什麼是主權雲端？為何重要？

情況如下：您的組織有部分或全部資料必須留在特定國家或地區的地理邊界內，可能是州、國家或更大的地區 (例如歐盟)。此要求的原因各異。也許是政府規則涵蓋了您的產業，或者是您要管理特定類型的受監管資料，例如個人識別資訊 (PII)。也許是業務獨有或競爭方面的考量。無論基本原因為何，該要求都稱為數位主權或資料主權。

不過，後者有點不恰當。在許多情況下，主權合規要求並不限於資料庫表格的儲存。所有處理受監管資料的電腦，都可能必須與所有網路、資料流程、備份和災難復原系統位於同一個地理位置。有時，甚至必須是該司法管轄區的公民或擁有安全許可的人，才能存取受監管的系統。

組織滿足數位主權要求的其中一個方法，是將所有資料儲存在當地資料中心。另一個方法是使用雲端，特別是主權雲端，以提供雲端運算的所有優點，同時協助滿足某些數位主權要求。

讓我們探索數位主權要求，以及主權雲端如何協助組織符合規範。

什麼是主權雲端？

主權雲端是一個協助組織滿足其數位主權要求的雲端環境。在大多數主權架構下，組織都希望能夠保護個人相關資訊。不過，有時範圍更廣泛，涵蓋智慧財產權、軟體、業務方式、財務資料、IT 基礎架構相關資訊，甚至是描述資料集大小和成長速度的中繼資料。主權雲端可能位於雲端運算供應商所擁有的設施，並由組織的使用者和非雲端 IT 系統，透過網際網路或未連線到網際網路的專用通訊連結進行存取。

主權雲端也可能設定為大型組織本身資料中心內的個別「雲端式」安裝；該安裝會像雲端環境一樣運作，並由雲端服務供應者維護，但實際上與外界隔離。

主權雲端包含下列六項功能的其中一或多項，具體功能取決於地理、區域和其他要求。

1. 存取限制，限制可以使用主權雲端的對象：屬於特定公司及其合作夥伴、客戶和供應商的使用者、軟體、系統和服務；特定地理區域；或甚至組織內具有特定公民身分或安全許可的個人。
2. 對主權雲端所在位置的組織控制，例如特定國家或地區，或者雲端是位於服務供應商的資料中心還是客戶的資料中心 (通常稱為資料駐留)。
3. 合規，是否符合特定政府、法規或產業要求 (包括技術規格)，以及符合相關法律和法規的特定法律、合約和商業實務。
4. 營運支援，雲端服務供應商提供支援，以滿足客戶的高期望，以及對員工安全許可、公民權和駐留的法律要求。
5. 專用網路容量，可能包括透過公有網際網路的安全 VPN，以及完全與網際網路和雲端供應商其他客戶隔離的實體隔離區域。
6. 複雜的加密，這可能涉及雲端服務供應商維護加密金鑰，或客戶攜帶自己的金鑰 (在此情況下，雲端服務供應商永遠無法看到或存取金鑰)。

重點精華

• 透過主權雲端導入數位主權有助於符合資料規範，並提供技術專業知識、業務與持續性保證、供應鏈效率和地緣政治韌性。
• 雲端主權的挑戰包括尋找瞭解所有規則、可協助判斷必要保護層級，並持有相關認證和適當合法實體以符合規範的服務供應商。
• 主權雲端通常會連線到網際網路，並透過安全、加密的連結和通訊協定進行存取。在某些情況下，可能需要實體隔離的雲端。
• 無論資料儲存在資料庫或檔案系統中，還是透過網路傳輸，資料主權都需要使用一組核准的通訊協定來加密資料。
• 應假設數位主權法律和法規在未來會變得更多且更複雜，而且若未通過合規稽核或因資料外洩而公開受監管資料，將會遭受嚴厲的罰款和罰則。

主權雲端說明

為了瞭解主權雲端的功能，請想像您經營了一家在歐盟 (EU) 從事交易的公司。歐盟是一個理想的測試案例，因為不僅具備整體要求，還有個別成員國的要求。因此，歐盟內每個負責維護數位主權的組織都必須同時滿足歐盟和國家的要求。

在歐盟內，雲端主權法律是在互連的監管機構網路引導下制定，而且法規不斷在改變；一般來說，都是變得更嚴格。許多法規演變都是由各國議會和位於布魯塞爾的歐洲議會共同推動，以回應民眾需求，及要求防範外國商業利益、執法機關和法院的持續政治壓力。歐盟的一般資料保護規範 (GDPR) 等法律就是在此情況下應運而生。

假設某個組織的子公司在德國和法國都有辦公室、員工和客戶。有些資料可能會在符合歐盟要求的情況下，在這兩國之間共享；其他資料則可能受德國或法國法律限制，只能留在特定國家。客戶組織和雲端服務供應商會一同負責確保主權雲端能夠滿足這些要求，而且同樣重要的是，執行時要能夠向所有當事人證明。

符合歐盟規範的適當主權雲端將包括整個歐盟的主權，讓客戶在控制資料和資料流程時能夠遵守歐盟法規，包括非歐盟存取保護，以偵測、質疑和阻擋歐盟外部的存取，並酌情處理利害關係人通知和允許的豁免。

雲端主權的優點

即使與有能力的供應商合作，建立主權雲端也可能是很複雜的工作。不過，在很多方面都能帶來好處。最優先也最重要的是合規。雲端主權廣泛地處理地理、政治和產業法規；資料可攜性；以及監管領域之內和之間的合規資料傳輸。

此外，主權雲端還提供下列優點：

• 公司內部可能沒有的技術解決方案和專業知識
  數位主權可能會在技術層面帶來窒礙難行的改變，特別是組織希望維持互通性和可攜性時。建構良好的主權雲端有助於遵循法規和提供開放標準。
• 營運最佳實務
  主權雲端供應商提供強大的營運控制 (例如給客戶授權的金鑰存取或允許攜帶自己的金鑰)，以及管理、記錄和技術支援。
• 業務和持續性保證
  由頂級供應商安裝和維護的主權雲端，可提供一流雲端的所有可擴充性、業務持續性、災難復原、備援、可攜性和效能，以及數位主權。
• 充足的供應鏈
  提供主權雲端的雲端服務供應商，為了全天候可用性而取得伺服器、網路、晶片、佈線以及能源、設施、人員配置和培訓的能力，往往超越單一客戶組織。
• 地緣政治韌性
  範圍遍及全球的主權雲端服務供應商可協助組織因應軍事衝突、經濟困難、氣候變化和其他大規模災害所帶來的挑戰，以協助確保組織永續發展。

採用主權雲端時應考慮的 5 個因素

如果組織屬於受到重度監管的產業，以往唯一的選擇是在自有的資料中心內執行主權雲端。現在，雲端供應商則可以接手大部分的負擔。但在決定繼續進行時，需要考慮五個關鍵因素。

1. 規模
   透過主權雲端，組織可以利用雲端運算的彈性、可擴充性、效能和成本優勢，同時還能維持遵守數位主權法規。
2. 控制
   雲端主權為組織提供大量的資料和 IT 基礎架構控制，不僅能遵守資料主權法規，還能實施穩固的內部實務和政策。
3. 專業知識
   主權雲端服務供應商著重於協助客戶滿足其法規、法律和技術要求，因此會研究有哪些專業知識和工具可協助更有效率地移至雲端。
4. 彈性
   組織可以使用其內部 IT 資源和主權雲端來建置符合規範的混合式環境，以提供傳統和雲端運算的最佳組合。
5. 及時
   客戶和雲端服務供應商都必須隨時掌握最新的法規趨勢和架構。這項工作可能會發展成合作關係，其中組織和供應商都要努力確保符合規範，從而降低遺漏法規變更的風險。

雲端主權的 5 大挑戰

儘管有這些優點，建立雲端主權仍需要組織的 IT 團隊克服一些障礙，包括：

1. 尋找瞭解規則的服務供應商

數位主權法律和法規很複雜，而且持續變得愈來愈複雜。無論組織是使用主權雲端還是傳統資料中心，法規環境都使得組織難以瞭解哪些符合規範、哪些不符合規範。提供完整服務的主權雲端供應商具有專業知識和流程，可確保其方案在法規變更時能夠保持在最新狀態。

2. 判斷必要的保護層級

組織只需要確保個人識別資訊 (PII) 經過適當加密並儲存在國界內，還是法規遵循會延伸到文件儲存庫所在的伺服器、控制系統，以及有權實際接觸硬體的員工公民權和安全許可？除非您知道要求為何，否則無從遵循。

3. 設計災難復原架構

雲端主權不僅可套用至主要資料中心，還可套用至所有備份復原站台和設施，這表示雲端服務供應商必須擁有足夠的資源，才能在定義的司法管轄區內提供這類設施。

4. 主權雲端的健全性和完整性

某些服務供應商已建置專門的主權雲端方案。因此，他們在公有雲中提供的應用程式、功能和服務，可能未在主權雲端中提供或完整提供。

5. 取得完整的認證與合法實體

某些監管制度要求主權雲端必須由總部和所有權位在特定地理區域的服務供應商擁有和營運。請確保全球雲端服務供應商具有適當的合作關係、授權和法律架構，以滿足這些要求。

主權雲端的 5 個主要功能

想要建立主權雲端的公司，除了需要考慮任何產業獨有或競爭方面的因素之外，還需要考慮對於以下五個主要功能的要求。

1. 位置

請根據法規遵循和業務考量，謹慎選擇主權雲端資料中心的位置，以及備份位置。要收集的資料點包括供應商的雲端資料中心位置、合作夥伴擁有的其他資料中心位置，以及客戶本身設施內的專用主權雲端是否可行。

2。 存取控制

組織應隨時能夠選擇哪些公司、合作夥伴和客戶 (以及軟體和服務) 可以存取其雲端環境。在某些情況下 (例如當國家安全處於危險關頭時)，客戶可以選擇完全專屬的設施。

3. 營運和支援

組織應控制雲端供應商及其合作夥伴的哪些管理和技術人員可以存取其系統，以及存取有關這些系統的中繼資料 (例如效能和使用率指標)。

4。 法令遵循

在遵守法規和安全標準方面，主權雲端部署必須具有彈性，以反映司法管轄區重疊的可能性；每個司法管轄區都有各自的要求。在某些情況下，客戶可能會對特定監管控制和認證有獨特需求。

5. 網際網路連線或實體隔離

對於許多或大多數客戶來說，與公有網際網路的加密連線可能是最佳、最經濟實惠且完全合規的網路連結。不過，某些客戶或應用程式可能需要完全與網際網路或其他網路隔離的實體隔離區域。

資料主權與加密

資料主權必須經過加密，無論是儲存在資料庫中的資料、提供這些資料庫和應用程式存取權的 API 和其他服務，還是使用者介面都一樣。由於常用演算法的數量和版本、金鑰的大小，以及有關儲存和存取加密金鑰的法規，使得加密成為複雜的題目。無論資料主權是在傳統資料中心或主權雲端啟用，都是如此。但在雲端，有關儲存和存取加密金鑰的問題，必須以符合規範和業務需求的方式解決。

當雲端服務供應商管理金鑰時，主權雲端軟體會產生主要加密金鑰；當客戶管理金鑰時，主要加密金鑰會儲存在供應商無法存取的安全金鑰保存庫中。包含這些金鑰保存庫的硬體安全模組 (HSM) 應同時具備防竄改和竄改證明功能，並在遭受攻擊時能夠做出應對。

儲存在資料庫或文件中的資料 (有時稱為「靜態資料」) 預設應經過加密。這包括傳統關聯式資料庫、Docker/Kubernetes 容器、物件資料庫、檔案系統、區塊資料庫，甚至是開機記錄中的資料。

透過網路傳輸的資訊 (有時稱為「傳輸中的資料」) 應至少使用符合傳輸層安全性 (TLS) 1.2 或更新版本以及 X.509 數位憑證等標準的最新通訊協定。當地法規可能要求甚至更嚴格的加密，例如乙太網路的 MACsec (IEEE 802.1AE)。預設應啟用這類加密，絕不允許以純文字傳輸資料。

主權的未來

在 2016 年通過歐盟一般資料保護規範 (GDPR) 之後，資料主權瞬間進入大眾視野，但這只是剛開始。每年，世界各國以及歐盟等地區都會修訂其資料主權要求。為了消除歧義、減少弱點、提高消費者和政治信心、保護企業，以及因應地緣政治情況 (例如經濟衝突、軍事衝突、恐怖主義和網路犯罪)，他們將標準設得愈來愈嚴格。

我們預測，數位主權法律和法規會變得更多且更複雜。

我們也預測，未能通過合規稽核或因資料外洩而公開受監管資料，將會遭受嚴厲的罰款和罰則。

根據 IDC，由於最近的經濟和地緣政治事件，至少有 75% 的全球企業認為數位主權在業務和技術方面的重要性日益增加。改善和實施隱私權措施，現在是跨國企業的首要任務。

此外，IDC 報告也指出，至少一半的企業將總預算的 25% 花費在公有雲上，其中使用的基礎架構即服務 (IaaS) 佔了 56%。這使得人們更加關注數位主權要求的雲端部分。

IDC 進一步指出，這些恐懼使得主權雲端供應商加入措施，以防止管理員和支援人員存取客戶資料，並維持業務持續和遵守災難復原法規。

韌性無疑是最重要的部分。

整體而言，雲端主權是相對較新的概念；組織才剛開始瞭解其對雲端策略的所有影響。導入主權雲端，可能意味著開始瞭解基礎架構、策略、治理架構和技能的新 IT 要求。由於主權雲端是長期考量，組織會將重點放在法規最嚴格的領域和監管環境，同時投資於關注新法規和產業規則的變更。因為法規一旦變嚴，就有去無回，永遠不會鬆綁。

選擇主權雲端供應商

選擇主權雲端解決方案供應商時，請尋找提供最佳整體雲端解決方案的供應商，該解決方案也應該能夠協助滿足您的數位主權要求。理想情況下，主權雲端中提供的服務會與供應商公有雲中提供的服務相同，而且效能、管理和可用性的服務等級協議 (SLA) 也會相同。

理想情況下，主權雲端中提供的服務會與供應商公有雲中提供的服務相同，而且效能、管理和可用性的服務等級協議 (SLA) 也會相同。

其中一個主要考慮因素是，您是否可以採用經核准合法實體在受監管區域內擁有及營運的單一供應商解決方案。合資企業與合夥關係可能導致在遇到支援問題時互相責難、整合過程複雜、產品發行速度較慢，某些情況下還會使可用功能較少。

主權雲端供應商應提供資料主權作為其雲端的基本功能，而不是作為其公有方案的附加套件或一部分。由於主權雲端使用與公有雲相同的硬體、軟體和服務，因此會使部署變得更加容易，但會有更大的存取控制及其他合規限制。

災難復原對主權雲端規劃和部署至關重要；請尋找地理位置內可將復原和容錯移轉設定為保留在合規區域內的雲端區域。

主權雲端供應商也應具備專業知識，以協助在複雜且不斷變化的法規網路中指明方向。供應商和客戶應能夠無縫分擔合規責任，包括必要時的認證。

利用 Oracle Cloud 滿足主權要求

適用於主權的 Oracle Cloud 解決方案可協助客戶滿足雲端運算要求，包括敏感、受監管或具策略區域重要性的資料和應用程式，以及受主權和資料隱私權要求管控的工作負載。

Oracle 的主權雲端解決方案在全球愈來愈多的國家和地區推出，提供 Oracle Cloud Infrastructure (OCI) 的服務和功能，並協助客戶滿足數位主權要求。

例如，透過 Oracle 歐盟主權雲端，客戶可以使用 Oracle 公有雲區域中提供的 100 項相同服務，而且價格、支援、工作負載以及效能、管理和可用性 SLA 與標準 OCI 方案皆相同，但與基礎架構和其他防護措施實體分隔，以防止客戶資料在歐盟以外的司法管轄區被存取。

Oracle 歐盟主權雲端在 2023 年 6 月推出，此雲端完全位於歐盟境內、由歐盟人員提供支援，並由在歐盟境內註冊成立的的獨立合法實體營運。除了已提供超過 100 項雲端服務之外，未來還將提供 Oracle 應用程式 (例如 Oracle Fusion Cloud Applications Suite)。

Oracle 歐盟主權雲端專為資料駐留和安全而設計，位於實體隔離的資料中心空間內，而且與 Oracle 的其他雲端區域並無骨幹網路連線。客戶對 Oracle 歐盟主權雲端的存取與對 Oracle Cloud 商業區域的存取會分開管理。

此外，Oracle Cloud 專為每個雲端區域內的高可用性而設計，以支援國家或區域邊界內的災難復原，例如 Oracle 擁有威爾斯的雙重政府雲端區域和商業雲端區域。Oracle 的主權雲端解決方案提供與商業雲端區域不同的組織營運、支援和政策，以改善和簡化遵守資料隱私權以及主權準則和要求的過程，即使對情報體系中的敏感客戶或地理空間產業也是如此。

對於需要維護自己加密金鑰，或基於業務原因選擇維護加密金鑰的組織，Oracle Cloud 正式推出了新的 OCI External Key Management Service。有了這項服務，加密金鑰一律維持由客戶保管，絕不會匯入 OCI 中；這讓客戶能夠將受監管的工作負載移至 OCI，同時符合將金鑰儲存在雲端外部的要求。

Oracle 在 23 個國家/地區的 46 個商業、主權和政府雲端區域提供一組廣泛且一致的雲端基礎架構服務，為不斷增加的全球客戶提供服務。截至 2023 年 10 月，Oracle 目前營運 36 個商業區域、2 個歐盟主權區域和 8 個政府區域，以及多個專屬和國家安全區域。

另一個可用於主權雲端部署的 Oracle Cloud 方案是 Oracle Alloy，這是一個完整的雲端基礎架構平台，可讓合作夥伴成為雲端供應商，並提供各式完整的雲端服務。合作夥伴可以在自己的資料中心獨立操作 Oracle Alloy，並完全控制其作業，以更佳滿足數位主權法規要求。

此外，Oracle Roving Edge Infrastructure 將雲端的強大能力延伸到資料中心外，這樣組織就能在遙遠且嚴格管控的環境中，執行所選擇的雲端功能。

更進一步：適用於國家安全的 Oracle 主權雲端

政府網路和極機密工作負載所需的客戶認證與合規要求，可能高於連線到網際網路的主權雲端區域。在此情況下，Oracle National Security Regions 可提供額外的保護，包括：

• 政府認證：Oracle National Security Region 可獲得最高政府分級和標準認證，同時提供與 Oracle 主權雲端和公有雲區域相同的服務。
• 實體隔離資料中心：這會部署在專為政府規格打造，以符合並超越政府標準，且未連線到網際網路的設施中。
• 安全營運：由持有客戶專屬安全許可的當地公民營運和支援。

IDC 將「主權」定義為國家、公司或個人的數位自決能力。主權雲端可讓組織使用雲端運算，同時滿足其國家、區域和產業資料主權法規的嚴格要求。透過主權雲端，組織可以控制其部署的位置、存取性、作業、支援、法規要求，甚至是網際網路連線。

數位主權不僅可確保個人資料隱私，還會影響技術和營運控制、資料保證政策，甚至是技術供應鏈。

主權雲端常見問題

什麼是資料自主性？

各國政府持續通過法律和法規，以規定重要數位資訊的儲存方式、儲存位置及有權存取的人員。資料主權包括組織和個人對這些法律和法規的遵循。

什麼是主權雲端？

主權雲端是一個雲端運算環境，可協助客戶確保所有數位資訊 (包括儲存的資料和軟體以及跨網路傳輸的資料) 遵守資料主權法律和法規。

資料主權法律有何範例？

歐盟在 2016 年頒佈一般資料保護規範 (GDPR)，對於收集和處理歐盟人員個人資訊的組織有完整要求。

誰可以存取主權雲端中的資訊？

資料主權法律可能會限制只有特定地理位置的軟體、服務和使用者，或是當地擁有的公司，或是具有特定安全許可或其他權限的人，才能存取資料。

主權雲端是否會連線到網際網路？

對於許多使用者，主權雲端會透過具有強大存取控制的加密連結連線到網際網路。不過，對於某些政府使用者和高度安全的應用程式，主權雲端可能為實體隔離，並完全與網際網路中斷連線。

雲端備份和災難復原案例是否受到資料主權規則的規範？

有。備份和災難復原站台必須完全符合資料主權規則的規範；對於雲端主權，這表示次要雲端區域必須位於相同的地理位置或監管領域內。

位置為何對雲端主權很重要？

能夠選擇儲存資料的地理區域，對於需要保留資料控制權以遵守資料主權法律和法規的組織而言至關重要。