Mga regulasyon sa ulap: kung ano ang kailangan mong malaman upang maging ligtas

Tulad ng pag-aampon ng ulap ay nagiging nasa lahat, mas mahalaga kaysa dati para sa mga negosyo na maunawaan ang mga regulasyon at pananagutan ng sibil na nauugnay sa pag-iimbak ng data at aplikasyon sa ulap. Mahigit sa 93 porsyento ng mga negosyo ang gumagamit ng ulap sa ilang mga fashion, ayon sa mga resulta ng survey mula sa Right Scale, isang kumpanya ng pamamahala sa ulap. Ngunit ang mga kumpanyang iyon na nag-iimbak ng data sa publiko at mestiso na ulap ay partikular na madaling kapitan ng regulasyon at parusa kung ang isang paglabag sa data ay nangyayari o kung mayroong makabuluhang pagbagsak ng ulap.

Karamihan sa mga kumpanya, lalo na maliit sa mga negosyong negosyante (SMBs), ay pumirma sa mga karaniwang kasunduan sa antas ng serbisyo (SLA) kasama ang mga cloud vendor. Ang mga SLA na ito ay may posibilidad na makinabang sa tindera kaysa sa customer at, bilang isang resulta, limitahan ang mga pinsala sa mga nagbebenta ng ulap na magbabayad kung at kailan nangyari ang isang sakuna.

Upang matulungan kang maunawaan kung ano ang kailangan mong malaman upang maging mas mahusay na handa para sa mga ligal na ramifications ng paglipat sa ulap, at upang matulungan kang malaman kung naprotektahan ka kung dapat na masira ang iyong pampubliko o mestiso na ulap, nasama namin ang listahang ito ng mga bagay na dapat isaalang-alang.

1. Sino ang mananagot para sa Impormasyon ng Customer Pagkatapos ng mga Data Breaches?

Sabihin nating iniimbak mo ang lahat ng data ng iyong customer sa loob ng ulap ng third-party. Kung ang isang hacker ay may kakayahang labagin ang ulap na iyon, pagnanakaw ng iyong data, at gamitin ito upang makapinsala sa iyong mga customer, may isang taong magpapasaya sa pagbabayad ng mga parusang sibil. Depende sa mga salita ng iyong SLA, malamang na limitahan ng iyong tindera sa ulap ang mga pinsala nito sa "aktwal na pinsala" kumpara sa "bunga ng pinsala" kung saan ang iyong kumpanya ay malamang na may pananagutan.

"Karaniwan ang isang tindera ay isusulat ang kanilang kasunduan sa isang paraan na ang kanilang pananagutan para sa ordinaryong kapabayaan ay medyo minimal, kadalasang limitado sa 'aktwal na pinsala' at madalas na nakulong sa anumang halaga na binayaran ng customer sa nagbebenta sa nakaraang anim o 12 buwan, "sabi ni Steven Ayr, Business Counsel sa Fort Point Legal, isang firm na dalubhasa sa kumakatawan sa mga negosyante at maliliit na negosyo. "Ang mga aktwal na pinsala ay tinutukoy bilang ang pera na binayaran ng customer para sa serbisyo na hindi ibinigay. Sa pamamagitan ng paglilimita ng mga pinsala sa 'aktwal na pinsala, ' ang mga kasunduan ay nag-aalis ng posibilidad na ang nagbebenta ay mananagot para sa 'bunga ng pinsala' at iba pang mga klase ng pinsala tulad ng mga kaparusahan na pinsala. "

Inilarawan ni Ayr ang mga kahihinatnan na pinsala bilang mga pagkalugi sa pananalapi na isang hakbang na tinanggal mula sa paglabag o pagbagsak ng ulap. Halimbawa, kung ang iyong customer ay dapat na magbigay ng isang malaking pitch pitch sa pamamagitan ng iyong online na platform ng pakikipagtulungan, ngunit hindi siya maaaring dahil ang ulap ay bumaba, ikaw ang mananagot para sa mga kahihinatnan na pinsala sa panahong ito.

Ang parehong ay totoo sa mga data paglabag o purong aksidente. Karamihan sa mga SLA ay nililimitahan ang mga pinsala na dapat bayaran ng mga vendor ng ulap kung ang mga piling tao na hacker ay sumisira sa mga state-of-the-art system o kung ang isang third-party ay pinutol ang koneksyon ng hibla sa labas ng data center. Tanging kung ang iyong abogado ay maaaring patunayan ang "gross negligence" ay ang nagtitinda ang responsable para sa mga pananagutan sa pananalapi ng isang sakuna na ulap. Ang kawalang kapabayaan ay karaniwang naaangkop sa mahinang seguridad o sinasadyang hindi magagawang pagkilos na ginawa ng nagbebenta.

2. Sino ang Mananagot para sa Pagsumite ng Data sa Mga Ahensya ng Pamahalaan?

Kahit na maaaring nagtatrabaho ka sa pinaka-secure na vendor ng ulap sa mundo, hindi nangangahulugang ang iyong data ay hindi mai-access nang walang pahintulot mo at walang ligal na pag-urong sa iyong pagtatapos. Dahil ibibigay mo ang iyong data sa isang vendor ng ulap, mahalagang bigyan ka ng pahintulot ng vendor na sumang-ayon sa mga warrants ng gobyerno. Karamihan sa mga SLA ay ipinahayag ito nang malinaw, at malamang na ang mga malalaking nagbebenta ng ulap tulad ng Amazon Web Services (AWS) o Microsoft Azure ay handang baguhin ang kanilang karaniwang SLA para sa isang kumpanya na hindi isang puting balyena.

Kaya, kung mayroon kang labis na reserbasyon tungkol sa panghihimasok ng pamahalaan, malamang na mas mahusay mong itayo ang iyong sariling pribadong ulap o itago ang iyong data sa lokal. Sa ilalim ng mga sitwasyong ito, magagawa mong labanan ang warrant at protektahan ang data ng iyong customer. Ngunit, kung pipiliin mong sumama sa isang pampubliko o mestiso na ulap, mas maasahan mong ibabahagi ng iyong vendor ang iyong hindi pagpaparaan para sa Big Brother.

3. Ano ang Mga Tukoy na Mga Regulasyon sa Cloud sa pamamagitan ng Heograpiya?

Mahirap na subaybayan ang iyong mga karapatan tungkol sa kung paano pinamamahalaan ang iyong data sa US. Sa kasamaang palad, naiiba ang mga regulasyon sa mundo para sa bawat tiyak na bansa at, sa ilang mga kaso, sa loob ng bawat hurisdiksyon sa bawat tiyak na bansa. Kung ikaw ay isang multinasyunal na negosyo na may mga service provider ng cloud sa iba't ibang mga heyograpiya, ikaw ay para sa isang pangunahing sakit ng ulo na sinusubukan upang maunawaan at pamahalaan ang nauugnay na mga regulasyon at pananagutan.

Ayon kay Ayr, mahalaga na ang mga kumpanya na nag-iimbak ng data sa buong mundo ay nakikipagtulungan sa mga abogado upang matukoy ang mga uri ng data na kanilang iniimbak, ang mga heograpiya kung saan nila iniimbak ang data, at kung ano ang mga tukoy na batas na nasa loob ng mga nasasakupan.

"Maaari itong maging mabagal, magastos na trabaho, " sabi ni Ayr, "dahil magbabayad ka rin ng isang tao upang gumastos ng oras upang magsaliksik ng mga batas ng ilang mga nasasakupan na hindi nila pamilyar, mag-upa ng isang abogado sa bawat nasasakupan na alam ang mga batas na iyon, o umarkila ng isang napakamahal na paksa ng bagay na eksperto na nakakaalam ng mga lab at out ng bawat nasasakupan. "

Sa kasamaang palad, ang pinakamadali at pinaka-epektibong paraan upang matiyak na sumusunod ka sa loob ng bawat hurisdiksyon ay ilagay ang onus sa iyong service provider. Dahil ang pandaigdigang mga tagapagbigay ng serbisyo ay pinalawak na ang kanilang mga negosyo at nagawa ang legwork upang matukoy kung paano dapat hawakan sa buong mundo ang data, mas malamang na magkaroon sila ng impormasyon at pinakamahusay na kasanayan sa lugar.

"Ito ay, pagkatapos ng lahat, mas mura upang umarkila ng isang abogado upang suriin ang mga termino ng serbisyo ng isang tagapagkaloob para sa pagsunod kaysa sa pag-upa ng isang abugado upang lumikha ng mga termino na sumusunod at pagkatapos ay makipag-ayos sa kanila sa isang tagapagbigay ng serbisyo, " sabi ni Ayr. Ngunit nangangahulugan din ito na umaasa ka sa mga SLA, at sinaliksik namin ang mga mahahalagang paraan na maaaring magtrabaho ang isang SLA sa pabor ng nagbebenta.

4. Bakit Dapat Naramdaman mong Kumportable ang Pag-iimbak ng Data sa Cloud?

Sa US, karamihan sa mga kumpanya ay protektado ng mga batas sa seguridad ng data na namamahala sa paghawak ng personal na makikilalang impormasyon (PII). Ang mga batas na ito ay nangangailangan ng mga vendor na lumikha ng mga nakasulat na patakaran na naglalarawan ng kanilang mga diskarte sa proteksyon ng data at pilitin silang tanggapin ang hindi bababa sa ilang pananagutan sa mga paglabag at pagbagsak. Kung sakaling may paglabag, ipinag-uutos din ng mga batas na ito na iulat ito sa Attorney General. Sa Massachusetts, halimbawa, ang batas na ito ay tinatawag na 201 CMR 17.00. Sa California, ang batas ay tinawag na SB 1386. Sa ngayon, 47 estado ng US ay may katulad na mga batas sa mga libro.

Kung ang mga batas ay hindi sapat upang maginhawa ka (at hindi sila dapat), mayroong mga vendor ng ulap na nagmemerkado sa kanilang sarili bilang mga kampeon ng privacy at seguridad. Ang mga kumpanya tulad ng disaster bawing (DR) service provider Spider Oak ay kilala bilang zero-knowledge cloud services; naka-encrypt sila ng data sa mga aparato ng kanilang mga kliyente bago i-upload ang data sa ulap. Ang kaalaman sa Zero ay nangangahulugang Spider Oak at ang mga katunggali nito ay hindi kailanman hawakan ang naka-decot na data. Ang kasanayang ito ay tumutulong sa kanila na limitahan ang mga potensyal na peligro at hindi kailanman mailagay ang kanilang mga sarili sa isang posisyon kung saan napilitan silang ibigay ang data sa mga nilalang ng gobyerno.

"Mayroong isang mahusay na bilang ng mga peligro na madalas na binabalewala ng mga organisasyon kapag lumilipat ang mga system at serbisyo sa ulap, " sabi ni Mike McCamon, Pangulo at CMO sa Spider Oak. "Ibubuod namin ang tuktok na apat upang maging seguridad, privacy, pagpapatuloy, at kontrol."

"Walang oras na mayroon kaming password o isang bersyon ng kanilang decrypted data, " idinagdag ni McCamon. "Kahit na ang aming sariling mga administrator ng system ay hindi nakakaalam tungkol sa isang customer kaysa sa dami ng data na nakaimbak sa aming system. Ang tanging data na nakolekta namin tungkol sa mga gumagamit ay isang email address at pagsingil ng impormasyon kung nangangailangan sila ng isang plano sa serbisyo."

Anuman man o hindi ang mga kumpanya na nagtatrabaho sa mga malalaking nagtitinda tulad ng Amazon at Microsoft, o maliit, mga zero-kaalaman na mga nagtitinda tulad ng Spider Oak, magpapatuloy silang gamitin ang ulap, nakikipagtalo si Ayr.

"Sa aking trabaho sa mga start-up, hindi ko karaniwang nakikita ang mga negosyo na lalo na kinakabahan tungkol sa paggamit ng ulap, " sabi ni Ayr. "Kung mayroon man, mga bagong negosyo, para sa mas mahusay o mas masahol pa, tignan ang ulap na parang ligtas at hindi mapapansin tulad ng paglalagay ng mga dokumento sa isang filing cabinet."