國內(nèi)外的監(jiān)管部門沒能力也沒必要辨別一個 IP 背后是物理機還是虛擬機，在他們來看各大云平臺就是 IDC 和 CDN，以前對 IDC 的監(jiān)管手段同樣適用于云平臺。云平臺因其資源服務(wù)租賃的屬性，還可以做更精細化的監(jiān)管配合工作。

[[205425]]

云平臺要做的合規(guī)工作就是身份核查、內(nèi)容自查和配合調(diào)查。

第一. 身份核查

身份核查即某個網(wǎng)站出問題了可以定位到承擔(dān)責(zé)任的自然人或企業(yè)法人，找不到責(zé)任人那就是網(wǎng)絡(luò)接入商的責(zé)任。當(dāng)客戶開通網(wǎng)站時需要進行 ICP 備案，如果是特殊行業(yè)還需要經(jīng)營類 ICP 證、游戲網(wǎng)文備、VOIP 通訊備等資質(zhì)證明。

云平臺都提供新域名的 ICP 備案申請和老備案號新增接入，這個服務(wù)一般是免費貼人力進去的。但我也聽過有的客戶一次要新增幾千個域名備案被云平臺拒絕的，這不僅僅是云平臺人力賠本的問題，而是惡意阻塞后端主管機構(gòu)的辦公秩序。至于 ICP 備案審核的速度其實和云平臺關(guān)系不大，沒有哪個云平臺可以要求全國各地主管機構(gòu)為其單獨開 VIP 通道。

ICP 備案的重要信息就是 IP 地址，而云平臺大都使用浮動公網(wǎng) IP。云平臺需要防備 ICP 備案 IP 意外釋放，備過案的 IP 后臺保留三個月也花不了幾塊錢;大中型云平臺需要過濾 HTTP 封包，避免違規(guī)客戶通過換端口換 IP 的方式違法運營;如果是一個小規(guī)模云平臺無力支撐 HTTP 防火墻，那就在 80、443、3128 這類高危端口做僅限白名單放行的設(shè)置。對于只用 HTTP 做 API 接口的用戶，最好不要用默認的 80 端口。

第二.內(nèi)容自查

云平臺在提供主機和 VPS 服務(wù)時為網(wǎng)站服務(wù)進行 ICP 備案服務(wù)，但云平臺也提供對象存儲和 CDN 服務(wù)，還需要對內(nèi)容自查，做適度的黃反識別和版權(quán)保護。

因為國內(nèi)有 ICP 備的存在，黃反內(nèi)容的責(zé)任主體是客戶，甚至某些臨時管制只能算誤傷客戶。但云平臺有快速消除不良內(nèi)容的責(zé)任，每個云平臺都有強制全網(wǎng)刷緩存的功能。

大家不要以為開展國際業(yè)務(wù)就可以自由裸奔，外國沒有 ICP 備案很可能找不到責(zé)任人，如果有敏感內(nèi)容只能抓云平臺頂缸，云廠商處理不當(dāng)可能面對更嚴酷的法務(wù)風(fēng)險和業(yè)務(wù)中斷威脅。

在海外開展云計算業(yè)務(wù)時，我們要定期檢查聯(lián)絡(luò)郵箱是否有司法公函(注 1)提及下列內(nèi)容：

1. 黃賭毒內(nèi)容，部分國家合法部分國家違法;注意違法的理由可能是法律禁止此類網(wǎng)站，也可能是此網(wǎng)站存在盜版或者偷稅要依法關(guān)停。
2. 版權(quán)侵權(quán)問題，這個問題處置不當(dāng)可能會面臨 9 位數(shù)的天價罰款。某軟件赴美上市時封禁了很多影視資源其實掃黃無關(guān)，就是怕被告盜版而已;好多老外翻墻到中國國內(nèi)就是為了找免費游戲、音樂和電影。
3. 兒童色情問題，這是最嚴肅的死線，過線即死。某云平臺忽略了相關(guān)司法公函，最終導(dǎo)致海外業(yè)務(wù)域名被封禁三天。
4. 極端政治言論，這些信息要快速傳播必須依賴社交平臺，所以由社交平臺來負責(zé)刪帖，有其他責(zé)任人背鍋了，那云平臺的風(fēng)險就小了。

在做一個跨國云平臺的時候，我們還要考慮哪些數(shù)據(jù)堅決不能送出中國，以及哪些數(shù)據(jù)不能離開美國，越大的公司越要注意法務(wù)風(fēng)險。

第三.配合調(diào)查

當(dāng)前監(jiān)管部門還不了解云計算平臺有比 IDC 更進一步的服務(wù)能力和證據(jù)保全能力。一個守法企業(yè)應(yīng)該主動配合做刑事犯罪的證據(jù)保全工作，這些證據(jù)甚至可以用于證明嫌疑人是無辜的。

如果遇到涉及刑事犯罪的網(wǎng)站，在收到正式法務(wù)公函以后，云平臺技術(shù)上可以盡量保存涉案證據(jù)：

1. 凍結(jié)賬戶，讓嫌疑人無法修改釋放資源。
2. 斷開云主機、容器等的公網(wǎng)連接，但斷開之前做 1 分鐘數(shù)據(jù)抓包。
3. 所有云主機做系統(tǒng)盤、數(shù)據(jù)盤鏡像和內(nèi)存轉(zhuǎn)儲，其他云資源也做類似數(shù)據(jù)保全操作。
4. 云存儲設(shè)置為不可寫不可刪除狀態(tài)，但重置只讀密鑰。
5. 將嫌疑人的賬戶注冊信息、登陸信息、計費用量信息導(dǎo)出。

沒有運營人員敢硬杠刑事法規(guī)，但對民事法規(guī)還是比較漠視。比如一個云平臺客戶運營游戲私服，正版游戲廠商找上門了就別裝腔作勢，正規(guī)云平臺應(yīng)該像正規(guī) IDC 一樣清退這類客戶(注 2)。但云平臺也沒有對民事糾紛的舉證義務(wù)，不可能為一個民事糾紛將客戶信息泄露給第三方。