ISO/IEC 27001一直沿用至今。為了處理云計算技術所引發的問題，ISO于2014年秋季創立了一項新的標準ISO/IEC 27018。云服務供應商要采用這一標準以確�？蛻魯祿�安全，讓客戶能夠安枕無憂。這一新標準是對ISO/IEC 27001和ISO/IEC 27002標準的擴展，為云服務供應商如何處理個人可識別信息(PII)的企業提供了指南。對于企業而言，這有點像法律“雷區”，原因之一在于《歐盟一般數據保護條例》(EUGDPR)經過長時間才予以通過，不過，首先需要做的是明確一些法律定義。最關鍵的定義是PII本身，這是所有討論的基礎。
   PII被定義為：
   (a) 可被用于識別與此類信息相關的PII當事人；
   (b) 可直接或間接與PII當事人關聯的任何信息。
   ISO/IEC27018是公有云服務中個人可識別信息保護的一種行為準則。它在體系結構上沿用了被廣泛使用且備受重視的ISO/IEC 27002信息安全控制行為準則的框架。那么，ISO/IEC27018能夠為客戶提供什么？它又為何如此重要？
    個人數據泄露的潛在風險已成為國際首要議程。大量重大信息安全事件已將人們的注意力引向如何保護自己的個人詳細信息。如果審視一系列安全事件以及受影響的人員的數量，您就會清晰了解這一問題的嚴重程度：涉及超過2100萬名政府雇員的美國人事管理局(US Of＆#64257;ce of Personnel Management)的數據被竊��；針對英國電信運營商維爾豪思(Carphone Warehouse)的攻擊使其200多萬客戶受到影響。這些只是2015年一個季度所發生攻擊事件的冰山一角。實際上根據泄露等級指數（BreachLevelIndex,BLI）統計，2015年7.075億數據被泄露。
   而企業對安全的投入比以往更多。根據IDC的統計，到2020年，全球IT安全支出達到1.016億美元。
    許多人已經深諳黑客與社會格格不入的形象；大部分源自外部的攻擊均是由組織有序的犯罪團伙或國家資助的機構所操縱，要采取措施應對此類威脅極其困難。另一個更大的潛在風險是企業內部人員蓄意或無意地為攻擊“敞開大門”。
內部威脅相比之下更加危險，因其往往未被報道或被刻意掩飾。根據普華永道(PricewaterhouseCooper)的研究3，75%遭受因員工所導致的安全攻擊的企業既未被執法，也未受到法律指控。這意味著，此類企業的客戶面臨遭受攻擊的風險，任何在未來雇傭此類人員的公司可能無從知曉其以往的所作所為，從而可能為未來攻擊留下可乘之機。
    2016年上半年就出現64%已識別的數據泄露盜竊，致使保護個人數據令人如此不安，這也絲毫不足為奇怪，特別是，人們為何對云如此恐懼卻對于委托云服務供應商管理數據一直保持著沉默？
    正是出于這些原因，歐盟已實施關于數據保護的新法規，試圖在整個歐洲大陸協調法律狀況。在歐洲，有各種各國特定的數據保護法，這使得云服務供應商的運營極其困難。云可以跨越國際界限，而各個國家的數據安全管理法規卻存在差異。
   企業和云服務供應商擁有和管理數據的方式也是問題的一部分—存在法律分責的情況。它們代表其客戶管理數據，而客戶則對此類數據所發生的情況承擔著法律責任。
   企業真正擔憂的焦點在于：所有云服務供應商都樂于談及其安全專業知識、對于數據保護的投入力度以及設置的防范數據威脅的“屏障”，但潛在焦慮是云服務供應商是否與客戶采取相同的方式來對待機密數據。
于數據保護領域，歐盟正在引入一致性，而美國的狀況則不同。
    一些國家缺乏監管個人數據使用方式的國家法規。各個國家的不同政策還可能導致一定程度的混淆。不同行業的不同法規需求又加劇了這種混淆。所有這些因素相結合促使制定一致的數據保護政策絕非易事。
    為了解決這一問題，美國國家標準技術研究院(National Institute of Standards Technology, NIST)于2015年8月建議聯邦機構“在其任務和決策活動中使用有效和適用的網絡安全國際標準”。隨著美國政府機構實施這些標準，它們將要求其承包商和供應鏈也符合各種標準的要求。