Vad är ett suveränt moln? Varför är det viktigt?

Börja med ett förslag: Vissa eller alla av organisationens data måste ligga inom en viss nationell eller regional geografisk gräns, oavsett om det är en stat eller ett land eller ett större område, till exempel EU. Skälen till sådana krav varierar. Kanske finns det statliga regler som gäller för branschen, eller så kanske ni hanterar specifika typer av reglerade data, till exempel personligt identifierbar information (PII). Det kan finnas affärsspecifika eller konkurrensrelaterade problem. Oavsett det bakomliggande skälet kallas kravet digital suveränitet eller datasuveränitet.

En metod för att uppfylla kraven på digital suveränitet är att lagra allt i ett datacenter i landet eller regionen. Ett annat är att använda molnet, i synnerhet ett suveränt moln som erbjuder alla fördelar med molntjänster samtidigt som det bidrar till att uppfylla individuella krav på suveränitet.

Vad är ett suveränt moln?

Ett suveränt moln är en molnmiljö som hjälper en organisation att uppfylla sina digitala suveränitetskrav samtidigt som organisationen får fördelarna med molnmodellen. Ett suveränt moln kan vara inrymt i en anläggning som ägs av en molntjänsteleverantör och nås av en organisations användare och icke-molnbaserade IT-system via internet eller via dedikerade kommunikationslänkar som inte är anslutna till internet. Ett suveränt moln kan också konfigureras som en separat ”molnliknande” installation i en stor organisations egna datacenter. Installationen fungerar då som en molnmiljö och underhålls av molntjänstleverantören, men den är fysiskt isolerad från omvärlden. På grund av hur molntjänster fungerar finns det en delad ansvarsmodell mellan leverantören och kunden. Säkerhet och integritet måste hanteras gemensamt, så det är viktigt att välja en leverantör som kan säkerställa att suveränitetsbehoven uppfylls.

Det finns fyra grundsatser för digital suveränitet: datahemvist, datasekretess, säkerhet och motståndskraft samt juridiska kontroller. De omfattar vanliga frågor som: Var är mina data? Vem har åtkomst till dem? Hur skyddas mina data? Vilka rättsliga skydd har jag? Under de flesta suveränitetsramar är det organisationens ansvar att skydda människors personuppgifter. Men ibland är omfattningen bredare och omfattar immateriella rättigheter, programvara, affärsmetoder, finansiella data, information om IT-infrastruktur och till och med metadata som beskriver hur stor en datamängd är och hur snabbt den växer.

Kom ihåg att digital suveränitet inte är ett binärt koncept. Det är mer som ett spektrum som utvecklas över tid. Organisationer måste hela tiden anpassa sig till förändringar i lagar och den digitala världen. Låt oss utforska kraven på digital suveränitet, diskutera hur en suverän molnlösning kan hjälpa en organisation att uppfylla dessa samt beakta viktiga principer och frågor.

Sex suveräna molnfunktioner

I många fall gäller kraven på suveränitet mer än lagringen av databaser. Alla datorer som behandlar reglerade data kan behöva befinna sig inom en geografisk region, tillsammans med alla nätverk, dataflöden, säkerhetskopior och katastrofåterställningssystem. Ibland måste även personer som har tillgång till reglerade system vara medborgare i den jurisdiktionen eller ha specifika säkerhetstillstånd. Ett suveränt moln har en eller flera av följande sex funktioner på en viss nivå. Specifika egenskaper beror på regionala och andra krav.

1. Åtkomstbegränsningar som begränsar användningen av det suveräna molnet till användare, programvara, system och tjänster som tillhör ett specifikt företag och dess partner, kunder och leverantörer, geografiska regioner eller till och med personer inom en organisation som har särskilda medborgarskap eller säkerhetsgodkännanden

2. Organisationens kontroll över var det suveräna molnet finns, till exempel ett visst land eller en viss region, eller om molnet finns i en tjänsteleverantörs datacenter eller kundens datacenter, ofta kallat datahemvist

3. Efterlevnad av specifika myndighetskrav, lagar och regler eller branschkrav, inklusive tekniska specifikationer samt specifik rättslig, avtalsmässig och affärsmässig praxis för att uppfylla relevanta lagar och förordningar

4. Driftsupport från molntjänstleverantören som uppfyller höga kundförväntningar och rättslig krav på säkerhetsklassificering, medborgarskap och hemvist för medarbetarna

5. Reserverad nätverkskapacitet, vilket kan betyda allt från säkra VPN-anslutningar över det publika internet till avdelningar som är helt frånkopplade från internet och molnleverantörens andra kunder

6. Avancerad kryptering som kan innebära att molntjänstleverantören tillhandahåller krypteringsnycklar eller att kunden tar med sig egna nycklar som molntjänstleverantören aldrig kan se eller få åtkomst till.

Viktiga lärdomar

• Implementering av digital suveränitet via ett suveränt moln underlättar dataefterlevnad, affärskontinuitet, effektivitet i logistikkedjan och geopolitisk motståndskraft.
• Utmaningar när det gäller molnsuveränitet är att hitta en tjänsteleverantör som känner till alla regler, kan hjälpa till att fastställa nödvändiga skyddsnivåer och innehar relevanta certifieringar.
• Suveräna moln är i allmänhet anslutna till internet och nås via säkra, krypterade länkar och protokoll. I vissa fall kan frånkopplade moln krävas.
• Datasuveränitet kräver att data krypteras med en godkänd uppsättning protokoll, oavsett om data lagras i en databas eller ett filsystem eller överförs via ett nätverk.
• Det kan tänkas att lagar och förordningar om digital suveränitet ökar i antal och komplexitet och att det blir hårdare ekonomiska och straffrättsliga påföljder för bristande efterlevnad eller intrång som exponerar reglerade data.

Förklaring av suveräna moln

För att bättre förstå suveräna moln kan du tänka dig att du driver ett företag som gör affärer i Europeiska unionen (EU). EU är ett perfekt testscenario eftersom det inte bara unionen har övergripande krav utan det har även alla medlemsländer. Därför måste varje organisation som har till uppgift att upprätthålla digital suveränitet inom EU uppfylla både EU:s och medlemsländernas krav.

Inom EU styrs molnsuveränitetslagar av ett sammankopplat nät av tillsynsmyndigheter och förordningar förändras ständigt – generellt för att bli striktare. Mycket av regleringsutvecklingen drivs av de nationella parlamenten och Europaparlamentet i Bryssel som svar på både medborgarnas krav och det ständiga politiska trycket på skyddet mot utländska affärsintressen, brottsbekämpning och domstolar. Det är där lagar som EU:s Dataskyddsförordning (GDPR) används.

Föreställ dig att en organisation har dotterbolag med kontor, anställda och kunder i både Tyskland och Frankrike. Det kan finnas vissa data som kan delas mellan de två länderna samtidigt som de uppfyller EU: s krav, medan andra data kan begränsas av tyska eller franska lagar och endast får finnas inom det specifika landet. Kundorganisationen och molntjänstleverantören delar ansvaret för att det suveräna molnet uppfyller alla dessa krav och, precis lika viktigt, att det är konfigurerat för att göra det så att det blir tydligt för alla parter.

Ett lämpligt suveränt moln som uppfyller EU:s krav kommer att omfatta suveränitet i hela EU för att ge kunderna kontroll över data och dataflöden i enlighet med EU:s förordningar, inkludera åtkomstskydd utanför EU för att upptäcka, utmana och blockera åtkomst från länder utanför EU samt, när så är lämpligt, hantera underrättelser från intressenter och tillåtna undantag.

CLOUD Act

The Clarifying Lawful Overseas Use of Data Act, eller CLOUD Act, är en amerikansk federal lag som antogs 2018 som en ändring av Stored Communications Act (SCA) från 1986. CLOUD Act behandlar i första hand åtkomst och utlämnande av data som lagras av tjänsteleverantörer, särskilt när dessa data befinner sig utanför USA. Det ger ett ramverk för amerikanska brottsbekämpande myndigheter att tvinga USA-baserade tjänsteleverantörer att lämna ut begärda elektroniska data, inklusive e-post, dokument och annan kommunikation, oavsett var uppgifterna lagras globalt. Denna bestämmelse förenklar processen att få tillgång till data som lagras i andra länder om leverantören omfattas av amerikansk jurisdiktion.

Fördelar med suveräna moln

Att upprätta ett suveränt moln kan vara ett komplext åtagande, även med en kompetent leverantör. Men det finns många skäl till att det lönar sig. Först och främst: efterlevnad. Molnsuveränitet hanterar i stort sett geografiska, politiska och branschspecifika bestämmelser, dataportabilitet och dataöverföringar som uppfyller kraven inom och mellan regleringsdomäner.

Dessutom ger ett suveränt moln följande fördelar:

• Tekniska lösningar och expertis som företag kanske inte har internt: Digital suveränitet kan leda till svåra förändringar inom teknikområdet, särskilt om en organisation vill upprätthålla interoperabilitet och portabilitet. Ett välkonstruerat suveränt moln erbjuder både regelefterlevnad och öppna standarder.
• Driftpraxis: En leverantör av suveräna moln har kraftfull driftkontroll, som auktoriserad nyckelåtkomst för kunder eller möjlighet att använda egna nycklar, samt administration, loggning och teknisk support. Detta är viktigt för en rad organisationer, till exempel underrättelsetjänster.
• Säkring av verksamheten och kontinuitet: Ett suveränt moln som konfigureras och underhålls av en leverantör på toppnivå erbjuder all skalbarhet, verksamhetskontinuitet, katastrofåterställning, redundans, portabilitet och prestanda som du kan kräva av ett förstklassigt moln – med digital suveränitet.
• Hantering av försörjningskedjan: En molntjänstleverantör som erbjuder ett suveränt moln kan ofta överträffa en enstaka kundorganisations förmåga att anskaffa servrar, nätverk, chip, kablar och energi, anläggningar, bemanning och utbildning som krävs för tillgänglighet dygnet runt.
• Geopolitisk motståndskraft En leverantör av suveräna molntjänster med global omfattning kan hjälpa organisationer hantera utmaningar som orsakas av militära konflikter, ekonomiska svårigheter, klimatförändringar och andra storskaliga katastrofer, för att bidra till motståndskraften.

Fem utmaningar med molnsuveränitet

Leverantörer av suveräna molntjänster har ett intresse av att hjälpa kunderna uppfylla sina tillsynskrav, juridiska krav och tekniska krav. Trots fördelarna kräver molnsuveränitet att en organisations IT-team klarar av att övervinna vissa hinder, bland annat:

1. Hitta en tjänsteleverantör som känner till reglerna

Lagar och förordningar om digital suveränitet är komplexa och blir inte enklare med tiden. Oavsett om organisationen använder ett suveränt moln eller ett traditionellt datacenter gör reglerna det svårt att veta när efterlevnaden uppfylls eller inte. En leverantör av suveräna moln med full service har både expertis och processer på plats för att hålla sina produkter uppdaterade när bestämmelserna förändras.

2. Fastställande av nödvändiga skyddsnivåer

Behöver en organisation bara se till att personligt identifierbar information (PII) är korrekt krypterad och lagrad inom nationella gränser, eller måste regelefterlevnaden också täcka servrarna med dokumentarkiv, kontrollsystemen samt medborgarskap och säkerhetskontroller för all personal med fysisk tillgång till maskinvara? Du kan inte uppfylla kraven förrän du vet vad som krävs.

3. Utforma en arkitektur för katastrofåterställning

Molnsuveränitet kan tillämpas på inte bara det primära datacentret utan även på alla anläggningar för säkerhetskopiering, vilket innebär att molntjänstleverantören måste ha tillräckliga resurser för att kunna erbjuda sådana anläggningar inom den definierade jurisdiktionen.

4. Robusthet och komplett funktionsuppsättning för det suveräna molnet

Vissa tjänsteleverantörer har byggt specialiserade suveräna molnprodukter. Det innebär att de applikationer, funktioner och tjänster som de erbjuder i sina publika moln kanske inte är tillgängliga, eller inte tillgängliga fullt ut, i de suveräna molnen.

5. Förvärva en fullständig uppsättning av certifieringar och juridiska personer

Vissa tillsynssystem kräver att det suveräna molnet ägs och drivs av en tjänsteleverantör med huvudkontor och ägande inom den specifika geografiska regionen. Se till att en global molntjänstleverantör har rätt partnerskap, licenser och rättsliga ramar för att uppfylla dessa krav.

Fem viktiga funktioner i suveräna molntjänster

Företag som vill etablera suveräna moln måste ta hänsyn till sina specifika krav på dessa fem nyckelfunktioner, utöver eventuella branschspecifika eller konkurrensbetonade faktorer.

1. Plats

Välj noggrant platsen för ditt suveräna molndatacenter och tillhörande säkerhetskopieringsplatser baserat på både regelefterlevnad och affärshänsyn. Datapunkter som ska samlas in är platsen/platserna för leverantörens molndatacenter, platsen/platserna för andra datacenter som ägs av partner och om det går att upprätta ett avskilt suveränt moln i kundens egen anläggning.

2. Åtkomstkontroll

En organisation ska alltid kunna välja vilka företag, partner, kunder, programvaror och tjänster som ska ha åtkomst till molnmiljön. I vissa fall, till exempel rörande nationell säkerhet, kan kunden välja en helt avskild anläggning.

3. Drift och support

En organisation bör kontrollera vilken administrativ och teknisk personal, från både molnleverantören och dess partners, som kan ha tillgång till systemen, samt metadata om dessa system, till exempel prestanda- och användningsmått.

4. Regelefterlevnad

Suveräna molndistributioner måste vara flexibla när de följer regler och säkerhetsstandarder för att kunna hantera att det möjligen finns överlappande jurisdiktioner, var och en med sina egna krav. I vissa fall kan en kund ha unika behov av specifika lagstadgade kontroller och ackrediteringar.

5. Internetanslutning eller frånkoppling

För de flesta kunder kan en krypterad anslutning till det publika internet vara den bästa och mest prisvärda nätverkslösningen som uppfyller alla regler. Vissa kunder eller applikationer kan dock kräva regioner som är helt isolerade från internet eller andra nätverk.

Datasuveränitet och kryptering

Du kan inte ha datasuveränitet utan kryptering och det gäller inte bara data som lagras i databaser, utan även API:er och andra tjänster som ger åtkomst till dessa databaser och applikationer samt användargränssnitt. Kryptering kan vara komplext baserat på hur många olika algoritmer och versioner av dessa som används, storleken på nycklarna och reglerna för lagring av och åtkomst till krypteringsnycklarna. Det gäller oavsett om datasuveränitet ska uppnås inom ett traditionellt datacenter eller i ett suveränt moln – men när det gäller molnet måste frågor om lagring av och åtkomst till krypteringsnycklar lösas på ett sätt som både uppfyller regelkraven och affärsbehoven.

Om en molntjänstleverantör hanterar nycklarna genereras huvudkrypteringsnyckeln av den suveräna molnprogramvaran. Om kunden hanterar nycklarna lagras huvudkrypteringsnyckeln i ett säkert nyckelvalv som leverantören inte har åtkomst till. Maskinvarusäkerhetsmodulen (HSM) som utgör dessa nyckelvalv bör vara både manipuleringssäker och säkerhetsförsluten och kunna reagera om den attackeras.

Data som lagras i en databas eller i ett dokument, ibland kallade ”vilande data”, ska krypteras som standard. Detta innefattar data i traditionella relationsdatabaser, Docker/Kubernetes-containrar, objektdatabaser, filsystem, blockdatabaser och till och med bootpartitioner.

Information som överförs via ett nätverk – ibland kallade ”data under överföring” – bör som minimum använda uppdaterade protokoll som uppfyller standarder som Transport Layer Security (TLS) 1.2 eller senare och digitala certifikat X.509. Lokala föreskrifter kan kräva ännu strängare kryptering, till exempel MACsec (IEEE 802.1AE) för Ethernet-nätverk. Sådan kryptering bör vara aktiverad som standard och aldrig tillåta dataöverföring i ren text.

Framtiden för suveränitet

Allmänheten kanske fick upp ögonen för datasuveränitet i och med införandet av EU: s allmänna dataskyddsförordning (GDPR) 2016, men det var bara början. Varje år reviderar länder runt om i världen, liksom regioner som Europeiska unionen, sina krav på datasuveränitet. De skärper standarderna för att eliminera tvetydighet, minimera svagheter, förbättra konsumenternas och politiskt förtroende, skydda företagen och som reaktion på geopolitiska händelser, t.ex. ekonomiska konflikter, militära konflikter, terrorism och cyberbrott.

En förutsägelse: Lagar och förordningar om digital suveränitet kommer att öka i både antal och komplexitet.

En förutsägelse till: Finansiella och straffrättsliga påföljder för ej godkänd efterlevnad eller dataintrång som avslöjar reglerade data kommer att vara hårda.

Oro bland leverantörerna av suveräna moln omfattar skydd av kunddata från åtkomst av administratörer och supportpersonal samt upprätthållande av verksamhetskontinuitet och efterlevnad av regler för katastrofåterställning.

Resiliens är högsta prioritet.

Sammantaget är molnsuveränitet ett relativt nytt koncept och organisationer har bara börjat förstå alla konsekvenser det kommer att ha för molnstrategierna. Att implementera ett suveränt moln innebär att komma till rätta med nya IT-krav för infrastruktur, strategi, styrningsramverk och kompetens. Eftersom det suveräna molnet spelar en viktig roll på lång sikt fokuserar organisationer på de domäner och tillsynsmiljöer som har de mest omfattande regelverken, samtidigt som de investerar i att övervaka ny lagstiftning och förändringar i branschreglerna. När reglerna väl skärps finns det ingen återvändo.

Välja en leverantör av suveräna moln

När du väljer ett suveränt moln ska du välja den leverantör som levererar den bästa övergripande lösningen, men som också hjälper dig att uppfylla dina krav på digital suveränitet. Helst ska tjänsterna som är tillgängliga i det suveräna molnet motsvara de som erbjuds i leverantörens publika moln, med samma servicenivåavtal (SLA) beträffande prestanda, hantering och tillgänglighet.

En viktig faktor att tänka på är om du kan använda en enda leverantörslösning som ägs och drivs av en godkänd juridisk person inom den reglerade regionen. Joint ventures och partnerskap kan leda till meningsskillnader vid supportfrågor, komplex integrering, långsammare produktlanseringar och, i vissa fall, färre tillgängliga funktioner.

En leverantör av suveräna moln bör erbjuda datasuveränitet som ett huvudsakligt inslag i sitt moln, inte som ett tillvalspaket eller en del av sina offentliga erbjudanden. Det kommer att göra distributionen enklare eftersom det suveräna molnet använder samma maskinvara, programvara och tjänster som det publika molnet, men med större åtkomstkontroll och andra regelefterlevnadsbegränsningar aktiverade.

Katastrofåterställning är avgörande för planering och distribution av suveräna moln. Hitta molnregioner som kan konfigureras med återställning och automatisk felöverlämning inom ditt efterlevnadsområde. En leverantör av suveräna moln bör också ha expertisen för att hjälpa dig att navigera den komplexa och föränderliga världen av regler och bestämmelser. Leverantören och kunden ska sömlöst kunna dela ansvaret för efterlevnad, inklusive ackrediteringar vid behov.

Ett steg längre: isolerade regioner och nationella säkerhetsregioner

Myndighetsnätverk och topphemliga arbetsbelastningar kan kräva kundackrediteringar och regelefterlevnadskrav som överträffar kraven i nationella molnregioner som är anslutna till internet. I sådana fall kanske du vill leta efter isolerade regioner och nationella säkerhetsregioner som kan erbjuda ytterligare skydd, inklusive följande:

• Myndighetsackreditering: Håll utkik efter nationella säkerhetsregioner som är certifierade enligt högsta myndighetsklassificering, inklusive US DISA Impact Level 6.
• Frånkopplade datacenter: Dessa anläggningar byggs enligt specifikationer som uppfyller eller överträffar myndighetsstandarder och är inte anslutna till internet.
• Säker drift: Anläggningarna ska drivas av medborgare som har kundspecifika säkerhetsgodkännanden.

Uppfyll kraven på suveränitet med Oracle Cloud

Oracle Cloud-lösningar för suveränitet hjälper kunderna uppfylla sina behov av molntjänster, inklusive för data och applikationer som är känsliga, reglerade eller av strategisk regional betydelse, samt arbetsbelastningar som styrs av krav på suveränitet och datasekretess. Oracles lösningar för suveräna moln erbjuder tjänster och funktioner från Oracles molninfrastruktur (OCI) i ett ständigt ökande antal länder och områden och hjälper kunderna att uppfylla sina krav på digital suveränitet.

Oracles EU Sovereign Cloud-arkitektur är utformad med datalagring och säkerhet i fokus och delar ingen infrastruktur med Oracles kommersiella regioner och har inte heller någon stamnätsanslutning till Oracles andra molnregioner. Kundåtkomst till Oracle EU Suveränt moln hanteras separat från åtkomst till kommersiella regioner i Oracle Cloud.

Genom att erbjuda molntjänster där data förvaras inom definierade geografiska och juridiska gränser, ofta med specifika drift- och styrningskrav, kan myndigheter och mycket reglerade branscher få fördelarna med molnet samtidigt som de upprätthåller strikta krav gällande datahemvist och säkerhet. Eftersom det digitala landskapet fortsätter att utvecklas och de geopolitiska övervägandena förblir framstående står suveräna molnprodukter redo att spela en allt viktigare roll för att möjliggöra en digital transformation, samtidigt som de hjälper organisationer att följa relevanta regler och lagar.

Vanliga frågor och svar om Suveränt moln

Vad är datasuveränitet?

Myndigheter antar ständigt lagar och förordningar om hur viktig digital information måste lagras, var den ska lagras och vem som får tillgång till den. Datasuveränitet omfattar efterlevnad av dessa lagar och förordningar av både organisationer och individer.

Vad är ett exempel på en datasuveränitetslag?

Den allmänna dataskyddsförordningen (GDPR), som antogs av Europeiska unionen 2016, har omfattande krav på organisationer som samlar in och behandlar personuppgifter om individer i EU.

Vem har åtkomst till informationen i ett suveränt moln?

Lagar om datasuveränitet kan begränsa dataåtkomst till programvara, tjänster och användare inom ett visst geografiskt område, till företag som ägs lokalt eller till dem som har specifika säkerhetsgodkännanden eller andra behörigheter.

Är suveräna moln anslutna till internet?

För många användare är suveräna moln anslutna till internet via krypterade länkar med omfattande åtkomstkontroller. För vissa myndighetsanvändare och mycket säkra applikationer kan dock det suveräna molnet vara isolerat och helt frånkopplat från internet.

Är säkerhetskopieringar i molnet och scenarier för katastrofåterställning föremål för regler gällande datasuveränitet?

Ja. Säkerhetskopior och webbplatser för katastrofåterställning måste uppfylla alla regler för datasuveränitet. För molnsuveränitet innebär det att sekundära molnregioner måste befinna sig i samma geografiska område eller tillsynsdomän.

Varför är platsen så viktig för molnsuveränitet?

För organisationer som behöver behålla kontrollen över sina data för att följa lagar och förordningar om datasuveränitet är det viktigt att kunna välja geografiska regioner där de lagrar sina data.