|
|
|
SMI 特征树有多级结构，每个主要特征最多有三个相关的详细级别。
表示使用常见方式（例如现有知识、手册和技术）使某个服务还原到正常运行状态的难易程度。
表示服务提供商对服务进行修改，以使该服务保持在良好修复状态的能力。
表示服务提供商修复确定的问题并使服务恢复到运行状态所花费的时间。
表示由于适当的风险和缓解计划，服务保持无中断可用性的能力大小。
表示服务处于可用状态和预期运行状态的时间百分比。
反映在给定时段内的给定条件下，服务的无故障运行状态的度量。
表示服务对更改、下降或置换的耐受程度。
在发生计划内或计划外事件后，服务恢复到其授权配置状态的能力大小。
在发生计划外中断后，服务恢复正常运行状态的能力大小。
在指定的确认度和时间范围内确定服务特定行为的原因的能力。
功能是对服务的适合性、完整性和准确度的度量；该度量反映了服务对其用途的适用程度。
反映服务实现其目标用途的能力的度量。
表示服务提供准确信息的能力。
反映服务承受一套测试并产生类似结果的能力的度量。
表示多个服务有效配合运行的能力，以及支持其他系统或组织中现有系统的能力。
表示对某个服务（例如新功能或组件）做出的任何更改，前提是该更改符合前面的外部接口，同时只修改服务的内部行为。
表示服务在实现确定的用途或结果后产生可识别的差异的能力。
表示服务支持特定业务战略、目标或结果的能力。
反映服务在不产生浪费的情况下执行特定任务的能力。
执行服务提供的给定功能所花费的时间。
度量针对最大程度地减少环境影响并节省资源的目标，对构成服务的能源和材料的使用与寻源。
表示使用服务实现特定目标的难易程度。
表示服务通过其组件的自动配置，以最小的风险投入工作状态的能力。
表示服务支持一组功能，并在满足一组特定的工作要求的条件下，易于在日常运营中运用的相关性质。
表示使用服务提供的功能的容易程度。
表示服务在给定的一组条件下实现预期行为的能力。
表示及时地与某家提供商成功制定并达成合法约定的能力。
兼容性是指构成服务功能并描述服务的特性和功能集。 这些特征根据特定服务或服务类别的兼容性的不同而异。
认知性和可见性用于度量服务对组织洞察其 IT 运营状况的能力的影响。
可移植性是指将组织数据、应用、流程或过程从一个服务转移到另一个类似服务的相对难易程度。
表示组织在轻微影响或不影响业务运营的情况下，轻松地从某个服务的一家提供商转移到同一服务的另一家提供商的能力。
使用内部或外部服务提供商的分离服务可能会影响组织快速响应业务事件的能力。
许多服务的一项急需功能是通过手工请求或自动过程按需扩展容量。 另外，它们还期望获得降低资源使用量及减少运营开支的能力。
提供商风险是与服务提供商的存亡相关的风险集合，它还反映了服务提供商开展业务的方式。
表示服务提供商的一致性和可能的持续性，包括容量、财务、组织结构和过程。 其他稳定性问题（例如质量保证和绩效）需遵循评分过程单独处理。 财务表现不佳的组织很有可能会因为以下情况而遭受服务中断：无法与供应商签约或向其履行付款、无法吸引或保留人才、无法扩大运营规模以应对不断变化的客户需求。 新兴市场中的小型组织往往是并购活动的目标，其结果就是提高了稳定性，但会造成战略风险或价格风险，并且在整合期间可能有一段时间会出现业务不稳定。
表示服务提供商未获得 IT 安全和运营的相应行业标准认证所造成的风险。 典型的认证包括 ISO 27000、PCI DSS 和 SAS 70。 获得这些最新认证的服务提供商存在的风险预期比那些未获得此类认证的提供商要低，因为前者拥有许多以文档规定的控制措施，这些措施涵盖了认证范围，并已经过第三方组织审核。
表示服务提供商（不管是内部还是外部提供商）未在 SLA 中提供详尽的必要服务水平承诺，以及/或者未提供可用作必要服务水平性能指标的、可轻松访问的最新度量标准所造成的风险。 必须在 SLA 中规定服务的所有重要要求，并提供用于证实符合该服务水平的度量标准说明。 客户必须能够方便访问（通过程序或 Web 门户）这些度量标准，以确认在各个期间是否持续符合服务水平。
服务器提供商可能会将其“生产”链的某些专业化任务外包给第三方。 在这种情况下，提供商的安全级别和可靠性级别可能会取决于链中每一方的安全级别和可靠性级别，以及提供商对第三方的依赖程度。 链中出现任何中断或损坏，或者各参与方之间缺少责任协调，都可能会导致：服务不可用、破坏数据机密性、完整性和可用性，以及由于未能满足客户需求、违反 SLA、连锁式服务故障等原因造成的经济和商誉损失。
表示服务提供商开展业务的方式；它包括超出法规符合性范围的商业实务和道德。 道德性包括与供应商、客户和员工的公平合作。
包括全方位的法律和规章遵从性，以及组织遵守和倡导遵守法规的能力。
表示服务提供商在以下情况下造成的风险：[1] 无法提供服务和说明中所述的 IT 控制机制的文档及其测试方式，[2] 无法提供表示控制测试的最新和历史结果的、易于访问的且可验证的数据，[3] 无法支持定期安排的控制机制客户内部审核和外部审核。
表示由于员工、承包方和第三方用户不适合其角色而导致的失窃、欺诈或者服务或数据滥用所造成的风险。 服务提供商内部应该针对安全职位提供充分的职责说明，规定招聘和离职过程，并制定针对机密职位的雇佣条款和条件。 尤其是，所有安全人员在招聘时应经过层层筛选，然后需定期考察。 此外，涉及全天候操作的大多数安全人员应接受训练，并获得 IT 安全专业人员的认证。
表示对服务提供商的场所和信息进行未经授权的物理访问、损坏和干涉所造成的风险。 关键信息或机密信息处理工具应封装在安全区域，使用规定的安全外围设备进行保护，并配备适当的安全屏障和入口控制装置。 应对它们进行物理保护以防止未经授权的访问、损坏和干涉。 提供的保护应该能够防御已确定的风险。
表示以不当或不安全的方式操作服务 IT 工具所造成的风险。 必须在职能和协调措施中明确规定服务提供商和客户的 IT 管理责任（如果需要）。 服务提供商必须向客户提供必要的管理界面、功能和过程，使客户能够有效地管理其对服务承担的责任（这包括日志记录、日志监视和日志安全性）。 云体系结构要求配备一些风险极高的角色，因此，在适当的情况下，应实施职责分离控制机制，以降低由于疏忽或恶意内部用户有意滥用系统而造成的风险。
表示无法根据客户的安全策略和法规要求，充分控制对服务和服务中数据的访问所造成的风险。 应该商定、记录并定期审核一项同时涉及服务提供商和客户，并具有所需的相关控制机制的访问控制策略。 应该在访问控制策略中明确规定服务提供商和客户用户组的访问控制规则和权限。 访问控制既是逻辑性的，也是物理性的，应统一考虑这些性质。 其中包括：用户访问管理、网络访问控制、操作系统访问控制、应用访问控制、数据访问控制、移动访问控制等等。
包括用于保护客户数据的现成措施。 这包括服务提供商对规定策略、地理或政治数据位置、数据所有权、隐私和数据丢失以及数据完整性的遵从。
服务提供商必须部署一套全面的策略用于解决整个安全和数据保护的需要，并应部署控制机制来确保遵守规定的策略。 策略应可供客户审核，另有明显的证据表明服务提供商正在一致性地遵循这些策略。
服务提供商应该针对数据保留和数据销毁制定明确的策略。 此策略应符合客户提出的遵守法规（即萨班斯-奥克利法案或格雷姆-里奇-比利雷法案）规定的保留时间范围的要求，能够根据要求的合法保存延长数据保留时间，当不再需要这些数据时，能够以安全的方式销毁整个数据。
服务提供商必须能够证实遵守规定的策略。 这包括能够提供日志、报告、内部或外部审核结果，或者证明该服务提供商遵循公布的策略并保持充分的记录的任何其他机制。
表示客户数据可能保存在多个管辖区，而其中一些管辖区存在高风险所造成的风险。 如果数据中心位于高风险国家/地区，例如，那些缺少法规并且法律框架和实施力度不可预测、警察专权、不尊重国际协议等的国家/地区。在某些情况下，由于国家法规的要求，不允许将数据带离地缘政治边界。
根据与服务提供商的关系条款的规定，可能会限制使用或拥有服务存储、创建或处理的数据。 这可能会影响用户达到其目标、传输或重复使用数据的能力。
这是服务提供商在以下情况下造成的风险：[1] 由于在服务数据的整个生命周期内服务的安全性和/或过程出现问题，而无法检测 PI 的丢失或泄漏，[2] 在某个期间，无法根据法规要求和客户要求的补救措施向客户（以及发生相应损失时的潜在受害者）通告有关损失的详细信息。
数据完整性是指服务存储、创建或处理的数据的有效性和恒定性，数据的适用性，以及可对数据持有的置信度。
表示服务用户在初始交付时发生的开支。
表示服务用户为永久保持对服务的订购权利而发生的开支（例如价格）。
服务成本的直接指标度量。
| 版权所有 © 2012 CA。 保留所有权利。 | 就该主题发送电子邮件至 CA Technologies |