云端时代政府资料面临新挑战

 

　　David Rubal 表示，许多政府部门都被委以保管机密资料，而且必须处理与判读这些资料以服务百姓。无论这些资料是否牵涉到人民或政府人员的“个人身份资讯”（Personally Identifiable Information，PII），或是受某些法规要求的机密资讯，只要是受监督管理的资料，都必须遵守严格的政策规范，以确保资讯受到足够的安全保护。

 

　　但另一方面，政府机构在樽节成本、系统整并及云端服务控管的要求下，越来越多资料面临走进云端的压力。例如美国联邦政府以“联邦云端运算策略”（Federal Cloud Computing Strategy）规定联邦政府之间必需采用云端项目，但是每当有处理这些资料的程序时，却又只有少数公司具备足够的安全技术认证可以提供 FedRAMP 认证的解决方案。结果是，许多政府机关发现，他们无法使用一些真正吸引他们的领导级 SaaS 应用，也就无法确认这些应用能够为自己机关所管辖的资料提供符合现行资料安全的法规要求。如果把资料交给提供公有云服务的第三方业者，如何处理与储存资料都是一个非常艰钜的挑战，往往又会衍生出其他新的法规遵循与风险管理问题。

 

 

　　法规遵循（Compliance）：又称“合规性”。有些机关所处理的资讯可能要求必需符合某些法规的要求与控制。例如，想要存取美国FBI资料的部门就必需符合“刑事司法资讯服务”（Criminal Justice Information Services，CJIS）资料安全要求。如果想要存取某些美国国防部武器系统的资料必需符合国务院的ITAR 及商务部的 EAR 规定。许多机关可能需要存取个人医疗资讯（Personal Healthcare Information，PHI），那么就必需要符合 HIPAA 的要求。支付卡产业资料安全标准（PCI DSS）：许多机构维护支付卡及民众个人与私人企业的详细金融资料，如帐号、路由号码（routing numbers）等。这些资料所存放的地方，包括云端系统，都必需受到保护。敏感的非机密资讯保护（SBU Protection）：一些机构所处理的是属于“敏感的非机密资讯”（Sensitive But Unclassified，SBU）。关于如何在类似公有云网络环境处理这些资料，美国国家标准暨技术局（National Institute of Standards and Technology，NIST）就提出具体的处理规范。排除采用云端的障碍

 

　　以联邦政府为例，在考虑是否采用云端时所面对的问题相当特别。公有云 SaaS 在资料控管上的常见缺失，就是一个重要问题。云端存取安全代理（Cloud Access Security Broker，CASB）解决方案让政府机关为云端 Apps 提供资料存取的同时，还能维护及控管机密资料、监管资讯及人民个人身份讯息。

 

 

　　完整的云端资料控制：任何资料都不得在机关单位网络之外以“明码”方式分享，资料的加密必需基于使用者定义的“符记化”（tokenization）或加密选项达到“栏位级”（field-level）的控管等级，让相关的政府部门能够确保对资料安全的符号库（token vault）及加密金钥有完整的管控能力。使用 FIPS 140-2 加密并保有云端功能：为了保有云端应用的功能，FIPS 140-2 合规性模组以及相关的认证演算法在加密机密资料及保有关键云端功能都是必要的。经审核的第三方符记化解决方案：符记化技术对于资料的常驻（residency）及资料的管辖要求特别有用，但必须透过相关业界标准稽核与认证。控管移动设备存取的云端资料：机密资料还在部署的机构内时就要栏截下来，并以随机的符记或加密值（encrypted value）来取代，将其转译（render）为无意义的形式呈现，让外部个人或机构能够在存取资料的同时，也能同步储存在云端或移动设备做程序处理。