求出发，确定对 IaaS 的功能性需求，包括但不限于：

　　a) CSC应确定对所需的计算资源和操作系统类型的组合、存储资源和存储技术类型的组合以及网络资源和组网类型的组合。 如下：

　　1) 计算资源和操作系统类型的组合包括对 CPU(GPU)/内存/操作系统(镜像)的配置和选择等。

　　示例 1 : 1 核 CPU/2G 内存/操作系统及版本号。

　　2) 存储资源和存储技术类型的组合包括对存储资源所基于的物理媒体和存储类型的组合以及对存储技术类型的要求等。 其中，对存储资源所基于的物理媒体和存储类型的组合包括对容量/媒体类型(如 SATA/SSD/SAS等)/性能(如 IOPS)等的要求;存储技术类型包括对象存储/块存储/文件存储等。

　　3) 网络资源种类和组网类型的组合包括所需网络资源(如端口/IP 地址/链路/带宽等)和组网类型(如 VLAN/VXLAN 等)等。

　　b) CSC应确定对计算、存储、网络资源进行全生存周期管理的功能性需求，如不明确可由 CSP 协助 。资源全生存周期一般包括资源创建、运行、变更、停止、销毁、回收等。

　　示例 2：对计算资源进行虚拟机的创建、修改配置、迁移、销毁、快照、备份等全生存周期管理。

　　示例 3：对存储资源进行块存储的创建、挂载、卸载、销毁、快照、备份、修改配置等全生存周期管理。

　　示例 4：对网络资源进行公网 IP 申请、绑定、解绑、释放等全生存周期管理。

　　c) CSC应确定对计算、存储、网络资源的弹性伸缩的功能性需求。其中，计算、存储、网络的弹性伸缩包括：

　　1) 横向弹性伸缩，一般是指资源实例数量的 自动或者手动增减。

　　示例 5：一个应用的虚拟机集群可以根据负载情况自动或者手动从 5 台扩展为 10 台，或者从 5 台缩减为 3 台 。

　　2) 纵向弹性伸缩，一般是指实例配置的 自动或者手动增减。

　　示例 6：一台虚拟机可以根据负载情况，自动或者手动由 4 核 CPU/16 GB 内存扩展为 8 核 CPU/32 GB 内存，或者是缩减为 2 核 CPU/8 GB 内存;存储由 100 GB扩展到 500 TB,或缩减为 10 GB,网络带宽由千兆扩展为万兆，或缩减为百兆等。

　　注 1 ：一般情况下，纵向弹性伸缩以手动为主，计算和存储类资源进行纵向伸缩时，该计算实例可能需要停机或者重启。

　　d) CSC应确定对计算、存储、网络资源的统计、监控和告警的功能性需求，并能根据需求进行 自定义调整，如 自定义配置、自定义监控、自定义展示、自定义报表等。

　　e) CSC应确定对计算、存储、网络资源及其他服务进行定制化的功能性需求。

　　注 2：资源的定制化服务包括计算、存储、网络资源的类型、性能以及特定产品等定制、资源及其相关专用软硬件的定制、服务界面风格等的定制、第三方系统对接(接口)定制等。 依据 CSC 的定制化需求，可能涉及额外的收费，如 CSC需要 CSP 提供的云资源服务可以对接已有或者未来的第三方管理平台，需要 CSP开放必要的接口甚至定制开发满足其要求的接口 。

　　GB/T 37734—2019

　　6 . 3 . 2 平台即服务(paas)

　　CSC应从当前和未来业务需求出发，确定对 PaaS 的功能性需求，包括但不限于：

　　a) CSC对应用程序开发的功能性需求。包括但不限于：

　　1) 对应用程序开发、调试和测试的环境、工具或接口的需求。

　　示例 1 : CSC 提出需要 CSP 提供云平台资源调度管理平台、镜像仓库、容器、微服务、中间件、数据库等服务的

　　REST API接口，并通过与 DevOps 相关服务对接，提供应用程序的开发、调试和测试的环境或工具以及应用

　　程序开发所需的平台服务。

　　2) 对代码版本管理功能的需求。 代码管理功能包括管理分支、追踪版本变更历史、进行代码文件的比较及合并等，可通过集成版本控制工具提供相应功能。

　　3) 对开发环境多样性的需求。 包括但不限于：

　　— 支持多种开发语言环境;

　　— 支持多种代码的编写、分析、编译、调试及构建的集成开发环境(IDE) ;

　　— 支持结构化、半结构化、非结构化等数据类型。

　　b) CSC对应用程序运行的功能性需求。对应用程序运行的需求包括应用程序运行环境所支持的编程语言、应用框架的类型等需求。

　　注 1 : CSC 了解 CSP所提供支撑其应用程序运行的能力，如应用程序与 PaaS 软件运行环境的兼容情况，包括编辑

　　语言、应用框架、提供特定功能的服务组件等。

　　c) CSC对应用程序管理的功能性需求。包括但不限于：

　　1) 对应用程序全生存周期管理的能力需求。 包括但不限于：

　　— 提供用户应用程序的部署能力;

　　— 提供用户应用程序的删除(反部署)能力;

　　— 提供软件发布的能力，包括软件配置、Meta信息填写、软件包上传、存储等的能力;

　　— 提供对已发布软件的管理能力，包括对软件的查看、查询、添加、删除、修改、部署及反部署等的能力;

　　— 提供对已部署应用程序的管理能力，包括对已部署应用程序进行查看、状态监控、日志记录、停止、暂停、重启、修改、删除等。

　　2) 对应用程序的部署需求。 包括应用程序的自动化部署程度、部署配置策略、部署工具的易用性等。

　　3) 对应用程序的监控需求。 包括但不限于：

　　— 平台对应用程序的监控报告。

　　注 2：为了解应用程序的运行情况，通常需要对应用程序进行监控。PaaS 系统针对各种监控指标均提

　　供监控图表报告，如消息队列的队列长度，数据库的并发读写数等。

　　— 可配置监控信息。

　　注 3 : PaaS 系统支持监控信息的可配置，CSC可对监控信息进行筛选、查询、聚合、分类等操作。

　　注 4：监控功能自身的可配置，如监控时间间隔等。

　　— 第三方监控工具适配能力。

　　注 5：指可提供供第三方监控工具所调用的接口 。

　　4) 对应用程序数据的迁入迁出需求。 包括但不限于：

　　— 应用程序状态数据的迁入迁出，如 WEB 服务器的配置文件、会话状态等数据的迁入迁出;

　　— 应用程序业务数据的迁入迁出，如数据文件的导入导出、数据库应用数据的导入导出等。

　　GB/T 37734—2019

　　5) 对应用程序数据的销毁需求。 一般涉及两类存储：

　　— 应用本身占用的存储，如虚拟机、容器等;

　　— 应用使用的附加存储，如虚拟机卷、容器卷等。

　　6) 对资源管理与配置需求。

　　7) 对所获资源的分配、监控、释放等操作需求。

　　8) 对所获资源的参数配置、性能调优等操作需求。

　　示例 2：对 PaaS软件运行环境的性能、容量等进行配置，对 SLA 的相关指标进行设置。

　　6 .3 .3 软件即服务(saas)

　　CSC应从当前和未来业务需求出发，确定对 SaaS 的功能性需求，包括但不限于：

　　a) CSC应确定对 SaaS支持的终端硬件类型需求。其中，终端硬件类型包括但不限于：

　　1) 移动端：指能够通过无线网络技术接入互联网的终端，如各类移动智能终端、平板式计算机等;

　　2) 其他可能需要的智能终端，如自助服务一体机等。

　　b) CSC应确定对 SaaS支持的软件运行环境类型需求，如操作系统、浏览器等。

　　c) CSC应确定对 SaaS 的全生存周期管理需求，如不明确可由 CSP 协助。资源全生存周期一般包括注册、使用、数据同步备份、注销、软件版本迭代等。

　　d) CSC应确定对 SaaS 的统计、监控和告警需求，如对应用网络故障告警、对应用使用情况分析报告等。

　　e) CSC应确定对 SaaS 的定制化需求，如对界面、数据、功能模块、工作流程的定制等。

　　6 . 4 非功能性需求

　　CSC应从当前和未来业务需求出发，确定对云服务的非功能性需求。 包括但不限于：

　　a) 性能：确定并形成可量化考核的云服务关键性能指标，确认性能基线范围。示例 1 ：块存储服务的关键性能指标包括 IOPS、带宽等。

　　b ) 可用性：确定云服务可用性的指标和计算方法。

　　c) 兼容性：确定 CSC 在使用云服务过程中的兼容性要求和应对策略。其中，兼容性要求包括CSP 提供的云服务与 CSC现有业务环境的兼容性要求等;应对策略包括 CSP 提供满足需求的兼容性方案和相关测试证明文件，以及如果不兼容的解决办法等，如与服务器、存储等硬件设备兼容性，与操作系统、运行环境等软件兼容性。

　　d) 互操作性：确定 CSC在使用云服务过程中的互操作性要求和应对策略，如接 口、格式、协议等互操作性要求。

　　注 1 ：云服务采购中的互操作性包括三层含义，一是 CSC 与 CSP 提供的云服务之间按照规定的方法交互和交换信息并获得可预测结果的能力;二是一个云服务与其他云服务一起工作的能力，既可以通过同一个 CSP 的云间提供商关系，也可以由 CSC 自 己以某种形式组合多个不同的云服务来实现其业务 目标;三是延伸到云服务本身之外，CSC 与 CSP 的云服务管理设施的交互，如 CSC 的多云管理应用场景等。

　　e) 可扩展性：确定可扩展性要求和应对策略。

　　示例 2：针对当前或未来业务发展需求，CSC不受 CSP 可供应的物理或虚拟资源限制。

　　示例 3：在云服务扩展时，保障 CSC业务连续运行和保持服务水平的应对策略。

　　f) 可维护性：确定云服务过程中需自行维护的要求和维护策略，划分 CSC 和 CSP 各自承担的维护范围，对于共同承担的维护范围双方共同协商维护策略。

　　g) 可审计性：确定云服务使用过程中的审计要求和策略，如计费、安全、运维等审计要求。其中，

　　GB/T 37734—2019

　　审计包括审计报告、审计证明等，与服务及相关资源的用法、环境、可用性和性能相关的数据和证明的可用性等相关。

　　注 2：针对不同行业特定的审计需求，公司采购部门可与审计部门需提前沟通审计需求。

　　h) 可移植性：CSC采购云服务过程中的迁入迁出需求，由 CSC 和 CSP 等相关方共同协商确定。协商内容包括但不限于：

　　1) 协商 CSC 的资产迁入迁出可行性，并就能力、风险、实施方案、费用等达成一致。 包括：

　　— 能力可关注 CSP 迁移工具的商业成熟度和项目迁移经验、人员配备情况等;

　　— 风险可关注应用迁移失败、数据迁移不完整等可能存在的风险;

　　— 实施方案可从具体迁移实施人员、实施计划、实施准备、迁移测试、风险应对、数据割接等方面制定实施方案;

　　— 费用可依据人/日工作量计费。

　　2) CSC进行资产迁入迁出需 CSP 配合的工作内容。 包括但不限于：

　　— 提供 CSC 资产迁入新的云服务所需的计算、存储、网络、安全等资源和环境，以及CSC在迁出时 CSP 能够提供的人员和咨询服务能力。

　　— 协商迁入迁出的迁移方案和演练计划。

　　注 3：迁移场景包括将 CSC 资产从物理环境中迁移到一个云环境中，或者将 CSC 资产从一个云环境中迁移到另一个云环境中等。

　　— 协商回退机制并进行迁移演练，以应对可能发生的迁入迁出失败场景。 迁移失败的场景包括迁移过程完成但是 CSC 资产不能在 CSP所提供的云服务环境中正常运行，在预期的时间内没有完成迁移等。 回退机制是在迁移失败后需要回退资产，按照计划和顺序拨回配置信息，启用原资产。

　　3) 资产及知识成果转移细则。 本标准中的知识成果是指在整个云服务过程中，迁入、运行和迁出等过程中产生需要双方对接的成果，包括应用信息、解决方案、应急预案、迁移细则、迁移方法、迁移工具、迁移总结报告等。 细则包括云服务终止时 CSC 资产及知识成果的迁出策略，包括迁出方案、时间和费用等。 由于云服务的终止是在合同期内的不确定性行为，在这种情况下的资产及知识成果转移需双方共同商定。

　　4) 迁出后的数据资产处置策略。 保留策略内容包括保留期限、保留费用、资产评估、期满后处理方式、剩余信息清理等。

　　注 4 ：以上要求可由 CSP 或第三方协助确认。

　　5) 迁入迁出实施过程的要求见 GB/T 37740—2019 。

　　注 5：相关方包括 CSC、CSC 的服务方、原 CSP、现 CSP 等 。

　　6 . 5 安全

　　安全保障是 CSC 和 CSP共同的责任，贯穿于云服务采购全生存周期，具体内容包括但不限于：

　　a) CSC应关注 CSP所具有的网络安全资质;

　　b) CSC应关注 CSP 对云服务自身的网络安全控制措施;

　　c) CSC应明确 自身网络安全要求并关注 CSP 能够提供或支持的安全产品/服务/解决方案;

　　d) CSC应明确 CSP 是否能够在与 CSC相关的安全评估、审核等过程中提供支持;

　　e) CSC 与 CSP应共同明确安全保障、保密和个人数据保护等内容;

　　f) CSC 与 CSP应共同遵守网络安全法律法规，必要时可参考相关安全标准。

　　a)、b)、c)、d)四个条款是递进关系，给出 CSC应关注 CSP 安全保障相关的文件、实践、产品化的安全产品与服务(含对第三方安全能力的支持)和非产品化的审核支持工作。

　　GB/T 37734—2019

　　7 云服务提供商选择

　　7 . 1 概述

　　按照第 6 章的内容，CSC从服务级别、服务管理、服务费用三个方面对云服务提供者进行选择。

　　7 . 2 服务级别

　　CSC对 CSP 服务级别的选择要点包括：

　　a) CSP 的服务内容(见 GB/T 36325—2018 中的 6 . 1 . 3) ;

　　b ) CSP 的服务级别指标(见 GB/T 36325—2018 中的 6 . 1 . 6) ;

　　c) CSP 的服务时间(见 GB/T 36325—2018 中的 6 . 1 . 5) ;

　　d) CSP 的补偿策略(见 GB/T 36325—2018 中的 6 . 1 . 13) 。

　　注 1 : GB/T 36325—2018 中提出服务级别协议的必备要素，在对 CSP 的选择阶段仅对服务内容、服务级别指标、服务时间和补偿策略四个要素进行对比。

　　注 2：基于以上条款，CSC 可通过自评、委托第三方测评、CSP 提供资质认证采信等方式评估选择。

　　7 . 3 服务管理

　　CSC对 CSP 服务管理的选择要点包括：

　　a) CSP 的运营能力，例如：是否已建立满足 CSC需求的运营管理机制;

　　b) CSP 的运维能力，例如：是否已建立满足 CSC需求的运维管理机制;

　　c) 运营和运维能力应满足 GB/T 36326—2018 中 6.1 和 6.2,以及 GB/T 28827.1—2012 中 9.4~

　　9 . 9 的要求。

　　7 . 4 服务费用

　　CSC对 CSP 服务费用的选择要点包括但不限于：

　　a) CSP 提供的云服务计量指标的名称、单位和计量周期。对计量指标的名称、单位应符合GB/T 37735—2019 中第 5 章～第 7 章的要求。

　　b) CSP 提供的计费策略和付费策略。计费策略包括订阅计费/按量计费等，付费策略包括预付、后付、实时划账、折扣等。

　　c) CSP 能否提供服务使用费用的清单，以及清单的内容和详细程度等。

　　d) 云服务使用过程中可能产生的关联服务费用。例如：迁入迁出过程可能产生的数据传输、数据存储等费用。

　　8 协议/合同签订

　　CSC 与 CSP应共同确定：

　　a) 签约形式。包括纸质、电子的合同或协议等法律认可的签约形式。

　　b) 订约条款。第 6 章和第 7 章的内容，应根据 CSC 的需求，并经双方达成一致后，部分或全部作为技术内容输出物体现在订约条款中，如双方共同确认的 SLA、服务内容、价格等。

　　c) 违约条款。包括违约责任界定及处理机制等，如云服务未达到约定要求的具体表现形式、双方的责任边界、以及违约处理或惩罚措施等，并对每项未达到约订要求的服务，给出具体的责任认定方法、处罚方法，以及处罚的执行方法。 违约场景包括但不限于：

　　1) CSP 侵犯约定的 CSC 资产产权，或第三方资产产权;

　　GB/T 37734—2019

　　2) CSP 云服务所交付的资源、资产，未达到约定的功能或非功能要求;

　　3) CSP 的服务的管理未达到约定要求;

　　4) CSP 的服务水平未达到约定要求;

　　5) CSP 提供的服务结算结果与约定的计费条款不一致。

　　d) 是否符合相关法律法规中规定的其他内容，并通过合法性审查。如是否符合《中华人民共和国合同法》《中华人民共和国电子签名法》等的规定。

　　e) 将订约和违约条款体现在双方签订的协议或合同中。

　　9 服务交付与验收

　　服务交付与验收是云服务采购流程的最后一个阶段，应满足 GB/T 37741—2019 的要求。