Datakontroller

Datasuveränitet är ett kritiskt begrepp inom molnstyrning och efterlevnad. Den hänvisar till den juridiska och tillsynsmyndigheter som ett land/en region eller organisation har över data, särskilt i förhållande till var dessa data lagras och bearbetas. Det här konceptet beskriver hur känsliga arbetsbelastningar utformas, styrs och granskas i molnmiljöer. I den här artikeln utforskar du principerna för datasuveränitet och hur de gäller för molnmiljöer.

Vad är datasuveränitet?

Datasuveränitet är ett mångfacetterat begrepp som hävdar att data omfattas av lagar och styrning i det land/den region där data finns fysiskt oavsett vem som äger eller hanterar data. Detta begrepp innebär att nationer har rätt att utöva juridisk auktoritet över data som lagras inom deras gränser.

Men även om Microsoft gör att du kan välja var dina data finns, är rättigheterna för värdlandet/regionen begränsade i samband med åtkomst till dessa data. Tillsynsmyndigheter kan inte kräva åtkomst till data enbart baserat på dess plats. I stället styrs åtkomsten av juridiska processer och kundkontrollerade skyddsåtgärder.

Nyckelprinciper

Datasuveränitet bygger på fyra grundläggande principer:

Grundprincip Beskrivning
Dataägarskap Organisationer behåller ägarskapet och kontrollen över sina data, även när de lagras i molntjänster från tredje part.
Dataskydd och sekretess Känsliga data måste skyddas genom robusta säkerhetsåtgärder och efterlevnad av lokala sekretessregler.
Gränsöverskridande dataöverföring Förflyttning av data över internationella gränser är föremål för tillsyn och begränsas av nationell lagstiftning.
Juridisk jurisdiktion Det rättsliga ramverket för data bestäms av dess fysiska plats, oavsett dataägarens ursprung.

Kryptering som en suveränitetskontroll

I molnmiljöer spelar kryptering en central roll för att framtvinga datasuveränitet. Data krypteras som standard, vilket säkerställer att fysisk åtkomst till infrastrukturen inte ger åtkomst till läsbara data. Endast dataägaren eller systemet innehåller krypteringsnycklarna, vilket gör kryptering till den primära mekanismen för att upprätthålla kontroll över molnbaserade data. För att ge ett omfattande skydd över datalivscykeln tillämpas kryptering vanligtvis i tre olika tillstånd: i vila, under överföring och i användning. Varje krypteringstillstånd hanterar olika faser av datahantering och exponeringsrisk.

Krypteringstyp Beskrivning
Kryptering vid överföring Skyddar data när de flyttas mellan nätverk – mellan enheter, tjänster eller datacenter. Implementeras vanligtvis med TLS.
Kryptering i viloläge Skyddar data som lagras på disken eller annan beständig lagring, till exempel databaser, filsystem och säkerhetskopior.
Kryptering som används Skyddar data medan de aktivt bearbetas i minnet eller cpu. Omfattar ofta tekniker för konfidentiell databehandling.

Som standard använder alla Azure tjänster kryptering under överföring, inklusive kommunikation mellan regioner. Tjänster implementerar vanligtvis kryptering med hjälp av TLS-certifikat, som genereras automatiskt när en tjänst etableras och signeras av en betrodd offentlig certifikatutfärdare. I vissa fall kan du ta med dina egna certifikat genom att antingen importera en PFX-fil (med den privata nyckeln) till en tjänst eller hantera certifikatet via Azure Key Vault.

Alla tjänster i Azure använda kryptering på serversidan för vilande data med plattformshanterade nycklar (PMK:er). Plattformen genererar och underhåller dessa nycklar åt dig. Många tjänster stöder även kundhanterade nycklar (CMK:er). Beroende på tjänsten kan dessa nycklar fungera i kombination med PMK:erna för ännu bättre skydd. Du kan lagra kundhanterade nycklar i antingen Azure Key Vault (standard eller Premium) eller i många fall i Azure Key Vault hanterad HSM. För dina mest känsliga nationella arbetsbelastningar använder du Azure Key Vault hanterad HSM eftersom den här tjänsten garanterar att du har fullständig kontroll över krypteringsnycklarna i en enda klientmiljö. Du är helt ansvarig för att skydda säkerhetsdomänen, som måste laddas ned när du aktiverar din hanterade HSM-instans.

Du kan också överväga extern nyckelhantering för specifika reglerade arbetsbelastningar. Den här tjänsten är ett tillägg för Azure Key Vault hanterad HSM och gör att du kan äga och hantera dina nycklar utanför Azure. Extern nyckelhantering är en funktion som gör det möjligt för kunder att använda sina egna maskinvarusäkerhetsmoduler (HSM: er) för att stödja kryptografiska åtgärder för molntjänster. Genom att använda extern nyckelhantering kan du lagra dina nycklar i dina egna HSM:er, som är fysiskt åtskilda från molntjänsterna. Den här funktionen, som kallas HYOK (Hold Your Own Key), säkerställer att du alltid behåller fullständig kontroll över dina nycklar. Den här fullständiga kontrollen har mer ansvar eftersom du ansvarar för tillgänglighet, skalbarhet och säkerhetskopior av allt nyckelmaterial.

De flesta datasäkerhetsåtgärder baseras på kryptering i vila och under överföring av data, men Azure konfidentiell databehandling utökar även dessa funktioner till kryptering för data som används. Det här tillägget innebär att den faktiska beräkningsinstansen som interagerar med (dekrypterade) data använder själva krypteringen inom det allokerade minnesutrymmet. Azure uppfyller Confidential Computing Consortium standarder som är tillgängliga på Intel,AMD- och NVIDIA-maskinvara.

Plats för datalagring

Datahemvist fokuserar främst på var dina data finns fysiskt. Praktiska överväganden som prestanda, efterlevnad och affärskontinuitet formar datahemvist. I följande tabell beskrivs viktiga aspekter som påverkar beslut om datahemvist:

Aspekt Beskrivning
Svarstid och prestanda Beslut om datahemvist kan påverka dataåtkomstens hastighet och prestanda. Att placera data närmare slutanvändarna minskar svarstiden och förbättrar den övergripande användarupplevelsen.
Efterlevnadskrav Välj alternativ för datahemvist som överensstämmer med lokala och branschspecifika efterlevnadskrav. Det här valet säkerställer att data lagras på ett sätt som är förenligt med tillämpliga regler.
Jurisdiktion Datahemvist handlar om valet av datacenter eller molnregion där data lagras. Även om data vanligtvis omfattas av lagarna för dess fysiska plats, hävdar vissa länder eller regioner juridisk auktoritet över data som lagras av inhemska molnleverantörer, oavsett fysisk plats.
Datatillgänglighet och redundans Överväganden för datahemvist påverkar redundans- och haveriberedskapsstrategier. Organisationer och molnleverantörer kan replikera data till flera regioner för att säkerställa hög tillgänglighet och motståndskraft.

Genom att använda Azure, Microsoft 365 och Dynamics 365 kan du välja var dina data lagras för att uppfylla kraven på datahemvist. Genom att använda strategiskt anpassade datacenterregioner inom samma geografiska område via Azure regionpar kan du förbättra geo-redundans, säkerställa prioriterad återställning och dra nytta av förskjutna plattformsuppdateringar, samtidigt som efterlevnad och förbättrad dataresiliens upprätthålls.

Nästa steg

  • Fastställ nödvändigt residensomfång och tillåtna Azure-regioner per klassificering.
  • Täckning av krypteringsskydd av inventering (vid vila, under överföring och i bruk) för aktuella arbetsbelastningar.
  • Definiera nyckelägarmodell (PMK → CMK → Managed HSM → EKM) per datanivå.

Se även

  • Last updated on