ГОСТ Р ИСО/МЭК 19086-1-2019 Информационные технологии. Облачные вычисления. Структура соглашения об уровне обслуживания (SLA). Часть 1. Обзор и концепции

ГОСТ Р ИСО/МЭК 19086-1-2019

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационные технологии

ОБЛАЧНЫЕ ВЫЧИСЛЕНИЯ

Структура соглашения об уровне обслуживания (SLA)

Часть 1

Обзор и концепции

Information technology. Cloud computing. Service level agreement (SLA) framework. Part 1. Overview and concepts

ОКС 35.020

Дата введения 2021-01-01

Предисловие

1 ПОДГОТОВЛЕН Акционерным обществом "Всероссийский научно-исследовательский институт сертификации" (АО "ВНИИС") и Обществом с ограниченной ответственностью "Информационно-аналитический вычислительный центр" (ООО ИАВЦ) на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 022 "Информационные технологии"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 16 октября 2019 г. N 1006-ст

4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 19086-1:2016* "Информационные технологии. Облачные вычисления. Структура соглашения об уровне обслуживания (SLA). Часть 1. Обзор и концепции" (ISO/IEC 19086-1:2016 "Information technology - Cloud computing - Service level agreement (SLA) framework - Part 1: Overview and concepts", IDT).

________________
* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - .

ИСО/МЭК 19086-1 разработан подкомитетом SC 38 "Облачные вычисления и распределенные платформы" Совместного технического комитета СТС 1 "Информационные технологии" Международной организации по стандартизации (ISO) и Международной электротехнической комиссии (IEC).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные и межгосударственные стандарты, сведения о которых приведены в дополнительном приложении ДА

5 ВВЕДЕН ВПЕРВЫЕ

6 Некоторые положения международного стандарта, указанного в пункте 4, могут являться объектом патентных прав. ИСО и МЭК не несут ответственности за идентификацию подобных патентных прав

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

В настоящем стандарте представлен обзор, основополагающие концепции и определения соглашения об уровне обслуживания облачных вычислений. ИСО/МЭК 19086 основан на концепциях облачных вычислений, определенных в ИСО/МЭК 17788 и ИСО/МЭК 17789. Настоящий стандарт устанавливает общую структуру, помогающую организациям понять назначение каждой части ИСО/МЭК 19086 и отношения между ними. Он также идентифицирует другие стандарты, связанные с ИСО/МЭК 19086, которые способствуют пониманию соглашений об уровне обслуживания служб облачных вычислений.

Настоящий стандарт может использоваться любой организацией или физическим лицом, участвующими в создании, модификации или понимании соглашений об уровне обслуживания служб облачных вычислений, соответствующих ИСО/МЭК 19086. Соглашение об уровне обслуживания должно учитывать ключевые характеристики служб облачных вычислений и способствовать общему пониманию между поставщиками и пользователями служб облачных вычислений.

Настоящий стандарт определяет следующие базовые концепции соглашения об уровне обслуживания служб облачных вычислений:

- соглашение о службе облачных вычислений (Cloud Service Agreement, CSA);

- соглашение об уровне обслуживания служб облачных вычислений (Cloud Service Level Agreement, SLA);

- показатели уровня обслуживания служб облачных вычислений (Cloud Service Level Objectives, SLO);

- качественные показатели уровня обслуживания служб облачных вычислений (Cloud Service Qualitative Objectives, SQO).

Настоящий стандарт также описывает предметные области и компоненты, которые состоят из списка количественных (SLO) и качественных (SQO) показателей уровня обслуживания.

ИСО/МЭК 19086-2 предоставляет модель метрик, которая применяется для создания метрик, используемых в SLO и SQO.

ИСО/МЭК 19086-3 устанавливает основные требования к соответствию, вытекающие из SLO и SQO, определенных в настоящем стандарте.

ИСО/МЭК 19086-4 на основании базовых концепций и определений, приведенных в настоящем стандарте, описывает конкретные компоненты и требования к соответствию для SLO и SQO в области безопасности и конфиденциальности.

В частности, настоящий стандарт:

a) способствует единству частей ИСО/МЭК 19086, объясняя понятия и термины, используемые во всех частях;

b) способствует пониманию ИСО/МЭК 19086 путем разъяснения взаимосвязи между всеми частями;

c) содержит обзор других международных стандартов, которые могут использоваться в сочетании с ИСО/МЭК 19086.

Обзор содержания ИСО/МЭК 19086 и взаимосвязи между его частями и другими ключевыми стандартами, имеющими отношение к облачным вычислениям, приведен на рисунке 1.

В настоящем стандарте рассматривается содержимое облачного SLA в двух основных группах: компонентах SLA, определенных в разделе 9, и предметных областях SLA, определенных в разделе 10, как показано на рисунке 2.

Рисунок 1 - Связи между частями ИСО/МЭК 19086 и другими стандартами облачных вычислений

Рисунок 2 - Компоненты SLA и предметные области SLA

1 Область применения

Настоящий стандарт направлен на создание набора общих структурных блоков облачных SLA (понятий, терминов, определений, контекстов), которые могут быть использованы для создания соглашений об уровне обслуживания служб облачных вычислений (SLA).

Настоящий стандарт содержит:

a) обзор облачных SLA;

b) идентификацию взаимосвязи между службой облачных вычислений и облачным SLA;

c) концепции, которые могут быть использованы для создания облачных SLA;

d) термины, обычно используемые в облачных SLA.

Настоящий стандарт полезен и предназначен для использования потребителями и поставщиками служб облачных вычислений. Цель стандарта состоит в том, чтобы избежать путаницы и облегчить общее понимание между поставщиками и потребителями служб облачных вычислений. Соглашения о службах облачных вычислений и связанные с ними облачные SLA зависят от поставщиков служб облачных вычислений, и в некоторых случаях клиенты одного и того же поставщика могут согласовывать различные условия контракта для одной и той же службы облачных вычислений. Настоящий стандарт призван помочь пользователям служб облачных вычислений при сравнении служб облачных вычислений различных поставщиков служб облачных вычислений.

Настоящий стандарт не предоставляет стандартизованную структуру для облачного SLA или стандартный набор количественных показателей уровня обслуживания (SLO) или качественных показателей уровня обслуживания (SQO) для служб облачных вычислений, которые можно использовать для всех служб облачных вычислений или всеми поставщиками служб облачных вычислений. Такой подход обеспечивает гибкость для поставщиков в адаптации облачных SLA к конкретным характеристикам предлагаемых служб облачных вычислений.

Настоящий стандарт не отменяет никаких юридических требований.

2 Нормативные ссылки

В настоящем стандарте применены следующие нормативные ссылки. Для датированных ссылок используют только указанное издание, для недатированных - последнее издание с учетом всех внесенных в них изменений.

ISO/IEC 17788:2014, Information technology - Cloud computing - Overview and vocabulary (Информационные технологии. Облачные вычисления. Общие положения и терминология)

ISO/IEC 17789, Information technology - Cloud computing - Reference architecture (Информационные технологии. Облачные вычисления. Эталонная архитектура)

3 Термины и определения

В настоящем стандарте применены термины по ИСО/МЭК 17788, а также следующие термины с соответствующими определениями.

ИСО и МЭК поддерживают терминологические базы данных для использования в стандартизации по следующим адресам:

- МЭК Электропедия (IEC Electropedia): доступна по адресу http://www.electropedia.org/;

- платформа ИСО для онлайн-просмотра: доступна по адресу http://www.iso.org/obp.

3.1

3.2

3.3 соглашение о службе облачных вычислений; CSA (cloud service agreement, CSA): Документально подтвержденное соглашение между поставщиком службы облачных вычислений и потребителем службы облачных вычислений, которое определяет предоставление соответствующих услуг.

Примечание - Соглашение о службе облачных вычислений может состоять из одной или нескольких частей, зафиксированных в одном или нескольких документах.

3.4 соглашение об уровне обслуживания службы облачных вычислений; облачное SLA (cloud service level agreement, cloud SLA): Часть соглашения о службе облачных вычислений (3.3), которая включает в себя количественные показатели уровня обслуживания службы облачных вычислений (3.5) и качественные показатели уровня обслуживания службы облачных вычислений (3.6) для службы (служб), определяемой соглашением.

3.5 показатель уровня обслуживания службы облачных вычислений; SLO (cloud service level objective, SLO): Обязательство поставщика службы облачных вычислений для конкретной количественной характеристики службы облачных вычислений, где значение представлено посредством интервальной шкалы (3.9) или пропорциональной шкалы (3.17).

Примечание - Обязательство SLO может быть выражено в виде диапазона.

3.6 качественный показатель уровня обслуживания службы облачных вычислений; SQO (cloud service qualitative objective, SQO): Обязательство поставщика службы облачных вычислений для конкретной качественной характеристики службы облачных вычислений, где значение представлено посредством номинальной шкалы (3.11) или порядковой шкалы (3.12).

Примечания

1 Качественный показатель службы облачных вычислений может быть выражен в виде пронумерованного списка.

2 Качественные показатели, как правило, требуют интерпретации человеком.

3 Порядковая шкала дает возможность выразить наличие/отсутствие.

3.7

3.8 политика уведомления об отказах (failure notification policy): Политика, определяющая процесс, в соответствии с которым потребитель службы облачных вычислений или партнер службы облачных вычислений могут уведомить поставщика службы облачных вычислений о перебое в работе службы, или поставщик службы облачных вычислений может уведомить потребителя службы облачных вычислений или партнера службы облачных вычислений о том, что произошел перебой в работе службы.

Примечание - Политика может также включать в себя процесс рассылки дополнительных уведомлений в случае перебоев в работе службы, идентификацию получателей уведомлений и дополнительных уведомлений, максимальное время между обнаружением перебоя в работе службы и отправкой уведомления о перебое, максимальный интервал между дополнительными уведомлениями, описание дополнительных уведомлений.

3.9

3.10 метрика (metric): Стандарт измерения, который определяет условия и правила для проведения измерений и понимания результатов измерения.

Примечания

1 Метрика реализует отдельную абстрактную концепцию измерений.

2 На практике метрика должна применяться в определенном контексте, требующем измерения определенных свойств в заданный(е) момент(ы) времени для конкретного показателя.

3.11

3.12

3.13

3.14

3.15

3.16

3.17

3.18 возмещение (remedy): Компенсация, предоставляемая потребителю службы облачных вычислений в случае, если поставщик службы облачных вычислений не сможет обеспечить выполнение показателей заданного уровня обслуживания (3.5).

Примечание - Данное определение термина на английском языке основано на определении "legal reparation" ("юридическое возмещение"), указанном в "Малом Оксфордском английском словаре".

3.19 способность к восстановлению (resilience): Способность службы облачных вычислений быстро восстанавливать эксплуатационные условия после возникновения сбоя.

4 Обозначения и сокращения

В настоящем стандарте использованы следующие сокращения:

BLOB - большой бинарный объект;

CSA - соглашение о службе облачных вычислений;

CSC - потребитель службы облачных вычислений;

CSP - поставщик службы облачных вычислений;

ИКТ - информационно-коммуникационные технологии;

IPR - права на интеллектуальную собственность;

ИТ - информационные технологии;

ПИИ - персональная идентификационная информация;

RPO - показатель "Точка восстановления";

RTO - показатель "Время восстановления";

SLA - соглашение об уровне обслуживания;

SLO - показатели уровня обслуживания службы облачных вычислений;

SQO - качественные показатели уровня обслуживания службы облачных вычислений;

ВМ - виртуальная машина.

5 Обзор SLA для служб облачных вычислений

Соглашение об уровне обслуживания (SLA) является частью соглашения о службе облачных вычислений (CSA), которая включает в себя количественные и качественные показатели уровня обслуживания для службы (служб), определяемой соглашением. Облачные SLA должны принимать в расчет ключевые характеристики облачных вычислений, описанные в 6.2 ИСО/МЭК 17788:2014:

- самообслуживание по требованию - характеристика, при которой потребитель службы облачных вычислений может получить доступ к службе облачных вычислений без взаимодействия человека с поставщиком службы. Соглашение о службе облачных вычислений (CSA) (см. раздел 6) и соответствующее SLA могут быть представлены и согласованы посредством программных инструментов и автоматически формируемых финансовых соглашений;

- пул ресурсов - характеристика, при которой публичные модели развертывания облачных вычислений разрешают совместное использование ресурсов многими потребителями служб службы облачных вычислений, не связанными друг с другом. Частные модели облачных вычислений позволяют пользователям совместно использовать ресурсы в пределах одной организации. Гибридные модели облачных вычислений позволяют пользователям совместно использовать некоторые ресурсы в пределах одной организации и некоторые ресурсы многими потребителями службы облачных вычислений, не связанными друг с другом. Модели развертывания облачных сообществ дают возможность совместного использования ресурсов потребителями службы облачных вычислений, связанными друг с другом некоторым отношением;

- мультиаренда - характеристика, где среда облачных вычислений реализуется за счет использования крупномасштабной виртуализации серверов, хранилищ и сетей. Общее использование системы, как правило, распространяется на многих потребителей службы облачных вычислений. Мультиаренда позволяет такой способ совместного использования ресурсов, при котором различные вычисления и данные различных арендаторов изолированы и недоступны для других. Среда облачных вычислений, как правило, не имеет постоянной связи между конкретными физическими ресурсами и их использованием потребителями службы облачных вычислений. Потребителям службы облачных вычислений назначаются виртуальные ресурсы; журнал использования ведется на этом уровне абстракции;

- быстрая эластичность и масштабирование - характеристика облачных вычислений, при которой физические или виртуальные ресурсы могут быстро и гибко адаптироваться, в некоторых случаях автоматически, для быстрого увеличения или уменьшения ресурсов;

- баланс между затратами и контролем - характеристика, при которой масштабные, стандартизированные службы облачных вычислений могут быть предоставлены по низкой стоимости за единицу использования с типовыми средствами управления, а также стандартизованными контрактами и SLA служб облачных вычислений. Если для потребителя службы облачных вычислений требуется строгий контроль и настройка служб облачных вычислений, по сравнению с предоставляемой стандартной моделью средств управления, то это может быть обеспечено за дополнительную плату и со специальным облачным SLA;

- измеримая служба - характеристика, показывающая, что измеренное предоставление служб облачных вычислений таково, что его использование можно отслеживать, управлять им, отчитываться, и по нему выставлять счет. Это важная характеристика, необходимая для оптимизации и проверки корректности предоставления службы облачных вычислений. Основа данной ключевой характеристики состоит в том, что потребители службы облачных вычислений могут платить лишь за те ресурсы, которые они используют;

- широкополосный сетевой доступ - характеристика, при которой доступ к возможностям служб облачных вычислений предоставляется по сети и, как правило, службы доступны через стандартные механизмы, которые способствуют использованию на разнородных клиентских платформах (например, доступ с помощью мобильных телефонов, ноутбуков и рабочих станций).

Детали SLA, SLO и SQO могут различаться в зависимости от категории служб облачных вычислений, типа возможностей облачных вычислений и модели развертывания облака (см. ИСО/МЭК 17788). Облачные SLA в настоящем стандарте предназначены для использования потребителями и поставщиками служб облачных вычислений в различных категориях служб облачных вычислений и моделях развертывания облака. Поскольку SLO и SQO облачных вычислений намеренно определены в терминах, нейтральных к конкретным технологиям и бизнес-моделям, то не все указанные SLO или SQO могут быть применены к каждой службе, а применимые могут быть структурированы и использоваться по-разному для конкретных служб облачных вычислений. Например, доступность служб может быть измерена различными способами, некоторые из которых зависят от конкретной службы облачных вычислений: вычислительная служба отличается от службы электронной почты, и доступность каждой службы будет рассчитываться по-разному.

6 Связь между соглашением службы облачных вычислений и SLA

Службы облачных вычислений, особенно публичные службы, предполагают наличие соглашений между потребителями и поставщиками службы облачных вычислений, определяющих приобретение и использование служб облачных вычислений. Для целей настоящего стандарта такое юридическое соглашение именуется как "Соглашение о службе облачных вычислений" или CSA. CSA имеет ряд синонимов: "Соглашение о предоставлении услуг", "Клиентское соглашение", "Условия предоставления службы" или просто "Соглашение".

CSA содержит один или несколько разделов, записанных в одном или нескольких документах. Любой раздел может быть представлен несколькими документами. Между разделами и документами нет нормативного отношения, т.е. не требуется, чтобы раздел целиком содержался в единственном документе, и один документ не обязательно должен содержать раздел целиком. Также не существует ни стандартного соглашения по наименованию разделов или документов CSA, ни стандартной структуры документов или разделов.

В качестве примеров типовых разделов CSA можно привести следующие разделы:

- соглашение об уровне обслуживания служб облачных вычислений (облачное SLA).

Облачное SLA обычно содержит набор SLO и SQO, относящихся к службе облачных вычислений, охватывающих аспекты данной службы, таких как доступность, надежность, производительность, безопасность, защита и обработка данных, соответствие стандартам и требованиям;

- политика допустимого использования.

Политика допустимого использования, как правило, определяет границы использования службы облачных вычислений потребителями службы. Она может включать в себя ограничения, не позволяющие потребителям службы облачных вычислений устанавливать вредоносное программное обеспечение (ПО) на стороне службы облачных вычислений, или ограничивать типы данных, которые могут быть сохранены;

- политика безопасности.

Политика безопасности, как правило, описывает обязанности потребителей и поставщиков служб облачных вычислений, а также SLO и SQO, которые поставщик службы облачных вычислений применяет к службе облачных вычислений в контексте безопасности и, возможно, указывает, какие стандарты безопасности выполняются службой облачных вычислений или на соответствие каким спецификациям безопасности сертифицирована служба облачных вычислений;

- политика защиты данных.

Политика защиты данных, как правило, связана с обработкой персональных данных или конфиденциальных данных службой облачных вычислений. В частности, политика определяет SQO для конкретных мер по защите данных и, возможно, указывает, какие стандарты обеспечения конфиденциальности выполняются службой облачных вычислений или на соответствие каким спецификациям обеспечения конфиденциальности сертифицирована служба облачных вычислений;

- политика обеспечения непрерывности бизнеса.

Политика обеспечения непрерывности бизнеса, как правило, связана с аспектами устойчивости службы облачных вычислений и может включать в себя меры, такие как резервное копирование и избыточные компоненты, которые реализует поставщик службы облачных вычислений, чтобы избежать потери данных и справляться с перебоями указанными средствами;

- политика обновления.

Политика обновления, как правило, охватывает изменения в характеристиках и функциях служб, определяемых соглашением, и связанных с ними изменений интерфейса управления. Периодические обновления обычно являются частью политики обновления;

- политика прекращения обслуживания.

Политика прекращения обслуживания, как правило, связана с вопросами, возникающими, когда потребитель службы облачных вычислений прекращает использование одной или нескольких служб облачных вычислений. Политика прекращения обслуживания может включать SQO для таких задач, как уведомления, обратимость данных и удаление данных.

Содержание каждого из разделов и количество разделов в CSA может варьироваться в различных службах облачных вычислений - любой конкретный элемент, включая SLO и SQO, описанный в настоящем стандарте, может быть включен в различные разделы для различных служб. Например, SLO и SQO безопасности могут быть описаны в разделе "Политика безопасности" или появиться в облачном SLA. Однако для потребителя службы облачных вычислений важно знать полный комплект документов, регулирующих деятельность служб облачных вычислений, и CSA должны ссылаться на все применимые документы.

7 Лучшие практики менеджмента облачного SLA

7.1 Общие положения

Менеджмент облачного SLA охватывает вопросы, связанные с разработкой, оценкой, согласованием и принятием облачного SLA, его внедрением и исполнением, а также внесением изменений в облачное SLA. Потребители службы облачных вычислений должны обеспечить соответствие облачного SLA и других управляющих документов их бизнес-задачам и общей стратегии. Потребители службы облачных вычислений должны знать, что может быть несколько документов, регламентирующих деятельность службы облачных вычислений. Более подробная информация приведена в разделе 6.

7.2 Проектирование

Облачное SLA применяется к службам, определенным в облачном SLA. Одно облачное SLA может применяться к нескольким или к одному потребителю службы облачных вычислений. В тех случаях, когда облачное SLA было создано совместно потребителем и поставщиком службы облачных вычислений, обе стороны должны вместе предпринимать шаги, указанные в 7.2. Поставщик службы облачных вычислений должен разработать облачные SLA, соответствующие потребностям своих потребителей службы облачных вычислений и возможностям услуг, определенных в SLA.

Процесс разработки облачного SLA должен учитывать соответствующие роли. В качестве справочника для определения соответствующих ключевых ролей может использоваться ИСО/МЭК 17789. Список ключевых ролей для процесса проектирования облачного SLA, описанного в ИСО/МЭК 17789, включает в себя:

- потребителя службы облачных вычислений - сторону, которая находится в деловых отношениях с целью использования службы облачных вычислений;

- поставщика службы облачных вычислений - сторону, которая предоставляет службы облачных вычислений;

- партнера службы облачных вычислений - сторону, которая занимается поддержкой или вспомогательной деятельностью для потребителя службы облачных вычислений или поставщика службы облачных вычислений, либо для обеих сторон.

ИСО/МЭК 17789 содержит концепции, которые могут использоваться при создании облачного SLA. Выбор концепций, которые должны быть включены в облачное SLA, зависит от службы облачных вычислений и от бизнес-контекста. Изменения в облачном SLA и уведомление потребителей службы облачных вычислений об этих изменениях должны происходить в рамках облачного SLA или другого регламентирующего документа.

На этапе проектирования необходимо рассматривать механизм, который потребители и поставщики службы облачных вычислений могут использовать для проведения мониторинга каждой характеристики службы и формирования отчетов о нарушениях требований уровня обслуживания, заданного целевыми значениями SLO и SQO.

7.3 Рассмотрение и принятие соглашения

Потребители службы облачных вычислений могут использовать настоящий стандарт в качестве справочника при рассмотрении облачных SLA. Потребители службы облачных вычислений могут изучить все концепции и выбрать те, которые имеют решающее значение для их бизнес-целей. Потребители службы облачных вычислений могут затем рассмотреть SLA от поставщика службы облачных вычислений (и посредников) при оценке соответствия услуги поставщика службы облачных вычислений своим бизнес-целям.

Потребители службы облачных вычислений могут рассматривать облачные SLA в контексте бизнес-политики своей организации, а также других требований, и определять, какие SLO, SQO и функции службы важны для каждого из вариантов использования. Такие стандарты, как серия ИСО/МЭК 20000 и серия ИСО/МЭК 27000, могут упоминаться в облачных SLA или другой документации. В некоторых случаях поставщики службы облачных вычислений сертифицируются на соответствие конкретным промышленным стандартам. Потребители службы облачных вычислений могут определить, какие стандарты важны для их бизнес-задач или предпочтительны для управления организацией, а также оценить, сертифицирована ли служба облачных вычислений на соответствие данному стандарту и имеется ли на него ссылка в облачном SLA или иных документах. Ознакомившись с политикой уведомления об отказах потребители службы облачных вычислений могут определить, как они отслеживают степень соответствия характеристик службы облачных вычислений обязательствам SLO и SQO и как сообщают о выявленных нарушениях выполнения таких обязательств. Методы мониторинга и отчетности включают в себя системы управления, веб-порталы, электронную почту, текстовые сообщения, телефон и публикации на сайтах социальных сетей.

Принятие облачного SLA может выполняться посредством установки флажка на веб-странице в ходе регистрации для службы облачных вычислений или посредством формального подписания соглашения обеими сторонами. Обе стороны должны убедиться, что они берут на себя обязательства по исполнению облачного SLA независимо от способа, которым оно было принято. В случае соглашения с уникальными условиями обе стороны должны убедиться, что они готовы обеспечить реализацию и исполнение таких условий.

7.4 Внедрение и выполнение соглашения

Внедрение облачного SLA включает в себя настройку процессов мониторинга и управления характеристиками службы облачных вычислений, передачу отчетов о любых нарушениях требований SLO и SQO, а также предоставления возмещений. В некоторых случаях при внедрении облачного SLA поставщику службы облачных вычислений может потребоваться сотрудничество с потребителем службы облачных вычислений. Потребители службы облачных вычислений должны включать облачное SLA в свою внутреннюю систему управления. Выбор концепций, которые должны быть включены в процессы мониторинга и аудита облачного SLA, зависит от службы облачных вычислений и бизнес-контекста.

Выполнение облачного SLA включает в себя обеспечение ресурсами и выполнение облачных вычислений поставщиком службы облачных вычислений, в том числе управление и мониторинг уровня обслуживания. Если потребитель службы облачных вычислений считает, что SLO или SQO не выполнены, тогда потребитель службы облачных вычислений может следовать политике уведомления об отказе.

7.5 Внесение изменений в облачное SLA

Изменения являются неизбежной частью любой системы ИКТ, и облачные SLA не являются исключением, будь то изменение возможностей или эволюция требований потребителя службы облачных вычислений. У поставщика службы облачных вычислений может быть отдельный процесс внесения изменений в облачное SLA и уведомления потребителей службы облачных вычислений. У поставщика службы облачных вычислений также могут быть механизмы, которые позволяют потребителю службы облачных вычислений запрашивать об изменениях облачного SLA.

Потребители службы облачных вычислений могут оценить процессы изменения облачного SLA и уведомлений на этапе рассмотрения и принятия. Потребители службы облачных вычислений могут оценить соответствие текущей или следующей версий SLA своим бизнес-целям и, в случае несоответствия, запросить внесение изменений в облачное SLA.

8 Роль количественных и качественных показателей уровня обслуживания, метрик, возмещений и чрезвычайных обстоятельств в облачном SLA

8.1 Общие положения

Крайне важно иметь возможность отслеживать работу службы облачных вычислений, чтобы гарантировать выполнение требований SLO и SQO в облачном SLA. Необходимо также получать возмещения, описанные в облачном SLA или соответствующем документе, в случае, когда не достигнуты целевые значения показателей. Наконец, могут иметь место события или инциденты, заявленные как чрезвычайные ситуации. В таких случаях, даже если требования SLO или SQO не выполняются, связанный с ними процесс возмещений не запускается.

8.2 Метрики

Определение и использование адекватных метрик, а также показателей и измерений, лежащих в их основе, являются существенным аспектом облачного SLA. Такие метрики используются для установления граничных значений и допусков, которые соблюдает поставщик службы облачных вычислений, и их ограничений. Метрики могут быть использованы для мониторинга службы или определения возмещений.

Метрики службы облачных вычислений используются при решении следующих задач (список не исчерпывающий):

- определение выполнения SLO;

- классификация возможностей службы;

- определение цели для показателей и измерений;

- обеспечения согласованного представления информации о показателях и измерении;

- связывание свойств, измерений и метрик;

- обеспечение возможности сравнения результатов мониторинга различных служб;

- определения эффективности службы облачных вычислений для бизнес-задач.

Метрики службы облачных вычислений должны использоваться в контексте облачных SLA и конкретной службы облачных вычислений. Метрики помогают определить свойства службы облачных вычислений, которые необходимо измерить. Метрика может быть определена в терминах, связанных с ней показателей, измерений, соответствующих параметров, расчетных формул, а также правил мер и измерений. Метрики могут использоваться для определения того, находится ли измерение свойства службы облачных вычислений в конкретный момент в рамках заявленных границ для данного свойства. С использованием стандартного набора метрик в облачном SLA становится проще и быстрее определить облачные SLA и SLO, а также сравнивать облачные SLA между собой.

Без надлежащих метрик трудно или даже невозможно обеспечить выполнение облачного SLA.

8.3 SLO и SQO

8.3.1 Уровни обслуживания

Уровни обслуживания представляют собой результаты измерений конкретных атрибутов служб облачных вычислений и могут изменяться во время работы служб. Уровни обслуживания выражаются с помощью метрик, которые могут быть основаны на одном показателе или рассчитаны с использованием нескольких различных показателей.

Обычно отчеты по уровням обслуживания предоставляются по одному или нескольким SLO (которые обычно фиксируются во время использования службы), и они часто описываются в контексте конкретной службы, определяемой в SLA. Например, уровень обслуживания "доступность службы" для вычислительных служб может быть определен через SLO "время бесперебойной работы", где время будет определено в контексте вычислений в конкретных экземплярах службы, которые доступны и могут быть использованы по требованию авторизованной сущности, в то время как SLO "доступность службы" для службы хранения может быть определено через SLO "время бесперебойной работы", описанное в контексте запросов с сохраненному объекту, возвращающих ошибки. Конкретные SLO и возмещения зависят от контекста и четко определены в облачном SLA.

SLO облачных вычислений и содержание SLA облачных вычислений могут варьироваться в зависимости от моделей развертывания облачных вычислений и категорий служб облачных вычислений.

8.3.2 Показатели уровня обслуживания службы облачных вычислений

SLO являются обязательствами, которые поставщик службы облачных вычислений берет на себя по конкретным количественным характеристикам службы облачных вычислений. Каждый уровень службы обычно имеет целевое обязательство, которое поставщик службы облачных вычислений соглашается выполнить, как правило - это одно крайнее значение либо диапазон значений. Например, для уровня обслуживания "доступность службы" в качестве SLO может быть использовано "время бесперебойной работы", и цель может быть выражена в процентах (отношение времени бесперебойной работы к общему времени), которая будет нижней границей для уровня обслуживания; если в качестве SLO выбрать "время простоя", то цель может выражаться как процент или продолжительность времени в течение определенного временного интервала, который является верхней границей для уровня обслуживания.

Поставщик службы облачных вычислений может предложить целый ряд SLO и связанных с ними средств.

8.3.3 Качественные показатели уровня обслуживания

SQO являются обязательствами, которые поставщик службы облачных вычислений берет на себя по конкретным качественным характеристикам службы облачных вычислений, где значения выражаются номинальной или порядковой шкалой. Порядковая шкала используется в тех случаях, когда характеристика либо присутствует, либо отсутствует (например, "истина или ложь").

Наблюдения SQO требуют интерпретации человеком, их нельзя обработать алгебраически. Например, "сертификация безопасности" может быть SQO, а связанные с ним гарантии могут быть такими, как "поставщик службы облачных вычислений будет поддерживать текущую сертификацию по ИСО/МЭК 27001". Проверкой такого обязательства может быть наличие отсканированной копии сертификата. Проверка исполнения обязательств, связанных с SQO, может принимать различные формы, включая процесс раскрытия информации по запросу.

8.4 Возмещения и рекламации

8.4.1 Возмещения

Возмещения могут быть предоставлены поставщиком службы облачных вычислений потребителю в случае, если служба облачных вычислений не удовлетворяет SLO или SQO, определенным в облачном SLA. Возмещения за нарушения SLO или SQO, указанные в облачном SLA, могут принимать различные формы, такие как возврат средств, бесплатные услуги или другие формы компенсации.

8.4.2 Процесс рекламации

Процесс рекламации описывает процесс для потребителя службы облачных вычислений, который требует возмещения при невыполнении SLO или SQO. В некоторых случаях факт нарушения SLO или SQO определяется потребителем службы облачных вычислений, который направляет уведомление поставщику. В других случаях поставщик осуществляет мониторинг уровня обслуживания и автоматически инициирует рекламацию. Если мониторинг обеспечивает поставщик рекламации по облачному SLA (или отсутствие претензий), могут потребовать независимой проверки.

8.5 Чрезвычайные обстоятельства

Чрезвычайные обстоятельства описывают ситуации, при которых SLO, SQO и связанные с ними возмещения не применяются. Они могут варьироваться в зависимости от соглашений и подчиняться законам конкретной юрисдикции. Примерами чрезвычайных обстоятельств могут служить запланированные отключения, стихийные бедствия и другие факторы, находящиеся вне контроля поставщика службы облачных вычислений.

9 Компоненты облачного SLA

9.1 Общие положения

Компоненты облачного SLA, описанные в разделах 9 и 10, определяют понятия, обычно используемые в облачных SLA. Важно, чтобы потребитель и поставщик службы облачных вычислений одинаково понимали эти концепции. Кроме того, важно осознавать, что эти концепции и связанные с ними термины и метрики, зависят от контекста, заданного службой облачных вычислений, определяемой SLA. Настоящий стандарт не ограничивается использованием SLO (и связанных с ними метрик) и SQO в компонентах облачного SLA, перечисленных в разделах 9 и 10.

Для каждого компонента приведены описание, применимость и связанные с ним SLO и SQO. Некоторые из SLO и SQO представлены как утверждения, описывающие, что должно быть включено в облачное SLA, в то время как другие SLO и SQO представляют описания связанных концепций.

Как уже упоминалось в разделе 6, компоненты облачного SLA, описанные ниже, могут присутствовать в более, чем одном документе, составляющих CSA.

9.2 Компонент "Состав служб"

9.2.1 Описание

Компонент "Состав служб" идентифицирует службы облачных вычислений, которые определены облачным SLA. Все остальные разделы облачного SLA применяются к службам, перечисленным в компоненте "Состав служб".

Например, в облачном SLA может утверждаться:

"Данное соглашение об уровне обслуживания применяется для следующей службы (служб), предлагаемых XYZ Inc.:

- XYZ Интернет-почта;

- XYZ Хранилище больших бинарных объектов".

Если некоторое облачное SLA определяет несколько служб, то, возможно, необходимо предоставить отдельные SLO и SQO для каждой определяемой службы.

9.2.2 Релевантность

Поставщик службы облачных вычислений может предлагать произвольное количество служб облачных вычислений, определяемых одним или несколькими SLA, поэтому для потребителя службы облачных вычислений важно точно знать, какие именно службы определены в конкретном SLA.

9.3 Компонент "Термины и определения облачных SLA"

9.3.1 Описание

Компонент "Термины и определения облачных SLA" включает в себя термины, которые уникальны для поставщика службы облачных вычислений или особенно важны для понимания соглашения. Компонент "Термины и определения облачных SLA" должен по возможности использовать определения из промышленных стандартов.

9.3.2 Релевантность

Для потребителя службы облачных вычислений важно понимать определения терминов, значимых для облачного SLA, а также терминов, имеющих уникальные определения для конкретного поставщика службы облачных вычислений.

9.4 Компонент "Мониторинг службы"

9.4.1 Описание

Компонент "Мониторинг службы" перечисляет параметры служб, определяемых SLA, мониторинг которых производит поставщик службы облачных вычислений, и передает данные потребителю службы облачных вычислений. Эти параметры могут включать в себя как описанные в данном стандарте, так и другие параметры.

9.4.2 Релевантность

Поставщики службы облачных вычислений могут предоставлять средства отчетности или инструменты мониторинга потребителям службы облачных вычислений для контроля производительности службы. Средства отчетности и инструменты мониторинга помогают потребителям службы облачных вычислений определить, выполняется ли SLO.

9.4.3 Качественные показатели уровня обслуживания

Параметры мониторинга

Список параметров для служб, определенных SLA, мониторинг которых проводит поставщик службы облачных вычислений, и данные о которых предоставляются потребителю службы облачных вычислений.

Механизмы мониторинга

Список механизмов, доступных потребителю службы облачных вычислений, таких как журналы событий, включающих описание проверяемых параметров, а также описание любых условий, регулирующих доступность этих механизмов.

9.5 Компонент "Роли и обязанности"

9.5.1 Описание

Компонент "Роли и обязанности" предоставляет описание ролей и обязанностей как для поставщика, так и для потребителя службы облачных вычислений. В облачных вычислениях участвуют некоторое количество ролей как со стороны потребителя, так и со стороны поставщика службы облачных вычислений. Многие из этих ролей приведены в ИСО/МЭК 17789. Четкое описание ролей, значимых для конкретной службы облачных вычислений, и обязанностей этих ролей важно для успешного использования и функционирования службы облачных вычислений.

9.5.2 Релевантность

Четкое описание разделения ролей и обязанностей между потребителем и поставщиком службы облачных вычислений может помочь избежать путаницы.

10 Предметные области и компоненты облачного SLA

10.1 Общие положения

Предметные области облачного SLA, описанные ниже, представляют собой области, в которых поставщик службы облачных вычислений может предложить SLA для службы облачных вычислений. Содержание облачного SLA и связанные с ним SLO, SQO и метрики зависят от контекста, установленного конкретными используемыми службами облачных вычислений.

10.2 Предметная область "Доступность - специальные возможности"

10.2.1 Компонент "Доступность - специальные возможности"

10.2.1.1 Описание

Компонент "Доступность - специальные возможности" (accessibility) (3.1) описывает технологии доступности, которые реализует поставщик службы облачных вычислений как часть служб, определяемых SLA.

10.2.1.2 Релевантность

Во всем мире живут миллионы людей с ограниченными возможностями, затрудняющими им использование информационно-коммуникационных технологий (ИКТ). На вычислительных платформах клиентов такие технологии доступности, как увеличение графических элементов, устройства чтения вслух с экрана, устройства для чтения шрифта Брайля и другие альтернативные устройства ввода упрощают для людей с ограниченными возможностями использование ИКТ, в том числе служб облачных вычислений.

Набор стандартов, которые могут использоваться для предоставления службы облачных вычислений людям с ограниченными возможностями, включает следующие документы:

- Руководящие указания 2,0 по доступности веб-содержания W3C (Web Content Accessibility Guidelines, WCAG), также опубликованные как ИСО/МЭК 40500:2012;

- ISO/IEC TR 29138 (все части) "Анализ доступности для людей с ограниченными возможностями";

- ISO/IEC Guide 71 "Руководство по решению в стандартах вопросов создания доступной среды".

Кроме того, у правительств ряда стран имеются политики и требования, связанные с доступностью ИКТ, такие как раздел 508 Акта США о реабилитации от 1973 г. и ЕН 301549 "Требования к доступности для государственных закупок продуктов и услуг ИКТ" в Европе.

10.2.1.3 Качественные показатели уровня обслуживания

Стандарты доступности

Перечень стандартов, связанных с доступностью, которые поставщик службы облачных вычислений поддерживает для служб, определенных в SLA.

Политика доступности

Перечень политик и положений о доступности ИКТ, которые поддерживает поставщик службы облачных вычислений для служб, определенных в SLA.

10.3 Предметная область "Доступность - наличие службы"

10.3.1 Компонент "Доступность - наличие службы"

10.3.1.1 Описание

Доступность (availability) - это возможность быть доступным для использования по запросу авторизованного субъекта (ИСО/МЭК 17788). Компонент "Доступность" специфицирует метод определения того, что службы, определенные в SLA, доступны и готовы к использованию.

________________

В контексте доступности "доступный" означает, что служба облачных вычислений может быть успешно получена через ее интерфейсы.

10.3.1.2 Релевантность

Доступность предоставляет для потребителя службы облачных вычислений высокоуровневый индикатор того, что в определенный момент времени службы, описанные в SLA, отвечают на запросы и выполняют функции в соответствии с описанием услуги.

Периоды, когда служба облачных вычислений недоступна, обычно называют "временем простоя". Это могут быть такие случаи, как "запланированное отключение", когда служба облачных вычислений недоступна по причинам, отличным от сбоев. Периоды, когда служба облачных вычислений недоступна, но которые не считаются "временем простоя", определяются как "допустимое время простоя".

Доступность часто выражается как общее время в определенном интервале за вычетом времени простоя в этот временной период.

10.3.1.3 Показатели уровня обслуживания

Доступность

Количество времени или доля времени, выраженная в процентах, в заданный период, в течение которого служба облачных вычислений доступна для использования.

Доступность может быть рассчитана как общее время нескольких интервалов за вычетом общего времени простоя во время каждого интервала и может исключать допустимое время простоя.

Дополнительная информация представлена в ИСО/МЭК 19086-2.

10.4 Предметная область "Производительность службы облачных вычислений"

10.4.1 Общие положения

Производительность службы облачных вычислений включает в себя отдельные компоненты, которые могут использоваться в облачном SLA для выражения производительности службы облачных вычислений. Следует отметить, что определение производительности может варьироваться в зависимости от службы облачных вычислений, поставщика и (потенциально) потребителя службы облачных вычислений. Настоящий стандарт не ограничивает перечень компонентов списком, приведенным ниже.

10.4.2 Компонент "Время отклика службы облачных вычислений"

10.4.2.1 Описание

Служба имеет несколько свойств, связанных со временем отклика службы облачных вычислений, которые могут быть включены в облачное SLA.

Время отклика - это время между стимулом для службы облачных вычислений и откликом этой службы на стимул.

10.4.2.2 Релевантность

Стимул может быть инициирован различными источниками - потребителями, партнерами, поставщиками службы облачных вычислений и программными событиями.

Время отклика для различных служб облачных вычислений может быть различным, даже когда система клиента, рабочая нагрузка и комбинация транзакций идентичны. При сравнении времени отклика необходимо принимать во внимание: а) используются ли одинаковые определения метрик и b) не изменились ли другие переменные (например, задержка в сети, пропускная способность сети, задержка передачи или задержка при пересылке).

Для получения дополнительной информации следует обратиться к ИСО/МЭК 19086-2.

10.4.2.3 Показатели служб облачных вычислений

Наблюдение времени максимального отклика службы облачных вычислений

Максимальное время между определенным стимулом или входными данными службы облачных вычислений и определенным моментом при отклике.

Среднее время отклика службы облачных вычислений

Статистически среднее время в ряду наблюдений откликов службы облачных вычислений.

Спецификация метода вычисления среднего времени определена в метриках, связанных со службой облачных вычислений.

Отклонения времени отклика службы облачных вычислений

Статистическое отклонение описывает, насколько далеко от среднего времени отклика могут находиться отклики в ряду наблюдений времени отклика службы облачных вычислений.

Отклонение часто описывается в терминах стандартных отклонений от среднего значения определенного набора измерений.

Этот SLO может использоваться для обозначения стабильности откликов за определенный период времени, так как показывает величину отклонения или статистической дисперсии времени отклика.

Дисперсия времени отклика также имеет большое значение в случае, когда пользователь хочет измерить производительность системы при переменных уровнях нагрузки, а также, если пользователь хочет измерить производительность системы для специального события.

10.4.3 Компонент "Емкость службы облачных вычислений"

10.4.3.1 Описание

Данный раздел объясняет свойства, связанные с емкостью службы, которые могут быть включены в облачное SLA. К таким свойствам относятся не только емкость облачных ресурсов (например, емкость хранилища, вычислительная мощность), но и емкость сети, используемой для доступа к ресурсам.

10.4.3.2 Релевантность

Поскольку емкость системы облачных вычислений может изменяться, важно понять, какая емкость существует и как она используется потребителями. В традиционных системах, основанных на фиксированных ресурсах, емкость фиксирована, в то время как в системе облачных вычислений она является динамической характеристикой, и ее необходимо отслеживать, чтобы гарантировать, что система отвечает требованиям потребителей службы облачных вычислений. Выставление счетов для службы облачных вычислений также может быть основано на емкости и/или ограничениях емкости.

10.4.3.3 Показатели уровня обслуживания

Ограничение на число одновременных соединений в службе облачных вычислений

Максимальное количество одновременных соединений, поддерживаемых данной службой облачных вычислений.

Ограничение на количество доступных ресурсов службы облачных вычислений

Максимальное количество доступных ресурсов, т.е. дискового пространства, производительности ЦПУ, размера памяти, просмотров страниц и т.д.

Производительность службы облачных вычислений

Число входящих запросов или количество наборов взаимозависимых входных данных (т.е. транзакций), которые могут быть выполнены системой в единицу времени. Обычно измеряется как число веб-запросов в секунду, число элементов страниц в секунду или число транзакций в секунду.

Пропускная способность службы облачных вычислений

Объем данных, которые могут быть переданы за определенный период времени.

10.4.4 Компонент "Эластичность"

10.4.4.1 Описание

Компонент "Эластичность" описывает способность службы облачных вычислений динамически регулировать объем ресурсов, выделенных конкретному экземпляру службы. Корректировка производится на основании текущей рабочей нагрузки экземпляра службы облачных вычислений, т.е. при увеличенном объеме нагрузки выделяется больше ресурсов, а при уменьшении нагрузки происходит, наоборот, уменьшение числа ресурсов.

Таким образом, эластичность зависит от наличия процедуры мониторинга рабочей нагрузки и реагирования на изменения нагрузки путем выделения при необходимости дополнительных ресурсов или освобождения ресурсов, которые более не требуются. Процедура может выполняться вручную или автоматически. В случае ручной настройки ответственностью потребителя службы облачных вычислений будет получение доступа к необходимому количеству ресурсов в соответствии с изменениями рабочей нагрузки. Автоматическая настройка выполняется без прямого взаимодействия с потребителем или поставщиком службы облачных вычислений. В случае автоматической настройки процедура может быть реактивной, т.е. базироваться на мониторинге фактических изменений текущей рабочей загрузки, или проактивной, т.е. использовать некий алгоритм, который может предсказывать будущие ситуации по загрузке, или представлять комбинацию этих вариантов.

Эластичность связана с одним или несколькими типами ресурсов. Например, виртуальная машина комбинирует следующие ресурсы: количество процессоров определенной спецификации, объем памяти, количество сетевых интерфейсов, размер жесткого диска и т.п. Ресурсами для веб-приложений могут быть количество параллельных сессий пользователей и/или количество параллельных транзакций.

10.4.4.2 Релевантность

Эластичность является одной из ключевых характеристик служб облачных вычислений. Потребители службы облачных вычислений не должны запрашивать достаточное количество ресурсов для службы облачных вычислений во время конфигурации службы. Вместо этого они могут полагаться на способность облачной системы масштабироваться и добавлять ресурсы со временем, по мере необходимости, и возвращать ресурсы, которые больше не требуются. Потребитель службы облачных вычислений может добавлять и возвращать ресурсы вручную или использовать инструменты поставщика, которые позволяют потребителю устанавливать правила для увеличения или уменьшения количества необходимых ресурсов. Таким образом, потребители службы облачных вычислений не должны обеспечивать избыточность ресурсов для службы облачных вычислений и, следовательно, не должны платить постоянно за ресурсы, которые они используют, только из-за того, что время от времени могут возникать пиковые рабочие нагрузки.

10.4.4.3 Показатели уровня обслуживания

Эластичность

Эластичность службы облачных вычислений может быть оценена в терминах двух целевых показателей, таких как:

Скорость эластичности

Величина скорости эластичности описывает, насколько быстро служба облачных вычислений способна отреагировать на запрос ресурса, когда:

- потребитель службы облачных вычислений делает запрос повторного предоставления ресурса (в случае ручной эластичности);

- изменяется рабочая нагрузка (в случае автоматической эластичности).

Величина скорости может выражаться в виде пороговых значений. Для этой величины может существовать процесс измерения, и, таким образом, определена метрика.

Точность эластичности

Величина точность эластичности описывает, насколько точно размещение ресурса отвечает фактическим требованиям к ресурсу в данный момент времени:

- в случае ручной настройки точность зависит от зернистости размещения ресурса, т.е. минимального количества ресурсов, которые могут быть предоставлены. Поэтому в случае ручного размещения точность является технической характеристикой службы облачных вычислений, которая не требует измерений (т.е. никакая метрика с ней не ассоциируется);

- в случае автоматической настройки точность определяется разницей между количеством выделенных ресурсов и количеством фактически требуемых ресурсов (оптимальное состояние), необходимых для данной рабочей нагрузки. Фактическое размещение ресурсов может быть чрезмерным (т.е. выделено больше ресурсов, чем фактически требуется), либо недостаточным (т.е. количество фактически выделенных ресурсов недостаточно для того, чтобы справиться с фактической рабочей нагрузкой). В противоположность случаю с ручной настройкой, при автоматизированной эластичности различие между выделенным и фактически требуемым количеством ресурсов может определяться процессом измерения и, соответственно, подразумевать метрику.

Точность эластичности может быть выражена как набор пороговых значений.

10.5 Предметная область "Защита персональной идентификационной информации (ПИИ)"

10.5.1 Компонент "Защита ПИИ"

10.5.1.1 Описание

Персональная идентификационная информация (ПИИ) - это любая информация, которая может использоваться для идентификации обладателя ПИИ, которому такая информация принадлежит, или которая прямо или косвенно уже связана или может быть связана с обладателем ПИИ. Обладатель ПИИ - это лицо, с которым связана ПИИ. Оператор ПИИ определяет цели и средства для обработки ПИИ, в то время как процессор ПИИ обрабатывает ПИИ от имени оператора ПИИ и в соответствии с его инструкциями (см. ИСО/МЭК 29100 и ИСО/МЭК 27018 для объяснения описанных здесь концепций).

Потеря, несанкционированное раскрытие или несанкционированное внесение изменений в ПИИ может повлечь ущерб для вовлеченных сторон. Помимо угроз для репутации или бизнеса в результате некорректной обработки ПИИ, обработка ПИИ зачастую дополнительно регулируется законами или нормативными актами. В общем случае задача обеспечения правильного обращения с ПИИ возлагается главным образом на оператора ПИИ.

В случае облачных вычислений распространена практика, когда оператором ПИИ является потребитель службы облачных вычислений, в то время как процессором ПИИ является поставщик службы облачных вычислений.

Как уже упоминалось в разделе 6, некоторые компоненты, описанные ниже, могут быть представлены в документах, входящих в состав CSA помимо облачного SLA, например, в политике конфиденциальности.

Подробная информация о защите ПИИ в контексте облачных SLA приведена в ИСО/МЭК 19086-4.

10.5.1.2 Релевантность

Принципы защиты ПИИ изложены в ИСО/МЭК 29100; их применение к общественным службам облачных вычислений описано в ИСО/МЭК 27018. Реализация этих принципов, особенно в контексте служб облачных вычислений, зависит от законодательства или нормативных актов конкретной юрисдикции, а также от условий, включенных в CSA и в облачное SLA.

Существуют национальные и международные стандарты, которые могут использоваться поставщиками и/или потребителями службы облачных вычислений для разработки условий CSA и облачного SLA. Примерами таких стандартов могут служить ИСО/МЭК 29151 и ИСО/МЭК 27018 (они базируются на ИСО/МЭК 27001), JIS Q15001, NIST SP 800-53:2013, приложение J и BS 10012. Некоторые из этих международных документов предоставляют словари терминов и определений и рекомендации по конкретным вопросам, связанным с ПИИ, и которые могут быть включены в CSA и облачное SLA. Сертификация и соответствие требованиям приведены в ИСО/МЭК 19086-4.

10.5.1.3 Показатели уровня обслуживания

Конкретные SLO, связанные с компонентом "Защита ПИИ", приведены в ИСО/МЭК 19086-4.

10.5.1.4 Качественные показатели уровня обслуживания

Конкретные SQO, связанные с компонентом "Защита ПИИ", приведены в ИСО/МЭК 19086-4.

10.6 Предметная область "Информационная безопасность"

10.6.1 Компонент "Информационная безопасность"

10.6.1.1 Описание

Предметная область "Информационная безопасность" связана с SLO и SQO, которые относятся к информационной безопасности служб облачных вычислений. Информационная безопасность служб облачных вычислений и защита данных служб облачных вычислений рассматриваются в ИСО/МЭК 27017 и ИСО/МЭК 27018, соответственно, и эти стандарты, в свою очередь, базируются на комплексе целей безопасности и механизмов безопасности, которые содержатся в ИСО/МЭК 27002.

Информационная безопасность - настолько общее и многозначное понятие, что затрагивает многие компоненты SLA для служб облачных вычислений. В результате многие SLO и SQO, связанные с информационной безопасностью, указаны для различных компонентов, описанных в настоящем стандарте. В качестве примера, доступность является ключевым вопросом информационной безопасности, и в настоящем стандарте имеется специальный раздел, посвященный доступности.

Как уже упоминалось в разделе 6, некоторые компоненты, описанные ниже, могут быть представлены в документах, входящих в состав CSA помимо облачного SLA, например, в политике безопасности.

Дополнительные сведения об информационной безопасности в контексте облачных SLA приведены в ИСО/МЭК 19086-4.

10.6.1.2 Релевантность

Информационная безопасность является ключевым вопросом для потребителей службы облачных вычислений, и разделение ответственности между потребителями и поставщиками служб облачных вычислений требует от облачного SLA гарантировать, что все необходимые элементы информационной безопасности должным образом проработаны для служб облачных вычислений, определенных в SLA.

Компонент "Информационная безопасность" связан с SLO и SQO, которые относятся к безопасности и не рассмотрены явным образом в других компонентах. Другими компонентами могут быть:

- Мониторинг службы (9.4);

- Роли и обязанности (9.5);

- Доступность (10.3);

- Защита ПИИ (10.5);

- Прекращение обслуживания (10.7);

- Поддержка (10.8);

- Надежность службы (10.11);

- Резервное копирование и восстановление (10.11.3);

- Управление данными (10.12);

- Аттестации, сертификации и аудит (10.13).

SLO и SQO для информационной безопасности описаны в ИСО/МЭК 19806-4.

10.7 Предметная область "Прекращение обслуживания"

10.7.1 Компонент "Прекращение обслуживания"

10.7.1.1 Описание

Компонент "Прекращение обслуживания" связан с процессом, когда использование службы облачных вычислений прекращается, и есть последовательный процесс, посредством которого потребитель службы облачных вычислений прекращает использование службы облачных вычислений.

Процесс прекращения включает в себя возможность получения данных, что является частью процесса, в рамках которого потребитель службы облачных вычислений сначала выгружает свои данные службы облачных вычислений и артефакты приложения, а затем по истечении согласованного периода времени поставщик удаляет все данные потребителя, а также производные данные службы облачных вычислений, определенные контрактом. Потребителю службы облачных вычислений следует ожидать, что поставщик службы облачных вычислений не будет хранить никакие материалы, принадлежащие потребителю, по истечении согласованного периода времени.

На данный процесс могут влиять различные факторы, включая юридические требования к хранению данных, а также обеспечение задержки между прекращением использования службы пользователем и фактическим удалением данных.

Потребитель или поставщик службы облачных вычислений могут решить прекратить CSA и завершить использование службы облачных вычислений потребителем. Поскольку каждое CSA уникально, то CSA или другие регламентирующие документы должны рассматривать конкретные вопросы прекращения обслуживания, включая процесс выхода и обработку всех классов данных, связанных со службой облачных вычислений (см. пункт 10.12.7 "Компонент "Переносимость данных"). Процесс выхода включает в себя как технические, так и деловые аспекты.

К деловым аспектам процесса выхода относятся период уведомления, оплата текущих затрат и других платежей, таких как штраф за раннее прекращение использования или за сверхнормативную передачу данных. Технические аспекты процесса выхода включают в себя выгрузку данных и удаление данных потребителя службы облачных вычислений, а также форматы данных и методы, поддержанные выгрузкой данных.

10.7.1.2 Релевантность

Прекращение CSA может произойти в различных сценариях.

- Потребитель выбирает прекратить использовать службы по причинам: а) невозможности для поставщика соответствовать требованиям SLO, SQO и другим параметрам, b) предложения более выгодной цены другим поставщиком и с) завершения конкретного проекта, использующего данную службу облачных вычислений.

В этом сценарии потребителю службы облачных вычислений обычно разрешается получить свои данные от поставщика службы облачных вычислений (возвращение данных), при условии, что потребитель берет ответственность за оплату всех затрат за хранение и передачу данных. Поставщик службы облачных вычислений удалит данные потребителя службы облачных вычислений или завершит процесс очистки данных из систем поставщика службы облачных вычислений в течение определенного периода времени; однако на потребителя службы облачных вычислений возлагается ответственность обеспечить удаление данных. Для этого потребитель предпринимает конструктивные шаги, чтобы удалить и очистить свои данные из систем поставщика службы облачных вычислений после их выгрузки. Помимо этого, поставщик службы облачных вычислений может предоставить потребителю другие классы объектов данных и удалить записи (такие, как журнал событий), связанные с потребителем. В отдельных юрисдикциях поставщик службы облачных вычислений может сохранить часть данных, относящихся к потребителю службы облачных вычислений в соответствии с требованиями закона.

- Потребитель службы облачных вычислений прекращает бизнес. Может оказаться так, что потребитель будет неспособен оплатить свои расходы (выставленные счета) и поставщик службы облачных вычислений не сможет связаться с этим потребителем.

В этом сценарии поставщик службы облачных вычислений может выбрать сохранение данных потребителя и других связанных классов данных на некоторый период перед их последующим удалением.

- Поставщик службы облачных вычислений прекращает действие соглашения по таким причинам, как нарушение со стороны потребителя условий использования службы или других требований. При таком сценарии данные потребителя службы облачных вычислений и другие классы данных обрабатываются в значительной степени так же, как в сценарии прекращения обслуживания по инициативе потребителя.

- Поставщик службы облачных вычислений прекращает действие соглашения по таким причинам, как окончание предоставления службы облачных вычислений, например, планируемое завершение работы поставщика. В таком сценарии данные потребителя службы облачных вычислений и другие классы данных обрабатываются в значительной степени так же, как в сценарии прекращения обслуживания по инициативе потребителя службы облачных вычислений.

- Поставщик службы облачных вычислений прекращает бизнес. Поставщик службы облачных вычислений может перейти в состояние конкурсного управления либо инициировать ликвидацию и выпустить уведомление для потребителя службы облачных вычислений, что у них имеется ограниченный период времени для выгрузки данных.

Процесс выхода может потребовать сохранения резервных копий данных и данных журнала на стороне поставщика службы облачных вычислений во время процесса выхода до момента прекращения процесса. На потребителя службы облачных вычислений возлагается ответственность обеспечить непрерывность своего бизнеса и оплатить текущие расходы и другие возникшие платежи, такие как штраф за раннее завершение обслуживания или оплату исходящей передачи и выгрузку данных, до завершения обслуживания. Когда будет достигнута точка завершения, поставщик службы облачных вычислений обычно должен удалить все данные, связанные с потребителем, включая такие вещи, как журнал событий и учетные записи пользователей. В некоторых юрисдикциях согласно требованиям законодательства может быть сохранена часть данных, связанных с потребителем службы облачных вычислений. В дополнение к этому потребители службы облачных вычислений могут разрешить поставщику службы облачных вычислений сохранять определенные данные.

В конце процесса выхода поставщик службы облачных вычислений должен предоставить потребителю уведомление о том, что процесс завершен.

10.7.1.3 Показатели уровня обслуживания

Период хранения данных

Период времени после уведомления о прекращении обслуживания, в течение которого сохраняются данные потребителя службы облачных вычислений.

Период хранения журнала

Период времени после уведомления о прекращении обслуживания, в течение которого сохраняются файлы журнала, связанные с потребителем службы облачных вычислений.

10.7.1.4 Качественные показатели уровня обслуживания

Уведомление о прекращении обслуживания

Положение о процессе уведомления потребителя службы облачных вычислений о завершении действия CSA; включает период уведомления.

Возврат активов

Положение, предусматривающее ответственность поставщика и потребителя службы облачных вычислений в отношении владения, пользования, возврата и утилизации объектов данных и удаления физических артефактов, содержащих объекты данных, как часть процесса прекращения обслуживания.

Более подробная информация о переносимости данных представлена в 10.11.7.

Более подробная информация об удалении данных приведена в 10.11.8.

10.8 Предметная область "Поддержка службы облачных вычислений"

10.8.1 Компонент "Поддержка службы облачных вычислений"

10.8.1.1 Описание

Компонент "Поддержка службы облачных вычислений" включает в себя SLO и SQO, связанные с выбором вариантов поддержки, доступных потребителям службы облачных вычислений, для служб, определенных в SLA.

Потребители службы облачных вычислений обращаются в службу поддержки в различных ситуациях, от ежедневных операций, таких, как администрирование учетной записи, конфигурации, выставления счетов и ответов на вопросы "как сделать?" до более серьезных вопросов, таких как перерывы в работе службы, нарушения правил безопасности и восстановление после отказов. Ответственность за разрешение инцидентов с поддержкой может лежать на поставщике службы облачных вычислений, потребителе или на обоих сторонах в сотрудничестве. Поставщик службы облачных вычислений может предложить "планы поддержки" или пакеты, включающие набор различных опций, которые могут быть бесплатными или платными. Поддержка для служб облачных вычислений может предоставляться различными способами: по электронной почте, по телефону, через веб-формы и API, чат, форумы сообщества и каналы социальных сетей.

Поставщик службы облачных вычислений может предусмотреть, что он будет реагировать на отказы службы в течение определенного интервала времени и следовать определенному процессу информирования потребителей службы облачных вычислений об отказе службы. Он также может обеспечить информирование потребителей службы облачных вычислений о мерах, предпринятых для исправления или восстановления после неисправности.

10.8.1.2 Релевантность

По сравнению с устаревшими ИТ-системами облачные вычисления существенно отдаляют потребителя службы облачных вычислений от физического доступа к вычислительным ресурсам. В результате потребитель зависит от поставщика службы облачных вычислений при решении многих инцидентов поддержки. Крупные потребители службы облачных вычислений обычно предоставляют свои собственные средства поддержки первого круга с собственным или привлеченным персоналом, которые взаимодействуют с поставщиком службы облачных вычислений для решения более сложных или серьезных инцидентов. Ясная картина инфраструктуры поддержки, процесса и ожиданий критически важна для успешного использования служб облачных вычислений. Как правило, запросам, которые потребители службы облачных вычислений направляют поставщику службы облачных вычислений, присваивается уровень серьезности исходя из воздействия на деловую деятельность потребителя. Уровни серьезности могут меняться - увеличиваться или уменьшаться после первоначальной обработки и оценки запроса. Например, уровни серьезности могут определяться следующим образом, с соответствующим временем отклика и другими SLO и SQO, специфичными для каждого уровня:

- уровень 1. Критическое воздействие на бизнес;

- уровень 2. Значительное воздействие на бизнес;

- уровень 3. Минимальное воздействие на бизнес;

- уровень 4. Отсутствие воздействия на бизнес.

Изменения назначенного уровня запроса обычно выполняются путем повышения приоритета запроса в соответствии с CSA.

10.8.1.3 Показатели уровня обслуживания

SLO для компонента "Поддержка службы облачных вычислений" охватывают технические аспекты, такие как время отклика и уведомление об ошибке. Для каждого уровня серьезности могут существовать отдельные SLO.

Часы работы поддержки

Часы работы по каждому плану поддержки.

Часы работы поддержки при инцидентах

Часы, в которые потребители службы облачных вычислений могут получить поддержку специально по инцидентам в работе службы.

Время уведомления об инцидентах

Временной интервал, в течение которого поставщик службы облачных вычислений предоставит уведомление об инциденте на определенные контактные адреса потребителя службы облачных вычислений, как предусмотрено в плане поддержки.

Максимальное время первого отклика поддержки

Максимальное время между моментом отправки потребителем отчета об инциденте и первым откликом на отчет со стороны поставщика службы облачных вычислений.

Максимальное время разрешения инцидента

Устанавливает максимальное время для разрешения инцидента.

10.8.1.4 Качественные показатели уровня обслуживания

SQO для компонента "Поддержка службы облачных вычислений" охватывают эксплуатационные аспекты, такие как контакты, экстренные случаи и повышение приоритета, а также технические аспекты, такие как аварийное восстановление и отчетность об инцидентах.

Планы поддержки

Список планов поддержки службы облачных вычислений, доступных потребителям службы облачных вычислений, включая в себя любые затраты на поддержку.

Следующие SQO могут быть включены в планы поддержки в облачное SLA.

Методы поддержки

Список методов, которые потребитель службы облачных вычислений может использовать для получения поддержки.

Контакты поддержки

Список определенных контактов службы поддержки, если они доступны по плану поддержки.

Отчетность по инцидентам службы

Перечисляет параметры, которые потребитель службы облачных вычислений может использовать, чтобы отправить отчет по инциденту службы поставщику службы облачных вычислений.

Уведомление об инциденте службы

Перечисляет условия и ограничения (серьезность, временные рамки и т.п.), в рамках которых поставщик службы облачных вычислений будет раскрывать детали информации о перебоях в работе службы или состояниях, которые влияют на работу службы. Эти положения могут также определить, что представляет собой инцидент службы.

Уведомление об инциденте службы может включать в себя:

- причину инцидента;

- шаги, которые предпринимает поставщик службы облачных вычислений для разрешения инцидента;

- время, за которое поставщик службы облачных вычислений ожидает разрешить инцидент;

- любые обходные решения, которые потребитель службы облачных вычислений может предпринять, пока разрешается данный инцидент.

10.9 Предметная область "Управление"

10.9.1 Компонент "Управление"

10.9.1.1 Описание

Компонент "Управление" службы облачных вычислений определяет метрики, процессы и стандарты, которые позволяют поставщику службы облачных вычислений, потребителю службы облачных вычислений и другим ролям, определенным в ИСО/МЭК 17789, поддерживать требования и/или соответствовать требованиям к процессам управления (см. ИСО/МЭК 17998, ИСО/МЭК 38500).

Индикаторы управления (как правило, метрики) помогают обеспечить следующее:

- соответствующие положения или стандарты поддерживаются поставщиком и потребителем службы облачных вычислений, а также службами, которые они используют;

- политики управления соблюдаются заинтересованными сторонами;

- происходят соответствующие бизнес-процессы или процессы управления.

Как правило, показатели или метрики для управления получаются и отслеживаются оперативными системами управления, принадлежащими поставщику или потребителю службы облачных вычислений или другим заинтересованным сторонам. Показатели управления могут включать в себя другие компоненты облачного SLA, такие как доступность, производительность, надежность, информационную безопасность или защиту персональной идентификационной информации.

В определенных случаях потребитель службы облачных вычислений обязан соответствовать нормативным стандартам для использования служб облачных вычислений. В то время как поставщик службы облачных вычислений может выполнять определенный аудит или получить сертификат(ы) по отношению к службе облачных вычислений, это не гарантирует полное соответствие нормативным требованиям потребителю службы облачных вычислений.

10.9.1.2 Релевантность

Для служб облачных вычислений поставщик и потребитель службы облачных вычислений обычно имеют индивидуальный режим управления, установленный бизнесом для обеспечения того, чтобы службы облачных вычислений, использование служб облачных вычислений и решений, использующих службы облачных вычислений, удовлетворяли и продолжали соответствовать бизнес-целям и задачам. Важно, что метрики и политики задаются потребителями и поставщиками служб облачных вычислений, которые могут проверить, являются ли облачные SLA и политика управления эффективными, и не нуждается ли политика в переоценке или изменении. Для служб облачных вычислений потребителям службы облачных вычислений, возможно, придется полагаться на поставщика службы облачных вычислений в части предоставления метрик и других индикаторов, необходимых для управления.

Для многих отраслей промышленности существуют правила и положения, которым необходимо следовать поставщикам службы облачных вычислений, потребителям службы облачных вычислений и другим ролям, определенным в ИСО/МЭК 17789. В качестве примеров могут выступать безопасность, защита данных, нормативные финансовые и медико-санитарные документы для данных. В компоненте "Управление" упоминаются положения, стандарты и политики, поддерживаемые поставщиком службы облачных вычислений.

Для облачных вычислений, прежде всего для общественных облаков, все потребители службы облачных вычислений разделяют между собой общие характеристики и функциональность (в зависимости от купленной ими конфигурации), и изменения в службах облачных вычислений могут немедленно повлиять на многих потребителей службы облачных вычислений. Потребителям службы облачных вычислений требуются механизмы, с помощью которых они могут понимать и подготовиться к объявленным изменениям в службах, определенных в SLA.

10.9.1.3 Качественные показатели уровня обслуживания

Данный компонент имеет следующие SQO:

Соблюдение нормативных актов

Список регламентирующих документов, включающий название, раздел и номер сертификата (если есть), на соответствие которым аттестован или сертифицирован поставщик службы облачных вычислений.

Соблюдение стандартов

Список промышленных стандартов, включающий название, раздел и номер сертификата (если есть), на соответствие которым аттестован или сертифицирован поставщик службы облачных вычислений.

Соблюдение политик

Заявление заинтересованным лицам, что бизнес-политика или политика управления, определенная для конкретной службы, непрерывно соблюдается.

Расписание аудита

Расписание аудиторских проверок, которые предпринимает поставщик службы облачных вычислений с использованием своих собственных ресурсов или с помощью третьих сторон, включая расписание для каждого аудита.

10.10 Предметная область "Изменения характеристик и функциональности службы облачных вычислений"

10.10.1 Компонент "Изменения характеристик и функциональности службы облачных вычислений"

10.10.1.1 Описание

Поставщик службы облачных вычислений может принять решение об изменении характеристик и функциональности службы (служб), определенных в SLA, во время действия CSA. Такие изменения, как обновления безопасности и исправления ошибок, не рассматриваются в настоящем пункте. Изменения самого облачного SLA производятся в соответствии с 7.5. Изменения могут происходить по многим причинам, таким как добавление функций по запросам потребителей или удаление устаревших, редко используемых функций.

10.10.1.2 Релевантность

При развертывании облака, прежде всего публичного, все потребители службы облачных вычислений, в зависимости от конфигураций, которые они приобрели, используют одни и те же характеристики и функциональность. Изменения могут одновременно повлиять на многих потребителей службы облачных вычислений. Потребители службы облачных вычислений должны понимать и быть готовыми к любым объявленным изменениям в службе(ах), определенным в SLA.

10.10.1.3 Показатели уровня обслуживания

Минимальный период уведомления об изменении службы

Минимальный период времени между выпуском уведомления об изменении службы и реализацией изменения.

Минимальное время до объявления функции устаревшей

Минимальный период времени между первоначальной доступностью функциональности и уведомления о том, что такая функциональность устарела.

10.10.1.4 Качественные показатели уровня обслуживания

Метод уведомления об изменениях службы

Метод(ы), с помощью которого(ых) поставщик службы облачных вычислений будет уведомлять потребителей службы облачных вычислений об изменениях в характеристиках и функциональности службы (служб), определенных в SLA.

10.11 Предметная область "Надежность службы"

10.11.1 Общие положения

Надежность службы облачных вычислений - важная характеристика систем облачных вычислений. Это комплексный аспект, к которому относятся три компонента: "Способность к восстановлению/отказоустойчивость службы", "Резервное копирование и восстановление данных потребителя", "Аварийное восстановление".

10.11.2 Компонент "Способность к восстановлению/отказоустойчивость службы"

10.11.2.1 Описание

На доступность службы облачных вычислений могут повлиять ошибки или неисправности аппаратных или программных компонентов, составляющих основу данной службы облачных вычислений. Поскольку службы облачных вычислений размещаются в центрах обработки данных, потенциальные неисправности могут также происходить на стороне инфраструктуры. Отказоустойчивость может определяться как способность службы продолжать функционировать в случае, если один или более компонентов неисправны; способность к восстановлению - это способность службы восстанавливаться после того, как произошла неисправность.

10.11.2.2 Релевантность

Некоторые потребители службы облачных вычислений могут полагаться на SLO "Доступность" поставщика службы облачных вычислений, в то время как другим могут потребоваться дополнительные SLO и SQO по восстановлению после ошибок и отказоустойчивости.

10.11.2.3 Показатели уровня обслуживания

Время восстановления службы

Время восстановления службы - это время, прошедшее между моментом, когда произошла неисправность службы облачных вычислений, и моментом возвращения службы обратно в состояние нормального функционирования.

Среднее время восстановления службы

Среднее арифметическое набора вычислений времени восстановления службы.

Примечание - Среднее время восстановления службы включает в себя связанный с аппаратурой показатель уровня обслуживания "среднее время восстановления", однако в облачных средах аппаратное обеспечение, как правило, виртуализовано. Таким образом нет прямой связи между временем восстановления аппаратуры и доступностью службы.

Максимальное время восстановления службы

Наибольшее значение из набора вычислений времени восстановления службы за определенный период времени.

Количество неисправностей службы

Количество отказов службы в целом или за определенный период времени.

10.11.2.4 Качественные показатели уровня обслуживания

Методы отказоустойчивости и восстановления после ошибок службы облачных вычислений

Перечисление методов, используемых поставщиком службы облачных вычислений, которые позволяют обеспечить восстановление после ошибок и отказоустойчивость для службы (служб), определенных в SLA, и перечень методов, доступных потребителю службы облачных вычислений, которые позволяют предоставить восстановление после ошибок и отказоустойчивость для их собственной рабочей нагрузки.

10.11.3 Компонент "Резервное копирование и восстановление данных потребителя"

10.11.3.1 Описание

Компонент "Резервное копирование и восстановление данных потребителя" включает в себя такие SLO и SQO, как методы резервного копирования, срок хранения резервных копий и число поколений резервных копий.

10.11.3.2 Релевантность

Поставщики службы облачных вычислений могут предоставить потребителям службы облачных вычислений механизмы управления их собственными резервными копиями данных, и в некоторых случаях поставщик службы облачных вычислений автоматически создает зеркальные копии сохраненных данных на различном оборудовании и, возможно, в различных географических местоположениях.

Некоторые данные потребителя службы облачных вычислений являются временными и могут быть утеряны в случае отказа оборудования, если нет регулярного сохранения данных в постоянном хранилище. Поставщик службы облачных вычислений может предложить специализированную службу для такого сценария. Кроме того, уместным может оказаться хранение резервных копий виртуальных машин (ВМ) на случай неисправности сервера и неуспеха восстановления ВМ до полной функциональности. Это особенно важно при запуске приложений на единственном экземпляре сервера.

Для некоторых служб облачных вычислений у потребителей службы облачных вычислений, возможно, не будет возможности эффективно делать резервные копии своих собственных данных. В таком случае потребители службы облачных вычислений могут полагаться на план поставщика службы облачных вычислений по избыточности данных и резервному копированию.

Потребителям службы облачных вычислений важно обеспечить, чтобы их собственные планы и планы поставщика службы облачных вычислений по резервному копированию и восстановлению данных были достаточными. Эти планы должны включать в себя методы резервного копирования, интервалы резервного копирования, срок хранения резервных копий, количество сохраненных поколений резервных копий, показатели точки восстановления и показатели времени восстановления для выбранных служб облачных вычислений.

10.11.3.3 Показатели уровня обслуживания

Интервал резервного копирования

Период времени между резервным копированием данных или число резервных копий за определенный период времени.

Срок хранения резервных копий данных

Период времени, в течение которого поставщик службы облачных вычислений хранит резервные копии данных.

Количество поколений резервных копий

Количество поколений резервных копий потребителя службы облачных вычислений, сохраненное поставщиком службы облачных вычислений.

Тестирование восстановления резервных копий

Количество тестов восстановлений из резервных копий за определенный период времени.

10.11.3.4 Качественные показатели уровня обслуживания

Метод резервного копирования

Список методов резервного копирования данных потребителя службы облачных вычислений, доступных потребителю службы облачных вычислений или выполняемых поставщиком службы облачных вычислений.

Верификация резервного копирования

Список методов или технологий верификации целостности резервных копий данных.

Отчет о тестировании восстановления резервных копий

Положение, описывающее содержание и доступность отчетов по тестированию восстановления из резервных копий.

Альтернативные методы восстановления данных

Список методов, которые поставщик службы облачных вычислений может предпринять, чтобы сохранить данные потребителя службы облачных вычислений в случае, если первоначальный метод сохранения данных окажется неуспешным.

Место хранения резервных копий данных

Список географических мест хранилищ, где хранятся резервные копии данных.

10.11.4 Компонент "Аварийное восстановление"

10.11.4.1 Описание

Компонент "Аварийное восстановление" предусматривает такие SLO и SQO, как план аварийного восстановления поставщика службы облачных вычислений, показатели "Время восстановления" (RPO) и "Точка восстановления" (RTO).

10.11.4.2 Релевантность

Помимо отказов на доступность службы облачных вычислений (см. 10.3) могут влиять аварии, как естественного характера, так и произошедшие по вине человека или случайные. Авария, по сравнению с неисправностью, обычно приводит к существенному повреждению или полной потере компонентов, составляющих службу. Поскольку современные организации зависят от служб ИТ, длительное отключение электроэнергии у службы облачных вычислений может поставить под угрозу существование самой организации.

В случае серьезной аварии, недели или месяцы могут потребоваться для того, чтобы полностью восстановить компоненты отдельного центра обработки данных. Служба облачных вычислений может выполняться в нескольких центрах обработки данных с переключением нагрузки и отказоустойчивостью. Отказоустойчивость может проводиться автоматически или вручную. Однако приложения и данные потребителей службы облачных вычислений необязательно могут обрабатываться или храниться в нескольких местах. Такие возможности могут предоставляться за дополнительную плату.

10.11.4.3 Показатели уровня обслуживания

Время восстановления (RTO)

Максимальный период времени, требуемый для того, чтобы привести службу облачных вычислений из отключенного состояния в корректное рабочее состояние.

Отсчет времени восстановления начинается, когда поставщик службы облачных вычислений соглашается инициировать процесс восстановления в ответ на аварию, заявленную поставщиком службы, и заканчивается, когда потребитель службы облачных вычислений может восстановить выполнение операций на резервном/вторичном оборудовании. Если решение о преодолении сбоя происходит в течение запланированного времени простоя, то время восстановления увеличивается, поскольку требуется время, необходимое для завершения планируемого технического обслуживания поставщиком службы облачных вычислений. Показатели времени восстановления и момента восстановления, как правило, не применяются к настройкам потребителя службы облачных вычислений, которые зависят от нестандартных компонентов или программного обеспечения третьих сторон.

Точка восстановления (RPO)

Максимальный период времени до момента неисправности или аварии, такой, что изменения данных в течение этого периода могут быть потеряны в ходе восстановления.

Примечание - Данный показатель не конкретизирует приемлемый объем потери данных, а только приемлемое количество времени. В частности, показатель "Точка восстановления" влияет на избыточность данных и их резервное копирование.

Если между изменениями данных и неисправностью или аварией прошло время, большее или равное данному интервалу, то эти изменения сохранены в резервной копии. Ноль является допустимой величиной данного показателя и служит эквивалентом требованию "нулевая потеря данных".

10.11.4.4 Качественные показатели уровня обслуживания

План восстановления после аварии поставщика службы облачных вычислений

План восстановления после аварии - это план, который включает в себя задокументированный набор процедур, принятых поставщиком службы облачных вычислений, для восстановления службы облачных вычислений, а также приложений и данных потребителя службы облачных вычислений. Эти процедуры могут быть выполнены автоматически или вручную.

Примечание - SLO "Время восстановления" и "Точка восстановления" могут формировать часть плана по восстановлению после аварии поставщика службы облачных вычислений.

10.12 Предметная область "Управление данными"

10.12.1 Общие положения

Компоненты управления данными определяют то, каким образом служба облачных вычислений взаимодействует с данными.

Понимание этого является важным аспектом информированного соглашения между потребителями и поставщиками службы облачных вычислений, так как использования службы облачных вычислений изменяет контроль потребителя службы облачных вычислений над своими данными. Помимо того, что взаимное согласие поставщика и потребителя службы облачных вычислений о том, как обрабатываются данные, полезно обеим сторонам, важно сознавать, что права на данные, роли и обязательства подпадают под соответствующие законы.

При использовании службы облачных вычислений данные потребителя службы облачных вычислений хранятся и обрабатываются в центрах обработки данных поставщика службы облачных вычислений. Кроме того, клиентские данные, принадлежащие нескольким арендаторам, могут сосуществовать в рамках конкретной службы. Поставщик службы облачных вычислений имеет доступ к данным, а также в некоторых соглашениях, возможность использовать эти данные как часть своего бизнеса. В любом случае, поставщик службы облачных вычислений имеет доступ к данным потребителей служб облачных вычислений и хранит данные учетных записей арендаторов, включая имена и платежную информацию, наряду с данными о деятельности службы и базовой инфраструктуры со стороны нескольких арендаторов.

С данными потребителя службы облачных вычислений связан ряд вопросов, включая конфиденциальность, переносимость, удаление, сохранение, нормативное регулирование, доступ правоохранительных органов и географическое положение.

Эти вопросы означают, что достижение понимания по обработке данных в службе облачных вычислений, как основа информированного соглашения, требует определения ключевых классов данных и соглашения по правам на интеллектуальную собственность, управление и использование этих классов. Потребителям службы облачных вычислений необходимо понимать, какие классы данных задействованы при использовании служб облачных вычислений и то, как поставщик службы облачных вычислений определяет каждый класс данных, как могут создаваться и обрабатываться различные классы данных, а какова политика поставщика службы облачных вычислений по отношению к каждому классу данных.

Контроль над данными определяется как разрешение на выполнение таких операций с данными, как поиск, создание, чтение, обновление и удаление. Дополнительные элементы управления данными в области облачных вычислений включают в себя возможность перемещения данных из одного места в другое и возможность маршрутизировать потоки данных при прохождении через системы поставщика службы облачных вычислений.

Контроль часто осуществляется совместно. Например, потребитель службы облачных вычислений может создать файл с помощью службы облачных вычислений, который первоначально хранится в памяти сервера и потенциально временно хранится на жестком диске сервера. Затем файл может быть перемещен в другое место для долговременного хранения. С течением времени контроль также изменяется. Например, потребитель службы облачных вычислений контролирует файл, когда тот вводится в службу; во время обработки этих данных поставщик службы облачных вычислений также имеет контроль, поскольку он может выбрать, какой сервер будет использован потребителем службы облачных вычислений, и где будет находиться файл для долговременного хранения.

Для некоторых поставщиков службы облачных вычислений компоненты управления данными (10.12.2-10.12.11) могут включаться в документы политики поставщика службы облачных вычислений, а не в облачное SLA.

Следует обратить внимание на то, что в ИСО/МЭК 19944 подробно рассматриваются вопросы, связанные с различными классификациями данных потребителя службы облачных вычислений, а также то, какие права потребитель службы облачных вычислений может иметь или не иметь над ними.

10.12.2 Компонент "Права на интеллектуальную собственность" (IPR)

10.12.2.1 Описание

"Владение" данными - это комплексная комбинация прав на интеллектуальную собственность и контроля над ними, и отдельное соглашение по каждому из таких вопросов критически важно для достижения значимого общего соглашения. Закон, нормативное регулирование и традиции в области прав на интеллектуальную собственность для данных варьируются в зависимости от юрисдикции, и назначение прав тесно связано с деловыми договоренностями между потребителем и поставщиком службы облачных вычислений, что требует ясного и исчерпывающего соглашения по поводу прав на интеллектуальную собственность.

10.12.2.2 Релевантность

Так же, как и в случае ИТ-аутсорсинга, размещение или создание данных на системах поставщика службы облачных вычислений не умаляет права на интеллектуальную собственность потребителя службы облачных вычислений, но действительно создает многостороннюю связь касательно данных. Это отличается от случая локальных систем, где потребитель службы облачных вычислений имеет исключительный доступ к этим данным.

10.12.2.3 Качественные показатели уровня обслуживания

Права на интеллектуальную собственность

Заявление поставщика службы облачных вычислений о праве интеллектуальной собственности на данные потребителя службы облачных вычислений. Альтернативно или в дополнение к этому, заявление поставщика службы облачных вычислений о передаче каких-либо прав на интеллектуальную собственность потребителю службы облачных вычислений на данные поставщика службы облачных вычислений и/или производные данные службы облачных вычислений.

10.12.3 Компонент "Данные потребителя службы облачных вычислений"

10.12.3.1 Описание

ИСО/МЭК 17788 определяет данные потребителя службы облачных вычислений как класс объектов данных, находящийся под контролем потребителя службы облачных вычислений. Например, такие объекты могут включать в себя файлы, BLOB, таблицы, записи базы данных, электронную почту и другие объекты, созданные при использовании службы облачных вычислений или переданные поставщику службы облачных вычислений на временную или долгосрочную обработку, или хранение.

К данным потребителя службы облачных вычислений относятся входные данные службы облачных вычислений, переданные потребителем, и результаты использования потребителем службы облачных вычислений для обработки этих данных.

10.12.3.2 Релевантность

Службы облачных вычислений включают в себя различные классы объектов данных, некоторые из которых находятся под контролем потребителя службы облачных вычислений, а другие - под контролем поставщика службы облачных вычислений. В традиционных моделях распределенных вычислений все объекты данных находятся под контролем потребителя службы облачных вычислений.

10.12.3.3 Качественные показатели уровня обслуживания

Данные потребителя

Положение, определяющее данные потребителя службы облачных вычислений, такие как файлы и содержимое базы данных потребителя службы облачных вычислений.

Использование данных потребителя службы облачных вычислений

Положение, определяющее все варианты использования данных потребителя службы облачных вычислений поставщиком службы облачных вычислений.

10.12.4 Компонент "Данные поставщика службы облачных вычислений"

10.12.4.1 Описание

ИСО/МЭК 17788 определяет данные поставщика службы облачных вычислений как класс объектов данных, уникальных для операций службы облачных вычислений под контролем поставщика службы облачных вычислений. Если потребитель и поставщик службы облачных вычислений отдельно не договорятся включить другие объекты данных или классы данных, то данными поставщика службы облачных вычислений являются все данные, используемые только для предоставления службы облачных вычислений. Примером данных поставщика службы облачных вычислений могут служить списки контроля доступа, которые управляют доступом арендаторов к ресурсам.

10.12.4.2 Релевантность

Службы облачных вычислений включают в себя различные классы объектов данных, некоторые из которых находятся под контролем потребителя службы облачных вычислений, а другие - под контролем поставщика службы облачных вычислений. В традиционных моделях распределенных вычислений все объекты данных находятся под контролем потребителя.

10.12.4.3 Качественные показатели уровня обслуживания

Данные поставщика

Положение, определяющее данные поставщика службы облачных вычислений.

10.12.5 Компонент "Данные учетной записи"

10.12.5.1 Описание

Данные учетной записи - это класс данных, уникальных для каждого потребителя службы облачных вычислений, необходимых для регистрации в службе облачных вычислений, приобретения или администрирования службы облачных вычислений. К этим данным можно отнести такую информацию, как имена, адреса, платежные реквизиты. Данные учетной записи обычно находятся под контролем поставщика службы облачных вычислений, хотя каждый потребитель службы облачных вычислений обычно имеет возможность ввести, прочитать и отредактировать свои собственные данные учетной записи, но не записи других потребителей службы облачных вычислений.

10.12.5.2 Релевантность облачным вычислениям

Данные учетной записи требуются поставщику службы облачных вычислений, чтобы предоставить службу облачных вычислений, но они обычно содержат конфиденциальную информацию, связанную с потребителем службы облачных вычислений. Такие данные часто регулируются законами или нормативными актами, и кроме того необходимо, чтобы потребитель службы облачных вычислений мог проверять и обновлять элементы данных учетной записи по мере необходимости.

10.12.5.3 Качественные показатели уровня обслуживания

Данные учетной записи

Положение, определяющее элементы данных учетной записи - такие как имя адрес и номер телефона.

10.12.6 Компонент "Производные данные"

10.12.6.1 Описание

ИСО/МЭК 17788 определяет производные данные службы облачных вычислений как класс объектов данных под контролем поставщика службы облачных вычислений, которые получены в результате взаимодействия потребителя службы облачных вычислений со службой облачных вычислений.

Например, анализ использования системы потребителем на основании журнала попыток входа в систему, является производными данными сервиса облачных вычислений, наравне с результатами анализа коллекции голосовых фраз пользователей системой распознавания голоса.

10.12.6.2 Релевантность облачным вычислениям

По сравнению с другими формами распределенных вычислений, производные данные службы облачных вычислений значительно проще собирать по данным потребителя службы облачных вычислений. Потребителям службы облачных вычислений важно знать, какие производные данные создает поставщик службы облачных вычислений по данным потребителя службы облачных вычислений, и как он использует производные данные. Также может потребоваться, чтобы потребители службы облачных вычислений запрашивали доступ к некоторым производным данным, таким, как журналы попыток авторизации для их экземпляра службы облачных вычислений.

10.12.6.3 Качественные показатели уровня обслуживания

Производные данные

Положение, определяющее типы производных данных, которые создает поставщик службы облачных вычислений в результате взаимодействия потребителя службы облачных вычислений со службой облачных вычислений.

Использование производных данных

Перечисление всех вариантов использования производных данных поставщиком службы облачных вычислений.

Доступ к производным данным

Положение, описывающее, какой доступ есть у потребителя службы облачных вычислений к производным данным службы облачных вычислений.

10.12.7 Компонент "Переносимость данных"

10.12.7.1 Описание

ИСО/МЭК 17788 определяет переносимость данных как способность легко передавать данные от одной системы к другой без необходимости повторного ввода данных, а переносимость облачных данных как "переносимость данных" от одной службы облачных вычислений к другой. На практике переносимость облачных данных включает в себя перемещение данных между службами облачных вычислений для поддержания распределенной обработки или для обеспечения перемещения данных в другую службу облачных вычислений. Переносимость данных включает в себя переносимость данных потребителя службы облачных вычислений, а также других объектов данных, согласованных между поставщиком и потребителем службы облачных вычислений.

Переносимость данных может быть ограничена степенью детализации данных, установленной для оптимизации хранения или по аналогичным причинам. Например, если изображения, хранящиеся в службе облачных вычислений, преобразуются в более низкое разрешение, то только изображения с низким разрешением будут доступны потребителю службы облачных вычислений.

10.12.7.2 Релевантность облачным вычислениям

Для того чтобы потребители службы облачных вычислений могли использовать свои данные в других службах облачных вычислений и обеспечить полную переносимость своих данных от одной службы к другой, потребителям службы облачных вычислений необходимо знать, какие методы, форматы и протоколы переноса данных поддерживаются данной службой облачных вычислений.

10.12.7.3 Качественные показатели уровня обслуживания

Возможности переносимости данных

Положение, определяющее методы, форматы и протоколы, поддерживаемые службой (службами), определенными в SLA, в целях переносимости данных.

10.12.8 Компонент "Удаление данных"

10.12.8.1 Описание

Удаление данных представляет собой удаление доступа к данным потребителей служб облачных вычислений через возможности пользователя и администратора службы.

Службы облачных вычислений обычно создают копии данных на нескольких серверах и в различных географических местах для повышения безопасности данных в случае неисправности системы и повышения доступности и производительности нормальной обработки данных. В результате, удаление всех экземпляров данных может потребовать специальных процедур и значительного времени. В случае если удаление защищенных данных невозможно, то в качестве альтернативы может быть использован процесс очистки данных. Для определения требований санации данных может быть полезен ИСО/МЭК 27040.

10.12.8.2 Релевантность

Несмотря на то, что потребители службы облачных вычислений не имеют прямого доступа к системам физического хранения службы, они, тем не менее, несут ответственность за удаление или преобразование своих данных к виду, непригодному для выгрузки в какой бы то ни было форме. Потребителям службы облачных вычислений необходимо понимать процессы, которые поставщик службы облачных вычислений использует для удаления данных потребителя, и реализовать свои собственные процессы удаления или санации данных. Процессы удаления данных поставщиком службы облачных вычислений должны лишь дополнять собственные действия потребителей службы облачных вычислений.

10.12.8.3 Показатели уровня обслуживания

Время удаления данных

Положение, описывающее максимальное время, за которое удаляются данные потребителя службы облачных вычислений, включая в себя время на обработку запроса потребителя службы облачных вычислений.

10.12.8.4 Качественные показатели уровня обслуживания

Процесс удаления данных

Перечень процессов, которые предпринимает поставщик службы облачных вычислений для обеспечения недоступности удаленных данных.

Уведомление об удалении данных

Положение, описывающее, когда и как поставщик службы облачных вычислений уведомит потребителя службы облачных вычислений об удалении данных.

10.12.9 Компонент "Местонахождение данных"

10.12.9.1 Описание

Данные потребителя службы облачных вычислений могут подпадать под требования к физическому расположению данных или перемещению этих данных через области географической юрисдикции. Эти требования потенциально могут противоречить действиям службы облачных вычислений, которая распределяет данные по нескольким местоположениям для обеспечения защиты данных, производительности обработки и эффективности поддержки и сопровождения службы.

10.12.9.2 Релевантность

В других моделях распределенных вычислений потребители службы облачных вычислений непосредственно контролируют, где обрабатываются и хранятся их данные. Поставщики службы облачных вычислений могут обрабатывать и хранить данные потребителя службы облачных вычислений во многих центрах обработки данных в различных географических местоположениях. Потребителям службы облачных вычислений необходимо знать, в какой юрисдикции обрабатываются и хранятся их данные, чтобы соответствовать требованиям нормативных актов, которые могут действовать в указанной юрисдикции.

10.12.9.3 Качественные показатели уровня обслуживания

Местоположение данных

Положение о том, в каких географических местах могут обрабатываться и храниться данные потребителя службы облачных вычислений.

Возможность указания местоположения данных

Положение о том, могут ли потребители службы облачных вычислений указать, где могут обрабатываться и храниться их данные.

Политика местоположения данных

Список нормативных актов или политик (внутренних или внешних) о местоположении данных, включая название, раздел и номер сертификата (если есть), на соответствие которым аттестован или сертифицирован поставщик службы облачных вычислений.

10.12.10 Компонент "Проверка данных"

10.12.10.1 Описание

Поставщики службы облачных вычислений могут в электронном виде проверять входящие данные или файлы до того, как те будут переданы в службу облачных вычислений, чтобы предотвратить обработку и хранение материалов, запрещенных условиями использования службы, в своих системах. Например, облачная почтовая служба может сканировать входящую почту на наличие вредоносных программ, спама или порнографических изображений.

10.12.10.2 Релевантность

В отличие от других моделей распределенных вычислений, поставщики службы облачных вычислений могут иметь возможность проверять данные потребителей службы облачных вычислений в электронном виде при размещении для обработки и хранения в своих системах. Потребители службы облачных вычислений должны знать и быть согласны с тем, какие типы проверок осуществляются над их данными.

10.12.10.3 Качественные показатели уровня обслуживания

Проверка данных

Положение о типах проверок, которые осуществляет поставщик службы облачных вычислений над данными потребителя службы облачных вычислений.

10.12.11 Компонент "Возможность доступа правоохранительных органов"

10.12.11.1 Описание

Потребители и поставщики службы облачных вычислений должны отвечать на запросы правоохранительных органов и судов относительно информации в службе облачных вычислений. От потребителя и поставщика службы облачных вычислений может также потребоваться сохранять данные от удаления в ожидании запроса, либо по действующему законодательству или практике, или по специальному запросу на сохранение конкретных данных. Различные юрисдикции имеют различные требования к сбору и хранению данных.

10.12.11.2 Релевантность облачным вычислениям

Правоохранительные органы могут запросить данные о потребителях службы облачных вычислений служб и данные учетной записи непосредственно у поставщика без обязательного уведомления об этом потребителя службы облачных вычислений. Важно, чтобы потребитель службы облачных вычислений понимал план поставщика по уведомлению потребителей в случае запроса данных службы облачных вычислений или данных учетной записи со стороны правоохранительных органов. Следует обратить внимание на то, что в некоторых случаях поставщику службы облачных вычислений может быть запрещено предоставлять такие уведомления.

10.12.11.3 Качественные показатели уровня обслуживания

Запросы правоохранительных органов

Положение о плане поставщика службы облачных вычислений по уведомлению потребителей службы облачных вычислений о любых запросах данных службы облачных вычислений или данных учетной записи со стороны правоохранительных органов.

10.13 Предметная область "Аттестации, сертификации и аудиты"

10.13.1 Компонент "Аттестации, сертификации и аудиты"

10.13.1.1 Описание

Компонент "Аттестации, сертификации и аудиты" предусматривает SQO, связанный с методами, которые поставщики службы облачных вычислений могут использовать, чтобы продемонстрировать соответствие требованиям.

10.13.1.2 Релевантность

В устаревших распределенных вычислительных моделях потребитель службы облачных вычислений может иметь прямой доступ к системам, что позволяет им предпринимать собственные усилия по обеспечению соблюдения внутренних и внешних политик, нормативных актов и стандартов. В службах облачных вычислений потребителю, возможно, придется полагаться на аттестацию, сертификацию и аудиты поставщика службы облачных вычислений для выполнения своих собственных требований.

В определенных случаях у потребителей службы облачных вычислений есть обязательства установить соответствие нормативным стандартам для использования службы облачных вычислений. Несмотря на то, что поставщик службы облачных вычислений может проводить определенный аудит или сертифицировать определенную службу облачных вычислений, это не может гарантировать потребителям службы облачных вычислений полное соответствие нормативным требованиям.

10.13.1.3 Качественные показатели уровня обслуживания

Аттестации службы облачных вычислений

Список стандартов, политик и нормативных актов, на соответствие которым аттестован поставщик службы облачных вычислений, как с подтверждением, так и без подтверждения от третьих лиц.

Сертификации службы облачных вычислений

Список стандартов, политик и нормативных актов, для которых соответствие поставщика службы облачных вычислений подтверждено аккредитованным сертифицирующим органом.

Аудиты службы облачных вычислений

Список аудитов, которые предпринял поставщик службы облачных вычислений с помощью внутренних или внешних ресурсов.

Список аудиторских мероприятий потребителя службы облачных вычислений, по которым поставщик службы облачных вычислений может оказать содействие.

Приложение ДА
(справочное)

Сведения о соответствии ссылочных международных стандартов национальным и межгосударственным стандартам

Таблица ДА.1

Библиография

Электронный текст документа

и сверен по:

, 2019