94%的云服務(wù)不符合GDPR規(guī)定

責(zé)任編輯:editor007

2016-09-23 21:08:12

摘自:#

今年4月份,歐盟通過(guò)了一項(xiàng)新立法——通用數(shù)據(jù)保護(hù)條例(GDPR)。我們做一個(gè)簡(jiǎn)單的自動(dòng)假設(shè),如果將數(shù)據(jù)放在云端,就免除了對(duì)數(shù)據(jù)的責(zé)任,并將責(zé)任轉(zhuǎn)接給了云服務(wù)提供商。

今年4月份,歐盟通過(guò)了一項(xiàng)新立法——通用數(shù)據(jù)保護(hù)條例(GDPR)。根據(jù)對(duì)超過(guò)20,000個(gè)云服務(wù)的調(diào)查分析,只有6%的云服務(wù)完全符合該法規(guī)。

這個(gè)新的標(biāo)準(zhǔn)化的數(shù)據(jù)保護(hù)法律最遲將于2018年春季在歐盟所有成員國(guó)內(nèi)實(shí)施。嚴(yán)格意義上講,也包括英國(guó)。盡管發(fā)生了英國(guó)退歐公投事件,但是在調(diào)用第五十條啟動(dòng)離開(kāi)過(guò)程的兩年時(shí)間內(nèi)英國(guó)仍將是歐盟的正式成員。并且,第五十條目前尚未被調(diào)用。

我們做一個(gè)簡(jiǎn)單的自動(dòng)假設(shè),如果將數(shù)據(jù)放在云端,就免除了對(duì)數(shù)據(jù)的責(zé)任,并將責(zé)任轉(zhuǎn)接給了云服務(wù)提供商。但是事實(shí)并非如此,GDPR對(duì)數(shù)據(jù)管理者和數(shù)據(jù)操作員做出了區(qū)分,管理者負(fù)有主要責(zé)任。如果一個(gè)公司在云中存儲(chǔ)或使用數(shù)據(jù),那么該公司就是數(shù)據(jù)的管理者, 在GDPR之下就要對(duì)數(shù)據(jù)負(fù)責(zé)。此外,GDPR即不受限于公司的國(guó)籍,也不受限于云服務(wù)的地理位置——所以只要涉及到一個(gè)歐洲公民的個(gè)人數(shù)據(jù),那么GDPR就適用。

這實(shí)際上意味著將歐洲公民的個(gè)人數(shù)據(jù)存儲(chǔ)到云中會(huì)降低公司符合GDPR規(guī)定的程度。根據(jù)Skyhigh的分析。這是一個(gè)令人擔(dān)憂的問(wèn)題。“云服務(wù)仍然是所有企業(yè)的關(guān)鍵,但歐盟GDPR使得云服務(wù)的立即可用變得困難重重。” Skyhigh Networks的首席歐洲發(fā)言人Nigel Hawthorn說(shuō)到。“簡(jiǎn)單地說(shuō), GDPR中的標(biāo)準(zhǔn)條款和條件,使得幾乎所有和云服務(wù)相關(guān)的公司都不再適合在歐洲做生意。一旦歐盟開(kāi)始執(zhí)行GDPR,那么幾乎所有的公司都需要重新審核和談判,或者被直接駁回。”

舉例來(lái)說(shuō),84%的云服務(wù)不會(huì)在合同終止時(shí)立即刪除客戶數(shù)據(jù)。所以,一旦這些數(shù)據(jù)包含了歐洲公民的個(gè)人信息,那么馬上該項(xiàng)云服務(wù)就違反了GDPR。

Skyhigh還指出,只有1%的云服務(wù)會(huì)在24小時(shí)內(nèi)提供安全事件通知。GDPR要求數(shù)據(jù)管理者(記住,是指云服務(wù)的客戶而不是云服務(wù)提供商)在72小時(shí)內(nèi)通知相關(guān)數(shù)據(jù)保護(hù)監(jiān)管機(jī)構(gòu)。很明顯,這是幾乎是不可能的,因?yàn)榇罅康脑品?wù)用戶會(huì)違反GDPR的通知要求。

用戶IP則是另一個(gè)問(wèn)題。Skyhigh指出,58%的云服務(wù)不能提供IP所有權(quán)的保證。一些云服務(wù)可能會(huì)取得所有上傳IP的所有權(quán),而其他的云服務(wù)根本無(wú)法做出保證。在某種程度上,這只是一個(gè)簡(jiǎn)單的業(yè)務(wù)問(wèn)題;但是Skyhigh再一次聲明,如果它包含了歐洲公民的個(gè)人數(shù)據(jù),那么就會(huì)牽涉到GDPR。

此外,關(guān)于云服務(wù)和GDPR有兩個(gè)問(wèn)題需要仔細(xì)考慮。第一個(gè)問(wèn)題是:現(xiàn)在的制裁力度與早些時(shí)候相比,有了大幅度的提高,現(xiàn)在最高可以罰款2000萬(wàn)歐元,即全球前一財(cái)政年度的年?duì)I業(yè)額的4%。第二個(gè)問(wèn)題是:監(jiān)管機(jī)構(gòu)肯定會(huì)考慮公司做出的“努力”。如果一個(gè)公司可以表明它已經(jīng)做出了努力去符合GDPR的規(guī)定,那么監(jiān)管機(jī)構(gòu)可能不會(huì)對(duì)該公司開(kāi)出最大罰款。

“當(dāng)考慮歐盟GDPR時(shí),不只是‘服從或不服從’,‘安全或不安全’那么簡(jiǎn)單,” Skyhigh 說(shuō)到。“該規(guī)定超過(guò)100條,這是一個(gè)龐大并且復(fù)雜的問(wèn)題,需要每個(gè)公司在評(píng)估很多變量之后做出自己的判斷。”所有這一切都意味著,GDPR規(guī)定只是其中一個(gè)因素(盡管它是一個(gè)嚴(yán)重的因素),但是現(xiàn)有CISOs還存在一個(gè)主要問(wèn)題即對(duì)云供應(yīng)商的管理。對(duì)此,Skyhigh為其客戶提供了一項(xiàng)免費(fèi)服務(wù),可以對(duì)其云提供商是否合乎GDPR規(guī)定進(jìn)行評(píng)估。

那么,面對(duì)GDPR,企業(yè)到底該何去何從?這個(gè)問(wèn)題只有留待時(shí)間來(lái)解決了。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)