Sophos 2013 威脅報告警告：企業部署雲服務面臨新型資料安全風險，必須在合約談判階段（資料遷移前）解決。資深安全顧問 Chester Wisniewski 指出，雲服務可能擴大攻擊面、削弱既有安全控制。企業需聚焦三大核心議題。
議題一：如何防止資訊洩露？── 加密前置與易用性平衡
Shadow IT 治理：從「鎮壓」轉向「管控」
Dropbox 等雲端儲存/共享服務讓員工輕易外洩企業資料。企業早期嘗試封鎖，現轉向接受並加控：
- 用戶端加密：資料上傳前在端點加密（如 iPad App 提供加解密），財務/行銷/銷售人員無需精通加密技術即可保護資料
- CASB（雲端存取安全代理）：可視性、合規、威脅防護、資料保護四大支柱，代理雲服務存取
- 資料分類與標籤：敏感資料自動標籤、強制加密/阻斷上傳
關鍵原則：資料進雲端前必須安全
採用「零信任」資料保護：無論儲存位置，資料本身攜帶保護屬性（加密、權限、稽核、失效時間）。
議題二：合約是否規定雲供應商接受適當審查與明確安全標準？
供應鏈攻擊現實：中小協力廠商成大企業滲透跳板
航空航天、國防、高科技產業的零組件製造商、物流商、服務商常因資安成熟度低，成為駭客攻擊大企業的「突破口」。駭客深知：大企業信任其合作夥伴，卻忽略其薄弱防線。
合約必納條款
- 審計權：企業有權檢查第三方系統是否經獨立審計（SOC 2 Type II、ISO 27001、FedRAMP 等）
- 安全基線：明確最低安全控制要求（加密、MFA、漏洞管理、事件通報時效）
- 獨立測試機制：允許企業或第三方進行滲透測試、紅隊演練
- 合規證據：供應商主動提供合規報告，而非事後補證
警示案例
某企業信用卡外洩數月後才進行 PCI 評估，結果顯示合規性長期被忽視。合約若無強制週期性驗證機制，企業將在不知情狀態下承擔風險。
議題三：資料保留、故障轉移、事件回應、監控維護的合約化
- 資料保留與刪除：明確保留期限、安全刪除標準（NIST 800-88）、驗證機制
- 故障轉移與業務持續：RPO/RTO 承諾、異地備援架構、演練頻率與報告
- 事件回應：通報時效（如 24 小時）、聯合調查機制、證據保全、賠責分攤
- 系統監控與維護：維護窗口、變更管理流程、安全更新部署 SLA
- 遷出條款：資料可攜帶格式、遷出協助、無鎖定承諾、過渡期支持
給企業決策者的行動清單
- 法務、資安、採購、業務單位組成跨域小組，共同審視雲服務合約
- 建立雲服務風險評估模型（CSA STAR 自評/認證參考）
- 實施 CASB 獲得雲應用可視性與資料保護
- 納入供應商風險管理（TPRM）流程：準入評估、持續監控、定期覆審
- 定期演練雲端資料外洩情境，驗證合約條款實戰效力