私有云选型时要过的那道审查

结论先行：对关键信息基础设施的运营者来说，采购网络产品和服务这件事本身受一道独立约束：可能影响国家安全的，须通过网络安全审查。它落在私有云项目上的含义很具体——选型阶段就要把产品的来源、可控性与可替代性问清楚，而不是等中标之后再补材料。把这道约束前置到需求与评估环节，项目节奏反而更稳。

这道审查约束的是什么

按照关基保护相关的制度安排，关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当按照要求通过网络安全审查。这一约束的对象是采购行为本身，而不是产品出了故障之后的责任追究。

把它翻译成项目语言，就是三件事要在采购前答清楚：用的是谁的产品与服务、这些产品在供应链上是否可控、若某个环节不可用有没有替代路径。这三件事在私有云项目里尤其突出，因为私有云往往同时涉及计算、存储、网络、虚拟化、操作系统与安全组件，跨多个供应商。

私有云的建设方式决定了它的供应链是拼出来的。一个典型的私有云项目，硬件来自若干家、虚拟化与云管平台来自另外几家、操作系统与数据库又各自有来源，中间还叠加了原厂服务与集成服务。任何一个环节的调整，都可能牵动整体方案。

于是常见的两种偏差是：一种是等到方案定型、甚至中标之后才发现某个组件需要走审查流程，进度被整体推后；另一种是为了赶进度，在方案里默认沿用既有品牌的延续采购，没有重新评估来源与可控性。两种做法的代价都不小，前者是时间，后者是合规。

核心组件的代码与规则体系由谁维护、升级与补丁由谁发布、是否存在停服或断供的公开风险。这一组问题在评估国产化替代时通常会被问到，但在非替代类的私有云项目里反而容易跳过。

如果某个组件因为审查或供应链原因需要调整，方案里是否有等效的替换选项，替换会造成多大范围的返工。评估可替代性，实际上是在评估方案的抗变更能力。

供应商能否提供完整的产品信息、来源说明与相关资料，是否具备配合审查的既往经验。这一项很难在参数表上体现，但直接影响项目能否按节奏推进。可以把它作为服务能力的一部分，通过公开记录与过往项目核实。

与其在方案定稿之后再回头处理，不如把审查相关的准备工作排进项目的前段：需求阶段明确哪些组件属于需要关切的采购范围，方案阶段把来源与替代路径作为方案的组成部分写出来，实施前完成必要的资料准备。

这样做有一个额外好处：来源与可控性被提前讲清之后，方案本身的说服力也会更完整。评标时回答「为什么选这套组合」，有依据的答案比参数堆叠更有效。

是否需要通过网络安全审查，取决于采购对象与具体情形，由运营者按制度要求判定，本文不构成适用性判断。不同行业的关基运营者还叠加行业主管单位的额外要求，实际执行以现行有效的法律法规与主管部门要求为准。另外，本文所说的评估问题清单，是项目管理的整理方式，不等同于审查的申报口径。

奇摩在政企与关基相关项目的方案与资质材料准备上，习惯把采购合规相关的问题清单与技术要求放在同一轮梳理，减少后期返工。需要整理私有云选型的评估口径，欢迎预约咨询。