cloud-provider-assessment

云服务提供商隐私评估

概述

由于共同责任模型、多租户架构、全球基础设施以及物理处理位置的抽象化，云服务提供商的隐私评估面临独特挑战。GDPR 第 28 条的义务完全适用于云处理关系，但评估方法必须考虑云服务的具体特点。

ISO/IEC 27018:2019 为保护公有云中的个人身份信息（PII）提供了国际标准，并在 ISO 27001 的基础上补充了针对云服务的隐私控制措施。云安全联盟（CSA）的 STAR 计划提供了针对云服务的安全保证框架。SOC 2 Type II 的隐私信任服务标准涵盖个人数据处理控制措施。

在 Summit Cloud Partners，云服务提供商须接受强化评估，除标准供应商尽职调查外，还须纳入这些针对云服务的框架。

云服务模型及隐私影响

IaaS（基础设施即服务）

方面	控制者责任	提供商责任
静态数据加密	配置并管理密钥	提供加密基础设施
访问管理（应用层）	定义并管理	提供 IAM 平台
网络安全（应用层）	配置安全组、防火墙规则	提供网络基础设施
物理安全	无	全权负责
补丁管理（OS）	控制者（或托管服务）	管理虚拟机监控程序及以下层级
数据备份	配置并管理	提供备份基础设施
事件检测（应用层）	应用层监控	基础设施层监控

PaaS（平台即服务）

方面	控制者责任	提供商责任
应用代码安全	全权负责	无
应用中的数据处理	全权负责	无
运行时和中间件	有限——仅负责配置	管理平台组件
OS 和基础设施	无	全权负责
平台安全补丁	无	全权负责
身份管理	配置	提供身份平台

SaaS（软件即服务）

方面	控制者责任	提供商责任
用户输入的数据	确定要处理的数据	按控制者的指示处理
应用安全	无（配置除外）	全权负责
基础设施安全	无	全权负责
数据可移植性	定义导出要求	提供导出功能
数据删除	请求删除	根据 DPA 执行删除
访问配置	配置用户角色	提供 RBAC 平台

评估框架

领域 1：数据驻留和主权

评估问题：

#	问题	预期证据
1.1	个人数据将静态存储在哪些区域／可用区？	指明数据存储位置的架构文档
1.2	控制者能否将处理限制在特定地理区域内？	显示区域锁定功能的配置文档
1.3	在哪些情况下，数据可能会在所选区域之外处理？	披露任何跨区域处理情况（灾难恢复、支持、分析）
1.4	元数据和遥测数据存储在哪里？	通常存储在提供商所在司法管辖区——必须披露
1.5	支持人员会从哪里访问数据？	支持人员可能访问数据的国家／地区列表
1.6	处理所在司法管辖区适用哪些政府访问或披露义务？	根据 EDPB Recommendations 01/2020 对政府访问权限进行法律分析

领域 2：多租户与数据隔离

#	问题	预期证据
2.1	如何将某个租户的数据与其他客户的数据隔离？	架构文档——逻辑／物理隔离详情
2.2	每个租户是否使用唯一的加密密钥？	密钥管理架构文档
2.3	某个租户的操作是否会影响其他租户的数据？	侧信道及跨租户风险评估
2.4	如何保护共享基础设施组件？	虚拟机监控程序安全性、共享存储控制
2.5	执行过哪些租户隔离测试？	涵盖跨租户攻击的渗透测试结果

领域 3：ISO 27018 云隐私控制

ISO/IEC 27018:2019 在 ISO 27001 的基础上扩展了云环境专属的个人身份信息（PII）保护控制：

控制项	要求	评估检查
A.1	PII 处理者的同意——仅根据控制者的指示进行处理	核实合同条款和处理边界
A.2	目的限制——不得超出控制者指定的目的进行处理	审查处理范围文档
A.3	用于营销——未经同意，不得将 PII 用于营销	确认不会将数据用于变现或营销
A.4	通知——政府提出访问请求时通知控制者	核实政府访问请求通知流程
A.5	披露——记录所有 PII 披露情况	审查披露日志机制
A.10	返还、转移和处置——终止服务时安全处理数据	核实删除流程和认证
A.11	保密性——对人员施加具有约束力的保密义务	核实人员协议涵盖云环境专属风险
A.12	分包——通知控制者启用子处理者	核实子处理者管理符合第 28(2) 条

领域 4：CSA STAR 评估

云安全联盟（CSA）的 STAR（安全性、可信度、保证和风险）计划分为三个级别：

级别	描述	评估方法
级别 1：自我评估	提供商填写 CSA 共识评估倡议问卷（CAIQ）	审查自我评估的完整性及佐证材料
级别 2：第三方审计	根据 CSA 云控制矩阵（CCM）进行独立审计	审查审计报告、范围和发现
级别 3：持续监控	实时监控控制措施的有效性	审查持续监控仪表板和警报

隐私相关的关键 CCM 控制领域：

领域	控制项	与隐私的相关性
DSP（数据安全与隐私）	DSP-01 至 DSP-19	数据分类、保留、清单、隐私保护设计
GRC（治理、风险、合规）	GRC-01 至 GRC-08	治理框架、风险评估、策略管理
IAM（身份与访问管理）	IAM-01 至 IAM-16	访问控制、凭据管理、多因素认证
SEF（安全事件管理）	SEF-01 至 SEF-08	事件响应、违规通知

领域 5：SOC 2 Type II 隐私标准

AICPA 信任服务标准中的隐私标准评估以下方面：

标准	领域	评估重点
P1	告知	提供商向控制者披露隐私实践
P2	选择与同意	控制者可以配置隐私设置
P3	收集	数据收集限于声明的目的
P4	使用、保留和处置	按指示处理；根据 DPA 保留；经认证删除
P5	访问	控制者可以访问并取回其数据
P6	向第三方披露	子处理者的披露与管理
P7	隐私安全	保护 PII 的技术控制
P8	质量	数据完整性和准确性控制
P9	监控与执行	合规监控和违规响应

领域 6：共同责任模型映射

记录每个控制领域的共同责任边界：

控制领域	控制者责任	提供方责任	缺口/风险
数据分类	上传前对数据分类	提供分类工具	[Gap?]
加密密钥管理	[Depends on model]	[Depends on model]	[Gap?]
访问控制（应用层）	[Depends on model]	[Depends on model]	[Gap?]
漏洞管理	[Depends on model]	[Depends on model]	[Gap?]
事件检测	[Depends on model]	[Depends on model]	[Gap?]
数据备份	[Depends on model]	[Depends on model]	[Gap?]
合规报告	[Depends on model]	[Depends on model]	[Gap?]

评估评分

领域	权重	得分（1-5）	加权得分
数据驻留与主权	20%
多租户与隔离	20%
ISO 27018 合规性	15%
CSA STAR 级别	15%
SOC 2 隐私准则	15%
共同责任清晰度	15%
总计	100%

主要法规参考

• GDPR 第 28 条 — 控制者与处理者的关系同样适用于云服务
• GDPR 第 32 条 — 安全措施，包括云服务专属控制措施
• ISO/IEC 27018:2019 — 公有云中个人身份信息（PII）保护实践准则
• ISO/IEC 27017:2015 — 云服务信息安全控制措施实践准则
• CSA Cloud Controls Matrix (CCM) v4.0 — 云安全控制框架
• EDPB Recommendations 01/2020 — 云传输的补充措施
• ENISA Cloud Computing Risk Assessment (2009, updated) — 欧盟云风险框架