نظام DCAS-PLUS: الزام شفاف، ارزیابی مستقل، مجوز، پایش مستمر، مدیریت ریسک و بیمه در یک چرخهٔ واحد.
بار کاری دولتی به ابر می‌آید؛ مسیر روشن و یکسان برای ورود ارائه‌دهندگان خصوصی به این بازار ساخته می‌شود.
به‌جای مجوز یک‌باره: گواهی مستقل، شواهد پیوسته و الزامات پله‌ای متناسب با حساسیت بار کاری.
زمینه: گسترش ابر دولت خدمات بیشتری را به زیرساخت مشترک وابسته می‌کند؛ مدیریت این ریسک باید هم‌زمان با گسترش آن طراحی شود.
محل میزبانی تابع حساسیت بار کاری است؛ ورود از سطح پایین و ارتقا با بلوغ کنترل‌ها.
| سطح اثر بار کاری | ابر عمومی تأییدشده | ابر جامعهٔ دولتی | مرکز دادهٔ اختصاصی | زیرساخت حاکمیتی |
|---|---|---|---|---|
| Low دادهٔ عمومی | ✓ | ✓ | ✓ | ✓ |
| Moderate دادهٔ شهروندان | شرطی | ✓ | ✓ | ✓ |
| High خدمات حیاتی | ✗ | شرطی | ✓ | ✓ |
| حاکمیتی طبقه‌بندی‌شده | ✗ | ✗ | ✗ | ✓ |
گواهی مستقل در سطح هدف، اقامت داده و کلید در کشور، قرارداد استاندارد و پایش مستمر.
ممیزی اولیه و سالانه، آزمون نفوذ و تولید شواهد؛ برای سطح پایین ساده‌شده.
دسترسی به بار کاری دولتی، درج در فهرست ملی، اعتبار نزد مشتری خصوصی و تخفیف بیمه.
کنترل‌های ابری بدون زیرساخت فیزیکی قابل اتکا بی‌معناست؛ آنچه امروز دارید تا حد ممکن حساب شود.
| گواهی موجود | پیشنهاد برای به‌رسمیت‌شناختن |
|---|---|
| Tier مرکز داده | پوشش جزئی: برق، سرمایش و افزونگی؛ ممیزی تکمیلی برای شواهد عملیاتی و دسترسی |
| ISO/IEC 27001 | پوشش جزئی: سیستم مدیریت؛ ممیزی تکمیلی روی کنترل‌های ابری و فیزیکی خاص |
| مجوز و رتبهٔ فعلی | دورهٔ گذار: اعتبار تا پایان پایلوت و تبدیل به مسیر جدید |
| خوداظهاری بدون ممیز | کافی نیست: فقط ورودی بررسی اولیه |
شش گام برای سطح پایین؛ زمان‌ها هدف پیشنهادی‌اند.
نگرانی اصلی مراکز دادهٔ کوچک و متوسط هزینه است؛ پنج راهکار پیشنهادی:
ممیزی سبک‌تر و دورهٔ کوتاه‌تر برای بارهای کاری کم‌حساس.
شروع از نسخهٔ سبک CSA CCM با ۹۶ کنترل به‌جای ۲۰۷ کنترل.
گواهی‌های موجود مثل Tier و ISO 27001 حساب می‌شوند؛ فقط اختلاف ممیزی شود.
تقسیم هزینهٔ ارزیابی و آزمایشگاه بین چند عضو.
قالب ماتریس مسئولیت، قرارداد نمونه و ابزار تولید شواهد برای همه.
پایلوت برای آزمودن خود نظام است، نه مهاجرت گسترده.
کدام الزامات کاتالوگ پایه برای مراکز دادهٔ کوچک و متوسط سنگین است؟
گواهی‌های موجود مثل Tier و ISO 27001 و رتبهٔ فعلی تا چه حد پذیرفته شوند؟
رقابت منصفانه بین مرکز دادهٔ دولتی و خصوصی چگونه تضمین شود؟
گزارش رخداد چگونه باشد که اطلاعات تجاری محرمانه بماند؟
صنف چه نقشی در کمیتهٔ راهبری و ممیزی گروهی بپذیرد؟
کدام اعضا برای پایلوت داوطلب‌اند و با چه شرایطی؟