Debesų taisyklės: ką turite žinoti, kad būtumėte saugūs

Kadangi debesų priėmimas tampa visur paplitęs, verslui svarbiau nei bet kada anksčiau suprasti taisykles ir civilinius įsipareigojimus, susijusius su duomenų ir programų saugojimu debesyje. Remiantis debesų valdymo įmonės „Right Scale“ apklausos rezultatais, daugiau nei 93 procentai verslo naudoja debesis tam tikru būdu. Bet tos įmonės, kurios kaupia duomenis apie viešus ir hibridinius debesis, yra ypač jautrios reglamentavimui ir baudoms, jei įvyksta duomenų pažeidimas arba yra didelis debesų prastovos laikas.

Dauguma kompanijų, ypač mažų ir vidutinių įmonių (SMB), pasirašo standartines paslaugų lygio sutartis (SLA) su debesų pardavėjais. Šie SLA paprastai yra naudingi pardavėjui, o ne klientui, ir dėl to riboja žalą, kurią debesijos pardavėjai moka, jei ir įvyktų nelaimė.

Norėdami padėti jums suprasti, ką turite žinoti, kad būtumėte geriau pasirengę teisėtiems perkėlimo į debesis padariniams, ir norėdami išsiaiškinti, ar esate apsaugoti, jei jūsų viešasis ar hibridinis debesys nebus pažeisti, mes sudarėme šį sąrašą dalykai, kuriuos reikia apsvarstyti.

1. Kas atsakingas už informacijos pateikimą klientui, pažeidus duomenis?

Tarkime, kad visus savo klientų duomenis saugote trečiosios šalies debesyje. Jei įsilaužėlis gali sugadinti tą debesį, pavogti jūsų duomenis ir panaudoti juos, kad pakenktų jūsų klientams, kažkas ketina baigti civilinių baudų mokėjimą. Priklausomai nuo jūsų SLA formuluotės, jūsų debesijos paslaugų teikėjas greičiausiai apribos savo žalą „faktine žala“, o ne „išvestine žala“, už kurią greičiausiai atsakinga jūsų įmonė.

"Paprastai pardavėjas pasirašo savo susitarimą taip, kad jo atsakomybė už paprastą aplaidumą yra gana minimali, paprastai apsiribojama" faktine žala "ir dažnai yra apribota bet kokia suma, kurią klientas sumokėjo pardavėjui per pastaruosius šešis ar 12 mėnesių. “, - sakė Stevenas Ayras, „ Fort Point Legal “, įmonės, kuri specializuojasi atstovauti verslininkams ir mažoms įmonėms, verslo patarėjas. "Faktine žala yra vadinami pinigai, kuriuos klientas sumokėjo už nepateiktas paslaugas. Apribodami žalą tik" faktine žala ", susitarimai panaikina galimybę, kad pardavėjas gali būti atsakingas už" netiesioginę žalą "ir kitų rūšių paslaugas. žalos atlyginimas, kaip baudžiamoji žala “.

Ayr apibūdina padarytą žalą kaip finansinius nuostolius, kurie pašalinami vienu žingsniu nuo pažeidimo ar debesies prastovos. Pvz., Jei jūsų klientas turėjo pateikti didelę pardavimo apimtį naudodamasis jūsų internetinio bendradarbiavimo platforma, tačiau jis negalėjo padaryti, nes debesis buvo žemas, jūs būsite atsakingas už šio prastovos padarytą žalą.

Tas pats pasakytina apie duomenų pažeidimus ar grynas avarijas. Dauguma SLA riboja žalą, kurią turi sumokėti debesijos paslaugų teikėjai, jei elito piratai įsilaužę į moderniausias sistemas arba jei trečioji šalis nutraukia pluošto ryšį už duomenų centro ribų. Tik jei jūsų advokatas gali įrodyti „didelį aplaidumą“, pardavėjas bus pirmiausia atsakingas už finansinius debesų katastrofos įsipareigojimus. Didelis neatsargumas paprastai būna susijęs su blogu saugumu ar tyčiniais nesąžiningais pardavėjo veiksmais.

2. Kas atsakingas už duomenų pateikimą vyriausybinėms agentūroms?

Nepaisant to, kad galbūt dirbate su saugiausiu debesies pardavėju pasaulyje, tai nereiškia, kad jūsų duomenims nebus galima pasiekti be jūsų sutikimo ir be teisinių priemonių jūsų tikslu. Kadangi perduodate duomenis „debesijos“ pardavėjui, iš esmės suteikiate pardavėjui leidimą sutikti su vyriausybės orderiais. Dauguma SLA tai sako labai aiškiai ir mažai tikėtina, kad dideli debesų pardavėjai, tokie kaip „Amazon Web Services“ (AWS) ar „Microsoft Azure“, nori pakeisti savo standartinį SLA įmonei, kuri nėra baltojo banginio sąskaita.

Taigi, jei turite ypatingų abejonių dėl valdžios įsibrovimo, tikriausiai geriau kurti savo asmeninį debesį arba saugoti duomenis vietoje. Esant tokioms aplinkybėms, jūs galėsite kovoti su orderiu ir apsaugoti savo klientų duomenis. Bet jei pasirinksite važiuoti su viešu ar hibridiniu debesiu, geriau tikėtumėte, kad pardavėjas pasidalins jūsų netolerancija „Big Brother“ atžvilgiu.

3. Kokios yra konkrečios geografijos debesų taisyklės?

Pakankamai sunku sekti savo teises, kaip jūsų duomenys yra tvarkomi JAV. Deja, visuotinės taisyklės skiriasi kiekvienoje konkrečioje šalyje ir tam tikrais atvejais kiekvienoje jurisdikcijoje kiekvienoje konkrečioje šalyje. Jei esate tarptautinis verslas, turintis debesų paslaugų teikėjus skirtingose ​​geografinėse vietose, jums gresia didelis galvos skausmas, bandant suprasti ir valdyti susijusius reglamentus ir įsipareigojimus.

Pasak Ayr, labai svarbu, kad įmonės, kaupiančios duomenis visame pasaulyje, dirbtų su teisininkais, kad nustatytų saugomų duomenų rūšis, geografinę vietą, kurioje jie saugo duomenis, ir kokie konkretūs įstatymai yra tose jurisdikcijose.

„Vis dėlto tai gali būti lėtas, brangus darbas, - sakė Ayras, - nes jūs ketinate sumokėti kam nors skirti laiko tyrinėti kelių jiems nepažįstamų jurisdikcijų įstatymus, kiekvienoje jurisdikcijoje pasamdyti advokatą, kuris jau žino tuos įstatymus arba pasamdo labai brangų dalyką, kuris jau žino kiekvienos jurisdikcijos pranašumus ir trūkumus “.

Deja, lengviausias ir ekonomiškiausias būdas užtikrinti, kad jūs laikotės kiekvienos jurisdikcijos, yra pareiga jūsų paslaugų teikėjui. Kadangi pasauliniai paslaugų teikėjai jau išplėtė savo verslą ir ėmėsi priemonių, kad nustatytų, kaip duomenys turėtų būti tvarkomi visame pasaulyje, jie turi daugiau informacijos ir geriausios praktikos pavyzdžių.

"Pagaliau yra daug pigiau pasamdyti advokatą peržiūrėti paslaugų teikėjo paslaugų teikimo sąlygas, nei samdyti advokatą, kad būtų sudarytos reikalavimus atitinkančios sąlygos, tada derėtis dėl jų su teikėju", - sakė Ayr. Bet tai taip pat reiškia, kad pasitikite SLA ir mes jau ištyrėme svarbius būdus, kaip SLA gali veikti pardavėjo naudai.

4. Kodėl turėtumėte jaustis patogiu duomenų saugojimu debesyje?

JAV daugumą kompanijų saugo duomenų saugumo įstatymai, reglamentuojantys asmens tapatybės nustatymo informacijos tvarkymą. Šie įstatymai reikalauja, kad pardavėjai sudarytų rašytinę politiką, apibrėžiančią savo duomenų apsaugos strategijas, ir verčia juos prisiimti bent tam tikrą atsakomybę už pažeidimus ir prastovas. Pažeidimo atveju šie įstatymai taip pat įpareigoja pranešti apie tai generaliniam prokurorui. Pvz., Masačusetso valstijoje šis įstatymas vadinamas 201 CMR 17.00. Kalifornijoje įstatymas vadinamas SB 1386. Iki šiol 47 JAV valstijos turi panašius įstatymus dėl knygų.

Jei įstatymų neužtenka, kad palengvintumėte (ir jų neturėtų būti), yra debesų paslaugų teikėjų, kurie rinksis save kaip privatumo ir saugumo čempionus. Tokios įmonės kaip atkūrimo (DR) paslaugų teikėjas „Spider Oak“ yra žinomos kaip „debesų“, neturinčios jokių žinių, paslaugos; jie užkoduoja duomenis savo klientų įrenginiuose prieš įkeldami duomenis į debesį. Nulinės žinios reiškia, kad „Spider Oak“ ir jo konkurentai niekada netvarko iššifruotų duomenų. Ši praktika jiems padeda apriboti galimą riziką ir niekada netapti tokiu atveju, kai jie yra priversti perduoti duomenis vyriausybės subjektams.

„Yra nemažai rizikos rūšių, kurias organizacijos dažnai ignoruoja, kai migruoja sistemos ir paslaugos į debesį“, - sakė „Spider Oak“ prezidentas ir BRO prezidentas Mike'as McCamonas. "Mes apibendrintume keturis geriausius, kad būtų saugumas, privatumas, tęstinumas ir kontrolė."

„Niekada neturime slaptažodžio ar jų iššifruotų duomenų versijos“, - pridūrė McCamonas. "Net mūsų pačių sistemos administratoriai negali žinoti daugiau apie klientą, nei duomenų, saugomų mūsų sistemoje, apimtis. Vieninteliai duomenys, kuriuos renkame apie vartotojus, yra el. Pašto adresas ir atsiskaitymo informacija, jei jiems reikalingas paslaugų planas."

Nepaisant to, ar įmonės bendradarbiauja su dideliais tiekėjais, tokiais kaip „Amazon“ ir „Microsoft“, ar mažais, nieko nežinančiais pardavėjais, tokiais kaip „Spider Oak“, jos ir toliau naudos debesis, teigia Ayr.

„Dirbdamas su pradedančiomis įmonėmis aš paprastai nematau įmonių, kurios ypač nervinasi dėl debesies naudojimo“, - sakė Ayr. "Jei kas, naujos įmonės, geriau ar blogiau, žiūri į debesį taip pat saugiai ir nepastebimai, kaip įdėkite dokumentus į kartoteką."