近期，瑞典曝光了有史以来最为严重的政府数据泄露事件。瑞典交通管理局使用位于境外的服务商提供的云计算服务，因缺乏有效的安全审查机制和数据访问控制措施，导致包括瑞典全国的机动车驾驶人信息，桥梁、地铁、道路和港口等敏感信息，以及该国警方和军方的车辆信息等大量机密信息泄露，造成严重的国家安全威胁。此次事件也为全球轰轰烈烈的政府上“云”提出了警示：上云有风险，选择需谨慎。

大规模的政府数据云端化存储导致数据风险呈现集聚和极化效应，数据一旦失控或者发生泄露，不仅威胁公民个人生活安全，对经济、社会等领域也会产生重大影响，甚至可能威胁国家安全和政治稳定。政府上“云”，一方面可以节约政府成本，提升管理效率，但同时也引发了政府敏感数据是否安全可控的担忧，可谓机遇与风险并存。

为应对风险，近年来多国都在制定和完善政府信息技术和云服务采购制度，加强政府云服务商安全审查，保障政府敏感数据的安全可控。美国通过的《联邦采购条例》《联邦信息安全现代化法案》等构成了联邦各机构保护政府和供应商信息系统安全的制度框架。欧盟和澳大利亚也出台了《政务云的安全和弹性》以及《政府机构的隐私及云计算》等安全标准和指南，为政府提供一系列云安全问题解决方案。

实际上，云服务商可谓是政府云安全治理的最关键一环，选择能够予以信赖的云服务商，可以有效破解云安全信任难题。一方面，政府需要主导对云服务商进行安全认证，尝试建立白名单制度。美国、英国、澳大利亚、新加坡等国已相继开展了云安全认证工作。其中最为典型的是美国“联邦风险和授权管理计划”。该计划要求为美国联邦政府提供云服务的服务商，必须通过安全审查，获得授权。目前，共有86项美国云服务商的服务获得了美国联邦政府的认证。英国于2012年起启动“政府云服务”认证工作，至今已有超过1万项云服务通过了认证，供英国政府部门选择。

另一方面，政府可与云服务商签署网络安全协议。政府可通过建立标准化的安全控制条款、安全事件通知、系统评估和检测、安全尽职调查等，确保第三方承包商产品和服务的安全性。比如美国联邦政府在云服务采购招标文件中规定，向联邦机构提供云计算服务的基础设施必须位于美国境内，用户数据也必须存于美国境内。德国联邦政府在采购协议中要求云服务商必须仅在德国境内处理联邦信息基础设施的敏感数据，并与之签订了“不披露协议”。

多角度确认云服务商的安全状态也必不可少。政府在选择供应商时还需要考虑参与招标的供应商以往的业绩或者其他“非成本评估因素”，供应商以往的业绩记录以及必要的组织、经验、财务、技术和操作控制措施等都是考量的因素。

美国高德纳咨询公司曾经预测，安全性将取代成本节约和敏捷性成为政府部门选择云计算服务的主要考量。政府上“云”已是大势所趋，对各国政府来说，构建综合、全面的云服务审查制度，确保政府数据安全可控也是刻不容缓。