ソブリン・クラウドとは何か。それが重要である理由

組織のデータの一部またはすべては、州、国、または欧州連合などのより広範な地域など、特定の国や地域の地理的境界内に留める必要があります。この要件の理由には、さまざまなものがあります。業界を対象とした政府による規則が存在する場合や、組織が個人情報（PII）など、特定のタイプの規制データを管理している場合があります。ビジネス固有の懸念や競争上の懸念がある可能性もあります。元となる理由が何であれ、この要件はデジタル主権またはデータ主権と呼ばれます。

デジタル主権要件を満たすための1つのアプローチは、すべてを国または地域内のデータセンターに格納することです。もう1つは、クラウド、特に、クラウド・コンピューティングのすべての利点を提供することを目的としたソブリン・クラウドを使用して、デジタル主権要件を満たすことです。

ソブリン・クラウドとは何か。

ソブリン・クラウドは、クラウド・モデルのメリットを提供しつつ、組織がデジタル主任要件を満たすことができるよう支援するクラウド環境です。ソブリン・クラウドは、クラウド・コンピューティング・プロバイダーが所有する施設に収容され、インターネットまたはインターネットに接続されていない専用通信リンクを介して、組織のユーザーやクラウド以外のITシステムがアクセスします。ソブリン・クラウドは、大規模な組織独自のデータセンター内で個別の「クラウド的な」設備として構成することもできます。この設備はクラウド環境のように機能し、クラウド・サービス・プロバイダーによって管理されますが、外部から物理的に隔離されています。クラウド・コンピューティングの仕組み上、プロバイダーと顧客の間には責任共有モデルが存在します。セキュリティとプライバシーは共同で管理する必要があるため、主権ニーズへの 対応を支援できるるプロバイダーを選択することが重要です。

デジタル主権には、データ・レジデンシー、データ・プライバシー、セキュリティと回復力、法的管理という4つの概念があります。これらには、以下のような一般的な疑問が含まれます。自分のデータがどこにあるのでしょうか。データには誰がアクセス可能なのでしょうか。データはどのような方法で保護されているのでしょうか。どのような法的保護を受けることができるのでしょうか。ほとんどの主権の枠組みにおいて、組織は個人情報の保護に努める必要があります。ただし、スコープがより広く、知的財産、ソフトウェア、ビジネス手法、財務データ、ITインフラストラクチャに関する情報、さらにはデータセットがどの程度の大きさか、どの程度急速に拡大しているかを示すメタデータを含む場合があります。

デジタル主権は二元的な概念ではありません。それはむしろスペクトルのようなもので、時間とともに進化します。組織は常に法律やデジタル世界の変化に適応する必要があります。デジタル主権の要件を確認し、ソブリン・クラウドが組織のコンプライアンス維持と主な概念や質問への対応にどのように役立つかを見てみましょう。

ソブリン・クラウドの6つの機能

多くの場合、主権コンプライアンス要件は、データベースのストレージだけではありません。規制データを処理するすべてのコンピュータは、すべてのネットワーク、データフロー、バックアップ、およびディザスタ・リカバリ・システムとともに、特定の地域内に存在する必要がある場合があります。場合によっては、規制対象のシステムにアクセスする個人も、その法域の市民であるか、特定のセキュリティ・クリアランスを持っている必要があります。つまり、ソブリン・クラウドには、次に示す6つの機能があるレベルもしくは1つ以上あり、それらの機能がある程度のレベルに達しています。詳細は、要件、地域、およびその他の要件によって一般的に異なります。

1. ソブリン・クラウドの使用を、企業とそのパートナー、顧客、およびサプライヤーに属するユーザー、ソフトウェア、システム、サービスや、地理的地域、または特定の市民権やセキュリティ・クリアランスを持つ組織内の個人に制限するためのアクセス制限

2. 特定の国や地域、またはクラウドがサービス・プロバイダーのデータセンターにあるかお客様のデータセンターにあるか（データ・レジデンシーと呼ばれる）など、ソブリン・クラウドを配置する場所に関する組織的な管理

3. 技術仕様、および関連する法律や規制を満たすための特定の法律、契約、ビジネス慣行を含む、政府、規制、または業界の要件の遵守

4. 従業員のセキュリティ・クリアランス、市民権、居住地に関するお客様の高い期待と法的要件を満たすための、クラウド・サービス・プロバイダーの運用サポート

5. 専用のネットワーク機能。これは、パブリック・インターネットを介したセキュアなVPNから、インターネットおよびクラウド・プロバイダーの他のお客様から完全に分離されたエアギャップ・リージョンまで、あらゆるものを意味する場合があります

6. 高度な暗号化。クラウド・サービス・プロバイダーが暗号化鍵を管理する場合と、クラウド・サービス・プロバイダーが確認やアクセスすることができない独自の鍵をお客様が用意する場合があります。

主なポイント

• ソブリン・クラウドを介してデジタル主権を実装することは、データのコンプライアンス、ビジネス継続性、サプライチェーンの効率性、地政学的な耐障害性の実現に役立ちます。
• クラウド主権の課題には、すべてのルールを把握していて、必要な保護レベルを判断でき、コンプライアンスに関連する適切な認証を持っているサービス・プロバイダーを見つけることが含まれます。
• ソブリン・クラウドは一般的にインターネットに接続されており、セキュアで暗号化されたリンクとプロトコルを使用してアクセスされます。場合によっては、エアギャップ・クラウドが必要になることがあります。
• データ主権では、データをデータベースまたはファイル・システムに保存するか、ネットワーク経由で転送するかにかかわらず、承認された一連のプロトコルでデータを暗号化することが必要です。
• デジタル主権に関する法律や規制の数が増え、複雑さが増し、コンプライアンス監査の不履行やデータ侵害による規制データの漏洩に対する厳しい罰金や刑罰を想定してください。

ソブリン・クラウドの説明

ソブリン・クラウドができることを理解するには、欧州連合(EU)でビジネスを行う企業を経営することを想像してください。EUは、EU全体の要件があるだけでなく、各加盟国の要件もあるため、理想的なテスト・ケースと言えます。したがって、EU内でデジタル主権を維持する義務を負うすべての組織は、EUと加盟国の両方の要件を満たす必要があります。

EU内では、クラウド主権に関する法律は、規制当局の連携によって主導されており、規制は絶えず変化し、一般的により厳しくなっています。その規制に関する変化の多くは、外国企業の利益、法の執行、裁判に対する保護についての市民の要求と絶え間ない政治的圧力の両方に応じて、各国議会とブリュッセルの欧州議会によって推進されています。その結果、EUの一般データ保護規則（GDPR）などの法律が導入されました。

組織に、ドイツとフランスの両方にオフィス、従業員、顧客を持つ子会社があるとします。EUの要件に準拠しながら、両国間で共有できるデータもありますが、その他のデータはドイツまたはフランスの法律によって制限され、それぞれの国の中にのみ保持する必要があります。お客様の組織とクラウド・サービス・プロバイダーの両者は、ソブリン・クラウドがすべての要件を満たすことと、同様に重要なこととして、ソブリン・クラウドが要件を満たすようにする構成が、すべての当事者にとって実証可能な方法で実現されていることを保証する責任を共有します。

EUの法規制に準拠した適切なソブリン・クラウドには、EU全域の主権が導入され、EUの規制に準拠してデータとデータフローの制御をお客様に提供できます。また、EU以外のアクセスからの保護が含まれており、EU外からのアクセスを検出、正当性調査、およびブロックでき、必要に応じて関係者への通知や免責放棄を処理します。

CLOUD Act（クラウド法）

The Clarifying Lawful Overseas Use of Data Act, or the CLOUD Actは、1986年に制定されたStored Communications Act（SCA）の改正として2018年に制定された米国連邦法です。CLOUD法は主に、サービスプロバイダーが保管するデータ、特にそのデータが米国外にある場合のデータへのアクセスと開示に対処します。これにより、米国の法執行機関が、Eメール、ドキュメント、その他の通信を含む、要求された電子データの開示を、データが世界中どこに保存されているかに関係なく、米国に拠点を置くサービスプロバイダーに強制するための枠組みが提供されます。この規定により、プロバイダーが米国の管轄下にある場合、外国に保存されたデータにアクセスするプロセスが簡素化されます。

クラウド主権のメリット

ソブリン・クラウドの構築は、有能なプロバイダーにとっても、複雑な作業になる可能性があります。ただし、ソブリン・クラウドを構築することで、さまざまなメリットが得られます。何よりもまず、コンプライアンスに関するメリットが挙げられます。クラウド主権により、地理的規制、政治的規制、業界の規制、データのポータビリティ、規制ドメイン内および規制ドメイン間でのコンプライアンスに準拠したデータ転送に幅広く対処できます。

さらに、ソブリン・クラウドには次のようなメリットがあります。

• 企業が社内に持っていない技術的なソリューションと専門知識:デジタル主権は、特に組織が相互運用性とポータビリティを維持することを希望する場合、技術的な面で困難な変化をもたらす可能性があります。適切に構築されたソブリン・クラウドでは、規制コンプライアンスとオープン・スタンダードの両方が実現します。
• 運用のベストプラクティス:ソブリン・クラウド・プロバイダーは、管理、ロギング、テクニカル・サポートに加え、お客様のための許可された鍵によるアクセスや独自の鍵を持ち込む機能など、強力な運用管理を整備します。これは、諜報機関などさまざまな組織にとって非常に重要です。
• ビジネスと継続性の保証:トップクラスのプロバイダーがインストールおよび管理するソブリン・クラウドは、デジタル主権に加え、最高レベルのクラウドが備えているスケーラビリティ、ビジネス継続性とディザスタ・リカバリ、冗長性、ポータビリティ、パフォーマンスをすべて提供します。
• サプライチェーンの効率性:ソブリン・クラウドを提供するクラウド・サービス・プロバイダーは、多くの場合、お客様の組織が単独で持っている能力を超えて、サーバー、ネットワーク、チップ、ケーブル配線に加え、24時間体制の可用性に必要な電力、施設、スタッフ、トレーニングを提供することができます。
• 地政学的な耐障害性: グローバルなリーチを持つソブリン・クラウド・サービス・プロバイダーは、組織が、軍事衝突、経済的危機、気候変動、その他の大規模な災難によってもたらされる課題に対処し、サステナビリティの確保を支援します。

クラウド主権の5つの課題

一般的にソブリン・クラウド・サービス・プロバイダーは、お客様が規制要件、法的要件、技術的要件を満たすことができるよう支援することに関心を示しています。それでも、クラウド主権にはメリットもありますが、クラウド主権を確立するには、組織のITチームが次のような障害を克服する必要があります。

1. 規則を把握しているサービス・プロバイダーの発見

デジタル主権に関する法律と規制は、ますます複雑になっています。組織がソブリン・クラウドを使用するか、従来のデータセンターを使用するかにかかわらず、規制環境では、規制に準拠しているものと、準拠していないものを知ることが困難になります。フルサービスのソブリン・クラウド・プロバイダーは、規制の変化に応じてサービスを最新の状態に保つための専門知識とプロセスの両方を備えています。

2. 必要な保護レベルの判断

組織は、個人情報（PII）を適切に暗号化して国内に保存する必要があるだけですか。それとも、ドキュメント・リポジトリを格納しているサーバー、管理システム、およびハードウェアに物理的にアクセスできるすべてのスタッフの市民権とセキュリティ・クリアランスにまで、規制コンプライアンスが及びますか。何が要求されているかを把握しなければ、準拠できません。

3. ディザスタ・リカバリ・アーキテクチャの設計

クラウド主権は、プライマリ・データセンターだけでなく、すべてのバックアップ・リカバリ・サイトおよび施設にも適用されます。つまり、クラウド・サービス・プロバイダーは、定義された法域内でそのような施設を提供するための十分なリソースを持っている必要があります。

4. ソブリン・クラウドの堅牢性と完全性

一部のサービス・プロバイダーは、専用のソブリン・クラウド・サービスを構築しています。その結果、パブリック・クラウドで提供されるアプリケーション、機能、およびサービスをソブリン・クラウドでは、まったく利用できないか、一部を利用できない可能性があります。

5. 一連のすべての認証と法的エンティティの取得

一部の規制制度では、特定の地域内に本社を置き、その地域内で所有されているサービス・プロバイダーがソブリン・クラウドを所有し運営することを求めています。グローバル・クラウド・サービス・プロバイダーが、これらの要件を満たすために適切なパートナーシップ、ライセンス、および法的枠組みを備えていることを確認してください。

ソブリン・クラウドの5つの主な特徴

ソブリン・クラウドの確立を目指す企業は、業界固有または競争上の影響を持つ要素に加えて、これらの5つの主な特徴に関する要件を考慮する必要があります。

1. 場所

コンプライアンス上の規制とビジネス上の考慮事項の両方に基づいて、ソブリン・クラウド・データセンターとバックアップの場所を慎重に選択します。収集するデータポイントには、プロバイダーのクラウド・データセンターの場所、パートナーが所有する他のデータセンターの場所、およびお客様の施設内の専用ソブリン・クラウドが実現可能かどうかが含まれます。

2. アクセス制御

組織は、クラウド環境にアクセスできる企業、パートナー、顧客、およびソフトウェアとサービスを常に選択できる必要があります。国家安全保障が危機的状況にある場合などには、お客様が完全に専用の施設を選択する場合があります。

3. 運用とサポート

組織は、クラウド・プロバイダーとそのパートナーの両方から、どの管理スタッフと技術スタッフが、システムおよびそれらのシステムに関するメタデータ（パフォーマンスや使用率の指標など）にアクセスできるかを制御する必要があります。

4. 規制コンプライアンス

ソブリン・クラウドの導入は、規制やセキュリティ基準への準拠が、それぞれ独自の要件を持つ法域が重複する可能性を反映できるように柔軟である必要があります。場合によっては、お客様が、特定の規制管理と認定に関して固有のニーズを持っていることがあります。

5. インターネット接続またはエア・ギャップ

多くのお客様またはほとんどのお客様にとって、パブリック・インターネットへの暗号化接続は、最も低コストで、規制に準拠したベストなネットワーク・リンクである可能性があります。ただし、一部のお客様またはアプリケーションでは、インターネットや他のネットワークから完全に分離されたエアギャップ・リージョンが必要になる場合があります。

データ主権と暗号化

暗号化なしではデータ主権を確保することはできません。同様に、データベースに格納されるデータ、それらのデータベースやアプリケーションへのアクセスを提供するAPIやその他のサービス、およびユーザー・インタフェースに暗号化が必要です。暗号化は、一般的に使用されるアルゴリズムの数とバージョン、鍵のサイズ、および暗号化鍵の格納とアクセスに関する規制を考えると、複雑なテーマです。この状況は、データ主権を従来のデータセンター内で実現するか、ソブリン・クラウドで実現するかによりません。ただし、クラウドの場合、暗号化鍵の格納とアクセスに関する課題は、規制に準拠し、ビジネス・ニーズを満たす方法で解決する必要があります。

クラウド・サービス・プロバイダーが鍵を管理する場合、マスター暗号化鍵はソブリン・クラウド・ソフトウェアによって生成されます。お客様が鍵を管理する場合、マスター暗号化鍵はプロバイダーがアクセスできないセキュアな鍵コンテナ内に格納します。これらの鍵コンテナを構成するハードウェア・セキュリティ・モジュール（HSM）は、不正開封防止機能と開封明示機能の両方を備え、攻撃に対処できる必要があります。

データベースまたはドキュメントに格納されるデータ（「保存データ」とも呼ばれる）は、デフォルトで暗号化する必要があります。これには、従来のリレーショナル・データベース、Docker/Kubernetesコンテナ、オブジェクト・データベース、ファイル・システム、ブロック・データベース、さらにはブート・レコードのデータが含まれます。

ネットワーク経由で送信する情報（「転送中のデータ」とも呼ばれる）では、少なくとも、Transport Layer Security（TLS）1.2以降やX.509デジタル証明書などの標準に準拠した最新のプロトコルを使用する必要があります。地域の規制で、イーサネット・ネットワーク用のMACsec（IEEE 802.1AE）など、より厳密な暗号化が必要になる場合があります。このような暗号化はデフォルトで有効にする必要があり、プレーン・テキストでのデータ転送を許可しないでください。

主権の未来

データ主権は、2016年にEUの一般データ保護規則（GDPR）が可決され、爆発的に一般に知られるようになりましたが、それは始まりにすぎませんでした。毎年、世界中の国々や欧州連合などの地域が、データ主権要件を修正しています。これらの国と地域は、あいまいさの排除、欠点の削減、消費者からの信頼と政治的信頼の向上、企業の保護に加え、経済摩擦、軍事衝突、テロリズム、およびサイバー犯罪などの地政学的状況への対応を行うために基準を厳格化しています。

デジタル主権に関する法律と規制は、数と複雑さが増すことが予想されます。

また、コンプライアンス監査の不履行やデータ侵害による規制データの漏洩に対する罰金や刑罰が厳しくなることも予想されます。

ソブリン・クラウド・プロバイダーの利用を促す要因となっている懸念には、管理者やサポート・スタッフによるアクセスから顧客データを保護することと、ビジネス継続性や、ディザスタ・リカバリ規制への準拠などがあります。

耐障害性は明らかに最重要事項です。

全体的に、クラウド主権は比較的新しい概念であり、組織は、クラウド主権がクラウド戦略に与えるすべての影響を理解し始めたばかりです。ソブリン・クラウドを導入することは、インフラストラクチャ、戦略、ガバナンス・フレームワーク、およびスキルに関する新しいIT要件を把握することを意味します。ソブリン・クラウドは長期的な取り組みであるため、組織は、新しい法律や業界ルールの変更の監視に投資しながら、規制が最も厳格なドメインや規制環境に注目しています。一度規制が強化されれば、緩和されることはありません。

ソブリン・クラウド・ベンダーの選択

ソブリン・クラウドを選択する際には、デジタル主権要件を満たすのにも役立つ、提供するソリューション全体が最も優れたプロバイダーを探してください。ソブリン・クラウドで利用可能なサービスが、プロバイダーのパブリック・クラウドで提供されているサービスと同じで、パフォーマンス、管理、および可用性に関して同じサービス・レベル契約（SLA）が適用されるのが理想的です。

考慮すべき主な要素の1つは、規制対象地域内で承認された法的エンティティによって所有および運営される単一のベンダー・ソリューションを使用できるかどうかです。合弁企業やパートナーシップの場合は、サポートの問題、統合の複雑さ、製品リリースの遅延、場合によっては、使用できる機能が少ないなどの非難につながる可能性があります。

ソブリン・クラウド・プロバイダーは、データ主権をクラウドの重要な機能として提供すべきであり、追加パッケージや公開サービスのサブセットとして提供すべきではありません。これにより、ソブリン・クラウドはパブリック・クラウドと同じハードウェア、ソフトウェア、サービスを使用して、より優れたアクセス制御やその他のコンプライアンス制限を実現できるため、導入が容易になります。

ディザスタ・リカバリは、ソブリン・クラウドの計画と導入に不可欠です。リカバリとフェイルオーバーをコンプライアンス領域内に維持するように構成できる、地域内のクラウド・リージョンを探してください。また、ソブリン・クラウド・ベンダーは、複雑で絶えず変化する規制要件に対処するのに役立つ専門知識を持っている必要があります。ベンダーとお客様は、必要に応じた認定を含め、コンプライアンスに関する責任をシームレスに共有できる必要があります。

さらに高度な機能:孤立地域と国家安全保障地域

政府ネットワークや極秘のワークロードでは、インターネットに接続されたソブリン・クラウド・リージョンを上回る、お客様による認定とコンプライアンス基準が必要になる場合があります。そのような場合は、隔離された地域や国家安全保障地域など、次のような追加的な保護を提供できる地域を探すことができます。

• 政府認定: US DISA Impact Level 6を含む、最高レベルの政府認定を受けた国家セキュリティ・リージョンをお探しください。
• エアギャップ・データセンター: これらの施設は、政府基準を満たすかそれ以上の政府仕様で建設されており、インターネットには連携していません。
• セキュアな運用: 施設は、お客様固有のセキュリティ・クリアランスを保持する市民によって運営され、サポートされる必要があります。

Oracle Cloudによる主権要件への適合

主権確保に対応したOracle Cloudソリューションは、機密性が高い、規制対象である、または地域の戦略的重要性を持つデータやアプリケーションに加え、主権とデータ・プライバシーの要件によって管理されるワークロードを含むクラウド・コンピューティングのニーズを満たすのに役立ちます。オラクルのソブリン・クラウド・ソリューションは、世界中のますます多くの国や地域で提供されており、Oracle Cloud Infrastructure（OCI）のサービスと機能を備え、お客様がデジタル主権要件を満たすのに役立ちます。

データ・レジデンシーとセキュリティのために設計されたOracle EU Sovereign Cloudアーキテクチャは、オラクルの商用リージョンとインフラストラクチャを共有せず、オラクルの他のクラウド・リージョンとのバックボーン・ネットワーク接続もありません。Oracle EU Sovereign Cloudへのお客様のアクセスは、Oracle Cloudの商用リージョンへのアクセスとは別に管理されます。

ソブリン・クラウド・ソリューションのプロバイダーは、データが定義された地理的・法的境界内に留まるクラウド・サービスを提供することで政府や規制の厳しい業界がクラウドのメリットを享受しながら、厳格なデータ・レジデンシーやセキュリティの義務に準拠できるようにします。デジタル環境が進化し続け、地政学的な考慮事項が依然として目立つ中、ソブリン・クラウド・サービスは、 デジタル・トランスフォーメーションを実現するうえでますます重要な役割を果たすと同時に、組織が関連する規則や法律の順守を維持できるよう支援する態勢が整っています。

ソブリン・クラウドに関するFAQ

データ主権とは

各国の政府は、重要なデジタル情報をどのように保存し、どこに保存し、誰がその情報にアクセスできるかに関する法律や規制を継続的に通過させています。データ主権は、組織や個人がこれらの法律および規制を遵守することを含んでいます。

データ主権に関する法律の例には、どのようなものがありますか。

2016年に欧州連合によって制定された一般データ保護規則（GDPR）には、EU内の個人の個人情報を収集し処理する組織に対する包括的な要件が規定されています。

誰がソブリン・クラウド内の情報にアクセスできますか。

データ主権に関する法律では、データへのアクセスを、特定地域内のソフトウェア、サービス、およびユーザーや、地域で所有されている企業、または特定のセキュリティ・クリアランスやその他の権限を持つ企業に制限することがあります。

ソブリン・クラウドはインターネットに接続されていますか。

多くのユーザーの場合、ソブリン・クラウドは強力なアクセス制御を備えた暗号化されたリンクを介してインターネットに接続されています。ただし、一部の政府ユーザーや非常にセキュアなアプリケーションの場合、ソブリン・クラウドにエアギャップが使用されて、インターネットから完全に切り離されていることがあります。

クラウド・バックアップとディザスタ・リカバリのシナリオは、データ主権に関する規則の対象ですか。

はい。バックアップおよびディザスタ・リカバリ・サイトは、データ主権の規則に完全に準拠している必要があります。つまり、クラウド主権の場合、セカンダリ・クラウド・リージョンは同じ地域または規制ドメイン内にある必要があります。

クラウド主権に関して、なぜ場所が重要なのですか。

データを格納する地理的地域を選択できることは、データ主権に関する法律や規制に準拠するためにデータの管理を維持する必要がある組織にとって重要です。