1. 明确业务场景:公网服务/内网加速/对大陆用户访问等。
2. 指定防护等级:需多少Gbps清洗能力、每秒包量(PPS)。
3. 确定合规边界:是否涉及个人敏感信息或跨境传输。
2. 要求对方提供合规说明:香港PDPO、跨境数据处理风险评估。
3. 如服务面向中国大陆用户,评估是否需备案或与国内合规对接。
4. 确认是否可签订数据处理协议(DPA)。
3. 索要营业执照、资质复印件与公司登记证明。
4. 查看机房证书:ISO27001/SOC2或网络安全审计报告。
5. 索要网络信息:ASN、IP段、Peering/清洗链路说明。
4. 在合同中明确SLA:可用性%与带宽保证、清洗容量指标。
5. 写明DDoS响应时间(例如15分钟内启动清洗)与升级流程。
6. 明确维护窗口、安全更新、变更通知机制。
5. 数据处理条款:数据分类、用途限制、跨境传输许可。
6. 日志保留期、访问权限与第三方审计权利。
7. 规定数据泄露通知时限与协作流程。
6. 明确赔偿上限、违约金计算方法与免责条款(不可抗力)。
7. 对于因服务中断造成的直接损失和可衡量的损失写明赔偿责任。
7. 步骤一:发需求清单并预约技术会议。
步骤二:要求POC(试用)并在高峰时段做攻击模拟或流量压测。
步骤三:将合同条款交法务审查,加入DPA与SLA条款。
步骤四:签署NDA→合同→下发PO/付款→开通。
8. 获取账号与控制面板权限,验证AS/路由是否符合要求。
9. 配置防火墙、接入监控(SNMP/Prometheus/日志采集)。
10. 进行一次小流量上线验证,再按计划切换流量并留存回滚方案。
9. 定期审计:每季度核对合规文档与权限列表。
10. 备份策略与数据异地副本,明确清理与销毁流程。
11. 定期进行演练:DDoS应急演练与数据泄露响应。
10. 在合同中规定退租提前通知期与数据导出格式。
11. 执行迁移操作:导出数据→校验完整性→确认销毁并索要销毁证明。
12. 保存迁移与销毁日志,保留法律需要的证据。
11. 建议写法示例:若服务中断超过SLA约定小时数,供应商按每小时X美元或当期服务费Y%进行赔偿;对因未按时启动清洗导致的直接损失,供应商承担不超过合同总额Z的赔偿。并明确争议处理与证据标准。
12. 实操验证步骤:要求实验性POC并在受控环境下进行流量模拟;查看历史攻击记录与清洗日志;要求第三方报告或现场查看清洗设备/上游链路证明。
13. 紧急处置步骤:1) 立即隔离受影响系统并保存现场证据;2) 通知供应商启动事故响应;3) 按合同与法律规定在时限内通知监管与受影响用户;4) 启动补救与补偿流程并记录全过程。