Toimittajien vertailu. Kuten edellä teknisiä kriteerejä käsittelevissä kohdissa, pilvipalvelujen hankintapyynnössä on tietoturvan vähimmäisvaatimusten lisäksi tärkeää määritellä kriteerit, joiden perusteella pilvipalveluinfrastruktuurin tarjoajan tietoturvakyvykkyyksiä ja -palveluja voidaan verrata kilpailevia ehdotuksia arvioitaessa. Katso esimerkki pilvipalveluinfrastruktuurin tarjoajia koskevista tietoturvavaatimuksista: Liite A – Tekniset vaatimukset tarjoajien vertailua varten. On erittäin suositeltavaa, että julkisen sektorin yksiköt ottavat pilvipalveluinfrastruktuurin tarjoajia arvioidessaan huomioon erityisesti seuraavat tietoturvaa koskevat seikat: • Pilvipalveluinfrastruktuurin tarjoajan tietämys jaetun vastuun mallista sekä dokumentaatio, joka auttaa asiakkaita ymmärtämään pilvi-infrastruktuurin ominaisuuksiin ja palveluihin liittyvien tietoturvavastuiden jakautumisen (esimerkiksi EU:n yleiseen tietosuoja-asetukseen liittyen) • Todisteet pilvipalveluinfrastruktuurin tarjoajan infrastruktuurin tietoturvahistoriasta sekä yleisesti saatavilla oleva ei-yksinoikeudellinen dokumentaatio pilvipalveluinfrastruktuurin tarjoajan tietoturva-asemasta ja fyysisistä/loogisista hallintakeinoista • Pilvipalveluinfrastruktuurin tarjoajan tarjoama tuki pilvipalvelujen tietoturvalle • Palvelut, joiden avulla asiakas voi määrittää käyttäjätilien rakenteen, automatisoida tietoturvan ja pilvipalvelujen hallinnointikeinot sekä virtaviivaistaa auditointia • Kyvykkyys luoda ja valmistella resurssikokoelma ja hallita sitä malliperusteisesti (sisältää pilvipalveluinfrastruktuurin tarjoajan tai tämän kumppanin kehittämät laadukkaat tietoturvamallit) • Kyvykkyys ottaa käyttöön luotettavat ja toistettavat hallintakeinot • Ominaisuudet jatkuvaan ja reaaliaikaiseen auditointiin
Toimittajien vertailu. Julkisen sektorin organisaatiot vertailevat hankintapyyntöön tulleita vastauksia usein muun muassa parhaan arvon, kokonaistaloudellisesti edullisimman tarjouksen tai alhaisimman hinnan perusteella. Puitesopimuksen piiriin kuuluvien call off -sopimusten tai minikilpailujen hinnoittelua suunniteltaessa on tärkeää laatia malli, jossa huomioidaan pilviympäristön ainutlaatuiset ominaisuudet. On esimerkiksi tiedostettava, ettei pelkkä pilvipalveluinfrastruktuurin tarjoajien tarjousten rivinimikkeiden (esimerkiksi laskentakapasiteetti tai tallennustila) vertailu ole tehokas tapa, sillä siinä ei huomioida muun muassa suorituskykyä, pilvipohjaisten palvelujen mahdollistamaa kustannusten optimointia ja pilvipalveluinfrastruktuurin tarjoajan valvontatyökaluja eikä erotella palveluja, joita palveluntarjoajat tarjoavat mahdollisesti maksutta. Lisäksi pilvipalveluinfrastruktuurin tarjoajan luettelohinta voi sisältää kymmeniä tuhansia rivinimikkeitä, ja hinnoittelumallit voivat vaihdella palvelujen ja palveluntarjoajien välillä. Kokonaiskustannusten analysointi On suositeltavaa keskittyä tarkastelemaan määriteltyjen käyttötapausten kokonaiskustannuksia (TCO), joissa huomioidaan pilvipalveluratkaisun kaikki osatekijät (kuten kumppanipalvelut, pilvipalveluinfrastruktuurin tarjoajan vakioalennukset, suorituskykyä parantavat tekniset ominaisuudet ja kustannusten pienentäminen/optimointi). Vertailu skenaarioiden perusteella Arviointiprosessissa voidaan tarkastella myös tyypillisiä skenaarioita, jotka vastaavat yleisiä järjestelmiä tai sovelluksia. Tällaisiin skenaarioihin (esimerkiksi verkkoisännöintiin tai x käyttäjää sisältävään HR- järjestelmään) voi sisältyä erilaisia muuttujia, kuten resurssien nopeus ja skaalattavuus, sovelluksen tai ratkaisun suorituskyky, tallennustilan käytettävyysajat tai monimutkaiset pienet tietomäärät verrattuna suureen määrään yksinkertaisia laskentatehtäviä. Myös sovelluksilla tai järjestelmillä voi olla tyypillisiä skenaarioita, kuten suurten tietomäärien käsittely tietyissä tilanteissa tai hätäilmoitukset, kuten tulvavaroitukset. Skenaarioiden on oltava kattavia, eli niihin on sisällytettävä teknologia ja palvelut, joita asiakas saattaa käyttää hankkeen aikana. Näin asiakas voi verrata hankkeen arvioituja yleiskustannuksia.