在這個由兩部分組成的系列文章中，法律專家Robert McHale是“資料安全和身份盜竊：影響您的業務的新隐私法規”的作者，它提供了與雲計算相關的法律安全和隐私風險的全面概述。 第1部分讨論了管理雲活動的主要聯邦和州法律。 第2部分提供了公司在簽訂雲服務協定之前應該咨詢的實際盡職調查清單。
盡職調查和雲服務協定
組織與雲服務提供商簽訂的合同協定可能是評估雲計算風險的最關鍵組成部分，是以在進入雲關系之前應該仔細檢查。
雲服務協定（CSA）應清楚地描述所提供的服務，擔保，保證，限制，責任以及各方的責任和權利。
适當的盡職調查需要對以下類别的問題進行調查：資料安全性，性能，服務限制，資料遷移，政府和第三方訴訟通路，商業秘密/機密資訊的處理以及退出計劃，所有這些都在詳情如下。
資料安全
為了正确管理與雲服務相關的營運風險，應仔細檢查雲提供商的資料安全級别。至少應确定以下内容：
- 雲提供商是否有義務在與客戶自己的内部政策相同的級别上保護客戶的資料？
- 誰有權通路客戶資料，他們的背景是什麼？
- 提供商的資料中心在哪裡實體位置，以及防止資料中心未經授權通路的保護措施（例如，全天候安全人員）？
- 提供商是否承諾維護特定轄區内的使用者資料和/或避免某些司法管轄區？
- 有關将内部資料移回内部或替代供應商的提供商的遷移政策是什麼？ （公司需要確定沒有資料丢失或落入壞人之手。）
- 提供商是否定期進行備份和恢複測試？
- 提供商的安全政策是否符合所有适用的監管規則？
- 提供者是否願意接受按需或定期稽核和安全認證？
- 提供者是否需要調查非法或不當活動？
- 提供商是否需要披露可能影響客戶資料機密性或其服務的完整性和可用性的任何新漏洞？
- 如果資料丢失或受損，資料是否可以備份，是否可以從備份中輕松重建？
- 提供商有關資料處理/管理和通路控制的政策是什麼？是否存在适當的控制措施，以防止提供商或公司未經授權的員工不允許複制或删除客戶資料？
- 資料被删除後會發生什麼？
- 更換硬體時，雲硬體（例如，伺服器的預告片）會發生什麼？
實踐要點
當雲服務提供商保留單方面更改其隐私政策條款和使用條款的權利時，與雲計算相關的安全和隐私風險會加劇。通過拒絕此類單方面變更條款，使用者可以避免将其經過仔細協商的風險配置設定帶走。
性能
對于許多公司而言，雲服務的持續可用性至關重要。無法通路存儲在雲中的資料可能會導緻嚴重的業務中斷，收入損失和商譽損失。在進入CSA之前，請務必獲得以下問題的滿意答案：
- 提供商是否有來自不同來源的多個電源？
- 提供商是否擁有來自不同供應商的多個通信連結（以防止因連接配接問題導緻的服務中斷）？
- 提供商是否在過去六個月内支付了任何服務級别的積分，如果是，他們支付了什麼？
- 是否有任何提供商的客戶遇到服務中斷，如果有，需要多長時間？
- 提供商是否能夠持續提供服務（以及通路客戶資料），甚至是在預定的服務停機時間内？
- 如果需要，供應商能否将客戶資料無縫轉移到備用供應商？
- 是否存在提供商已知的特殊情況，使服務中斷成為合理的可能性？ （例如，提供商是否面臨财務困難？是否依賴财務困難的分包商？是否涉及訴訟？）
- 如果資料丢失，提供商執行資料恢複的速度有多快？
- 如果因不可抗力（例如戰争，政府制裁，禁運或停電）導緻服務中斷或資料丢失，提供商對使用者有何責任（如果有）？
- 在發生自然災害時，提供商的應急計劃是什麼？例如，提供商是否有能力快速傳輸客戶資料并将客戶應用程式重新部署到輔助位置？
- 提供商對正常運作時間承擔哪些合同義務（如果有），是否包括正常運作時間保修？
服務限制
CSA經常包含幾個排除條款，這些條款應該讓那些考慮遷移到雲的公司暫停的重要原因。應仔細審查這些條款，并酌情予以限定或删除。最繁瑣的條款如下所示。
- 單方面限制，暫停或終止服務的權利（通知或不通知）（并且出于任何原因）
- 免責聲明與服務品質和可用性有關的責任
- 免責聲明所有保證，包括适銷性和适用于特定用途的默示保證
- 免責聲明第三方行為
- 補救限制，包括限制總損失（例如退還已支付的費用）和/或排除間接損害（例如利潤/收入損失）
實踐要點
許多CSA中的廣泛排除條款可能證明是雲提供商的合同撤銷。如果提供商同時拒絕提供品質和性能，聯邦和州消費者保護法一方面可能會對提供商聲稱的有效服務，可靠性和安全性表示不滿。
資料隔離
目前，大多數雲服務提供商都在共享伺服器的基礎上提供服務。應特别注意確定貴公司的資料不會無意中與競争對手的資料混合在一起。應詢問以下問題以确定提供者的資料隔離程式：
- 即使客戶和競争對手都托管在同一台伺服器上，提供商還有哪些程式來確定競争對手無法通路客戶資料？
- 提供商監控其伺服器以确認資料是否正确隔離的頻率如何？
政府和第三方訴訟準入
CSA應明确說明雲提供商将如何響應法律資訊請求，以及雲使用者被準許的異議通知和機會。例如：
- 如果提供商收到傳票，搜查令或其他合法的使用者資訊請求，提供商是否需要通知使用者？
- 雲提供商是否會尋求保護性指令以防止和/或限制公司資料的披露？
- 在訴訟案件中，訴訟如何執行？確定使用者資料被隔離和保留的程式是什麼？
- 如何處理電子發現請求？中繼資料如何受到保護？如何搜尋和檢索資訊？
- 哪一方承擔與為發現目的處理資料相關的成本？
商業秘密和機密資訊
CSA應該包括一項規定，以維護公司的商業秘密和專有資訊的機密性，盡管即使這樣，公司的商業機密與雲提供商的存儲也會帶來很大的風險。
根據“統一商業秘密法”，對于公司的專有資訊被賦予商業秘密狀态，商業秘密必須至少是在這種情況下合理的努力主題，以保持其秘密。
是否将商業秘密轉讓給雲提供商的商業機密還未被裁定。即使在雲提供商承諾對其收到的任何資訊保密的情況下，公司的商業機密也可能失去其身份。
當然，如果雲提供商的服務條款允許提供商檢視，使用或披露資訊，這可能會損害使用者聲稱資訊是商業機密的說法。
實踐要點
從管轄角度來看，在雲中存儲商業秘密會帶來額外的風險。如果存儲使用者資料的管轄區内的商業秘密法對資訊的保護程度低于使用者所在地管轄區的法律，則可能要求使用者在“不利”的情況下尋求執行其商業秘密權利。 “管轄權。此外，在另一個國家/地區持有的資料可能比使用者所在國家/地區的相同資料更容易受到政府通路。使這些風險更加複雜的是，“雲”的位置并不總是容易确定，并且通常是多位的并且可能會發生變化。
同樣，應審查CSA以确定特權通信是否保持不變。
一般而言，如果與第三方共享特權通信，例如客戶對其律師的特權通信，則會被銷毀。
如果CSA允許提供者閱讀，使用或披露資訊，那麼特權很可能會丢失。另一方面，如果CSA僅允許提供者存儲資訊，而無權檢視資訊，則該特權可能在将資料傳輸到提供者後仍然存在。
退出計劃
在CSA中還應明确規定在終止服務時确定各方義務的退出計劃。例如，
- 服務終止後多久将客戶資料退還給客戶，以何種形式？
- 提供商是否需要協助客戶将資料傳輸到新的提供商或傳回自我管理的平台？
- 提供商是否需要永久性地在終止後維護客戶資料的備份副本，或者是否要在特定時間範圍内銷毀所有客戶資料？
- 如何在與提供商的關系結束時處理客戶資料？
- 如果提供商停業，客戶資料會發生什麼變化？
- 對于加密資料，如何在傳回資料時對資料進行解密？
- 使用者的資料和應用程式是否可以随時傳輸到雲端或從雲端傳輸，以避免被鎖定到任何特定的雲供應商？
當然，随着雲服務被合并到少數大型企業中，協商CSA條款的能力将變得越來越困難。盡管如此，鑒于目前強大的雲競争階段和消費者對雲安全的懷疑，談判條款的能力處于相對較高的水準。公司應利用這一事實堅持最大限度地保護其資料并最大限度降低其法律風險的條款。
實踐要點
由于使用者并不總是與所有相關參與者建立直接關系（是以具有可強制執行的合同相關性），是以在雲中實作合同保護可能會變得複雜。例如，組織可以保留用于遠端桌面備份服務的SaaS雲提供商，但是資料本身可以由其他人在IaaS或PaaS級别存儲和處理。作為其直接提供商的盡職調查的一部分，公司應要求确認直接提供商還對所有相關服務提供商進行了充分的盡職調查。在這方面，公司應堅持審查其直接提供商與任何二級提供商簽訂的合同，以確定維持合規性，并且不會産生額外的法律風險或義務。
結論
采用雲服務具有顯着優勢，包括降低成本，減少對現場支援的需求和可擴充性。
遷移到雲還會帶來其獨特的資料安全和隐私風險以及法律和法規遵從義務。
服務提供商的盡職調查，以及精心起草的服務協定，指定各方的權利，義務和責任，可能是公司在部署到雲之前可以采取的最關鍵的風險緩解措施。
最後的說明
此處包含的資訊無意構成對任何特定事項的法律建議或法律意見。這些内容僅供一般參考之用，建議您咨詢律師，了解您自己的情況以及您可能遇到的任何具體問題。