云计算服务能力测评检查表SaaSITSS征求意见版本 V06 0208版本.docx

1、云计算服务能力测评检查表SaaSITSS征求意见版本 V06 0208版本云计算服务能力测评检查表（SaaS服务）门槛条件（二级）：1）公司注册资金1000万以上，软件服务相关营收2000万元以上；2）运营SAAS服务满2年（截止申报当年1月1日）；3）自研和持续开发能力：SaaS软件具有国产软件自主知识产权，保障后续产品的连续性；提供国家版权局颁发的计算机软件著作权登记证书复印件证明。门槛条件（三级）：1）运营SAAS服务满1年（截止申报当年1月1日）；2）自研和持续开发能力：SaaS软件具有国产软件自主知识产权，保障后续产品的连续性；提供国家版权局颁发的计算机软件著作权登记证书复印件证明。

2、被评估单位/部门评估日期评估组成员地点章条号条款要求三级（基础级）（检查项和内容）二级（增强级）(检查项和内容）评估情况说明5 人员5.1 人员管理a) 应通过清晰的政策、足够的预算与合理的分工，来确保人员管理满足客户的业务要求文档审查：a)检查人员管理制度，有招聘、实习、培训、转正、转岗、考核、离职等相关制度现场抽查（功能验证）：b) 抽查相关制度的实施记录，如某员工从入职到离职的相关流程记录、绩效考核结果等文档审查：a)检查业务需求评估和岗位设置方案，以及执行情况记录；b)查看是否有培训讲师库和培训教材库？ 检查培训效果评价机制，抽查上一年的培训记录和培训效果评价记录；c)检查人员储备机制

3、及相关计划、同业务发展相匹配的人员规划；。b)应建立组织内人员选聘、试用、培训、考核与离职管理程序。如果与第三方合作提供云服务，应对合作伙伴的相关人员进行有效管理，确保云服务的正常提供5.2岗位结构a) 建立专职团队负责云服务的提供文档审查:a) 审查云服务团队岗位结构及岗位职责说明书（如云服务的管理、开发护等岗位）b)检查关键岗位备份情况（A/B角）；c)检查主要操作岗的操作规范和手册。文档审查：a)在岗位结构中细分了不同角色，且含有人员职权权限管理要求，如不同权限的管理员、不同级别的运维人员等b)每年是否对岗位设计情况进行评价并提出优化建议？检查实施记录。c)有专业团队提供5*8h服务b)

4、 对云服务过程中的不同角色进行明确分工和职责定义c) 云服务团队应包括云服务的管理、技术支持和系统操作维护等主要岗位5.3人员 技能a)云服务人员应掌握必要的专业技能，具备从事相关工作的资格；文档审查：a) 检查云计算相关的知识体系或培训课程体系；b)检查云服务人员相关操作或技能规范，如云服务技能了解情况，从业资格证书、人员技能评价考核体系、技能评价或考核记录；文档审查：a)根据人员技能的高低对应岗位级别的详细定义，如同一个岗位名称云服务经理，有不同的级别b)云服务人员应参加岗位技能考核，合格后方能上岗，岗位技能考核应定期开展。6 运营过程管理部6.1 服务水平管理a)识别客户在服务中的需求b

5、)定义客户在服务中的项目，并形成服务描述与服务质量计划文档审查：a）检查服务水平管理过程、项目服务级别协议（包括必要的量化指标）、服务执行报告；b）检查服务级别协议的执行绩效跟踪等文档；现场抽查：a)检查是否有监控工具或手段来监测服务情况c) 明确服务水平协议与相关文件的签署形式（电子与非电子形式）c)签订服务水平协议与相关文件；e)建立服务水平的监控和报告的机制f)定期或不定期评审服务水平协议执行情况,对服务水平不达标的项目制定改善或进一步优化的计划6.2 服务报告管理a)建立服务报告的管理流程，包括建立、审批、分发、归档等流程；文档审查：a）服务报告管理过程、服务报告计划、服务报告模板；服

6、务报告；b）检查服务报告内容是否完备（服务报告内容应包括与云服务相关的基本要素，例如：与SLA相对的服务绩效、满意度分析、趋势分析、未达标的内容和事件等）文档审查：a)检查服务报告管理过程中不同类别服务报告的提供形式和提供对象是否有明确说明；b)检查服务报告中的问题是否得到跟进或解决。b)定义服务报告的用户与管理关注点；c)定义服务报告的内容、范围、计算方式与报告模板；d)定义并执行服务报告相关数据的搜集、加工与报告周期；e)定义并执行服务报告的提交形式、用户权限、以及与服务报告相关的评估机制6.3 自服务管理a)建立用户管理机制，提供用户的注册、注销、信息管理等机制。文档审查：a)检查是否具

7、备用户管理制度、服务管理制度等相关的文档b)验证在服务提供商内部运营管理中对服务管理的机制和功能，根据用户的需求和操作，提供服务购买、使用和退订的机制。现场抽查（功能验证）：a）在服务提供商内部，用户使用资源的过程中，对服务进行监控，并有相对应的服务流程对相应的过程进行管理。（如服务申请、退订、终止、有问题申诉等等）：b)建立账户管理机制，提供充值、余额查询、资源计费、账单查询、发票管理等机制。c）建立服务管理机制，提供购买、使用、退订云服务等机制。d）建立服务管理机制，提供资源监控、流程管理等机制和流程6.4用户管理建立门户，用户可通过门户注册成为云服务的用户，也可以通过门户进行用户注销；文

8、档审查：a)检查是否有用户信息管理制度，账户分级管理，用户信息保护机制说明等文档；b)用户的信息的查询与修订是否有可靠的技术手段和管理办法来保障其安全性和隐私性现场抽查（功能验证）：c) 验证用户能否通过门户的方式方便地进行开户和注销；文档审查或现场抽查（功能验证）：d)用户的信息的查询与修订是否有可靠的技术手段和管理办法来保障其安全性和隐私性现场抽查（功能验证）：a)验证用户信息（账号登录信息）保护，云应用采用双因子认证；b)定期提醒用户修改密码建立用户信息修改、查询机制；建立用户密码修改、重置等机制；6.5 计费管理a)根据资源使用类型，定义不同的计费方式；b)建立计费管理机制，如数据采集

9、、预处理、费用计算、数据分发等；c)建立账单管理机制；d)建立缴费管理机制。文档审查：a)检查是否具备资费表、计费管理流程、消费账单、账单支付说明书等文档b）验证用户能否便捷地了解服务商提供的服务项目和服务资费文档审查：a）验证是否有明确的账单生成逻辑说明，抽查账单，确认计费是否准确；b)验证是否具备多种支付方式章条号条款要求基础级（检查项和内容）增强级（检查项和内容）评估情况说明7 技术及性能7.1技术文档审查检查用户操作手册、产品使用说明、SLA等文档，具有相关内容描述a)具有对于并发用户数、通信带宽、响应时间、处理时间、吞吐率是否具有量化的指标（提交的文档是否对用户承诺或者明确SaaS服

10、务的技术性能：如能够支撑多少人并发访问服务，能够支撑的最大通信带宽，服务响应时间小于X秒，能够支撑的最大吞吐率Xbps等和服务性能相关的量化指标）b)对于产品的兼容性是否进行说明（提交的文档里是否明确产品能够兼容的浏览器，如IE、火狐、Chrome等）c)对于产品的操作使用是否清晰、准确（对于产品的使用操作是否有清晰的步骤说明和常见问题解答）d)审查服务等级协议，具有服务保障措施或赔偿机制（明确通过哪些保障措施来保障服务的连续性和可靠性，明确在什么条件下会给予用户赔偿，赔偿计算方式）a)具有对于并发用户数、通信带宽、响应时间、处理时间、吞吐率的指标是否具体细化（提交的文档是否对用户承诺或者明确

11、SaaS服务的技术性能：如能够支撑多少人并发访问服务，能够支撑的最大通信带宽，服务响应时间小于X秒，能够支撑的最大吞吐率Xbps等和服务性能相关的量化指标）b)检查平台设计文档或相关保障业务连续性的说明文档（检查技术文档中是否阐述如何保障服务的连续性和可靠性）7.2 性能效率a） 时间特性，响应时间、处理时间、吞吐率应满足需求技术测评a)100用户并发访问（登录界面、核心业务操作界面）性能，平均响应时间小于5s技术测评：a)100用户并发访问（登录界面、核心业务操作界面）性能,平均响应时间小于3sb） 容量，存储数据项数量、并发用户数、通信带宽、交易吞吐量和数据库规模应满足需求现场抽查：a)现

12、场模拟验证产品的并发用户数、通信带宽、交易吞吐量等是否满足指标要求7.3 兼容性在共享相同的硬件或软件环境的条件下，产品、系统或组件能够与其他产品、系统或组件交换信息，执行其所需的功能现场抽查：a）现场抽查验证产品兼容性是否与产品说明文档一致a)SaaS服务可在IE、360、Firefox、Chrome等浏览器中正常访问。 SaaS服务可在Windows、Linux、移动OS、iOS等操作系统中正常运行。7.4 弹性伸缩云服务提供商提供计算资源的弹性伸缩能力。能够根据当前系统的计算负载情况，适时迁移或扩展应用，保证服务水平。技术测评a）检查是否能够在并发访问变化的时候，通过自动调整SaaS资源

13、配置减少或增加SaaS所使用虚拟资源数量，保证SaaS服务水平（响应时间不变或变化不超过5%）。7.5多租户SaaS服务支持多租户模式，且租户之间有用户权限管理，且相互隔离现场抽查：a)提供多用户权限管理b)提供用户安全隔离机制。检查应用的身份验证机制和授权机制，检查该应用中的用户能否正确地进行身份认证，不同权限的用户，能否只得到相应的权限 7.6监控a）提供监控数据的表示方案和存档机制，为事后分析和统计提供依据b）提供可视化方案，向用户直观地呈现服务的当前状态和历史信息c)服务监测和性能采集工具、可视化工具以及监控信息存储的持久性构成了监控技术的关键指标。（若已经评价过IaaS，可采信）技术

14、测评：a）应具备网络监控功能，测试管理员对资源池的网络流量状况进行监控和查询的功能。b）应具备存储监控功能，测试管理员对SaaS所调用的资源池的存储状况进行监控和查询的功能。c）支持查看监控历史数据，至少在云平台支持查看三个月内的监控数据信息技术测评：a）应具备异常监控功能，测试对故障、攻击等异常进行监控和报警的功能。b）应具备告报警功能，根据一定的响应时间、并发数等指标的阀值阈值设定，通过短信、邮件等方式提供报告警。C）提供对于SaaS服务质量（可用性、响应时间等）监控。 7.7 业务连续性a）在原有网络资源不可用时，能自动切换到备用网络资源，保证服务持续。技术测评：a）应具备网络高可用能力

15、。在实验环境下，通过中断当前运行的单个节点的所有网络，检查服务是否进行迁移，保障服务不中断技术测评或文档审查：a)提供SaaS服务一个月内的服务业务连续性报告，六个月内的可用性不能低于99.99%，平均响应时间不能超过6秒b)提供SaaS服务一个月内的服务业务连续性监控 c)SaaS服务网络架构中所有网络节点，包括虚拟路由器、虚拟负载均衡等组件，均具有冗余措施。（测试方法：可查看证明材料，如冗余演练方案、计划、记录；或手工中断一个）b）在原有计算资源不可用时，能自动切换到备用计算资源，保证服务持续。技术测评：a）应具备计算高可用能力。在实验环境下，通过对当前服务所运行的计算资源进行单点中断操作

16、（如单台服务器断电、单条内存拔出等操作），检查虚机是否仍能够持续正常运行（搭建在公有云上的SaaS不可测）7.8 服务可配置性检查租户是否容易对自己的软件进行数据配置（应用是否为数据配置提供增，删，改，查的功能），租户对自己的应用实例进行数据配置时，是否不会对其他租户造成影响。检查租户是否容易对自己的软件进行业务规则配置（用户可以通过选项来修改，而不需要修改代码），租户对自己的应用实例进行业务规则配置时，是否不会对其他租户造成影响。检查租户是否容易对自己的软件进行工作流配置（用户可以通过选项来修改，而不需要修改代码），租户对自己的应用实例进行工作流配置时，是否不会对其他租户造成影响。7.9服务

17、多样性针对各行业特点，提供多个行业、多个场景的服务模式，提供多样的APP服务提供单一行业、单一场景的服务解决方案，服务案例不少于25个可提供多行业、多场景的解决方案，服务案例不少于50个8 安全8.1风险管理a) 岗位设置文档审查：a) 检查风险管理团队的安全结构层次和人员组成b) 检查风险管理岗位职责及管理机制文档审查：a) 检查责任分层中，每个层次对组织机构安全方面发挥的作用。包括但不限于：高级管理层、职能管理层、运营经理等。b) 风险评估和分析文档审查：a) 检查企业风险评估和分析的方法及过程，包括但不限于：资产赋值、识别脆弱性、分析威胁、计算风险值、业务影响、风险等级的评定等方法及依据

18、。b) 检查并提供可消除或降低潜在风险的控制、对策或防护措施，详细检查所采用的转移风险/规避风险/缓解风险/接受风险的方法。现场抽查（功能验证）：a) 检查企业是否归类面临的主要风险，如物理破坏、逻辑破坏、管理缺陷等。并详细举例，包括但不限于：人为破坏、设备故障、数据误用、数据丢失、应用程序错误、数据无意流转等。c) 系统合规性文档审查：b)检查企业获得的相关安全领域的检测报告文档审查：a) 检查企业获得的相关安全领域的认证资质b) 检查企业获得的相关安全领域的评估报告或资质至少通过等保三级8.2供应链安全a) 软件供应链文档审查：a) 检查软件整个开发、测试、试运行等过程中所用的测试数据情况

19、，如内容、名称、数量、来源以及使用理由等。说明如何确保测试数据的安全性，分析是否使用敏感数据测试现场抽查（功能验证）：a）检查开源软件和第三方软件的使用情况，包括但不限于供应商的名称、企业性质、安全可控情况等。检查如何管理开源软件和第三方软件的风险，例如是否建立供应链风险管理计划，如果有，说明开展开源软件和第三方软件风险检测评估的案例，并提供检测评估报告b) 服务供应链文档审查：a) 检查软件开发安全管理的策略、规程、管理措施和实践情况，包括安全开发的过程、标准、模型、工具、安全实践等，描述机构在开发阶段如何保证软件、服务及数据的质量和安全性b） 检查软件外包管理制度情况，包括外包对象、外包内

20、容、风险管理措施等信息，说明机构如何管理软件外包风险现场抽查（功能验证）：a) 检查内部开展供应链安全管理的组织机构，岗位职责以及人员配备情况8.3数据安全a)数据存储安全现场抽查（功能验证）：a) 检查数据的逻辑存储位置与其物理存储位置之间的关联映射关系，与其他产品和服务共享物理存储空间时所采取的安全隔离措施b) 检查数据库和文件采取的不同安全管理措施和具体方法，包括数据的加密存储策略、分级分类存储情况、数据的访问控制策略和规程等 文档审查a)审查云计算平台设计文档和容灾方案，查看是否具有数据备份和恢复计划，数据副本个数等描述现场抽查（功能验证）：a) 检查在提供服务的过程中各节点的数据留存

21、情况、采取的数据存储策略、存储方式、存储时效、暂存内容，以及与服务器端进行数据同步时的同步策略等b) 数据安全转移的策略、规程、流程、渠道以及采取的安全监管措施c) 数据分发、数据同步和数据交换过程中采取的数据传输安全措施、技术手段、安全传输方法、安全传输协议、安全传输工具等。d)为用户提供SaaS使用行为审计。b）数据销毁安全现场抽查（功能验证）：a) 检查用户退出服务、用户请求删除数据、超出数据保存期限时的数据销毁措施。b) 检查数据多副本存储时如何进行数据销毁（包括逻辑销毁、物理销毁）。包括采用的删除方法和技术，以及如何确保分布式存储的数据不可恢复，并给出删除效果的证明实例。现场抽查（功

22、能验证）：a) 检查存储介质的数据销毁情况，例如在什么情况下、采用什么方式、对什么存储介质、使用什么工具、销毁什么数据、是否使用外包销毁服务等。要求针对不同的存储介质（如硬盘、光盘、U盘等）进行说明，如果存在不同的销毁方式（如信息擦除、折弯、粉碎、消磁等）建议分别说明。b) 检查存储介质数据销毁的流程和监督管理措施，如机构自行销毁，请说明是否对所销毁的存储介质有登记、审批、交接等环节的记录。如交由第三方机构进行销毁，请说明对相关机构资质是否进行确认，是否对所销毁的存储介质有登记、审批、交接等环节的记录，是否对运输过程进行监管。e) 检查所采用的销毁工具情况，例如销毁工具是否本机构自研或商业采购

23、，在数据中心部署情况，以及销毁工具的品牌、厂商、安全资质、数据销毁方法等9 运维管理部分： 如果已经通过ITSS IaaS测评或ITSS运维成熟度评估，可以同级采信。GB/T 28827.1-20129.4事件管理a)与事件管理过程一致的活动，包括事件受理、分类和初步支持、调查和诊断、解决、进展监控与跟踪、关闭等；文档审查：a)检查事件管理流程；b)检查事件管理的分级机制；c)抽查事件处理记录，查看事件处理的完整性和及时性。d)检查事件管理报告（如服务报告）中是否包括对事件解决的相关数据：事件解决率、事件响应时间、事件解决时间等量化指标；e)检查针对事件的满意度调查记录现场抽查（功能验证）：a

24、)验证是否具有IT服务管理工具对事件全流程跟踪管理。b)事件分类、分级机制；c)事件升级机制；d)满意度调查机制；e)事件解决评估机制，包括事件解决率、事件平均解决时间等文档审查：a)事件管理报告中是否有对事件处理情况的趋势分析;事件处理与SLA的关联分析；事件解决与服务人员绩效考核相关联等。GB/T 28827.1-20129.5问题管理a)与问题管理过程一致的活动，包括问题的识别、分类、调查和诊断、解决、关闭等；文档审查：a)检查问题管理流程；b)检查问题管理过程记录文档。c）问题管理过程是否有分类、分级机制；d）问题管理记录是否与问题管理过程中规定的相关内容（如分类、分级的划分等）相一致

25、；现场抽查（功能验证）：a)检查是否具备IT服务管理工具对问题进行全流程跟踪管理。b)问题分类管理机制，包括问题的影响范围、重要程度、紧急程度并确定优先级；c)问题导入知识库机制；现场抽查（功能验证）：a)问题管理中的问题定期推送给知识库作为知识进行存储d)问题解决评估机制，包括问题解决率、问题平均解决时间等文档审查：a)检查是否对问题进行统计分析，抽查问题报告（服务报告）；GB/T 28827.1-20129.6配置管理a)与配置管理过程一致的活动，包括识别、记录、更新和审计等；文档审查：a)检查配置管理流程；b)检查配置管理过程记录文档。c)检查是否具有与配置管理要求一致的配置管理记录。文

26、档审查：a)检查是否具有配置管理数据库管理规范等b) 检查是否具有配置管理软件管理规范等b)配置（管理）数据库管理机制；a)检查是否建立与业务相适应的配置管理数据库；c)配置项审计机制b)检查配置项命名是否规范（是否按照配置管理过程要求来命名）GB/T 28827.1-20129.7变更管理a)与变更管理过程一致的活动，包括请求、评估、审批、实施、确认和变更后评审等；文档审查：a)检查变更管理流程；b)检查变更管理过程记录文档。c）检查是否具有变更管理报告文档审查：a)是否有组织级的变更管理委员会；b) 是否有完整的变更管理体系？变更管理体系至少包括明确的变更管理职责、变更申请制度、变更审批制

27、度、变更实施制度等c) 变更执行过程中的记录文件；c) 变更管理流程与服务级别管理、信息安全管理、配置管理、事件管理、问题管理各流程的协同；d) 建立变更管理评估和审核机制，并将该制度纳入组织级的质量管理体系中，至少应包含对变更分级审批机制、变更验证机制、变更回退机制、变更评价机制等进行定期评估和审核，并建立相关记录文件；e) 具备专业的变更管理工具，支持创建并记录变更请求，审查变更请求，变更请求的归类和划分优先级，并应对变更请求的全程跟踪和监控。b)建立变更类型和范围的管理机制；c) 对变更完成情况进行统计分析，包括未经批准变更数量及占比、不同类型的变更数量及占比、不成功的变更数量及占比、取

28、消的变更数量及占比、变更关联的配置数GB/T 28827.1-20129.8 发布管理a)发布管理过程一致的活动，包括规划、构建、测试、验证、部署等；文档审查：a)检查发布管理流程；b)检查发布管理过程记录文档。a）检查是否具有发布计划、发布方案、发布记录、发布评估报告等；文档审查：a) 有完整的发布管理制度，包括明确的发布管理范围和职责、发布评估制度、发布测试制度、发布申请制度、发布审核制度、发布实施制度、发布验收制度、发布回退制度、发布过程监控制度等，并建立相关记录文件；b) 有发布测试环境，包括与业务环境相近的硬件环境、系统环境、软件环境等，并建立相关测试记录文件；c) 有发布管理评估和

29、审核机制，并将该制度纳入组织级的质量管理体系中，至少应包含发布数量、发布成功率、发布回退率等；d) 发布管理与变更管理、配置管理、问题管理流程的协同。b)建立发布策略（包括发布频率、类型等）；c)制定完整的方案（包括发布计划、回退方案等）；d)对发布完成情况进行统计分析，包括发布类型、发布成功率等；28827.1-20129.9信息安全管理a)与信息安全管理过程一致的活动，包括识别、评估、处置和改进等； b) 建立与服务要求一致的信息安全方针策略文档审查：a)检查信息安全管理过程（包括安全方针、策略等）、风险评估记录、信息安全控制措施及实施记录b)应重点关注保护云服务相关信息资产的安全措施文档审查或现场抽查(功能)：a) 有组织级的信息安全管理体系；b) 信息安全管理体系应用定义信息安全评估方法和风险接受准则；c) 定期实施信息安全评估，评估内容至少包含：可用性、完整性和保密性；d) 制定并实施信息安全控制措施，定期评审控制措施的有效性；e) 具备专业的信息安全防护工具，至少包含用户口令的认证、权限，用户操作的日志、审计，病毒及漏洞扫描等功能。