要确认供应商的合规性,首先检查其商業登記與註冊資料,並要求查看相關的營運許可與法定文件。香港特殊的合規要點包括《個人資料(私隱)條例》(PDPO)對數據處理的要求,以及如為金融或醫療客戶,應符合監管機構(如HKMA或醫療機構相關指引)的額外規範。
要求供應商提供:商業登記證、稽核報告(如SOC 2、ISO 27001)、消防安全證明、電力及建築合規文件,及往來客戶或第三方審計報告作為佐證。
核對ISO 27001或SOC 2證書、Uptime Tier/設施可用性證明、政府或行業授權證件,以及是否有公開的運行與安全政策。
若供應商拒絕提供審核報告,可要求在有保密協議下閱覽或請第三方進行現地評估;對於涉密資料,優先選擇有明確PDPO合規聲明與合約保障者。
物理安全與環境控制是保障機房穩定性的基礎。應重點檢查出入管理(訪客記錄、門禁、雙門廊/Man-trap)、監控系統(CCTV錄影保存期)、以及人員背景審查等措施,確保未授權人員無法接觸設備。
檢查電力冗餘(UPS與柴油發電機)、冷卻方案(CRAC、熱通道控製、冷源冗餘)、消防系統(早期煙霧探測與氣體滅火如FM200/VESDA)、以及機房承載密度與地板負重等。
確認N+1或更高等級的電力/冷卻冗餘設計、定期測試記錄(發電機演練、UPS切換測試)、濕度/溫度監控報表與告警機制。
實地參觀時檢視後備電力機房與冷卻設備是否與機房相隔,並索取最近一次消防與電力測試報告以驗證真實運行狀態。
评估網路性能時,關鍵在於供應商是否具備運營商中立性、多線路接入與良好對等(peering)關係。詢問其骨幹網路架構、是否有多條獨立進出路徑、以及BGP冗餘與DDoS緩解服務。
確認帶寬保證(帶寬上限與Burst策略)、丟包率、平均延遲與SLA是否量化,並要求歷史性能監控數據或供應商提供的第三方驗測報告(如Ping/Traceroute或CDN監測數據)。
是否支持多運營商接入、是否提供私有互連(Direct Connect或MPLS)、是否有流量監控與報表、是否具備抗DDoS能力與緊急切換機制。
若延遲敏感(金融交易、視頻會議),建議進行多時段的實測(不同時段的延遲與丟包),並在合約中寫入可量化的網路SLA條款。
運維能力直接影響故障恢復與日常可用性。確認供應商是否提供24/7的技術支援與現場工程師、遠程操作能力(remote hands)、以及標準故障處理流程和升級機制。
重點檢視SLA內容:可用率(例如99.95%)、故障響應時間與修復(MTTR)承諾、賠償條款(Service Credit)以及如何計算停機時間與例外情況。
要求範例工單流程與運維報告、值班表與人員證書、定期維護計劃、變更管理流程與通知機制。
談判合約時,把關鍵指標(KPI)寫進SLA並規定定期報表與審核頻率;同時確認是否有自動化告警與多重通報方式以縮短實際響應時間。
定價結構應透明,包括空間、電力(按kW計費或按A計費)、冷卻附加費、互連費、遠程維護費等。關注潛在的隱性費用如遷移費、斷約罰款與跨接費用。
在合同層面,重點檢視最短合約期、提前終止條款、賠償責任上限、保險要求、以及是否提供遷移支援與資料回收銷毀承諾。同時要有明確的數據主權條款以符合法規要求。
明確每項收費標準與計費週期、服務中斷賠償計算方式、數據備份與復原責任歸屬、以及對外委託的再次委託(subcontract)限制。
對涉及敏感資料的用戶,要求合同中寫明數據處理協議(DPA)、加密標準、備份存放地點與訪問控制,並保留定期審計或委託第三方審核的權利。
