先阐明一个观点：您的部分或全部数据必须保留在特定国家或地区的地理边界内，例如欧盟。这样做的原因有很多。可能政府针对您所属的行业颁布了相关法规，或者您的活动涉及个人可识别信息 (PII) 等受监管数据。也可能您面临着特定业务问题或竞争问题。无论出于何等原因，这一要求统称为数字主权或数据主权。

其实，“数据主权”一词有些许不当。很多情况下，主权合规要求的范围更广，远不止数据库表存储。它可能要求所有负责处理受监管数据的计算机（及所有网络、数据流、备份和灾难恢复系统）位于特定地理区域，有时甚至要求受监管系统的访问人员必须是相关管辖区域的公民或持有安全许可。

对于组织而言，满足数字主权要求的一种方法是将所有一切都存储在本地数据中心。另一个方法则是使用主权云，在满足数字主权要求的同时利用云计算的所有优势。

接下来我们将带您了解数字主权要求，探索主权云将如何帮助组织满足合规要求。

什么是主权云？

主权云是一个可帮助组织满足数字主权要求的云环境。绝大多数主权框架都要求保护个人信息，但有些还要求保护知识产权、软件、业务方法、财务数据、IT 基础设施信息，甚至是描述数据集规模和增长速度的元数据。对此，组织可使用云计算提供商设施所托管的，支持用户和非云端 IT 系统通过互联网或专用通信链路访问的主权云。

此外，大型组织还可以通过在自己数据中心本地部署独立的“类云”来使用主权云。所谓“类云”，即工作方式与云环境类似且由云技术服务提供商维护，但在物理上与外界隔离。

主权云通常支持以下 6 项中的一项或多项功能 — 具体取决于地理、地区和其它要求。

1. 访问限制：限定主权云的使用范围，例如特定公司及其合作伙伴、客户和供应商的用户、软件、系统与服务；特定地理区域；组织内拥有特定公民身份或安全许可的用户。
2. 组织自主控制主权云位置：组织自主决定将主权云部署在特定国家/地区、服务提供商数据中心或客户数据中心 — 通常为满足数据驻留要求。
3. 合规：满足特定政府、监管或行业要求，包括技术规范以及特定法律、合同和业务实践要求 — 确保符合相关法律和法规。
4. 运营支持：云技术服务提供商提供运营支持，满足严苛客户期望以及关于安全许可、公民身份和员工驻留地点的法律要求。
5. 专用网络：通过（基于公共互联网的）安全 VPN 向物理隔离区域传输的所有数据和信息，都与互联网以及云技术提供商的其他客户完全隔离。
6. 高级加密：使用云技术服务提供商维护的加密密钥，或者使用客户自带的，云技术提供商永远无法查看或访问的密钥执行加密。

关键要点

• 通过使用主权云实施数字主权计划，组织可获得强大的数据合规、技术专业知识、业务连续性、供应链效率和地缘政治弹性支持。
• 组织在实施主权云时必须选择一家合格的服务提供商，具体标准包括：通晓所有适用法规；可提供专业支持来定义必要保护级别；持有相关认证和适当的法律实体身份。
• 主权云一般与互联网连通，但只能通过安全、加密的链接和协议进行访问。某些情况下，组织可能需要使用物理隔离的云。
• 数据主权要求使用一组经过认证的协议执行数据加密 — 无论是数据库或文件系统中存储的数据，还是处于网络传输状态下的数据。
• 未来组织将面临更多且更复杂的数字主权法律和监管法规，将在发生合规审计失败和（导致受监管数据暴露的）数据泄露事件时面临十分严厉的处罚 — 包括财务处罚和刑事处罚。

主权云详解

主权云能做什么？在欧盟 (EU) 地区经营业务的组织最能体会主权云的妙处。欧盟不仅制定了总体法规，各个成员国也分别提出了自己的监管要求，堪称是主权云的最佳应用场所。因此，每一个负有数字主权职责的组织都必须同时满足欧盟和适用的成员国要求。

在欧盟，云主权法律由一系列紧密关联的监管机构主导，监管法规从总体上看在变化中趋向严格。其中，很多监管变化是成员国议会和位于布鲁塞尔的欧洲议会面对公民要求，面对关于防止境外商业利益、境外执法和境外法院侵害的持续政治压力而推动的。在这一背景下，欧盟《通用数据保护条例 (GDPR)》等一系列法律相继出台。

设想，当一个组织在德国和法国设立分支机构（包括办公室、员工和客户）时，一些数据可以在遵守欧盟要求的前提下在这两个国家之间共享，但另一些数据依照德国或法国法律要求，可能只能保留在特定国家内部。对此，组织和云技术服务提供商应共同确保以面向所有各方可证明的方式配置主权云，确保主权云满足所有适用要求。

理想的欧盟合规主权云应支持欧盟的所有主权要求，确保客户以符合欧盟法规的方式控制数据和数据流动；支持非欧盟访问保护，以此检测、审查和阻止来自欧盟以外的访问请求；支持处理利益相关者通知和可行豁免。

云主权的优势

即使选择了一家强大的提供商，主权云的构建也是一件复杂的事。不过，在经历重重困难后，主权云能够带来多重回报。第一点（也最重要）就是合规。云主权能够全面解决地理、政治和行业监管问题，解决数据可携带权问题，确保合规地在同一监管区域内部或跨监管区域传输数据。

除此之外，主权云还能带来以下优势：

• 技术解决方案和专业知识
• 数字主权可能在技术上给组织带来艰巨挑战，尤其是当组织追求互操作性和可移植性时。对此，主权云既能确保合规，又支持开放标准。
• 运营优秀实践
• 主权云技术提供商不仅能提供强有力的运营控制，例如授权密钥访问或自带密钥访问，还能提供管理、日志和技术支持。
• 业务连续性保证
• 由领先提供商安装和维护的主权云能够在满足数据主权要求的同时，提供领先的云的可扩展性、业务连续性和灾难恢复、冗余、可移植性和性能优势。
• 供应链效率
• 主权云技术服务提供商通常在服务器、网络、芯片和线缆采购，在能源、公用事业、人员和培训工作（这些对实现 24 小时可用性至关重要）上更有优势。
• 地缘政治弹性
• 全球性的主权云技术服务提供商可帮助组织平稳度过军事冲突、经济困难、气候变化和其它大规模灾难带来的挑战，为组织提供可持续性保证。

关于使用主权云的 5 点注意事项

以前，对于高度受监管行业中的组织来说，在自有数据中心内部运行主权云可能是唯一选择。如今，云技术提供商能够大大减轻这种负担。不过，在采用主权云时，以下 5 点不容忽视。

1. 扩展
2. 使用主权云，组织可以在满足数字主权法规要求的同时充分利用云计算的灵活性、可扩展性、性能和成本优势。
3. 控制
4. 云主权支持组织有效控制自身数据和 IT 基础设施，在满足数据主权法规要求的同时实施自身的内部实践和策略。
5. 专业知识
6. 主权云技术服务提供商的主要目的是帮助组织满足适用的监管、法律和技术要求。然而，除此之外，组织还应关注并调查供应商可提供哪些有助于更高效迁移到云端的专业知识和专业工具。
7. 灵活性
8. 组织可使用内部 IT 资源和主权云来构建一个合规的混合环境，全面利用传统计算和云计算的优势。
9. 时效性
10. 组织和云技术服务提供商必须第一时间跟进最新监管趋势和框架。对此，双方可携手合作来及时响应监管变化，确保合规，降低风险。

云主权的 5 大挑战

即使优势众多，云主权仍然需要组织的 IT 团队应对以下挑战：

1. 选择具有丰富的监管法规知识的服务提供商

数字主权法律和法规十分复杂且数量一直处于增长之中。在这样的监管环境下，无论是使用主权云还是传统数据中心，组织都难以准确、及时地了解哪些合规，哪些不合规。对此，一个全服务主权云技术提供商应具备相应的专业知识和流程来确保其服务及时随着监管法规变化而更新。

2. 定义必要保护级别

只需要对个人可识别信息 (PII) 进行适当加密并将其存储在国家边界之内？负责托管文档存储库的服务器、控制系统、可物理访问硬件的员工的公民身份和安全许可也必须满足合规要求？只有明确要求，才能满足要求！

3. 设计灾难恢复架构

云主权要求不仅适用于主数据中心，还适用于备份恢复站点和设施。为此，云技术服务提供商必须提供足够的资源来在相应管辖区域内供应该等设施。

4. 主权云的可靠性和完整性

一些服务提供商提供专用的主权云技术服务。如选择这类供应商，组织可能无法使用或无法完整使用供应商公有云上的应用、特性和服务。

5. 完整认证和法律实体身份

一些监管机制要求组织采用的主权云必须由总部位于且归属于特定地理区域的提供商所有和运营。如果选择全球性云技术服务提供商，请确保提供商在合作伙伴关系、许可和法律框架上符合要求。

主权云的 5 个关键特性

在选择主权云时，除了适用的行业和竞争问题外，组织还必须基于自身需求衡量以下 5 个问题。

1. 位置

请根据监管法规和业务情况，慎重选择主权云数据中心位置和备份位置。组织需要关注提供商云数据中心的位置、归合作伙伴所有的其它数据中心的位置以及提供商能否在组织设施内提供专用主权云。

2. 访问控制

访问控制（例如组织自主选择哪些公司、合作伙伴、客户以及软件和服务能够访问云环境）在任何时候都十分重要。某些情况下，例如当国家安全受到威胁时，组织可以选择完全专用设施。

3. 运营和支持

对于云技术提供商及其合作伙伴的管理人员和技术人员，组织也需要实施系统及系统元数据（例如性能和使用率指标）访问控制。

4. 监管合规性

对于监管法规和安全标准合规问题，主权云部署必须能够灵活处理多个分别提出了各自要求的管辖权的重叠问题。某些情况下，组织可能需要满足特定监管控制和认证要求。

5. 互联网访问或物理隔离

对于很多甚至绝大多数组织来说，加密连接可能是最佳、最经济和最符合监管要求的公共互联网连接方式。然而，一些组织或应用需要在与互联网以及其它网络完全隔离的物理隔离区域中运营业务。

数据主权和加密

数据主权的实现离不开加密技术，包括数据库中数据加密；API 加密和其它旨在用于访问数据库和应用的服务加密；以及用户接口加密。然而，受常用加密算法的数量和版本、密钥大小以及针对密钥存储与访问的监管法规影响，加密十分复杂。现实中，无论是通过传统数据中心还是主权云实现数据主权，组织都必须在满足合规要求和业务需求的同时，妥善解决加密密钥的存储和访问问题。

当云技术服务提供商管理密钥时，主加密密钥由主权云软件生成；当组织管理密钥时，主加密密钥存储在一个云技术服务提供商无法访问的安全密钥库中。关于密钥库，组织应使用防篡改、显篡改且能够有效响应攻击事件的硬件安全模块 (HSM)。

组织应对数据库或文档中的数据（有时被称为“静态数据”）进行默认加密，具体包括传统关系数据库、Docker/Kubernetes 容器、对象数据库、文件系统、块存储数据库甚至引导记录数据。

组织至少应使用符合传输层安全协议（TLS 1.2 及后续版本）和 X.509 数字证书等标准的最新协议，对网络传输状态下的信息（有时被称为“动态数据”）进行加密。某些情况下，当地监管法规可能还要求进行更严格的加密，例如关于以太网网络的 MACsec (IEEE 802.1AE)。组织应默认启用该等加密，绝对避免以纯文本形式传输数据。

数据/数字主权的未来趋势

随着欧盟在 2016 年通过《通用数据保护条例 (GDPR)》，数据主权极速进入了公众视野。然而，这仅仅是开始。如今，在全球，每年都有国家和诸如欧盟这样的地区修正自己的数据主权要求。他们不断收紧标准来消除歧义，减少不足，提升消费者和政治信心，保护企业，响应经济冲突、军事冲突、恐怖主义和网络犯罪等地缘政治形势。

对此，一个预测是未来数字主权法律和法规无论数量还是复杂性都将继续增长。

另一个预测，是对于合规审计失败和（导致受监管数据暴露的）数据泄露事件的处罚（包括财务处罚和刑事处罚）将十分严厉。

IDC 数据显示，由于最新的经济和地缘政治事件，至少 75% 的全球企业认为数字主权将成为一个日益重要的业务和技术问题。在这一背景下，优化和实施隐私保护措施已成为当今各个跨国公司的第一要务。

此外，IDC 报告还显示 56% 的企业正在使用基础设施即服务 (IaaS)，未来至少 50% 的企业会将超过 25% 的总预算投入到公有云技术上。换言之，云在满足数字主权要求方面正越来越受到企业关注。

IDC 表示，当今主权云技术提供商面临两个关键问题，一是保护客户数据不受管理人员和支持人员访问，二是确保业务连续性和满足灾难恢复合规要求。

对此，秘诀显然是弹性。

总体而言，云主权是一个相对较新的概念，各类组织也仅仅是刚刚开始了解云主权对云策略的影响。对于主权云的实施，组织需要了解关于基础设施、策略、治理框架和技能的 IT 要求。由于主权云是一个长期工程，目前组织们都专注于法规最严格的领域和监管环境，同时监视新的立法以及行业法规变更。因为监管法规在收紧后绝不会放松，所有组织在主权云的道路上只能是一往无前。