【云架构】云安全和隐私：法律合规与风险管理指南，第2部分

在这个由两部分组成的系列文章中，法律专家Robert McHale是“数据安全和身份盗窃：影响您的业务的新隐私法规”的作者，它提供了与云计算相关的法律安全和隐私风险的全面概述。 第1部分讨论了管理云活动的主要联邦和州法律。 第2部分提供了公司在签订云服务协议之前应该咨询的实际尽职调查清单。

尽职调查和云服务协议

组织与云服务提供商签订的合同协议可能是评估云计算风险的最关键组成部分，因此在进入云关系之前应该仔细检查。

云服务协议（CSA）应清楚地描述所提供的服务，担保，保证，限制，责任以及各方的责任和权利。

适当的尽职调查需要对以下类别的问题进行调查：数据安全性，性能，服务限制，数据迁移，政府和第三方诉讼访问，商业秘密/机密信息的处理以及退出计划，所有这些都在详情如下。

数据安全

为了正确管理与云服务相关的运营风险，应仔细检查云提供商的数据安全级别。至少应确定以下内容：

• 云提供商是否有义务在与客户自己的内部政策相同的级别上保护客户的数据？
• 谁有权访问客户数据，他们的背景是什么？
• 提供商的数据中心在哪里物理位置，以及防止数据中心未经授权访问的保护措施（例如，全天候安全人员）？
• 提供商是否承诺维护特定辖区内的用户数据和/或避免某些司法管辖区？
• 有关将内部数据移回内部或替代供应商的提供商的迁移政策是什么？ （公司需要确保没有数据丢失或落入坏人之手。）
• 提供商是否定期进行备份和恢复测试？
• 提供商的安全策略是否符合所有适用的监管规则？
• 提供者是否愿意接受按需或定期审核和安全认证？
• 提供者是否需要调查非法或不当活动？
• 提供商是否需要披露可能影响客户数据机密性或其服务的完整性和可用性的任何新漏洞？
• 如果数据丢失或受损，数据是否可以备份，是否可以从备份中轻松重建？
• 提供商有关数据处理/管理和访问控制的政策是什么？是否存在适当的控制措施，以防止提供商或公司未经授权的员工不允许复制或删除客户数据？
• 数据被删除后会发生什么？
• 更换硬件时，云硬件（例如，服务器的预告片）会发生什么？

实践要点

当云服务提供商保留单方面更改其隐私政策条款和使用条款的权利时，与云计算相关的安全和隐私风险会加剧。通过拒绝此类单方面变更条款，用户可以避免将其经过仔细协商的风险分配带走。

性能

对于许多公司而言，云服务的持续可用性至关重要。无法访问存储在云中的数据可能会导致严重的业务中断，收入损失和商誉损失。在进入CSA之前，请务必获得以下问题的满意答案：

• 提供商是否有来自不同来源的多个电源？
• 提供商是否拥有来自不同供应商的多个通信链接（以防止因连接问题导致的服务中断）？
• 提供商是否在过去六个月内支付了任何服务级别的积分，如果是，他们支付了什么？
• 是否有任何提供商的客户遇到服务中断，如果有，需要多长时间？
• 提供商是否能够持续提供服务（以及访问客户数据），甚至是在预定的服务停机时间内？
• 如果需要，供应商能否将客户数据无缝转移到备用供应商？
• 是否存在提供商已知的特殊情况，使服务中断成为合理的可能性？ （例如，提供商是否面临财务困难？是否依赖财务困难的分包商？是否涉及诉讼？）
• 如果数据丢失，提供商执行数据恢复的速度有多快？
• 如果因不可抗力（例如战争，政府制裁，禁运或停电）导致服务中断或数据丢失，提供商对用户有何责任（如果有）？
• 在发生自然灾害时，提供商的应急计划是什么？例如，提供商是否有能力快速传输客户数据并将客户应用程序重新部署到辅助位置？
• 提供商对正常运行时间承担哪些合同义务（如果有），是否包括正常运行时间保修？

服务限制

CSA经常包含几个排除条款，这些条款应该让那些考虑迁移到云的公司暂停的重要原因。应仔细审查这些条款，并酌情予以限定或删除。最繁琐的条款如下所示。

• 单方面限制，暂停或终止服务的权利（通知或不通知）（并且出于任何原因）
• 免责声明与服务质量和可用性有关的责任
• 免责声明所有保证，包括适销性和适用于特定用途的默示保证
• 免责声明第三方行为
• 补救限制，包括限制总损失（例如退还已支付的费用）和/或排除间接损害（例如利润/收入损失）

实践要点

许多CSA中的广泛排除条款可能证明是云提供商的合同撤销。如果提供商同时拒绝提供质量和性能，联邦和州消费者保护法一方面可能会对提供商声称的有效服务，可靠性和安全性表示不满。

数据隔离

目前，大多数云服务提供商都在共享服务器的基础上提供服务。应特别注意确保贵公司的数据不会无意中与竞争对手的数据混合在一起。应询问以下问题以确定提供者的数据隔离程序：

• 即使客户和竞争对手都托管在同一台服务器上，提供商还有哪些程序来确保竞争对手无法访问客户数据？
• 提供商监控其服务器以确认数据是否正确隔离的频率如何？

政府和第三方诉讼准入

CSA应明确说明云提供商将如何响应法律信息请求，以及云用户被批准的异议通知和机会。例如：

• 如果提供商收到传票，搜查令或其他合法的用户信息请求，提供商是否需要通知用户？
• 云提供商是否会寻求保护性命令以防止和/或限制公司数据的披露？
• 在诉讼案件中，诉讼如何执行？确保用户数据被隔离和保留的程序是什么？
• 如何处理电子发现请求？元数据如何受到保护？如何搜索和检索信息？
• 哪一方承担与为发现目的处理数据相关的成本？

商业秘密和机密信息

CSA应该包括一项规定，以维护公司的商业秘密和专有信息的机密性，尽管即使这样，公司的商业机密与云提供商的存储也会带来很大的风险。

根据“统一商业秘密法”，对于公司的专有信息被赋予商业秘密状态，商业秘密必须至少是在这种情况下合理的努力主题，以保持其秘密。

是否将商业秘密转让给云提供商的商业机密还未被裁定。即使在云提供商承诺对其收到的任何信息保密的情况下，公司的商业机密也可能失去其身份。

当然，如果云提供商的服务条款允许提供商查看，使用或披露信息，这可能会损害用户声称信息是商业机密的说法。

实践要点

从管辖角度来看，在云中存储商业秘密会带来额外的风险。如果存储用户数据的管辖区内的商业秘密法对信息的保护程度低于用户所在地管辖区的法律，则可能要求用户在“不利”的情况下寻求执行其商业秘密权利。 “管辖权。此外，在另一个国家/地区持有的数据可能比用户所在国家/地区的相同数据更容易受到政府访问。使这些风险更加复杂的是，“云”的位置并不总是容易确定，并且通常是多位的并且可能会发生变化。

同样，应审查CSA以确定特权通信是否保持不变。

一般而言，如果与第三方共享特权通信，例如客户对其律师的特权通信，则会被销毁。

如果CSA允许提供者阅读，使用或披露信息，那么特权很可能会丢失。另一方面，如果CSA仅允许提供者存储信息，而无权查看信息，则该特权可能在将数据传输到提供者后仍然存在。

退出计划

在CSA中还应明确规定在终止服务时确定各方义务的退出计划。例如，

• 服务终止后多久将客户数据退还给客户，以何种形式？
• 提供商是否需要协助客户将数据传输到新的提供商或返回自我管理的平台？
• 提供商是否需要永久性地在终止后维护客户数据的备份副本，或者是否要在特定时间范围内销毁所有客户数据？
• 如何在与提供商的关系结束时处理客户数据？
• 如果提供商停业，客户数据会发生什么变化？
• 对于加密数据，如何在返回数据时对数据进行解密？
• 用户的数据和应用程序是否可以随时传输到云端或从云端传输，以避免被锁定到任何特定的云供应商？

当然，随着云服务被合并到少数大型企业中，协商CSA条款的能力将变得越来越困难。尽管如此，鉴于当前强大的云竞争阶段和消费者对云安全的怀疑，谈判条款的能力处于相对较高的水平。公司应利用这一事实坚持最大限度地保护其数据并最大限度降低其法律风险的条款。

实践要点

由于用户并不总是与所有相关参与者建立直接关系（因此具有可强制执行的合同相关性），因此在云中实现合同保护可能会变得复杂。例如，组织可以保留用于远程桌面备份服务的SaaS云提供商，但是数据本身可以由其他人在IaaS或PaaS级别存储和处理。作为其直接提供商的尽职调查的一部分，公司应要求确认直接提供商还对所有相关服务提供商进行了充分的尽职调查。在这方面，公司应坚持审查其直接提供商与任何二级提供商签订的合同，以确保维持合规性，并且不会产生额外的法律风险或义务。

结论

采用云服务具有显着优势，包括降低成本，减少对现场支持的需求和可扩展性。

迁移到云还会带来其独特的数据安全和隐私风险以及法律和法规遵从义务。

服务提供商的尽职调查，以及精心起草的服务协议，指定各方的权利，义务和责任，可能是公司在部署到云之前可以采取的最关键的风险缓解措施。

最后的说明

此处包含的信息无意构成对任何特定事项的法律建议或法律意见。这些内容仅供一般参考之用，建议您咨询律师，了解您自己的情况以及您可能遇到的任何具体问题。