其二 ， 控 。
账号管理：
每个账号明确持有者 ， 并遵循最小权限原则 ， 授予员工有限的资源访问权限；
行为管理：
设置运维操作红线 ， 所有遇到操作客户云上资源、触碰客户的云上业务数据的业务场景 ， 要求提前通过工单、服务单等形式获得客户明确授权 ， 具体到数据库API调用场景 ， 红线禁止绕过已有运维管控流程 ， 做手工API调用 。
通过管+控 ， 将有限的权利赋予正确的人 ， 保证云上数据免受未经授权的访问 。
对外：透明是提升信任的有效手段
再严格的管控手段 ， 深藏平台之后 ， 对用户而言依旧是一个“黑盒” 。
为进一步提升信任 ， 阿里云通过Inner-Action Trail服务将“黑盒”透明化 。 对用户来说 ， 这是一项永久免费的服务 ， 可以接近实时地自动采集并存储云平台侧操作事件 。
五、数据隐私两手抓
最合规云平台
数据和隐私常常会被放在一起讨论 ， 但这是两个不同的概念 。
在阿里云的定义中：

• 业务数据： 客户基于云上应用开展业务所产生的数据 ， 通过云平台提供的服务 ， 加工、存储、上传、下载、分发以及通过其他方式处理的数据；

• 用户数据：客户在使用云服务或产品时 ， 提供给云平台的企业信息、账户信息、联系信息、身份信息、设备信息、日志信息、服务记录等 ， 属于客户隐私 。
  

对于云上的隐私类数据 ， 阿里云同样制定了一套管理体系 ， 保证客户对其所有权和控制权 。
首先
包括人、物理、基础设施、访问控制等十几个方面确保数据在云上的安全性；
其次
设置个人信息保护团队 ， 加强人员培训与机制流程制定；
再次
产品规划遵循默认隐私设计（Privacy by Design）理念 ， 将安全融入到系统和产品设计中 。 所有新发布的云产品上线之前 ， 都必须通过安全+隐私设计的双重评估 ， 确保其合规性 。
还有（one more thing）
阿里云通过大量权威机构的认证 ， 证明个人信息保护能力/数据安全保护能力 ， 已获得：ISO/IEC 27701:2019、ISO/IEC 29151:2017、ISO/IEC 27018:2014、BS 10012:2017在内的关于国际隐私保护标准认证的“全满贯” 。

文章图片

（图：阿里云全球合规认证）
六、明确数据权利和义务
才能践行保护
明确权利和义务 ， 是法律得已践行的基础 。
数据的保护 ， 同理可证 。
在以上所有保障手段之上 ， 阿里云更近一步 ， 明确了用户对不同类型数据的权利与义务 ， 并通过法律法规、资质认证等多种手段保障权利和义务的履行 。
阿里云郑重承诺：

• 客户的数据完全归客户所有；
• 客户对数据拥有控制权 ， 可进行删除、更改等操作；
  
• 未经许可 ， 阿里云不会接触、操作、更改客户数据；
  

但同时 ， 也强烈建议所有云上用户 ， 为了自身数据安全 ， 应妥善管理存在云上平台的数据以及进入和管理云平台产品的服务口令、密码等 ， 并正确地配置并使用云上安全工具 ， 保护自身重要数据不泄露 。

文章图片

（图：云上存储介质一生）
更多详细信息 ， 参考阿里云最新发布《数据安全和隐私保护白皮书》 ， 阿里云将持续致力于云上数据和隐私保护建设 ， 为客户提供更安全的云上服务 。