在雲端之上想要探討可能的安全風險，最好的切入點是從找出和雲端有關的資產著手，再來分析它可能面臨的威脅和本身所具有的弱點。其中，有一項無法忽略的資產，就是與雲端服務有關的資料，本期將探討雲端服務與資料安全的重要性。
對組織而言，雲端服務和傳統資訊服務的最大不同之處，在於資料的本身不再像以往可由組織內部的資訊人員來管理，而是完全交由外部的雲端服務供應商。雖然對於用戶來說，藉由服務供應商所提供的管理介面，仍然可以針對資料進行新增、刪除、修改等動作，但事實上這樣的控制程度是很低的，因為用戶完全不清楚資料實際位於何處，以及是否已經完整的進行備份。
雲端資料的安全挑戰
由於雲端的資料會受到來自許多不同用戶端設備的存取，所以在安全風險的思考方面，至少要考慮會有誰（人員、應用程式、系統）能存取這些資料？能夠透過什麼樣的方式（設備、管道）來進行存取？
舉例來說，隨著個人雲端化的時代來臨，許多組織員工為了使用的方便性，可能會將一些含有商業活動的敏感性資料，在未經授權的情況下上傳到雲端，也沒有依照組織的安全政策，實施加密或存取控制等相關安全保護措施。
針對這種情況，建議可以透過一些資安技術的輔助，像是資料庫或檔案存取活動的監控，以及防止資料外洩防護（DLP）方案的部署來提供一些協助。目前，雲端安全聯盟認為和雲端資料有關的安全挑戰，大致可分為以下幾項：
1.資料本身的安全：在傳統的IT環境中，為了達到資料的安全，通常會依照資料的機密性、完整性、可用性、真實性、認證、授權和不可否認性等要素來進行風險的評估，並且採取對應的安全控制措施，這些安全要求到了雲端的時代，仍然是不可或缺的因應作法。
2.資料存放的位置：由於雲端運算的特徵之一為服務資源是透過集中化資源池的概念來提供，可以動態且彈性地調配用戶所需的資料儲存空間，因此用戶對於資料本身所在的位置是難以控制的。如果組織對於資料存放的位置有明確的要求，就需要在合約或服務等級協議中明訂清楚，讓服務供應商來保證資料和備份檔案都會存放在所要求的地理位置內。
3.資料的刪除與銷毀：一旦用戶終止與服務供應商的合約關係，如何確保曾經存放過的資料，已被徹底有效的刪除銷毀，在實務方面來說不太容易。除了要尋求一項可用的技術，能夠有效清除包括儲存空間或虛擬主機上所存放或運算過的資料之外，另外對於資料內容自行加密，或是要求服務供應商提出資料銷毀的切結保證，將會是比較可行的因應作法。
4.不同用戶資料的混合：由於雲端服務採用了虛擬化技術，在同一個實體主機或儲存設備空間，將會提供給多個不同用戶來租用，這也就表示在同一個位置裡，可能會同時存在著不同用戶的資料，對於這些敏感資訊要如何加以區隔，以避免混合之後產生不必要的風險，也被視為是一項安全挑戰。
5.資料的備份與重建：用戶需要有一項清楚的認知，就是在所有的雲端服務中，不見得都會提供備份與資料重建的功能。換句話說，在採用服務之前，用戶必須確認供應商在資料備份方面的實際作法和流程，以避免資料不會受到意外的遺失、覆蓋和損毀，建議也要定期加以測試，確認資料可真正完整的復原。
6.法律所需的資料發現：一旦所採用的雲端服務牽涉到法律案件調查時，如何發現並提供法律訴訟所需的證據，就顯得十分重要。因此，想要確保供應商能夠提供或是用戶能夠發現所需的電子證據，在實務方面仍然存在著許多困難。
7.資料的聚合和推理：如果將大量的資料集中在雲端之上存放，有一個風險為當資料內容可以匯整或相互關聯參照時，也可能洩露出敏感的資訊。舉例來說，像是個人資料的內容如果可以輕易進行交叉比對，那麼所反映出的資訊可能會識別出特定的個人，進而造成個人隱私的不當揭露，因此這個問題也要予以審慎評估。