Суверенитет данных — это принцип, согласно которому цифровая информация регулируется законами страны, в которой она собирается или хранится.
Содержание
Значение суверенитета данных
Организация может быть владельцем данных, но подчиняются они законодательству страны, в которой физически хранятся.
Суверенитет данных важно учитывать при планировании перемещения данных и управления ими, особенно в эпоху распространения облачных сервисов. Понимание этой концепции помогает обеспечивать комплаенс, управлять рисками кибербезопасности и поддерживать доверие клиентов.
Как определяется суверенитет данных?
Суверенитет данных определяется рядом факторов, в том числе:
Местоположение физического хранилища. Самый очевидный фактор — место хранения данных. Данные, размещенные в центре обработки данных в конкретной стране, подпадают под действие законов этой страны.
Владелец и контролер. Даже если данные хранятся локально, но их контролером выступает иностранный поставщик услуг, иностранные законы, такие как Закон США CLOUD, могут разрешать властям страны поставщика доступ к данным.
Международная правовая база. Международные договоры, соглашения о взаимной юридической помощи и развивающиеся международные законы еще больше усложняют вопросы суверенитета.
Например, европейская компания, которая хранит данные в Германии, используя облачные услуги поставщика из США, будет обязана реагировать на юридические запросы американских властей в соответствии с законодательством США, даже если данные физически расположены в Европе. Суверенитет — это сложная и многомерная область риска, которая требует тщательного планирования и изучения законов.
Как работает суверенитет данных?
Суверенитет данных определяется сочетанием законов, технических стратегий и деловых соглашений:
Национальные требования. Правительства устанавливают стандарты защиты данных и ограничения на передачу данных за границу, например GDPR или Закон Австралии о конфиденциальности.
Соглашения с поставщиками услуг. В договорах с поставщиками облачных сервисов или ИТ-услуг должны быть указаны места хранения данных, обязанности в зависимости от юрисдикции и правила реагирования на запросы от судебных или правоохранительных органов.
Технические средства контроля. Организации часто прибегают к таким инструментам, как шифрование данных с локально управляемыми ключами, технологии геоозонирования и строгие региональные стратегии хостинга.
Неумение управлять суверенитетом данных может привести к крупным штрафам, перебоям в работе и потере репутации.
Суверенитет, резидентство и локализация данных
Суверенитет данных, резидентство данных и локализация данных — все это тесно связанные термины, которые касаются различных аспектов управления данными за границей:
Резиденство данных — их физическое расположение. Например, компания может хранить данные клиентов в Ирландии, а не в США, чтобы соблюдать европейские требования к конфиденциальности. Резиденство определяет, где изначально хранятся данные, но само по себе не препятствует доступу к данным или их перемещению через границы.
Суверенитет данных — более сложное понятие. Речь идет не только о том, где физически хранятся данные, но и о том, законы какой страны на них распространяются, независимо от местоположения. По законам США государственный орган в США может заставить поставщика облачных услуг из США предоставить данные, хранящиеся в Европе, даже если сами данные никогда не покидали Европу.
Локализация данных применяет самые строгие правила. Она требует, чтобы определенные типы данных, такие как финансовые записи, медицинская информация или данные национальной безопасности, хранились и обрабатывались исключительно в пределах страны. Примерами являются российские законы о персональных данных и индийские механизмы защиты данных, которые требуют строгой локализации конкретных типов данных.
Если вкратце, резидентство связано с хранением, суверенитет — с контролем и законодательством, а локализация — с обязательным хранением и обработкой данных в пределах страны.
Почему суверенитет данных важен для кибербезопасности
Суверенитет данных ложится в основу стратегии кибербезопасности по нескольким причинам:
Контроль доступа к данным. Данные, регулируемые законами другой страны, могут подвергаться надзору или принудительному раскрытию, возможно даже без согласия владельца. Стратегии, учитывающие суверенитет, обеспечивают большую предсказуемость и защиту чувствительной информации.
Комплаенс и регуляторные риски. Такие правила, как GDPR, HIPAA и CCPA, устанавливают строгие меры контроля в отношении перемещения и защиты данных. Нарушение этих требований может привести к серьезным последствиям, включая многомиллионные штрафы.
Защита от атак, финансируемых государством. Вопросы суверенитета помогают организациям защититься от геополитических рисков. Размещение чувствительной информации в регионах с высоким риском государственного надзора или киберагрессии повышает вероятность кибершпионажа и утечки данных.
Доверие клиентов и репутация. Клиенты все больше заботятся о том, где находятся их данные и кто может иметь к ним доступ. Демонстрация надежных практик суверенитета данных может служить конкурентным преимуществом в областях, где особенно важна конфиденциальность.
Соблюдение принципов суверенитета — это не просто вопрос комплаенса, а основа устойчивых и надежных программ кибербезопасности.
Ключевые проблемы суверенитета данных
Поддержание суверенитета данных связано с некоторыми трудностями:
Конфликты между юрисдикциями
Международные компании часто сталкиваются с конфликтующими юридическими обязательствами. Поставщик облачных услуг должен выполнять запросы из одной юрисдикции, которые могут противоречить законам о конфиденциальности данных в другой. Для решения этих конфликтов требуются сложные правовые стратегии и часто меры по локализации.
Государственный контроль и право доступа
Иностранные правительства могут на законных основаниях требовать доступ к данным в интересах национальной безопасности или по запросу правоохранительных органов. Например, закон США CLOUD дает американским властям право доступа к данным, хранящимся за границей американскими компаниями, даже если они размещены в «безопасных» юрисдикциях. Компании должны понимать эти риски и при необходимости обсуждать их снижение.
Фрагментированная облачная инфраструктура
Многие поставщики облачных услуг распределяют данные по нескольким регионам по причинам производительности и резервирования. При таком распределении почти невозможно гарантировать, что все копии набора данных останутся в пределах страны или региона, что усложняет соблюдение требований.
Суверенитет данных в облаке
В контексте суверенитета облако представляет как возможности, так и риски:
Общедоступные облачные среды часто перемещают данные, так что они непреднамеренно попадают в разные юрисдикции без прямого контроля со стороны клиентов.
Частные и гибридные облака дают больше контроля над местоположением данных, предлагая компаниям более строгие меры для обеспечения суверенитета.
Рекомендации для поддержания суверенитета:
Выберите хостинг в конкретном регионе. Некоторые поставщики облачных услуг предлагают «суверенные облака», которые гарантируют региональное хранение и управление данными.
Используйте управляемые клиентом ключи шифрования. Контролируйте шифрование независимо от поставщика облачных услуг, чтобы предотвратить доступ третьих лиц без вашего согласия.
Тщательно изучайте договоры. Проверьте соглашения об уровне обслуживания (SLA) на предмет юрисдикционных рисков и прозрачности перемещения данных.
Реализация строгих средств контроля доступа. Ограничьте круг лиц, имеющих доступ к чувствительным данным, в зависимости от роли, региона и нормативных требований, поддерживая непрерывный мониторинг.
Суверенитет данных в AWS
Для руководителей, оценивающих облачную стратегию, суверенитет данных является важнейшим фактором. Несмотря на то, что AWS предлагает региональный хостинг данных, в связи с глобальной инфраструктурой и юридическими обязательствами в США данные клиентов по-прежнему могут подпадать под действие иностранной юрисдикции.
Для компенсации этих рисков AWS предоставляет инструменты, которые улучшают контроль и соответствие требованиям, в том числе:
хранение данных в пределах региона в соответствии с местными требованиями;
выделенные хосты для эксклюзивного управления инфраструктурой;
управляемые клиентом ключи шифрования для полного контроля доступа к данным.
Эти возможности обеспечивают комплаенс и снижают правовые риски, поддерживая ключевые приоритеты организаций, работающих в регулируемых отраслях или в нескольких странах.
Чтобы узнать, как Trend Micro помогает защитить среды AWS, поддерживая комплаенс и суверенитет данных, посетите нашу страницу с решениями для безопасности облачных сервисов AWS.
Законы о суверенитете данных в разных странах
Для работы в нескольких странах необходимо понимать соответствующие законы о суверенитете данных. В таблице описаны основные требования, их влияние на облачные хранилища и практические соображения по комплаенсу:
Страна
Основной закон
Ограничения облачного хранилища
Примечания
США
Закон CLOUD + отраслевые законы
Нет требований к национальной локализации; данные, хранящиеся в компаниях США, доступны по всему миру
Поставщики в США обязаны предоставлять властям доступ к данным независимо от места их хранения
Китай
Закон о защите персональных данных (PIPL)
Требуется оценка безопасности для при передаче данных за границу; строгие правила локализации для критических данных
Акцент на национальной безопасности и суверенитете данных
Китай
Закон КНР о национальной разведке
Данные, хранящиеся в китайских компаниях, доступны по всему миру
Поставщики в Китае обязаны предоставлять властям доступ к данным независимо от места их хранения
Великобритания
GDPR в Великобритании
Персональные данные могут передаваться по всему миру с соблюдением мер безопасности
Контролируется Управлением комиссара по информации. Возможно отступление от GDPR в ЕС после выхода Великобритании из ЕС.
Германия
Bundesdaten-schutzgesetz (BDSG) + GDPR в ЕС
Данные должны храниться в пределах ЕС или в странах, обеспечивающих эквивалентную защиту данных
Строгий контроль; высокие штрафы за нарушения. Предпочтителен локальный хостинг.
Франция
CNIL и GDPR в ЕС
Как и в Германии, передача данных требует адекватных мер безопасности
CNIL поддерживает локальный хостинг; хосты должны обеспечивать защиту конфиденциальности.
Австралия
Закон о конфиденциальности от 1988 г.
Требуются разумные меры для контроля соблюдения требований зарубежными получателями
В настоящий момент закон пересматривается. Возросли наказания за нарушения.
Индия
Закон о защите цифровых персональных данных (DPDP, 2023)
Запрещает передачу определенных персональных данных без согласия
Локализация чувствительных данных обсуждается. Растет контроль за соблюдением.
Бразилия
Lei Geral de Proteção de Dados (LGPD)
Допускает передачу данных за границу на соответствующей правовой основе
По-прежнему развивается; Национальная служба защиты данных (ANPD) все строже контролирует соблюдение.
Как соблюдать требования к суверенитету данных
Организации, стремящиеся соблюдать требования суверенитета данных, должны разработать интегрированную структуру управления данными со следующими компонентами:
Комплексная классификация данных. Разделяйте данные на категории с учетом их чувствительности, требований регуляторов и географических ограничений для обеспечения персонализированной защиты.
Стратегическое шифрование. Шифруйте данные при хранении и передаче и используйте ключи шифрования с управлением в той же юрисдикции, где находятся сами данные.
Локальный хостинг и резервирование. Выбирайте поставщиков хостинга, которые могут гарантировать работу центров обработки данных в вашей стране и включайте в планы переключения при отказе требования к суверенитету.
Управление рисками поставщиков. Проверяйте всех сторонних поставщиков, чтобы убедиться, что они соблюдают требования к суверенитету и комплаенсу, особенно при привлечении субподрядчиков или репликации данных в другие страны.
Непрерывный мониторинг соблюдения законов и требований регуляторов. Следите за развитием законов о защите данных и будьте готовы адаптировать свои стратегии использования облака и хранения данных.
Организации, которые инвестируют в архитектуры для поддержки суверенитета, не только сокращают риски, связанные с комплаенсом и правовыми вопросами, но и демонстрируют лидерство в области ответственного управления данными.
Преимущества Trend Vision One™ — суверенное и частное облако
Обеспечение суверенитета данных
Обеспечьте суверенитет данных в соответствии со строгими нормативными требованиями для работающих в регулируемых отраслях организаций — защищайте данные внутри географических границ с помощью Trend Vision One – SPC.
Комплексная защита от угроз
Гибкое развертывание
Настройте развертывание Trend Vision One — SPC в соответствии с вашими потребностями в суверенитете данных, оптимизировав его для установки в частном облаке, в не подключенных к интернету и автономных средах, чтобы получить гибкую защиту.
На должности вице-президента по управлению продуктами в Trend Micro Джо Ли руководит глобальной стратегией и разработкой продуктов в сфере корпоративных решений для электронной почты и сетевой безопасности.
Часто задаваемые вопросы
Что такое суверенитет данных?
Принцип, согласно которому данные регулируются законами страны, в которой они хранятся или обрабатываются.
Как обеспечить суверенитет данных?
Путем локального хранения данных, привлечения поставщиков облачных услуг, соблюдающих требования к суверенитету, и применения средств шифрования и контроля доступа.
Какие законы о суверенитете данных действуют в Великобритании?
GDPR в Великобритании и Закон о защите данных от 2018 года регулируют порядок хранения, обработки и передачи персональных данных за пределы Великобритании.
Как суверенитет данных влияет на глобальные предприятия?
Требования к суверенитету определяют место хранения и обработки данных и влияют на обеспечение комплаенса, затраты и операционную гибкость.