資料主權是指數位資訊的蒐集或儲存須受到其所在國家法律的管轄。
目錄
資料主權的意義
雖然資料可能是企業所擁有的，但它的實體儲存地點會決定資料將受到哪個國家的法律系統所管轄。
資料主權是資料如何移動、以及如何在全球受到管理的整個大問題當中的一環，尤其，企業越來越仰賴跨境雲端服務，了解這個概念，對於確保合規、管理網路資安風險，以及維持客戶信任至關重要。
資料主權是如何決定的？
資料主權取決於幾項因素，包括：
實體儲存地點：最直接的影響因素就是資料儲存的位置，當資料儲存在某國境內的資料中心時，就受到該國的法律所規範。
所有權與控制權：即使資料是儲存在本地端，但如果是由外國服務供應商所控制，例如像美國雲端法案 (U.S. CLOUD Act) 這樣的外國法律還是有可能讓外國政府機關擁有資料的存取權。
國際法律框架：條約、司法互助協議，以及持續演變的國際法規，都可能讓資料主權的問題變得更加複雜。
比方說，一家使用美國雲端供應商、並將資料儲存在德國的歐洲公司，仍可能必須依據美國法律的規定接受美國政府機關所提出的要求，即使資料的實體位置在歐洲。主權是一個複雜而多面向的風險領域，需要有詳盡的規劃以及法律專家的指引。
資料主權如何運作？
資料主權必須結合法律、技術策略以及商業合約來加以鞏固：
國家法規：政府會制定資料保護標準及限制來規範資料如何跨境傳輸，例如：GDPR 或澳洲的隱私權法 (Privacy Act)。
服務供應商協議：與雲端或 IT 服務供應商簽訂的合約，應明列儲存地點、司法責任，以及面對法律請求時的處理方式。
技術控管：企業通常會部署一些工具，例如：資料加密與本地端管理的金鑰、地理圍欄 (geo-fencing) 技術，以及嚴格的區域性代管策略。
企業若疏忽了資料主權的實際執法情況，很可能會面臨重大罰鍰、營運中斷以及商譽損失。
資料主權、資料落地、資料在地化的差別
資料主權 (data sovereignty)、資料落地 (data residency) 以及資料在地化 (data localization) 是幾個彼此密切關聯的名詞，分別代表跨境資料管理的不同層面：
資料落地是指資料儲存的實體位置，例如，某家公司可能決定將客戶資訊儲存在愛爾蘭而非美國，以符合歐洲的隱私權要求。資料落地決定了資料最初的儲存位置，但它本身無法防止資料被跨境存取或移動。
資料主權又更進一步，它不僅規範資料的實體存放地點，更規範誰的法律對資料擁有管轄權，不論在哪裡。美國政府機關可能強迫一家位於美國的雲端供應商，根據美國的法律交出儲存在歐洲的資料，即使資料本身從未離開過歐洲。
資料在地化的規定最為嚴格，它要求某些類型的資料，例如金融記錄、健康資訊或國家安全資料，必須完全在該國境內儲存和處理。例如：俄羅斯的個人資料法，以及印度提出的資料保護框架，就要求某些類型的資料必須嚴格在地化。
簡而言之：「落地」規範的是儲存地點，「主權」規範的是控制權與法律管轄權，而「在地化」則是強制必須在國內儲存和處理。
為何資料主權對網路資安很重要
資料主權正逐漸成為網路資安策略的其中一項支柱，原因如下：
掌控資料存取：受到外國管轄的資料有可能被監視或強制揭露，而且很可能未經擁有者同意。具備主權意識的策略，可確保敏感資訊的可預測性與保護。
合規與法律風險：GDPR、HIPAA 以及 CCPA 等法規都嚴格限制資料可傳送的地點，以及如何加以保護。違反這些規定將導致嚴重的懲罰，包括數百萬美元的罰鍰。
防範國家級威脅：主權的考量有助於企業防範地緣政治風險，將敏感資料存放在容易遭到監視或網路入侵的地區，會增加遭遇到網路間諜活動或資料外洩事件的可能性。
客戶信任與信譽：客戶越來越在乎自己的資料位於何處，以及誰可能存取這些資料。良好的資料主權實務在注重隱私的市場上是一種競爭優勢。
遵守資料主權原則不只是一項合規問題，更是建構強韌、值得信賴的網路資安計畫的基本元素。
資料主權的主要挑戰
儘管資料主權很重要，但資料主權的維護仍是營運上的一大挑戰：
司法管轄的衝突
全球企業經常發現自己陷入了彼此衝突的法律義務當中，雲端供應商必須遵守某個司法管轄區的要求，但這些要求卻可能與另一個管轄區的資料隱私權法律牴觸。要應付這些衝突，就需要細緻的法律策略，而且經常需要搭配一些在地化措施。
政府的監視與合法存取
外國政府有可能基於國家安全與執法的要求而合法強制存取資料。例如，美國雲端法案賦予了美國政府機關權利來存取美國企業儲存在國外的資料，就算資料是存放在「安全的」司法管轄區內。企業必須留意這項潛在風險，而且必要時還得討論該採取什麼措施來防範。
零散的雲端基礎架構
許多雲端服務供應商都會基於效能與備援的考量，將資料分散至多個地區。這樣的架構很難確保某項資料的所有複本都隨時待在某個國家或法律的邊界內，進而增加了合規的複雜性。
雲端內的資料主權
雲端為資料主權帶來了機會，也帶來了風險：
公有雲環境的資料儲存位置通常相當動態，因此很可能無意間讓資料暴露於多個司法管轄區，客戶無法直接加以監督。
私有雲與混合雲對資料的位置擁有較大的控制權，讓企業能強制套用更嚴格的主權措施。
為了維護雲端環境內的資料主權，企業應該：
選擇地區限定的代管：有些雲端廠商提供了「主權雲端」解決方案來保障資料的儲存與管理都在該地區內。
使用客戶自行管理的加密金鑰：採用獨立於雲端廠商的加密方式來防止第三方在未經同意的情況下存取資料。
仔細檢查合約：檢查服務等級協議 (SLA) 當中是否有司法管轄風險條款，並確保資料流動地點的透明度。
實施嚴格的存取控管：根據職務、地區和法規的要求來限制誰可以存取敏感資料，並持續保持監控。
AWS 資料主權
對於負責評估雲端策略的領導人來說，資料主權是一項至關重要的考量。儘管 AWS 提供了地區性資料代管服務，但其全球化的基礎架構以及必須符合美國法律的義務，仍可能讓客戶的資料暴露在外國的管轄之下。
為了協助防範這類風險，AWS 提供了一些工具來強化控管與合規，包括：
地區限定的儲存，符合當地法規。
專用的主機，完全掌控基礎架構。
客戶自行管理的加密金鑰，保有對資料的完全掌控。
這些功能有助於強化合規，降低法律曝險，同時也是任何受監管產業或跨境營運企業的優先要務。
欲了解趨勢科技如何協助保護 AWS 環境的安全並支援資料主權與合規，請至我們的 AWS 雲端防護解決方案網頁。
各國的資料主權法律
了解各國資料主權法律之間的差異，對全球化營運至關重要，下表列出各國的主要法規、雲端儲存的限制，以及合規上的實際考量：
國家
主要法律
雲端儲存限制
備註
美國
雲端法案 (CLOUD Act) 以及特定產業的法律
美國並無在地化規定，美國企業持有的資料全球都能存取。
美國的供應商，不論其資料儲存在哪裡，都有可能被美國政府存取。
中國
個人資訊保護法 (PIPL)
海外資料移轉需經過資安評估，關鍵資訊必須嚴格遵守資料在地化規定。
其焦點在國家安全和資料主權。
中國
中國國家情報法
中國企業持有的資料在全球都能存取。
中國的供應商，不論其資料儲存在哪裡，都有可能被中國政府存取。
英國
英國 GDPR
個人資料可在國際間傳輸，但要有保護措施。
由 ICO 負責強制執行，英國脫歐後很可能會與歐盟 GDPR 有所不同。
德國
個人資料保護法 (BDSG) 和歐盟 GDPR
資料應儲存在歐盟境內或有能力落實保護的國家。
執法嚴格，違規會帶來高額罰鍰。偏好在地的主機代管。
法國
CNIL 與歐盟 GDPR
與德國類似，資料傳輸需要有充分的防護。
CNIL 支持在地的主機代管，主機必須確保隱私安全。
澳洲
1988 年隱私權法案 (Privacy Act 1988)
必須採取合理措施來確保海外接收者會遵守。
該法案正在進行修訂，已提高違規罰鍰。
印度
數位個人資料保護法 (DPDP，2023 年)
禁止在未經同意的情況下傳輸某些個人資料。
目前正在討論將敏感資料在地化。執法力道正在成長。
巴西
通用資料保護法 (LGPD)
允許在適當的法律基礎上進行國際傳輸。
目前仍在成熟當中，透過 ANPD 的執法行動正逐漸增加。
如何達成資料主權合規要求
想要達成資料主權要求的企業，應建立一套完整的資料治理框架，包括：
完整的資料分類：將所有資料根據敏感度、法規要求，以及地理限制來加以分類，以確保量身打造的防護。
策略性加密：不論是儲存中或傳輸中的資料都要加密，而且加密金鑰要與資料本身放在同一個司法管轄區內管理。
在地主機代管與備援方案：優先採用可保證提供國內資料中心、並且有符合資料主權要求的容錯轉移計畫的代管合作夥伴。
供應商風險管理：審查所有第三方供應商，確保他們符合您對主權與合規的期待，尤其在轉包或跨境資料複製方面。
持續的法律與法規監控：隨時掌握不斷演變的資料保護法律，並隨時準備調整雲端或資料儲存策略。
投資具備主權意識的架構，這不僅能讓企業降低法律與合規風險，還能在負責任的資料監護方面取得領先地位。
為何選擇 Trend Vision One™ – Sovereign and Private Cloud (SPC)
確保資料主權
使用 Trend Vision One – SPC 來確保符合嚴格的資料主權規範，將資料守護在一定的地理疆界之內，滿足受監管產業的企業需求。
全方位的威脅防護
彈性部署
量身打造您的 Trend Vision One – SPC 部署環境以滿足您對資料主權的需求，專為安裝在物理隔離、非連網的私有雲環境而最佳化，提供適應性的防護。
Joe Lee 是趨勢科技產品管理副總裁，負責掌管企業電子郵件與網路防護解決方案的全球策略與產品開發。
常見問題：
什麼是資料主權？
資料的儲存或處理須受到其所在國家法律的管轄。
您如何確保資料主權？
將資料儲存在本機、使用合規的雲端供應商、套用加密與存取控管。
英國的資料主權法律為何？
英國 GDPR 與 2018 年資料保護法案 (Data Protection Act 2018) 規範了在英國境外儲存、處理及傳輸個人資料的方式。
資料主權對全球企業有何影響？
它會影響企業儲存和處理資料的位置，進而影響企業的合規作業、成本和營運彈性。