据《卫报》报道,英国40多支警队所持有的高度敏感警务数据存储在微软Azure云平台上,而一份英国官方安全评估认为,这些数据可能被外国行为者和美国政府“侵害”。
报道称,被存放的文件包括犯罪记录、受害者陈述、内部邮件以及英国40多支警队持有的敏感信息。一份警方文件显示,部分文件密级超过“官方”级别,可能被列为“秘密”或“绝密”。Azure是微软主要商业云服务之一,其数据中心、网络设备和光纤电缆等基础设施覆盖100多个国家。近年来,围绕云平台如何存储数据以及是否真正安全,外界存在疑虑。
2017年的一场会议记录显示,英国警方决定将部分最敏感数据放到微软平台。会议由时任伦敦金融城警察局长伊恩·戴森主持。戴森当时还担任全英国高级信息风险负责人,负责为英国警方安全处理数据制定规范。会议评估了警方把数据转移到微软全球云平台后将面临的15项风险,内容既涉及Office 365等微软软件,也涉及支撑这些服务的Azure。由戴森签署的摘要文件显示,警方当时接受“美国政府内部人员”能够看到这些数据,数据可能被“传至全球”,且“范围未知”。
该评估文件还认定,微软软件“存在漏洞,将适时被网络犯罪分子和其他威胁行为者利用”。文件称,警队无法确定其数据将在何处处理或存储;微软云的超大规模和全球性质意味着,警方数据及元数据可能被微软在全球传输和存储,而范围不明。文件特别提到“美国政府内部人员”带来的潜在风险:“存在一种风险,即由美国政府分享或从微软获取的敏感数据,可能被美国政府内部人员攻击者泄露。”文件并称,准备迁移的数据中“很大一部分”密级超过“官方”。
报道称,2013年英国内阁办公室推出“云优先”政策,随后成为推动几乎所有政府部门把数据迁移到“公共云”的政府整体行动,不愿迁移的部门须经过繁琐行政程序。四年后,警方作出了将数据放上Azure的决定。
审查《卫报》调查结果的五名专家认为,2017年文件所识别的风险今天依然存在。目前几乎所有英国警队都依赖微软Azure,英国政府每年在微软软件上的支出至少为19亿英镑。一名曾担任英国警务高级职务的消息人士说,“没有证据表明这已被正确理解”,这些数据是“现存最敏感的信息之一”,“如果落入坏人之手,或者信息不正确,人们可能受伤或死亡”。
当《卫报》就敏感信息可能不安全一事向警方提问时,警方似乎不予重视这些风险,称英国与微软的合同意味着美国当局未经明确许可不能查看数据,且其存储在微软上的数据仍留在英国。这些说法与微软的公开承认相矛盾。微软在2023年向苏格兰警察局披露称,数据“可能流向英国以外”,公司“无法保证数据主权”。微软表示,不会向任何政府提供直接或不受限制地访问客户数据的权限,也没有应美国政府请求提供英国数据;并称与所有美国科技公司一样,会回应通过有效法律程序提出的美国政府请求。