隨著雲端服務的日益普及，企業可透過租用的方式，享有雲端服務，輕鬆地使用處理器、儲存容量、網路等基礎的運算資源，毋須自行購置基礎設施，節省成本；而且可按實時需要快速擴展。企業部署技術服務、構思以至實施，都比前快許多，企業因而可自由進行試驗、測試新構思，為客戶帶來不同的體驗，以及實現業務轉型等。
據Statista Q4 2019市場統計，雲端服務市場份額，主要由大公司所佔有，包括美國的AWS（33％）、Azure（18％）、Google Cloud（8％）和 IBM Cloud ( 5% )， 以及中國的阿里巴巴（5％）。由於許多雲端用戶為滿足業務需求，將個人資料存儲在雲端資料庫，需要符合相關數據存儲的規定，因此，大多數雲端服務商都在本地設置數據中心，讓客戶將資料加密，並存儲其中，以滿足有關法律要求。
由於歐洲沒有主要的雲端服務供應商，歐洲企業越來越依賴外國，特別是美國的雲端服務。但根據去年生效的美國的《雲法案》，地方當局可以命令美國供應商，上交存儲在服務器上的任何公司數據，無論該公司位於何處，包括歐盟在內。
缺乏數據自主權和自決權，特別是日益增加的敏感數據，例如知識產權、研究結果、公共衛生信息等，更不應受到外國當局的監控，法例自然引起歐洲企業的不滿和擔憂；加上越來越多的地緣政治憂慮、貿易爭端、政治不確定性，以及普遍對Amazon Web Services之類近乎壟斷的供應商產生懷疑等因素，促使歐洲企業有意將數據的雲端自主權，帶回歐洲本家。
因此，歐洲企業在德國和法國牽頭下，低調地在2019進行一個名為Gaia-X的大計，目的是打造一個歐洲本土的雲端服務，讓歐洲重拾數據的控制權。
為免失去數據的自主權，跨國企業在考慮與全球電子通信服務或遠程計算服務供應商，簽訂服務協議時，應對美國的服務供應商的組織設置，進行盡職調查，調查其是否可以「擁有、保管或控制」非美國分支機構持有的數據。服務接受者應盡量修改服務協議，以限制美國對非美國司法管轄區擁有的取得數據的權力。
而為降低風險，企業應評估與美國服務供應商的協議，以確定其是否可通過使用美國語言鍵盤，有權取得非美國實體在美國境外持有的數據，並在服務協議中，明確列明非美國數據，在非美國數據存儲的位置，須被「隔離」，包括物理上和邏輯上的隔離，並且不能從美國取得。此外，除非當地法律有所禁止，否則企業在簽訂協議前，應以合同語言通知美國服務供應商，作為服務接受者，已收到根據《雲計算法》所提出，具有法律約束力的請求。
如果關鍵數據是存儲在雲端，包括個人專有訊息、機密訊息或個人數據等，企業應利用最新的網絡安全方式，包括靜態加密和傳輸中加密處理，並且確保在任何情況下，加密的密鑰管理，都必須在企業的完全控制下；並在未經數據控制器的允許下，美國雲服務供應商不准取得數據。
撰文：黃永昌 香港電腦學會網絡安全專家小組執行委員會成員