新西兰政府的“云计算保护”

2009年，“云计算”横空出世并成为热门趋势，至今已有3年。其间，世界许多国家对跨境云计算服务进行了深入研究，如：新西兰政府很早就以提示用户风险管理的形式采取了行动。跨境云计算是一个新潮流，可以带动信息产业的新发展，但同时需要采取有效的信息安全措施，才能让用户安全使用云计算服务。

一、新西兰政府制定的云计算风险管理守则

如果政府机构率先使用云计算服务，就可以实际体验跨境云计算服务，规划风险管理，为建立支持云计算服务跨境化的法律制度环境打下基础。

(一)新西兰政府制定的风险管理守则

新西兰政府2009年4月公布了《政府机构风险管理守则》，将“利用设置于海外的服务器处理政府信息”或“将政府信息存储于海外数据中心”作为管理对象。这一面向政府机构的风险管理守则在以下几方面有较深的含义，与针对个人信息保护的美国安全港规则、EU的《个人信息发送至第三国的标准守则》等同样值得研究。

从更广泛的数据来源，汇集或分类使用跨境云计算服务，有可能存在致使政府信息泄露的风险;

并非一律禁止使用，而应按照不同信息资产，进行风险管理评价。对于潜在风险与应用所带来的效果，用户应该综合考虑，自己判断是否使用跨境云计算服务;

由于新西兰法律与其他国家法律存在的差别，所以存在新西兰国内法律所保护的个人信息等有可能不被在他国境内运营的云计算服务供应商所保护的风险。

(二)政府机构风险管理守则中的“必须考虑的风险”

新西兰政府机构风险管理守则中规定使用跨境云计算服务时，政府机构必须要考虑的10大风险。

(三)施加给相关政府机构的法律制度及守则

1.适用法令

在跨境化的云计算服务中保存政府信息或用海外数据中心的服务器处理政府信息等工作委托给海外企业时，应该遵守如下三项相关法律。

(1)个人信息保护法(Privacy Act 1993)

个人信息保护相关事项是政府信息中一个在重要方面。

(2)信息公开法(Public Records Act 2005)

由政府机构服务所生成的数字信息要符合信息公开法，该法中要求确保对这些数字信息内容、访问方法、利用方法的综合管理。

(3)财政法(Public Finance Act 1989 s.65ZC)

关于政府机构与跨国企业(假设是海外云计算服务提供商)之间的合同中的免责事项等条款，需要根据财政法接受财务部的监督。

2.相关政府守则

除了上述法令之外，新西兰政府要求制定行政服务的完整性、可持续性、政府机构采购规则、政府网站外部委托规则、信息安全守则、ICT相关合同中的知识产权规则、个人信息保护守则等，并要求在政府机构使用这些跨境云计算服务时遵守这些守则。

二、政府机构使用云计算服务的风险管理要点

关于将政府信息保存于云计算服务或者通过云计算服务处理政府信息等方面，不管云计算服务提供商是否在国内，都会存在潜在的风险。但是，参照“政府机构风险管理守则”，尤其是从海外接受服务时，因该特别考虑的如下的风险管理点。

(一)国际形势与国际关系之中的国家利益

(1)国际形势

针对海外法律制度不成熟的地区或国家，充分考虑到最坏情形。针对这些地区或国家的具体情况，最高可作为“无法接受的风险”，不与其建立任何云计算服务往来。某个地区或国家是否满足条件，可以参考如下信息。

各国政府的公开性及透明度报告

新西兰通信安全局的官方建议

新西兰安全信息局的“外国硬件、软件、服务相关的安全危险”建议(责任编辑：admin)