歐盟通用數據保護條例(GDPR)至今已經實施了一年的時間。該法規強調需要強有力的物理安全和可靠的合同協議。那么，數據中心所有者的業務經營和設施運營發生了什么變化?

GDPR法規最大的調整之一是數據的“處理者”有責任幫助“控制者”保護私有信息。對數據中心的影響取決于它們提供的服務類型以及它們與信息本身及其所在系統的距離。

但總的來說，GDPR法規已經促使客戶與數據中心運營商更緊密地合作，詢問更多關于他們的信息存儲在哪里的問題。事實上，根據數據中心所有者的說法，去年有大量客戶要求實地考察，以完成詳細的風險評估。

英國數據中心所有者Node4公司的合規性經理Vicky Withey表示，在實施該法規后，客戶通常希望對數據中心進行風險評估審計。

Withey說，“在過去的一年里，我們的客戶審計人數有所增加：人們希望能夠實地考察并完成問卷調查。他們通常提出這樣的問題：如何保護數據和訪問機架?有時客戶希望合同中有特定的參考，以確認他們有審計要求。”

雖然托管服務提供商并不是數據處理者，但需要確保強大的物理安全性。他們還需要對攝像頭的錄像和其他現場措施等少量數據進行處理。

Timothy Arnold是Six Degrees集團的主管，該公司在英國運營著三個數據中心，并提供一些額外的托管服務。

Arnold表示，在數據中心托管方面，Six Degrees集團擁有的個人客戶數據很少。但作為監管的一部分，它需要評估其為攝像頭和門禁保留的個人客戶信息。

他說，“我們告知客戶數據保留時間會有變化。我們過去通常保存一年的訪問日志，現在我們不需要持有這些日志：在GDPR法規實施后，這些數據我們只保留90天的時間。”

Six Degrees集團還必須為客戶合同添加新的條款和條件，并為其員工提供有關如何處理數據的培訓。

政策與程序

GDPR法規下的“數據處理”涉及范圍很廣：例如，存儲和刪除作為處理方法。因此，該規定對提供此類服務的人產生了更大的影響。

Blancco公司的企業和云計算擦除解決方案副總裁Fredrik Forslund表示，在GDPR法規實施之前的那段時間以及此后的一段時間內，政策修訂和更新已經大量采用。Blancco公司專注于生命周期結束時的數據中心服務，其中包括安全擦除和淘汰硬盤，以永久刪除硬盤、LUN、服務器、虛擬機中的數據。

Forslund說，“作為一個數據中心運營商，其業務模式是提供基于基礎設施的服務，那么在法律方面就會有更多的投資。以前的合同可能很簡單，但現在數據處理者和數據所有者之間的合同要復雜得多。例如，人們會問，‘如果我們退出你的基礎設施會發生什么，如何清理數據?’”

Graham Marcroft是Hyve管理咨詢公司運營和合規總監，該部門負責提供數據中心的基礎設施。他表示，這使得Hyve公司成為一個數據處理者。

根據Marcroft的說法，該法規增加了更多的責任和數據處理者的責任，并與控制者密切合作。同時，控制者需要確保其數據處理器符合GDPR法規。

他說，GDPR法規的實施讓Hyve公司有機會了解現有的政策和程序，并評估這些需要調整或改變的地方。

Marcroft說，“這讓我們看看我們擁有的東西，并相應地調整它以符合要求。”

他表示，Hyve公司在GDPR法規頒布之前就開始對其關注。他說，“我們與律師進行了溝通和探討，以確保合同符合GDPR法規。我們不得不考慮重寫合同要素，我們直接與信息專員辦公室(ICO)聯系，要求澄清特定領域。他們進行了解答，這為合同律師提供幫助，也可以應用于員工培訓。”

例如，Marcroft說，“Hyve公司已經制定了一個‘被遺忘權利’的合同流程。如果需要刪除營銷列表中某人的數據，則必須能夠證明這一點。我們已經制定了相應的程序，以及在簽訂合同時客戶將會告訴我們，‘你必須刪除我們相關的數據，國內服務器，并證明你已經完成。’”

他指出：“例如，用戶需要能夠從服務器提供審計日志，以證明在特定時間刪除了信息。”

Marcroft指出，Hyve公司每月進行兩次內部審核，并已經引入了一些測試，例如詢問員工這樣一個問題，“我希望從系統中刪除數據，告訴我將如何進行。”

簡單合規性

Withey表示，如果組織遵循正確的控制措施，那么遵守GDPR法規作為純粹的主機托管數據中心所有者是比較簡單的。他說，“如果經過強有力的風險評估和良好的風險登記，并檢查物理控制，任何事情都不會出錯。即使電力中斷，也能繼續工作。我們想到了每一個可能發生的事情。”