全球数据隐私法律事务所Hogan Lovells最近发表了一份白皮书，概述了关于政府访问云端数据的研究结果。这份报告是由Hogan Lovells的隐私与信息管理实务主任Christopher Wolf与巴黎办事处的合伙人Wiston Maxwell合作撰写的。

　　全世界的IT媒体都提到了这份研究报告，包括Computerworld、PC World、IT World和IDG新闻。不幸的是，大部分新闻都只是说“美国的爱国者法案没有赋予美国对于数据的特殊权利”，并且淡化了美国和其他十个国家在法律间的差异。

　　的确，在大多数国家，如果政府想要贵公司的数据，那他们就办法可以获取。也的确，如果西方政府想要放在其他西方国家云服务器中的数据，他们也都有办法获取。

　　我在一个信息安全研讨会上亲自跟某位联邦调查局副主任确认了后一种情况。我问她：“如果你需要一家德国公司放在德国云服务供应商的数据，以供美国调查，那你会怎么做?你有权获取吗?”她笑着说出类似以下的回答：“我们只要联络在德国情报单位的同伴，并申请获取这些数据，他们就会提供给我们，因为我们也会在他们下次调查时提供一样的帮助。”当然也有共同法律互助协议(MLAT)来提供法律上的框架，以解决这类问题。

　　这项研究也指出，只有德国和美国有禁制令，规定防止云服务供应商提出所交出的数据是客户付钱要求保护的。这也是“爱国者法案”伤害到美国云服务供应商的一个原因。

　　任何IT安全专业人士都会想知道公司的数据是否被访问过，无论是因为政府合法调查而访问，或是受到网络犯罪攻击。重点在于，这是你的数据，任何人想要看到都需要对你出示合法命令以取得数据。

　　政府在私底下要求你的云服务供应商提供数据，这种做法其实非常卑鄙，同时也会对全世界所有云服务供应商起到很糟糕的后果。因为这种做法从根本上打破了云服务供应商和客户之间的业务信任关系。

　　但从更高角度来看，这则研究证明了一个更大的问题：无论是否同意，只要你在这十个国家的法律管辖范围内，你的数据都会被交出去。专业的IT人员该怎么做?

　　答案只有一个，而且显而易见：加密。如果放在云端的数据是“上锁”的，只有拥有钥匙的人才可以打开，那你就可以受到保护。政府或任何人想要看到你的数据都必需问你要钥匙(循合法途径)，同时如果真是合法要求，这也给了你一个机会去反对这些要求。

　　而这里最重要的细节是，如何处理加密密钥。如果数据和密钥放在一起，都在同一个云服务供应商的设备中，供应商可能会被迫交出你的密钥和数据，这种情况下你依然无法获得保护。

　　但如果数据都经过加秘，安全地保存在云服务供应商的设备上，加密密钥保存在基于策略的密钥管理服务器中，并且放在另一个云服务供应商的设备中，或由你自己控制，那只有获得你授权的人可以获得密钥，而谁能获得授权都将由你决定。

　　换句话说，基于策略的密钥管理可以针对那些来自政府、其他国家政府，甚至犯罪份子的非法数据要求，为你的数据提供保护。

　　如果还没开始在云端使用基于策略的密钥管理，那么是时候问问自己为什么不这么做了。

(责任编辑：)