1.
第一步:明确需求(数据类型、主权、业务连续性)。列出机密/个人数据、是否存在跨境传输、合规约束(如GDPR或越南网络安全法)。
第二步:做出初筛(基于机房排名和第三方评估)。将候选机房控制在3-5家,准备RFI/RFP。
2.
在RFP中列明必须提供的合规文件:ISO 27001证书及范围、SOC 2/SSAE报告、PCI DSS(若涉卡)、ISO 27701或隐私影响评估(若要求)。
还要列出法律合规要求:越南网络安全法合规证明、数据本地化说明、跨境数据传输流程与法律依据。
3.
步骤1:要求原件扫描件并核对证书编号、签发机构与有效期;步骤2:向颁发机构官网或通过邮箱验证证书真伪;步骤3:索取最近一次外部审计报告(SOC2 Type II或ISO外部审核报告)并阅读审计期间的范围。
补充:使用证书编号在ISO/ANAB或PCAOB等机构网站检索,或直接要求第三方审计机构出具确认邮件。
4.
到场时按此顺序检查:周界防护、双重门禁(门禁+转门)、生物识别系统、24/7视频监控与录像保存策略、物理分区(冷热通道)、消防系统(FM-200或惯用气体灭火)与UPS/发电机备用能力。
逐项拍照/录视频为证,获取访问日志样本(至少最近30天),并核对人员背景审查流程与合同外包人员管理制度。
5.
第一步:对候选IP或域名做基础网络测试(示例命令:dig +short your-host; traceroute your-host; whois your-host)以确认IP归属与路由路径。
第二步:对入口服务做SSL/TLS检查(openssl s_client -connect host:443 -showcerts 或用SSL Labs网站测试),确认证书链、加密强度和过期时间。
6.
在合同中写明:传输层(TLS 1.2/1.3最低)与静态数据加密(AES-256或等效),密钥由客户或受托HSM管理(KMS/HSM角色明确),关键管理权限不得被机房单方面变更。
备份与恢复:明确备份频率(如每日增量、每周全量)、保留期、异地备份位置、RTO(恢复时间目标)与RPO(恢复点目标),并约定定期进行恢复演练(至少半年一次)。
7.
在合同中保留主动渗透测试与合规自查权利:约定每年一次或在重大变更后进行第三方渗透测试,测试范围与通知方式事先定义。
部署监控:要求对方提供SIEM日志接入或API接口,明确日志类型(访问、系统、应用、审计)、日志保留期限及导出格式;建议接入Syslog/S3/HTTPS推送并做每日自动校验。
8.
答:不要单看排名榜单,核实排名来源与评估指标(如可用性、延迟、安全事件记录、客户满意度)。查看是否有第三方公正机构的评分(如Uptime Institute、IDC或本地权威媒体),并结合实际测试数据(ping/traceroute/吞吐测试)与客户案例交叉验证。
9.
答:可以通过合同条款与技术措施弥补:要求定期外部审计并在合同中写明整改时限与罚则;技术上启用端到端加密、客户持有密钥、增加WAF/IDS/IPS等防护,并将关键备份复制到合规性更高的第三方存储或自建DR站点。
10.
答:主要关注越南网络安全法对某些类型数据的本地存储与监管要求,确认是否涉及电信/金融/医疗等特殊行业监管。建议与当地律师确认数据本地化义务、政府监管请求处理流程、以及在合同中明确数据访问与执法要求的应对流程。