Chủ quyền dữ liệu là gì?

Chủ quyền dữ liệu nghĩa là dữ liệu phải tuân theo luật pháp và quy định áp dụng cho vị trí vật lý của dữ liệu đó. Khái niệm này có thể chỉ dữ liệu đang được lưu trữ, xử lý hoặc truyền, bất kể vị trí vật lý của tổ chức.

Tất cả dữ liệu được lưu trữ, xử lý và truyền trong phạm vi quốc gia, tiểu bang, khu vực hoặc lãnh thổ pháp lý đều chịu sự ràng buộc của luật pháp và quy định liên quan áp dụng cho việc sử dụng và bảo vệ quyền riêng tư của dữ liệu. Luật chủ quyền dữ liệu được tạo ra nhằm mục đích bảo vệ và quản lý các cá nhân, tổ chức và chính phủ. Các quy định bảo vệ dữ liệu bao gồm quy tắc về xử lý dữ liệu sức khỏe cá nhân, lớp bảo mật dữ liệu cho thông tin khu vực công và thiết lập kho lưu trữ dữ liệu địa phương cho công ty nước ngoài.

Vị trí lưu dữ liệu là nơi dữ liệu được lưu trữ về mặt vật lý. Chủ quyền dữ liệu là cách các luật của một vị trí áp dụng cho dữ liệu được lưu trữ vật lý tại vị trí đó. Cả chủ quyền dữ liệu và vị trí lưu trữ dữ liệu đều đặc biệt quan trọng trong điện toán đám mây và các dịch vụ đám mây, nơi dữ liệu có thể được lưu trữ ở bất kỳ đâu trên thế giới. 

Tất cả kho lưu trữ, phiên bản và dịch vụ của đám mây đều chạy trên các máy vật lý gắn với một vị trí địa lý cụ thể. Do sự khác biệt về môi trường quy định này, các tổ chức phải cân nhắc kỹ lưỡng nơi lưu trữ phiên bản trên đám mây và nơi chạy các dịch vụ đám mây. Chủ quyền dữ liệu của kho lưu trữ và phiên bản này là quyết định cực kỳ quan trọng.

Chủ quyền dữ liệu thường thuộc về bộ phận chức năng quản trị, rủi ro và tuân thủ của chương trình an ninh mạng và pháp lý của tổ chức.

Cam kết về chủ quyền kỹ thuật số của AWS là cam kết của chúng tôi trong việc cung cấp cho khách hàng AWS bộ tính năng và biện pháp kiểm soát chủ quyền tiên tiến nhất hiện có trên nền tảng đám mây. Chúng tôi cung cấp cho bạn sự linh hoạt để lựa chọn cách thức và nơi mà bạn muốn chạy khối lượng công việc của mình để bản địa hóa dữ liệu.

Cam kết về chủ quyền kỹ thuật số của AWS nêu ra bốn lĩnh vực chính mà AWS đang đầu tư vào các khả năng để giúp khách hàng đáp ứng yêu cầu không ngừng thay đổi về chủ quyền kỹ thuật số.

Kiểm soát nơi lưu trữ dữ liệu của bạn

Tổ chức phải luôn có khả năng chọn nơi lưu trữ dữ liệu của họ. AWS luôn cho phép khách hàng lựa chọn nơi lưu trữ dữ liệu của mình, với các Khu vực AWS và Vùng sẵn sàng trên khắp Bắc Mỹ, Nam Mỹ, Châu Âu, Trung Đông, Châu Phi, Châu Á Thái Bình Dương, Úc và New Zealand.

Nếu Khu vực AWS không đủ gần để đáp ứng nhu cầu vị trí lưu dữ liệu, AWS sẽ cung cấp nhiều dịch vụ cơ sở hạ tầng phân tán khác nhau để đem đến trải nghiệm đám mây nhất quán trong ranh giới địa lý. Với Khu vực AWS, Vùng địa phương AWS, Vùng địa phương dành riêng của AWS, AWS Outposts và AWS Wavelength, bạn có thể chạy khối lượng công việc của mình ở bất cứ nơi nào cần lưu trữ các khối lượng công việc đó.

Kiểm soát quyền truy cập dữ liệu

Tổ chức phải áp dụng biện pháp bảo vệ nhằm ngăn chặn hành vi truy cập dữ liệu trái phép. Ví dụ: AWS Nitro System được thiết kế nhằm thực thi quy định hạn chế để không một ai, kể cả bất kỳ ai trong AWS, có thể truy cập khối lượng công việc của khách hàng trên EC2. Quyền và hạn chế truy cập phải được xây dựng để đảm bảo mức độ bảo vệ dữ liệu cao nhất, tùy theo loại dữ liệu.

Khả năng mã hóa dữ liệu

Tổ chức phải có khả năng mã hóa dữ liệu đang được truyền, đang được lưu trữ và đang ở trong bộ nhớ. Dữ liệu tổ chức phải sử dụng mã hóa theo mặc định, với tùy chọn áp dụng mức độ mã hóa mạnh hơn nếu muốn. Tất cả các dịch vụ của AWS đều hỗ trợ mã hóa, hầu hết trong số đó cũng hỗ trợ mã hóa bằng khóa được khách hàng quản lý mà AWS không thể truy cập.

Khả năng phục hồi đám mây

Tổ chức phải có khả năng đạt được chủ quyền kỹ thuật số mà không gặp nguy cơ mất dữ liệu. Kiểm soát dữ liệu của bạn và đảm bảo độ sẵn sàng cao là những yếu tố quan trọng cần cân nhắc trong vấn đề chủ quyền dữ liệu, yêu cầu tổ chức phải chủ động giảm thiểu rủi ro mất dữ liệu. Điều này cho phép bạn duy trì hoạt động của mình ngay cả trong trường hợp xảy ra sự kiện bất ngờ. Hiện tại, AWS đảm bảo độ sẵn sàng mạng cao nhất trong tất cả các nhà cung cấp dịch vụ đám mây. Mỗi Khu vực AWS bao gồm nhiều Vùng sẵn sàng (AZ), là các phân vùng cơ sở hạ tầng hoàn toàn biệt lập. Để cô lập sự cố và đạt được độ sẵn sàng cao hơn, khách hàng có thể phân vùng các ứng dụng trên nhiều AZ trong cùng Khu vực AWS.

Việc nắm bắt và lồng ghép các yêu cầu về chủ quyền dữ liệu đóng vai trò trọng yếu trong việc duy trì sự tuân thủ. Sau đây là một số vấn đề cần cân nhắc khi bạn bắt đầu hành trình đảm bảo chủ quyền của mình:

Lên kế hoạch tuân thủ bản địa hóa dữ liệu

Việc tuân thủ pháp luật bắt đầu từ bước hiểu các quy định điều chỉnh hoạt động của tổ chức của bạn. Luật pháp và quy định về dữ liệu này có thể bao hàm các khu vực hoạt động địa lý của doanh nghiệp, các loại dữ liệu bạn lưu trữ và xử lý (ví dụ: sức khỏe, tài chính), dữ liệu của khách hàng và của chính nhân viên của bạn, cũng như thời gian lưu giữ bản ghi thu thập dữ liệu.

Hãy nghiên cứu và trao đổi với các cơ quan quản lý và cơ quan thực thi pháp luật liên quan để đảm bảo tính tuân thủ cho hệ thống bạn đang tạo ra và nắm được quy trình trong trường hợp báo cáo không tuân thủ.

Không phải công ty nào cũng có sẵn chuyên gia về vấn đề chủ quyền dữ liệu. Việc hợp tác với đơn vị tư vấn tuân thủ có thể sẽ đem lại lợi ích trong duy trì cập nhật các quy định thay đổi liên tục. 

Triển khai biện pháp kiểm soát quyền truy cập mức độ chi tiết

Chỉ cần có một người dùng sao chép dữ liệu sang vị trí vật lý khác là vị trí lưu dữ liệu đã có thể bị xâm phạm. Để ngăn chặn tình trạng này, hãy bắt đầu với tính năng Quản lý danh tính và truy cập nền tảng theo phương pháp tốt nhất, đồng thời, triển khai các biện pháp kiểm soát quyền truy cập đặc quyền nghiêm ngặt cho quản trị viên nâng cao. 

Để giúp bạn tự động hóa và giám sát vị trí lưu trữ, mã hóa dữ liệu và thực thi quy tắc bảo vệ cho vị trí lưu dữ liệu, bạn có thể sử dụng AWS Control Tower. Thư viện biện pháp kiểm soát của AWS Control Tower chứa một nhóm biện pháp kiểm soát chủ quyền kỹ thuật số. Các biện pháp kiểm soát này có khả năng thực thi cấu hình chủ quyền dữ liệu, ngăn chặn thao tác, phát hiện thay đổi tài nguyên, thực thi biện pháp hạn chế truy cập chi tiết, bật mã hóa mặc định và cung cấp nhiều khả năng phục hồi.

Xây dựng khả năng phục hồi cho hệ thống trọng yếu

Khả năng duy trì sự liên tục cho hoạt động kinh doanh khi gặp thảm họa phụ thuộc vào hệ thống sao lưu và chuyển đổi dự phòng đáng tin cậy. Để tuân thủ quy định về chủ quyền dữ liệu, các hệ thống này phải nằm trong cùng khu vực để duy trì chủ quyền dữ liệu giống như hoạt động thông thường của bạn.

Xây dựng khả năng phục hồi cho các hệ thống trọng yếu của bạn nghĩa là phân bổ dữ liệu của bạn ra nhiều Vùng sẵn sàng để tăng cường khả năng bản địa hóa dữ liệu.

Đối với khách hàng chạy khối lượng công việc tại chỗ hoặc cho các trường hợp sử dụng từ xa, bạn có thể sử dụng các dịch vụ AWS cung cấp tính năng cụ thể để hỗ trợ liên tục trong thời gian gián đoạn mạng cũng như điện toán và lưu trữ từ xa. Các dịch vụ này bao gồm AWS Outposts và Amazon EKS Anywhere.

Tìm đối tác đám mây cung cấp tính minh bạch và đảm bảo

Việc lựa chọn vị trí dữ liệu của bạn không chỉ là quyết định lớn, mà tổ chức cũng phải có thể tin tưởng rằng hệ thống của nhà cung cấp dịch vụ đám mây của mình thực sự tuân thủ quy định chủ quyền dữ liệu của lãnh thổ pháp lý. Hãy đưa theo một chuyên gia về vấn đề tuân thủ và trao đổi với đội ngũ tuân thủ của chính nhà cung cấp để đảm bảo.

AWS luôn ưu tiên lựa chọn của khách hàng hơn chủ quyền dữ liệu của họ, cho phép kiểm soát hoàn toàn vị trí và hoạt động di chuyển dữ liệu của họ. Ngay từ đầu, phương pháp tiếp cận đảm bảo chủ quyền ngay từ thiết kế của AWS đã mang lại cho chúng tôi sự tin tưởng của khách hàng, họ là một trong những tổ chức có ý thức về bảo mật dữ liệu và quyền riêng tư dữ liệu nhất trên thế giới.

Việc liên tục cập nhật bản đồ về bối cảnh dữ liệu hiện tại của bạn là yếu tố thiết yếu để đảm bảo kiến trúc dữ liệu luôn tuân thủ yêu cầu. Hãy cân nhắc triển khai các biện pháp sau:

Sắp xếp và bảo mật dữ liệu nhạy cảm

Bảo vệ dữ liệu nhạy cảm có nghĩa là sử dụng biện pháp kiểm soát tích hợp, bao gồm gắn thẻ, quản lý danh tính và quyền truy cập, mã hóa, cách ly và quy tắc đối với dữ liệu nhạy cảm đang được lưu trữ, đang được truyền và đang được xử lý. 

Chọn vị trí lưu dữ liệu của bạn theo luật pháp hiện hành

Hãy lựa chọn vị trí dữ liệu sao cho phù hợp nhất với nhu cầu của bạn dựa trên kết quả nghiên cứu về hoạt động kinh doanh, khách hàng và loại dữ liệu của bạn. Hãy nhớ rằng khi hoạt động kinh doanh của bạn thay đổi, nhu cầu về vị trí dữ liệu có thể thay đổi và chủ quyền dữ liệu có thể bị ảnh hưởng theo.

Chọn nhà cung cấp dịch vụ đám mây đáng tin cậy

Bằng cách kiểm tra nghiêm ngặt các nhà cung cấp dịch vụ đám mây công cộng, bạn có thể có được niềm tin vào sự đảm bảo chủ quyền dữ liệu của họ. Hãy chọn nhà cung cấp đã có nền tảng hoạt động vững chắc tại vị trí dữ liệu bạn đã chọn. 

Duy trì cập nhật nghĩa vụ tuân thủ

Luật pháp và quy định xoay quanh vấn đề dữ liệu lúc nào cũng thay đổi. Bạn phải đảm bảo bản thân luôn cập nhật quy định mới nhất, dự đoán yêu cầu mới và đáp ứng nghĩa vụ báo cáo. Hãy chọn một đại diện trong tổ chức của bạn hoặc một công ty đối tác, là các bên sẽ chịu trách nhiệm cập nhật thay đổi của luật pháp. Hãy tạo ra chính sách bảo vệ dữ liệu nội bộ phù hợp với nghĩa vụ của bạn.

Các vị trí địa lý khác nhau trên thế giới áp dụng luật pháp và quy định rất khác nhau liên quan đến kho lưu trữ dữ liệu, việc xử lý và thao tác với dữ liệu. Các lãnh thổ pháp lý có thể chồng chéo, do đó tạo thêm nhiều lớp quy định dữ liệu áp dụng cho việc lưu trữ và xử lý dữ liệu. Ví dụ: Tây Ban Nha, Pháp và các nước Liên minh Châu Âu khác đều đã có luật pháp nội bộ điều chỉnh vấn đề chủ quyền dữ liệu, nhưng đồng thời phải tuân thủ cả luật pháp của Liên minh Châu Âu. Các ngành công nghiệp được quản lý chặt chẽ như chăm sóc sức khỏe và tài chính cũng áp dụng nhiều quy định khác nhau. Một số quốc gia áp dụng luật pháp chủ quyền dữ liệu bản địa liên quan đến quyền của người bản địa. 

Hoạt động kinh doanh ngoài lãnh thổ có thể tác động đến các yêu cầu về quản trị dữ liệu của bạn. Ví dụ: Công ty Úc phải tuân thủ GDPR khi xử lý dữ liệu của công dân Liên minh Châu Âu. 

Đối với các tổ chức có nhiều pháp nhân đã đăng ký toàn cầu, chủ quyền dữ liệu và việc tuân thủ nhiều quy định ngoài lãnh thổ khác nhau trở nên rất phức tạp.

Tất cả các tổ chức, bất kể lớn hay nhỏ, đều phải cẩn thận cân nhắc vấn đề chủ quyền dữ liệu để đảm bảo rằng họ duy trì tuân thủ nghĩa vụ pháp lý của mình trong việc quản lý dữ liệu. Đối với hoạt động xuyên biên giới, công ty đa quốc gia và tổ chức hoạt động trong những ngành được quản lý chặt chẽ, các vấn đề cần cân nhắc trong lĩnh vực chủ quyền dữ liệu càng trở nên quan trọng hơn. Hãy cân nhắc cách bạn quản lý việc lưu trữ dữ liệu, cách bạn truyền dữ liệu và cách bạn xử lý dữ liệu.

Điều quan trọng là lựa chọn nhà cung cấp dịch vụ đám mây hiểu biết đầy đủ về vấn đề chủ quyền dữ liệu. Nhà cung cấp dịch vụ đám mây của bạn phải cung cấp các biện pháp bảo vệ dữ liệu tích hợp cho khách hàng của mình theo yêu cầu của khu vực và cung cấp một loạt các biện pháp quản trị dữ liệu, danh tính kỹ thuật số và quản lý quyền truy cập, bảo mật dữ liệu và quyền riêng tư.

Hãy khám phá vấn đề Chủ quyền kỹ thuật số tại AWS để biết thêm thông tin, nghiên cứu điển hình và nội dung cập nhật sản phẩm mới nhất trong lĩnh vực Bảo mật, danh tính và tuân thủ trọng yếu này.