數據泄露的補償金額通常不足以覆蓋真正實際的損失，尤其發生云端的泄露事故。專家Frank Siemons在這里對數據泄露的和解協議選項進行了討論。
大多數公司在未來幾年內都會經歷一種或另一種形式的數據泄露。根據信息來源的不同，對于會受影響組織的估算也會有所不同，但通常每年有40%至60%的組織遭遇數據的泄露。當這種不可避免的泄露發生時，它可能對公司的財務和聲譽造成毀滅性的后果。傳統的風險管理策略會考慮財務的影響以及事件發生的概率以此來應對確定的風險。有四種選項來管理這些風險：
1.緩解風險：比如，該控制的成本低于可能造成的損失;
2.回避風險：這通常是針對那些會對財務影響重大并且發生概率高的風險;
3.接受風險：組織由于各種原因包括成本效益的原因，決定不實施風險控制;以及
4.轉移風險：通常到第三方保險。
來自一個第三方服務提供商責任方的數據泄露補償不常被列入考慮的范疇，但這種選項應該值得調研。如果云平臺本身遭遇泄露，提供對客戶數據的訪問甚至是跨客戶數據的訪問會發生什么?
數據泄露索賠
大多數有記錄的數據泄露補償案例涉及個人信息泄露，例如2014年Sony Pictures和2015年TalkTalk的數據泄露。在這種情況下，個人信息遭到泄露，而對此負責的組織在法律訴訟之前或之后提供賠償，以補償用戶在金錢或隱私上的損失。雖然復雜了一點，公司之間確實存在一個類似的系統。這通常涵蓋在服務級別協議(SLA)中，其中包括廣泛的服務指標和條款，如對宕機時間和數據泄露的補償。標準SLA的主要問題是，在現實中，數據泄露賠償的價值與一次標準的泄露或斷電可能對組織造成的重大損失相去甚遠。例如，一個組織的網站在黑色星期五銷售期間崩潰，導致了5000萬美元的收入損失。該組織卻只是獲得了6小時的服務積分，價值約300美元。
云環境的細微差別
要深入了解云客戶的安全事件和數據泄露補償的細節，了解這些傳統選項之間的一些關鍵差異很重要。
這里最主要的區別是責任從客戶轉到了云服務提供商。這些責任不僅涵蓋基礎設施的可用性和性能，而且還涵蓋了該服務的安全方面的一部分。這些責任會隨著客戶對于云使用程度的進一步加深而加重。例如，一個云服務提供商在基礎設施及服務模式上的安全責任會比對軟件即服務的模式更重，因為前者所提供的服務比后者又增加了泄露的可能性和風險。攻擊者利用底層云系統發動的攻擊所帶來的潛在損害會變得更大，原因很簡單，因為云平臺控制著更多的服務。
另一個重要的區別是多租戶環境。云提供商是價值很高的攻擊目標，因為可以一下子訪問許多客戶的系統。舉個例子，假設攻擊者獲取了對Azure Web服務平臺或者Rackspace內部基礎架構的訪問。如果這在云采納初期聽起來似乎有點遙不可及，還可以考慮來自內部攻擊的可能。云服務提供商的員工有沒有經過審查，以及該審查過程是否同他們的客戶審查過程一樣使用相同的標準?這仍然是個未知數。
歷史云泄露
即便在云環境中發生的重大跨客戶安全泄露案例在現實中很難找到，然而越來越多的安全專家正在對此巨大的風險提出警告。2015年，伍斯特理工學院的研究人員聲稱他們使用亞馬遜網絡服務實例獲取了位于同一臺機器上的另一個AWS實例的訪問，此舉在一個相當復雜的白皮書中記錄在案。亞馬遜立即淡化了這種風險，表示該攻擊需要目標亞馬遜彈性計算云實例上有“非常罕見的，不太可能預先存在的過時的第三方軟件”。然而，這個例子表明，只是因為數據在云中以及可能被加密過，并不意味著該系統是無堅不摧的。第一個轟動媒體的以云為主題的大型安全漏洞的爆發僅僅是時間問題。
結論
調研并對云數據泄露賠償政策達成一致至關重要。這是由于數據泄露所增加的暴露風險和影響，而這又會增加組織的風險。私人信息的泄露或大范圍的服務宕機所帶來的損失不能簡單地用傳統的SLA賠償金額結算。損失可以高達百萬美金。只是給于幾個月的免費服務在這種情況下根本起不到什么作用。例如，Azure應用網關云服務對于小于99%的正常運行時間只給于客戶25%的服務積分。假設你有一個大型的網店，然后遭遇兩天的宕機時間。那些服務積分甚至都不值得我們花費幾個小時的文書工作來獲得，尤其當你需要處理最近的一次重大斷電事故的善后工作時。
京公網安備 11010502049343號