1引言
NIST 对云计算的定义是：“云计算是一种能够通过网络以便利的、按需付费的方式获取计算资源(包括网络、 服务器、存储、应用和服务等)并提高其可用性的模式，这些资源来自一个共享 的、可配置的资源池，并能够以最省力和无人干预的方式获取和释放。” 虚拟化和云计算共同组建云基础构架。云计算基于虚拟化，也是云基础构架中的核心组件。
在PDA/ISPE/MHRA/FDA等多方的指南文件中均描述了对云服务的风险管理措施。对于IaaS（架构即服务）、PaaS（平台即服务）、SaaS（软件即服务）分类可以见下图：
基础设施即服务（IaaS）：它向用户提供处理器，存储器，网络硬件等其他基础硬件资源，使用户能够部署、
使用任何软件，包括操作系统和应用程序。用户不用对底层云基础构架进行管控， 只需管控操作系统，存储和已部署的应用程序，对选定的网络组件（如主机防火 墙）可进行有限控制。
平台及服务（PaaS）：其向用户提供的功能是将用户创建或获取的应用程序部署到云基础架构上，而这 些应用程序是使用供应商支持的编程语言、库、服务和工具创建的。消费者不用 管理或控制底层云基础设施，包括网络、服务器、操作系统或存储，但需要控制 已部署的应用程序和应用程序托管环境的配置设置。
软件及服务（SaaS）：用户可以在云基础架构上运行供应商的应用程序。应用程序可以通过瘦客户机界
面（如 Web 浏览器（如基于 Web 的电子邮件）或程序界面从各种客户机设备访 问。用户无法管理或控制底层云基础设施，包括网络、服务器、操作系统、存储，
甚至单个应用程序功能，但有限的用户特定应用程序配置设置除外。
2.云服务的风险简述
云服务作为一个特殊的计算机化系统，其既是提供计算机化系统软件的供应商，也可能是提供相应运营服务的供应商，因其特殊性，存在特殊风险：
物理架构质量保证不足，对于物理架构的在防火防灾，选址、配置和测试方面均需要匹配足够的资源，资源不足存在服务质量的下降从而带来受监管公司的运行风险；
云服务对现有生命科学行业监管形式敏感性过低，在相应法规出台时，无法有效的应对；
系统运行阶段管理的有效性，因IT行业的特殊性，其管理策略可能与生命科学行业有所不同。特别在事件管理、变更管理及相应测试交付环节是否能有效进行风险识别和控制；
系统部署方面，云服务一般基于部分集中+部分分布的方式部署，可能很难满足每个受服务对象的需求，对受服务对象的合规管理体系存在调整；
灾难恢复机制，定期的灾难恢复演练无法迎合所有受监管公司的时间，演练失败可能导致部分企业down机；
子服务商管理缺失，对于SaaS旗下的IaaS服务商可能管理缺失；
去云化：虽然不愿意接受，但是这也是必须要考虑的风险，一旦因主观和客观原因要终止和供应商的合作，如何保证现有受监管数据的完整性是必须要考虑的内容。
3.云服务供应商管理关注点
基于上述云服务存在的风险举例及指南的指导，对于云服务的供应商管理的关注点如下：
通过其内部的组织架构、角色、职责、员工培训等判断分析供应商是否具备提供服务的能力；
通过服务历史及事件清单，匹配供应商内部管理的不足点，以便进一步审计；
检查供应商的质量管理体系，分析管理的严谨性和可追溯性；
检查供应商最近是否参与相应生命科学相关的会议和论坛，以确定其针对监管的敏感性；
检查供应商产品部门软件开发生命周期是否稳定、受控和可靠；
检查供应商服务交付流程是否完整；
检查供应商日常升级历史，重点检查其对共用流程的分析是否对所有服务机构开放，升级历史是否定期评估；
IT基础设施管理和控制是否可以支持系统的服务，当业务要求高响应时，特别要关注供应商的压力测试和负载测试；
检查供应商在安全性角度的风险管理措施；
检查供应商对分包商的管理。
供应商的SLA签订，规定关键质量管理条款，特别注意不得拒绝类似官方的检查及退役的支持等关键条款；
共同商量供应商被收购/合并甚至去云化的管理策略；
业务连续性的实施保证，在供应商无法及时提供服务时，替代措施，如线下管理的流程。
