1.1 列出业务场景:写明要托管的系统(网站、数据库、备份、应用),估算并发、存储、IO、带宽、峰值与增长率。
1.2 识别敏感数据与合规要求:标明是否涉及个人信息(GDPR)、财务、医疗或受限数据,确定是否需德国境内数据驻留或遵守BDSG/BSI要求。
1.3 确定可接受的RTO/RPO与预算:给出恢复时间目标和恢复点目标,及每年可承受的外包服务费用上限。
2.1 SLA要点:明确可用率(如99.9%)、网络延迟、故障响应时间、赔偿机制与计费中断计算方法。
2.2 合规与证书:要求提供ISO 27001、ISO 9001、BSI相关证明,若提供金融或医疗相关服务,要求SOC 2或等效第三方报告。
2.3 安全要求:数据加密(静态与传输)、KMS/客户自持密钥、入侵检测、日志保留策略、脆弱性管理与定期渗透测试频率。
3.1 获取材料清单:要求厂商提供证书扫描件、最近12个月的审计/渗透测试摘要、物理安全和BCP策略文档。
3.2 验证真实性:通过证书编号在颁发机构网站核验证书有效期,通过审计公司确认报告签发单位,必要时索要红acted原报告。
3.3 询问事故历史:要求提供历史安全事件与处理记录(可做匿名摘要),关注是否有未披露的大规模数据泄露。
4.1 网络测试:使用mtr/traceroute检查从你常用地域到机房的跳数与丢包;用iperf或speedtest测带宽稳定性,记录峰值与平均。
4.2 性能与IO测试:要求提供相同规格的测试实例,运行fio、sysbench等基准测试,采集IOPS、延迟、CPU与内存占用。
4.3 灾备演练:要求进行一次实际的备份恢复或快照回滚测试,验证RTO/RPO是否满足你的要求并记录耗时。
5.1 物理访问控制:确认门禁、摄像头、双重身份验证、常驻安保与访客审批流程,若可能要求现场考察或视频导览。
5.2 机房标准与电力:确认机房Tier等级、冗余供电、UPS与发电机测试记录、温控与消防系统。
5.3 运维流程:询问补丁管理、变更管理、备份策略、监控告警机制与运维窗口制度,要求运维日志保留与审计痕迹。
6.1 关键合同条款:明确服务级别、违约赔偿、终止通知期、数据归还格式与最终擦除证明(certificate of destruction)。
6.2 迁移与数据可携带性:约定在合同终止时30天内提供完整数据导出(常用格式),并提供迁移支持(免费或有偿小时数)。
6.3 托管与第三方责任:明确分工(谁负责安全补丁、谁负责数据加密),对任何分包或跨境数据流转要求提前通知并征得许可。
7.1 先做小规模试点:迁移一个非关键业务或测试环境,按照真实流量模拟上线,观察性能、监控与支持反应。
7.2 验证监控与报警:确保你可接收完整的监控数据(接口或API),并设置阈值告警,测试告警是否及时触达支持团队。
7.3 回滚预案:为每个迁移阶段准备好回滚步骤、时间点和联系人,演练一次撤回流程以确认可行性。
8.1 回答:要求签署标准合同条款(SCCs)或数据处理协议(DPA),索要DPO联系方式、最近的审计报告、并确认数据处理地点在德国。验证他们是否有明确定义的法律依据、数据处理记录和数据主体权利处理流程,同时在合同中写明违规责任与通知时间(如72小时内通知数据泄露)。
9.1 回答:首先依照SLA收集证据(监控、日志、通信记录),向对方正式提出索赔并按合同要求提交故障报告。若对方拒绝赔付,可依据合同仲裁条款或德国/国际仲裁途径追索,同时保留迁移或解除合同的证据链以减少继续损失。
10.1 回答:一、合规证书与DPA签署证明(GDPR、ISO 27001等);二、SLA关键条款(可用率、赔付、RTO/RPO);三、可验证的技术能力与现场/远程检查记录(网络测试、性能测试、物理安全证明)。在签约前完成小规模试点并保留退出与数据迁移条款。
