安全等級(jí)保護(hù)云計(jì)算

1、如果政府機(jī)構(gòu)率先使用云計(jì)算服務(wù)，就可以實(shí)際體驗(yàn)跨境云計(jì)算服務(wù)， 規(guī)劃風(fēng)險(xiǎn)管理，為建立支持云計(jì)算服務(wù)跨境化的法律制度環(huán)境打下基礎(chǔ)。為此，新西蘭政府提出“云計(jì)算保護(hù)”行動(dòng)，提示用戶風(fēng)險(xiǎn)管理的重要性。制定風(fēng)險(xiǎn)管理守則2009 年 4 月，新西蘭政府公布了政府機(jī)構(gòu)風(fēng)險(xiǎn)管理守則 ，將“利用設(shè)置于海外的服務(wù)器處理政府信息”或“將政府信息存儲(chǔ)于海外數(shù)據(jù)中心”作為管理對(duì)象。這一面向政府機(jī)構(gòu)的風(fēng)險(xiǎn)管理守則在以下幾方面有較深的含義，與針對(duì)個(gè)人信息保護(hù)的美國(guó)安全港規(guī)則、 EU的個(gè)人信息發(fā)送至第三國(guó)的標(biāo)準(zhǔn)守則等同樣值得研究。第一，從更廣泛的數(shù)據(jù)來(lái)源，匯集或分類使用跨境云計(jì)算服務(wù)，有可能存在致使政府信息泄露的風(fēng)險(xiǎn)；第二

2、，并非一律禁止使用，而應(yīng)按照不同信息資產(chǎn)，進(jìn)行風(fēng)險(xiǎn)管理評(píng)價(jià)。對(duì)于潛在風(fēng)險(xiǎn)與應(yīng)用所帶來(lái)的效果，用戶應(yīng)該綜合考慮，自己判斷是否使用跨境云計(jì)算服務(wù)；第三，由于新西蘭法律與其他國(guó)家法律存在的差別，所以存在新西蘭國(guó)內(nèi)法律所保護(hù)的個(gè)人信息等有可能不被在他國(guó)境內(nèi)運(yùn)營(yíng)的云計(jì)算服務(wù)供應(yīng)商所保護(hù)的風(fēng)險(xiǎn)。新西蘭政府機(jī)構(gòu)風(fēng)險(xiǎn)管理守則中規(guī)定使用跨境云計(jì)算服務(wù)時(shí)，政府機(jī)構(gòu)必須要考慮10大風(fēng)險(xiǎn)（如下表） 。關(guān)于適用法令，新西蘭政府提出，在跨境化的云計(jì)算服務(wù)中保存政府信息或用海外數(shù)據(jù)中心的服務(wù)器處理政府信息等工作委托給海外企業(yè)時(shí)，應(yīng)該遵守個(gè)人信息保護(hù)法、信息公開(kāi)法、財(cái)政法等三項(xiàng)相關(guān)法律。除了上述法令之外，新西蘭政府要求制定行

3、政服務(wù)的完整性、可持續(xù)性、政府機(jī)構(gòu)采購(gòu)規(guī)則、政府網(wǎng)站外部委托規(guī)則、信息安全守則、 ICT 相關(guān)合同中的知識(shí)產(chǎn)權(quán)規(guī)則、個(gè)人信息 保護(hù)守則等，并要求在政府機(jī)構(gòu)使用這些跨境云計(jì)算服務(wù)時(shí)遵守這些守則。明確風(fēng)險(xiǎn)管理要點(diǎn)關(guān)于將政府信息保存于云計(jì)算服務(wù)或者通過(guò)云計(jì)算服務(wù)處理政府信息等方面，不管云計(jì)算服務(wù)提供商是否在國(guó)內(nèi)，都會(huì)存在潛在的風(fēng)險(xiǎn)。但是，參照“政府機(jī)構(gòu)風(fēng)險(xiǎn)管理守則” ，尤其是從海外接受服務(wù)時(shí)， 應(yīng)該特別考慮的風(fēng)險(xiǎn)管理點(diǎn)有國(guó)際形勢(shì)與國(guó)際關(guān)系之中的國(guó)家利益、法律風(fēng)險(xiǎn)與爭(zhēng)議仲裁的國(guó)際機(jī)制、個(gè)人信息處理和時(shí)差、語(yǔ)言、地理距離、社會(huì)制度等差異所產(chǎn)生的風(fēng)險(xiǎn)。國(guó)際形勢(shì)與國(guó)際關(guān)系之中的國(guó)家利益針對(duì)海外法律制度不成熟

4、的地區(qū)或國(guó)家，充分考慮到最壞情形。針對(duì)這些地區(qū)或國(guó)家的具體情況， 最高可作為 “無(wú)法接受的風(fēng)險(xiǎn)” （ 從新西蘭政府官方認(rèn)定的不友好國(guó)家采購(gòu)服務(wù)有可能損害國(guó)家利益，所以被認(rèn)為是“無(wú)法接受的風(fēng)險(xiǎn)” ） ，不與其建立任何云計(jì)算服務(wù)往來(lái)。某個(gè)地區(qū)或國(guó)家是否滿足條件，可以參考如下信息: 各國(guó)政府的公開(kāi)性及透明度報(bào)告、新西蘭通信安全局的官方建議和新西蘭安全信息局的“外國(guó)硬件、軟件、服務(wù)相關(guān)的安全危險(xiǎn)”建議。同時(shí)，考慮到國(guó)家利益，影響國(guó)家間經(jīng)濟(jì)平衡的規(guī)模大、范圍廣的海外委托等不被認(rèn)可或不被社會(huì)接受。此外，長(zhǎng)遠(yuǎn)來(lái)看，從國(guó)家利益出發(fā)，未來(lái)10 多年，會(huì)導(dǎo)致新西蘭國(guó)內(nèi)的一些技術(shù)經(jīng)驗(yàn)、服務(wù)經(jīng)驗(yàn)逐漸失去，國(guó)家競(jìng)爭(zhēng)力降

5、低等類別的云計(jì)算服務(wù)，作為國(guó)家戰(zhàn)略也不允許海外委托。法律風(fēng)險(xiǎn)與爭(zhēng)議仲裁的國(guó)際機(jī)制新西蘭國(guó)內(nèi)法律與其他國(guó)家法律之間， 除了法律內(nèi)容不同之外， 還存在法律解釋的差異。同時(shí)，法律制度性的穩(wěn)定性、法律服務(wù)的質(zhì)量對(duì)法律制度的運(yùn)用構(gòu)成較大影響。這樣的條件下，法律本身、法律解釋發(fā)生差異、法律解釋不固定時(shí)，容易發(fā)生國(guó)際糾紛。另一方面，發(fā)生爭(zhēng)議時(shí)的國(guó)際調(diào)停與仲裁機(jī)制尚未成熟等問(wèn)題也顯現(xiàn)出來(lái)。具體而言，從政府機(jī)構(gòu)的風(fēng)險(xiǎn)管理角度來(lái)看，重點(diǎn)有3 個(gè)第一， 國(guó)內(nèi)政府很難要求某個(gè)海外服務(wù)商強(qiáng)制執(zhí)行合同。 同時(shí)， 如果與當(dāng)?shù)氐穆蓭熃簧妫?還存在不得不長(zhǎng)期支付巨額費(fèi)用的風(fēng)險(xiǎn)。第二，新西蘭國(guó)內(nèi)規(guī)定的個(gè)人信息保護(hù)、安全性、服務(wù)可

6、持續(xù)性等涉及他國(guó)法律相關(guān)要求時(shí)， 從該國(guó)接受云計(jì)算服務(wù)之際， 政府機(jī)構(gòu)的應(yīng)對(duì)也將變得困難。 例如， 美國(guó)的愛(ài)國(guó)者法，法律在一定條件下，賦予該國(guó)政府對(duì)用戶數(shù)據(jù)的無(wú)限制訪問(wèn)權(quán)限等。第三， 在海外， 由于云計(jì)算服務(wù)供應(yīng)商的倒閉， 無(wú)法繼續(xù)使用服務(wù)時(shí)， 索賠處理也很難。因此，使用跨境云計(jì)算服務(wù)時(shí)的法律風(fēng)險(xiǎn)存在各種無(wú)法控制的事項(xiàng)。為此，要非常慎重地選擇海外委托國(guó)家，合同條款盡可能考慮到風(fēng)險(xiǎn)并使其遵照新西蘭的法律制度，慎重核對(duì)合同，確保不含有違反新西蘭財(cái)政法條款；要咨詢國(guó)內(nèi)與海外雙方面律師，要充分理解海外委托國(guó)家的訴訟過(guò)程、進(jìn)度、費(fèi)用和對(duì)策；要通過(guò)國(guó)際合作積極建立可解決爭(zhēng)議的調(diào)停或仲裁機(jī)制。個(gè)人信息處理個(gè)

7、人信息保護(hù)領(lǐng)域目前正在推進(jìn)建立國(guó)際性爭(zhēng)議解決機(jī)制，正在開(kāi)展的行動(dòng)有新西蘭與澳大利亞間個(gè)人信息保護(hù)相關(guān)索賠調(diào)查的跨境合作的共識(shí)（締結(jié)諒解備忘錄）、參與APEC的數(shù)據(jù)保護(hù)探索者計(jì)劃、參與APPA的跨塔斯曼海協(xié)定計(jì)劃、與OEC出間的合作。時(shí)差、語(yǔ)言、地理距離、社會(huì)制度等差異所產(chǎn)生的風(fēng)險(xiǎn)與跨境云計(jì)算服務(wù)提供商所在國(guó)之間的時(shí)差、 語(yǔ)言差異、 地理距離、 社會(huì)成熟度差異等，對(duì)政府信息處理流程的管理與遵守會(huì)造成很大影響， 必須要解決24 小時(shí)持續(xù)提供服務(wù)的服務(wù)臺(tái)的響應(yīng)遲緩等降低運(yùn)營(yíng)質(zhì)量的問(wèn)題。因?yàn)榘踩录l(fā)生后響應(yīng)遲緩會(huì)帶來(lái)不夠好的第一時(shí)間應(yīng)對(duì)、不準(zhǔn)確的報(bào)告等，以及缺乏對(duì)正確情況的把握等問(wèn)題。同時(shí)，因位于不

8、同國(guó)家，受距離的影響，難以具備全局視野，管理會(huì)變得復(fù)雜，治理風(fēng)險(xiǎn)變得更高，尤其是語(yǔ)言差異有 助長(zhǎng)這些問(wèn)題的傾向，這一點(diǎn)需要充分注意。智用云計(jì)算服務(wù)新西蘭政府機(jī)構(gòu)風(fēng)險(xiǎn)管理守則也表示，判斷政府機(jī)構(gòu)是否應(yīng)該使用海外云計(jì)算服務(wù) 最終還要“基于綜合評(píng)估，積極應(yīng)用”。所以，該守則定位為各政府部門(mén)判斷應(yīng)用云計(jì)算服務(wù) 的建議。國(guó)際形勢(shì)、最新技術(shù)、與他國(guó)相關(guān)法律制度之間的差異、各國(guó)通信基礎(chǔ)設(shè)施成熟度 的差異、國(guó)內(nèi)外的經(jīng)濟(jì)摩擦等，這些都是超過(guò)一國(guó)政府可控制范疇的風(fēng)險(xiǎn)因素，在應(yīng)用跨境 云計(jì)算服務(wù)之際，涉及用戶權(quán)利與義務(wù)的最終還是用戶本身。因此，未來(lái)社會(huì)中，就要求用 戶正確理解跨境云計(jì)算的潛在威脅與風(fēng)險(xiǎn)，能夠明智地使用云計(jì)算服務(wù)。為此，政府部門(mén)至 少需要制定云計(jì)算服務(wù)的示范合同條款、云計(jì)算服務(wù)使用守則等兩項(xiàng)綱領(lǐng)性文件。只有使社會(huì)整體