工信部張建華：我國雲服務監管相關政策解讀

前哨按語

2017年7月25-26日，由工業和信息化部指導、信息通信研究院、通信標準化協會主辦，數據中心聯盟、雲計算開源產業聯盟、互聯網醫療健康產業聯盟承辦的「2017可信雲大會」在京召開。大會邀請到工業和信息化部信息通信管理局市場處張建華處長解讀雲服務監管相關政策。他強調，雲計算市場採用的是審慎准入機制，雲計算準入評測要求包括：信息安全管理系統、網站備案系統、接入資源系統、機房運行安全評測。雲服務事中事後監管包括企業合作、資源使用規範、服務規範、安全保障、社會責任五個方面。他指出，當前業內的第三方組織正在積極開展雲服務經營者服務能力、服務質量、可信度、網路與信息安全等評測認證活動，未來相關評測結果將有望和許可資質以及信用評價掛鉤。以下是張處長的發言全文，轉自可信雲官網（kexinyun.org）。

張處長主要從三個方面闡述了的雲服務政策，一是什麼是雲服務；二是雲服務的准入政策；三是雲服務的事中事後監管。明確了雲服務企業是否需要持證，需要持哪些許可證以及如果獲取相應許可證等企業非常關係的熱點問題。以下是大會發言全文：

開幕式上各位領導、各位專家一致鼓勵雲服務產業的發展，為雲服務的發展大聲喝彩，我非常贊同。我演講的內容可能會涉及一些管理要求、念「緊箍咒」的地方，我首先聲明一下，在個別細節上念了「緊箍咒」，出發點也是為雲服務行業的長期持續發展夯實基礎。

今天按照大會的安排，我受局領導的委託，從政府的視角、政策的層面，跟大家做一個簡單的政策交流。希望通過本次交流能夠從政策層面、政府視角探討三個問題：第一，什麼是雲服務；第二，雲服務的經營資質有哪些要求；第三，在雲服務領域，政府對其事中事後監管的要求是什麼。

首先進入第一個話題，我想從兩個方面來闡述雲服務概念。從行業中來說，網路上對雲服務的定義是，雲計算是一種商業計算模型，它的計算任務分佈在網路上的大量計算機構建的資源池上，使各種應用系統能夠根據需要授權獲得計算力、存儲空間和信息服務。大家更多了解的是IaaS、PaaS和SaaS。IaaS更多是基於一種基礎設施的，PaaS是平台類業務，SaaS主要提供各種各樣的在線軟體服務。這是從業內普通的視角。從政策層面來看，在2015年年底，工業和信息化部出台了新版的《電信業務分類目錄》，其中定義了B11互聯網數據中心業務。

互聯網數據中心業務是指利用相應的機房設施，以外包出租的方式為用戶的伺服器等互聯網或其他網路相關設備提供放置、代理維護、系統配置及管理服務，以及提供資料庫系統或伺服器等設備的出租及存儲空間的出租、通信線路和出口帶寬的代理租用和其他應用服務。互聯網數據中心業務經營者應提供機房和相應的配套設施，並提供安全保障措施。

其實上述定義跟2003版的分類目錄描述差距不大，然而在2015版的《電信業務分類目錄》里增加了一個互聯網資源協作服務業務。互聯網資源協作服務業務屬於互聯網數據中心業務的一種具體業務形態。互聯網資源協作服務業務是指利用架設在數據中心之上的設備和資源，通過互聯網或其他網路以隨時獲取、按需使用、隨時擴展、協作共享等方式，為用戶提供數據存儲、互聯網應用開發環境、互聯網應用部署和運行管理等服務。根據此定義，互聯網資源協作服務業務實質上是要拿互聯網數據中心的牌照。

這兩種理解如何對應？通常而言，我們認為IaaS服務更多描述的是與網元設施之間協作共享有關的IDC業務，它一般會涉及到隨時獲取、按需使用、隨時擴展，因此多數情況下需要拿資源協作服務業務。第二類服務類型，PaaS服務更多的是平台型，這種平台型的服務也多屬於IDC業務中的資源協作服務業務。如果要做PaaS這種業務的話，多需要拿含有互聯網資源協作服務業務的IDC業務經營許可。而對於SaaS服務而言，業界統稱的SaaS業態目前尚無權威的定義，因此對SaaS這種業務是否屬於《電信業務分類目錄》中描述的電信業務，或者是否屬於電信業務的其他類型，要按照業務的具體形態來區分。如果有些業務形態是純軟體服務，則不屬於電信業務經營許可和管理的範疇，只需要按照軟體業務的相關經營管理要求辦理即可。但如果有些SaaS業務形態屬於《電信業務分類目錄》中其他增值電信業務，則需按照其他業務形態的管理要求進行許可准入，以及事中事後管理。

第二個話題是雲服務准入政策，也就是資質要求。按照《中華人民共和國電信條例》的規定，『國家對電信業務經營按照電信業務分類，實行許可制度』；『未取得電信業務經營許可證，任何組織或者個人不得從事電信業務經營活動』。在從事電信業務，包括增值類的電信業務，均需要獲得相應的特許經營權。按照最新修訂發布的《電信業務經營許可管理辦法》，此前是工業和信息化部第5號令，現在是第42號令的相關規定，經營電信業務應當依法取得電信管理機構頒發的經營許可證。到目前為止，的電信管理體制主要是部、省兩級電信管理機構，因此這個審批管理由部、省兩級電信管理機構實施。

雲服務企業的經營者如果申請增值電信業務許可證，其業務範圍需要跨地區即兩個以上的省、自治區、直轄市的，需要到工業和信息化部審批。如果業務範圍只在本省，也就是說在一個省、自治區、直轄市內從事電信業務的，可以由各省、自治區、直轄市的通信管理局直接進行審批。通常而言，絕大多數雲服務類企業跨地區經營的較多，就目前的統計數據而言，部發證量大於各省發證量。

按照《電信業務經營許可管理辦法》的要求，2012年《關於進一步規範網際網路數據中心（IDC）業務和網際網路接入服務（ISP）業務市場准入工作的通告》（以下簡稱《通告》）里，明確了以下幾項要求，一是市場准入的流程，《通告》里細化了《電信業務經營許可管理辦法》中有關資金、人員、場地、設施及技術方案的要求，並增加了四項技術評測的要求。這四項技術評測包括，機房運行安全測評、接入資源系統測評、網站備案系統測評和信息安全管理系統測評。這四項測評要求提出的原因，主要是之前IDC經歷過一段粗放式發展的時期，帶來了一系列網路和信息安全問題。在之後一段時間裡，國家相關部門達成一致的管理意見，IDC、ISP的經營許可暫停了幾年。暫停過後，根據相應的市場發展和管理情況，IDC、ISP的許可又放開了，但是放開的同時仍然秉持著審慎准入的態度。

這四項評測具有重要的意義，一方面考察評估了企業的運營能力，另一方面也是維護國家信息安全和完善國家產業管理的需要。比如機房運行安全測評，更多的是從安全生產的角度出發；接入資源網站備案系統和信息安全管理系統更多的是關注技術管控能力，是從國家有關部門對這一項業務技術管控能力和業務經營者經營義務的角度來考慮。目前這四項測評面臨的外部政策環境實質上已有所變化。當初這四項測評的推出主要基於審慎准入的原則，而當前整個政策環境是趨向於簡政放權，包括雲計算領域、信息通信領域，目的也是要促進大眾創業、萬眾創新。因此我們正在評估相關方案，研究這四項測評是否可以簡化，各測評項目是否可以刪減。

如果要經營雲服務，整個資質申請的流程，簡單來說是兩塊，一是評測，在網上在線提交經營許可的申請，申請之前會有線上相關的管理部門通過相應的第三方評測機構進行四項能力的評測。如果評測通過，按照正常的電信業務經營許可資質的申請流程，直接申請電信業務經營許可。跟大家說明一下，從市場准入的角度來說，對包括雲在內的IDC、ISP以及CDN這幾項業務，目前只要符合準入要求的企業都可以獲取相應許可，不存在市場容量限制。

下面主要說明幾個企業和各省、自治區、直轄市通信管理局諮詢比較多的問題，第一個是關於雲企業是否要持證經營或使用。正常來講，公有雲是對公眾提供服務的雲，它是具有經營的性質和屬性，因此通常公有雲的經營者一定要持證。私有雲要分幾種情況，有一種情況是利用了《電信業務分類目錄》中相應的業務為自身企業提供服務，即「使用通信技術」，自建自用，這種情況不屬於經營，不需要持證。因此存在一個經營和自用的概念。最後總結為，如果企業自建自用的IaaS，我們的理解是，它是利用了雲技術，它是雲技術和雲服務的使用者，因此這種私有雲不需要拿證。而另外一種，某一家企業為多個第三方提供私有雲服務，這家企業實質上在經營雲服務，因此它需要持證經營。

介紹兩個關於政策的銜接問題，今年年初，工信部發布了《工業和信息化部關於清理規範互聯網網路接入服務的通知》（以下簡稱《通知》），主要涉及三個方面，第一是資質管理，打擊各類非法和無證經營、超範圍經營。第二是資源管理，打擊資源來源不合法、資源去向不合法、資源使用不合法。第三是加強基礎管理，所謂的基礎管理就是四項評測有沒有按照要求完成。提出要解決兩個政策銜接問題：第一個是新舊《電信業務分類目錄》銜接問題，舊的目錄里只有傳統IDC這項業務。新的目錄在2016年3月正式實施，對CDN這種業務形態作為一項獨立的B12的業務進行許可，而雲服務作為IDC新的業務形態進行許可。《通知》要求：在2016年3月1號新目錄實施之前，持有原IDC許可證的企業，而事實上已經從事了雲服務或CDN服務的，要求以書面承諾的形式承諾在年底之前達到相應的經營許可要求，並獲得相應的經營許可證。如果未按期承諾的，從2017年4月1號起，不得經營相應的業務。如果已承諾，但年底之前未持證的企業，自2018年1月1日起，不得經營相應的業務。從目前掌握的數據情況來看，截止到2017年6月30日，全國的IDC企業有1272家，獲得了雲許可資質的有12家，提交此類承諾書的有267家。在此我提醒在座的雲服務企業，如果已承諾年底前持證，請抓緊時間。

第二個政策銜接問題是，在2012年之前獲得了IDC、ISP許可證的企業，也就是說當時四項測評的管理要求沒有推出之前獲得了IDC、ISP經營許可的企業，當時這批企業是沒有經過評測的，也沒有接入相應的管理系統。我們為了解決這個政策銜接問題，也要求相應的企業在今年3月31號之前，向發證機關書面承諾年底前達到相應的要求，通過評測並完成系統對接工作。如果沒有完成的，各省通信管理局將督促相應的企業停止經營此類業務。從我們掌握的情況看，截止到2017年6月30日，2012年12月1日前獲得IDC、ISP許可證的企業1359家，未完成技術評測及系統對接工作的企業382家，382家裡面已經提交承諾的企業有180家，最後還有200家左右的企業既沒完成評測也沒有提交承諾，我們已經梳理了相應的企業清單，發放到各省通信管理局，將由各省通信管理局督促相應的企業整改，未按要求進行整改的企業，將組織有關的基礎電信企業停止其經營資源的接入。

大家通常會問外資企業可否在境內經營雲服務業務？有個標準的口徑，依據《電信業務分類目錄》2015版，互聯網資源協作服務業務屬互聯網數據中心業務的一種具體業務形態，按照法律法規規定、加入WTO的相關承諾和CEPA協議等政策規定，港澳地區的電信業務經營者可依據相關的規定和程序，在境內設立合資企業，申請經營IDC業務的電信業務經營許可證。同時我們歡迎外資企業在遵守法律法規的前提下，與國內持證企業開展技術合作，為企業和用戶帶來更好的雲服務技術和產品，共同繁榮雲服務市場。這裡面只提到了港澳地區電信業務經營者可設立合資企業申請電信業務經營許可。目前IDC業務，按照WTO承諾，不屬於WTO承諾減讓表中的業務類型，因此IDC業務原則上是未對外資開放的。Closer Economic Partnership Arrangement（CEPA）協議中港澳的企業可以在境內設立合資公司，不超過50%港澳的股份。我們歡迎各外資的雲服務巨頭與國內的持證企業在遵守法律法規的前提下以技術合作的方式參與的雲服務市場。

第三方面跟大家交流一下雲服務事中事後的監管要求。按照2015年國發5號文《國務院關於促進雲計算創新發展培育信息產業新業態的意見》，工信部正在研究起草《關於規範雲服務市場，促進產業健康發展的通知》（以下簡稱《通知》），結合這個《通知》以及剛才已經提到的32號文的監管要求，除了資質管理之外，主要包括五個方面，企業合作、資源使用、服務規範、安全保障、企業責任等。

在企業合作方面，雲服務經營者與有關單位開展合作不得存在以下行為。實質上就是杜絕無證經營，反對許可資質轉讓出借，或者各類變相轉讓出借行為。我們在查處過程中的評判標準包括但不限於以下這些，誰簽協議，誰開發票，用誰的品牌，資產是誰所有，以及數據平台掌握在誰手中等。

在資源使用方面，要做到資源來源合法、資源去向合法、資源使用合法。這種資源更多的是指線路管道帶寬資源。資源來源合法更多的是說目前能夠提供帶寬管道線路的企業，就是基礎電信運營企業。我們現在也掌握了一些信息，有一些雲服務企業自建設施，存在下水道黑帶寬問題，另外也有一些企業把自己從運營商租來的帶寬搞轉租。如果在座的少數企業存在此類情況，希望大家自覺規範。

第三，服務規範，我們要求雲服務企業建立健全服務質量保障體系，規範業務宣傳和經營服務行為，嚴格履行服務協議和公開承諾，確保雲服務質量。應建立用戶投訴處理機制，妥善處理用戶投訴，維護用戶合法權益。實質上這也迎合了本次雲服務大會的一個主題，要求用戶滿意。

第四，安全保障，包括系統以及設備運行安全，網路和信息安全，數據和個人信息安全等。

第五企業的管理責任，即雲服務企業不止要做到自己守法合規經營，同時還要求對接入網站依法履行備案手續，如果下游有些企業存在超範圍經營等涉及到非法經營的，雲服務企業不應該再為他們提供相應的資源和雲服務設施。

違規處罰，政策法規中有一些處罰要求，還是比較嚴厲，《電信條例》中第69條規定，如果擅自經營電信業務或者超範圍經營電信業務的，要求依法沒收違法所得，並處違法所得3倍以上5倍以下的罰款。在2015年，有一家企業是被罰了1000多萬。

最後給大家簡單提一點建議和希望，這也是我們正在研究的規範性文件里的一個組成部分，我們希望第三方組織積極組織開展雲服務經營者服務能力、服務質量、可信度、網路與信息安全等評測認證活動，定期向社會公布相關結果，引導雲服務經營者加強內部管理，提升服務質量和誠信水平。實質上這也是我們按照政府監管、行業自律、社會監督這種思路在推進相應的工作，通過引入和鼓勵第三方社會組織更多的開展一些活動，來引導整個行業自律和規範。我們希望下一步可信雲測評的情況和結果與企業的許可資質掛鉤，與未來政府官方的企業信用評價掛鉤，並且我們正在推進相應的測評結果納入國家信用管理體系。

對雲服務經營者，原則上提出四點建議和希望。一是誠實守信，合法經營。這裡面包括按照持證許可的資質開展經營活動，對用戶言必行，行必果。第二，希望雲服務企業不斷創新，優化服務，真正做到用戶滿意。第三是希望雲服務企業之間能夠更多的互利互惠，合作共贏，少一些競爭摩擦，少一些飲鴆止渴，多一些合作共贏發展，共同維護良好的產業生態。最後也希望雲服務企業能更多的承擔與自己的企業規模實力相匹配的社會責任。

祝願雲服務產業能夠蓬勃健康發展，也祝願各雲服務企業的事業興旺發達，謝謝大家！