为了进一步促进云计算创新发展，建立云计算信任体系，规范云计算行业，促进市场发展，提升产业技术和服务水平，由中国信息通信研究院、中国通信标准化协会主办的“2018可信云大会”于2018年8月14日－15日在北京国际会议中心召开。
如今，云计算已经发展了10余个年头，并逐渐形成庞大的产业规模，企业“上”云也并非难事。但不断出现的信息数据泄露事件给火爆的云计算界敲响了警钟，企业开始逐渐意识到云计算的风险性，明白部署哪一种云都有可能受到黑客攻击。虽然云计算可带来显著的优势，但潜在风险也不容忽视。"2018可信云大会"邀请了行业内多位大咖与权重人物共同探索可信云与云计算的创新发展新路径。
以下是中国信通院云大所云计算部工程师张琳琳带来可信政务云标准和评估实践的介绍。
各位嘉宾下午好，我是来自中国信通院云大所云计算部的张琳琳，接下来的时间我跟各位汇报一下我们信通院在政务云的标准和最新的评估实践情况的一些进展。
我的整个介绍会围绕这四部分展开，首先是政务云相关评估的背景，然后是具体标准和评估实践的一些介绍，然后接下来是我们下一步的工作计划。首先我们来看一下什么是政务云？这个地方我们引用《中国政务云发展白皮书》的概念，政务云是利用云计算技术，通过统筹计算、网络以及存储的资源，借助云计算虚拟化、高可用、高可扩展性的特点，来实现按需以及弹性服务的特征。那我们建政务云最终的目的是什么？就是为了各级政府机构来提供包括基础设施的支撑以及上层的应用软件、支撑软件等等这样的综合性的云平台。最终的目的其实就是要达到通过提升政府信息化水平，来实现政府的高效办公，另一方面是使政府提供的服务更加便捷、更加透明、更加公开化。
下面我们来看一下政务云发展的整个政策环境。首先我们国家是近年来发布了大量的跟云计算有关的文件，首先我们看一下国务院发布的《关于促进云计算创新发展，培育信息产业新业态》的意见，国务院发的文中当中就提到了鼓励应用云计算技术，来整合现有的电子政务系统。当中也特别提到了移动化，就是要加强关于知识产权的保护，另外就是相关标准制定以及相关评估测评工作的进展。
接下来工信部也相继发布了《云计算三年行动计划》，以及网信办和财政部都有相应的一些文件的出台。这些文件的出台一方面是促进整体云计算的发展，另一方面也特别提到了要进一步深化云计算在传统行业包括政务、金融、工业等这些行业的深化的应用。
刚才我们徐主任也讲到了《中国政务云发展白皮书》，据白皮书的统计目前我国有七成省和地级行政区已经建有政务云，我们在政务云建设规模的背景下，也暴露出来了一些关于标准和评估体系缺失的问题。面临我们这些政务云的如火如荼建设，具体建成以后它的技术水平怎么样？另外就是服务商的服务能力如何？还有是建设以后是否取得了真正应用的成效？这些其实都是需要去衡量和评价的问题。信通院的可信云评估体系也是把政务云纳入到了我们整个行业云评估的体系中。
下面介绍的是目前开展的体系介绍，首先是政务云综合水平评估标准及实践情况，政务云现在的形态有一种综合性的政务云，另外一种是垂直的行业性政务云，我们这个标准面向的是综合性政务云。具体这个标准的评估内容有哪方面？我们可以看一下，这里概括为一句话，政务云综合水平从四大维度、三个级别、20项指标，综合多种手段来全面地衡量政务云的水平。这四大维度我们首先看一下第一项，是关于政策落实方面的。因为政务云首先是跟政治挂钩，所以我们首先就要评估它是否有全面的响应我们国家发布的一些主要的政务云相关政策，如果一个政务云的建设跟我们国家的政策相左，那它的建设也没有什么意义。在落实以后，我们还会考量有多少部门已经实现了上云，有多少核心业务系统已经实现了上云，这都是具体的衡量指标。
第二个方面是具体应用成效的评估，政务云建成以后，是不是真正的具备一些对民众办事意义对政府办公效率的提升，这其实是非常重要的一个方面。所以在这个地方，我们也是设计了包括民众办事效率提升比、具体成本节约比以及带动周围相关产业生态圈发展程度，一共是这三项指标，来衡量整个应用成效的评估。
第三和第四方面就是一些技术的指标，包括平台基础的技术能力，以及政务云平台整个安全保障能力。政务云综合水平这项评估，主要是想象政务云建设的事后评估阶段，也就是说我的这个政务云案例建成以后，是要求它有一定的运营年限，而且要有一定的上云规模和上云率之后，我可以通过这样一项评估来衡量它的综合能力。整体结构会根据我们这20项指标做一个汇总，最后将结果划分为基础级、增强级以及先进级这三个级别。
针对我们这项政务云综合水平标准已经在2017年率先在济南市开展了试评估工作，也是经过了两个月的审查和测试，最终形成了济南政务云的测试报告，也是经过政务云专家的严格评审。最终济南政务云获得了政务云综合水平先进级的结果，我们可以看一下左边的图就是在2018年3月的奥斯卡大会上，也是由部领导对我们济南政务云代表进行了颁奖。经过试评估之后，我们也是对相关标准和评估手段做了进一步完善，在2018年上半年又一共新增了四个案例参与到评估中来。分别是嘉兴政务云、宁夏电子政务云平台、宿迁政务云以及抚州政务云平台。这四个地方的案例，都取得了先进级的评估结果。我们这个评估结果也是今天上午可信云大会的主论坛上进行了发布。
接下来介绍的是我们在政务云方面的另一项工作，刚才讲到政务云综合水平的评估，主要是面向地方上运营比较成熟的案例。随着政务云的发展，其实厂商的竞争也是越来越激烈，行业上也会出现一些竞争上的乱象。那怎么去衡量云服务商的能力？其实目前还很少有这种相应的标准来面向云服务商去做一个具体的评价跟评估。
第二方面是对于政府机构来说，在采购云服务之前其实也需要一定的依据去指导和提供一定的参考，如何去选择可靠的云服务。
第三方面来说，我们政务云一般在建成之后其实是需要有一定的标准去判断它是不是能够真正的符合政府的需求，是不是已经到达可以投入使用的地步。
那针对这些问题，我们信通院开展了面向政务云的事前以及事中这个阶段的标准的撰写，这样结合我们刚才讲到的综合水平，其实就覆盖到了我们政务云的整个生命周期。
下面我们看一下可信政务云标准的具体内容，可信政务云标准是从2018年开始撰写，由中国信通院联合多家政务云企业来共同撰写，也是经过多轮研讨形成了这样一个终稿。标准全称叫云计算服务客户信任及能力要求第八部分政务云平台。这个标准适用对象其实是云服务商的某一个政务云平台，作用的阶段就是政务云建设的事前以及事中的阶段。我们也希望通过这样一个标准，能够为政务云的建设、验收以及招投标等工作提供一些参考。
我们撰写这项标准的意义是什么？首先是希望能够提出一种对政务云平台服务能力和技术能力的要求，以规范云服务商的服务能力和技术水平，从另外一个角度来说，我们同时也希望能够为政府机构采购云服务提供一定的参考和支撑。
可信政务云的标准现在是从四个维度展开，下面我分别介绍一下这四个方面。关于云服务商信息真实性披露，首先企业信息是否真实，是否具备相应资质，可以说是一个经营云服务的部门级要求。首先经营云服务，要有相应的牌照准入。对于IDC牌照这块，我们可以看一下如果一个企业提供IaaS或者PaaS服务，是必须要具有互联网中心业务，含互联网协作业务，也就是我们通常所说的云服务的许可。如果是采用这种租用机房的形式，必须要提供租用方的租用证明或者IDC牌照编号，这也是对整个资质合规性的最开始的检查。其次是对于经营规模和经营牌照以及资金的一些基本信息的披露，另外关于业务基本信息这块，我们参评的企业需要提供业务的名称、业务的起始运营时间，以及跟用户之间签订合同所约定的支付资金的方式。最后就是要披露我们这个业务所采用的软硬件整体结构。
第二方面是云服务指标的完备性和规范性。我在这个地方列出了六点，包括服务的可用性，数据存储的持久性，可销毁性，可迁移性，私密性，以及故障恢复能力。我们要求云服务商对用户所关心的这些指标要做出相应的承诺或者说明，这些承诺和说明的出处可以是云计算的服务协议，也可以是其他的白皮书或者是一些公开性文档。
接下来平台能力的部分，主要由七方面的指标来具体组成。首先是平台基础能力，它考察的是政务云平台在计算、存储、网络等方面等基础服务功能的完备情况。具体到一些细节，包括整个虚机的创建、销毁，另外就是快照、模板等等这些功能。服务可用性这块是考察每个月用户实际可以使用的云服务时间跟所有服务时间的比例，也就是考量用户中断的的时间的占比程度。服务可用性实施到具体的计算过程中，是通过考察机房的可用性，服务器、网络以及软件的可用性通过这四个方面进行综合，来得到整体云服务的可用性。既然这个对服务可用性作出了承诺，实际在运行过程中是不是真正能够达到我承诺的可用性？我们这个地方设计的指标叫服务的实际情况，是通过我们近三个月服务协议的达成情况，以及这个标准里面所设计的用户满意度的调查表，由这两个维度来共同衡量。
接下来是资源的调配能力，考量的是我们政务云对资源快速扩展以及弹性扩容的能力。业务迁移性主要是考虑用户数据应该能具备从一个云平台迁移到另一个云平台这样的能力，这个指标主要也是以防云服务商有时候会出现一些对用户的绑架行为。网络接入能力主要是考量网络具体的接入方式以及具体带宽的一些要求，服务计量准确性就是对整体计费香豌的内容，要保证计费项是不是清晰、准确，最后的计费帐单是不是透明、用户可重新计算。
安全保障能力，数据持久性其实是衡量数据不丢的概率，一般我们都会看到一些厂商公开的文档承诺数据持久性是多久。数据可销毁性，如果说用户有数据销毁的需求，或者说我的设备在报废或者是弃置之前云服务商应该能做到采取相应的技术或者一定的手段，做到用户数据的彻底删除，并且无法复原，以保障用户数据的安全性。就用户私密性来说，我们云服务商要有一定的数据加密以及隔离手段，从而保证网络的隔离性，保证同一资源池内的用户数据能够做到互相不可访问。
那对这个数据安全性来说，首先我们登录云平台的时候就要有一套完善的鉴别机制，包括我们考量的指标有是不是具备鉴别失败处理机制，以及相应的锁定策略。另外是访问云平台的机制，是不是具备安全的协议。运营能力和故障恢复能力，主要是政务云平台监测、告警、日志和处理故障流程的能力。风险管理能力，一方面是机房的风险能力，也就是机房包括电力设备、空调、消防设备是不是具备相应的冗余，另外是有没有具体的机房包括重点区域的监控设备。另一方面是关于人员的风险，其实除了物理的风险之外，人员也是一个非常大的风险，我们政务云平台就需要对整个运维人员的资历以及背景，还包括运维人员的运维人员来做一个详细的调查。另外是考察政务云平台是不是定期具备安全演练或者相应的培训机制。
最后一块也是对政务云平台比较重要的信息安全能力，包括各种攻击防御、入侵防御，漏洞、病毒管理以及Web防护能力。
我们这个可信政务云具体在评估实践中怎么去落实的？我们在这个地方简要介绍一下。具体到评估方法中，我们是采用一共三种评估方法，包括材料审查、技术测试以及相应的调查问卷。综合这三种手段，最后我们会形成一个可信政务云评估的报告，这个报告形成之后其实不是我们说通过或者是不通过，是要交由政务云领域的一些专家委员会的专家去做一个评审，最终是否通过是由评审的结果来决定的。
下面列出的是我们相当于是首批通过可信政务云评估的五家企业，分别是电信、浪潮、曙光、京东以及上海仪电，这个结果在上午可信云大会主会场上做了发布。
下面我介绍一下我们评估完成之后具体发放证书的形式。从证书上也能体现一些我们目前这两套标准以及评估的一些区别，首先我们看一下右边的可信政务云证书，可信政务云因为它其实是面向厂商的，所以我们看到标红的地方主体其实是中国电信，这边是做一个举例，以中国电信为主体通过的评估。政务云综合水平，因为刚才讲到它其实面向的是一个地方的案例，所以我们看到左边这个证书最后拿证的主体其实是比如说嘉兴政务云或者是宁夏政务云这样一个主体。另外我们这两套评估依据的标准的不同，可信政务云依据的是可信政务云的标准，政务云综合水平依据的是我们在去年底开始编写的综合水平这样一个标准。最后一个区别是持证主体范围的区别，以中国电信为例，我们可以看到电信的证书上目前写到覆盖范围其实是嘉兴政务云还有宁夏政务云，那因为电信在地方上建政务云的时候，其实也不能说它通过我们的评估就具备在所有地方上建设政务云这样符合我们指标的能力。所以说我们会去选择它承载我们这个政务云的具体某一个平台来进行测试，如果电信接下来比如说要在西藏或者其他地方做测试，想推动我们这个可信政务云的评估，它其实是需要有一个相当于申请扩点的操作，来逐步的扩大它的证书范围。
最后介绍一下下一步的工作计划。下一步是打算持续的推广我们这两项政务云综合水平评估以及可信政务云的评估，以达到我们树立行业标杆的作用。在座各位企业如果有相关的问题咨询或者评估需求，也可以对自身先做一个评估。如果说我们的政务云平台是一个有一定运营年限和运营经验的，可能就比较适用于综合水平的评估。如果说可能刚建成，还没有投入到实际使用当中，那可信政务云评估就跟这种情形更加契合。我们根据这些评估经验也会对整个标准和评估体系去进一步完善，也会把评估中吸取到的问题、经验逐渐的体现到我们整个标准当中。最后就是发挥好政务云的行业平台作用，组织相应的政务云研讨会，来做好相应的支撑和推动工作。
图上的二维码是我个人的联系方向，如果在座各位企业有跟政务云相关标准或者评估比较感兴趣的，或者有相关的需求，欢迎大家跟我咨询，我的演讲就到这里，谢谢大家！
热门专题
