Год назад мы провели опрос среди экспертов израильских, отраслевых, исследовательских и правительственных кругов по всей Европе и Азии, чтобы оценить уровень осведомленности о суверенитете данных на фоне проблем конфиденциальности и комплаенса, а также бурного развития ИИ.
Двенадцать месяцев спустя геополитическая обстановка остается нестабильной, а развертывание ИИ продолжается ускоренными темпами. Организации повсеместно внедряют передовые модели ИИ и конвейеры данных, которые по умолчанию перемещают данные между юрисдикциями.
Поэтому в этом году в сотрудничестве с Vanson Bourne мы провели исследование в восьми странах Европы и Азии, изучив не только приоритеты и риски в области суверенитета данных, но и оперативную готовность. Если в прошлом году измерялась осведомленность, то в этом — готовность.
Наш опрос выявил резкий разрыв между осведомленностью и готовностью. Приоритетность суверенитета не вызывает сомнений:
Готовность — это совсем другое дело:
ИИ и суверенитет начинаются с контроля
Последняя цифра соседствует с другой: 93% респондентов считают управление данными критически важным для суверенитета. Организации знают, где нужно закладывать фундамент. Большинство этого не сделали.
Задолго до появления ИИ клиенты постоянно высказывали общую обеспокоенность по поводу растущих рисков и затрат на управление фрагментированными, разрастающимися массивами данных. ИИ не создал эту проблему, но сделал эти риски неприемлемыми.
Как и в случае с ИИ, практическая стратегия суверенитета основана на фундаментальной истине: она начинается с того, что организации получают контроль над своими данными, а это больше, чем просто решение о том, где находятся серверы или чей флаг развевается над ними. Хотя облачные регионы и государственные границы могут влиять на доступ, само по себе резидентство данных является лишь пассивным суррогатом суверенитета. Истинный суверенитет означает абсолютную видимость, управление и владение вашими данными, дающие вам возможность контролировать, перемещать и защищать их в любой момент, независимо от того, где они находятся.
Проблема регулирования
Большинство организаций подходят к суверенитету с одной стороны — например, безопасности или комплаенса, — применяя локальные средства контроля к массивам данных, которые не были должным образом картированы. Эти средства контроля не подходят для удовлетворения множества регуляторных требований.
Региональные нормативные базы продолжают расширяться. Помимо GDPR, ЕС внедряет более широкую стратегию в отношении данных, Европейский пакет технологического суверенитета и недавний Закон о цифровой операционной устойчивости (DORA), в то время как Закон Индии о защите цифровых персональных данных вступает в силу поэтапно до 2027 года, а Рамочное соглашение АСЕАН по цифровой экономике (DEFA) готовится к подписанию в ноябре. Неудивительно, что 55% руководителей заявляют, что не успевают за этими изменениями.
Фокус этих нормативных актов смещается. Более старые регуляторные базы задавали вопросы о конфиденциальности — согласие, обработка, уведомление об утечке. Новые исследуют вопросы контроля и устойчивости, а именно: кого могут принудить передать данные, может ли быть отозвана услуга и насколько организации зависят от иностранных провайдеров.
Это вопросы инвентаризации, которые некартированный массив данных решить не может. Ни одна организация не сможет поддерживать три параллельные программы комплаенса, не говоря уже о восьми, но одна точная карта данных может дать ответ любому регулятору с помощью единого источника достоверной информации.
Организации могут ответить на это, только задав фундаментальные вопросы для обеспечения видимости и контроля: какие данные существуют, где находятся их копии и кто имеет к ним доступ в любой момент времени.
Наши выводы подтверждают это. Когда руководителей попросили ранжировать то, что имеет наибольшее значение при оценке облачного суверенитета, они поставили на первое место видимость и контроль доступа к данным, наряду с шифрованием, комплаенсом и управлением ИИ. Распределение приоритетов верное, но исполнение хромает.
За пределами резидентства данных
В прошлом году мы утверждали, что суверенитет выходит за рамки физического местоположения. Мы выступали за гибкий подход, который балансирует между бизнес-целями организации и постоянно меняющимся регулированием.
Этот баланс очевиден в результатах этого года. Подавляющее большинство респондентов (85%) готовы отказаться от расширенных функций ради использования локального или суверенного провайдера, а 87% отдают приоритет локальным или суверенным средам для рабочих нагрузок с высоким уровнем риска в сфере ИИ. Тем не менее, лишь 20% упоминают риск концентрации у зарубежных провайдеров, в то время как 39% говорят, что суверенный ИИ добавляет операционной сложности.
Прагматизм работает в обе стороны.
ИИ выступает в роли катализатора, и мы наблюдаем большую избирательность: самые конфиденциальные данные и рабочие нагрузки переносятся в суверенные среды, в то время как остальные остаются там, где они работают лучше всего. Развертывание ИИ станет балансом между суверенной и общедоступной инфраструктурой, а не отказом в пользу чего-то одного.
Один из клиентов глобального масштаба типизирует этот подход, создавая суверенные версии своих SaaS-инструментов, сегментируя клиентов с помощью шифрования и выделенного периметра вычислений.
И здесь основой является управление данными. Суверенитет требует постоянного контроля данных со стороны клиента. Местоположение меняется; ваша способность классифицировать риски, применять политики и сохранять право собственности на данные остается неизменной. Политики, управляющие ими, зависят от понимания смысла данных в приложениях, а не просто от того, где они хранятся.
Суверенитет как проектное решение
Как же организациям перейти от подготовки к реализации? Возьмите под контроль свои данные, сместите фокус с национального суверенитета на корпоративный суверенитет — подход, основанный на конкретном аппетите организации к риску и взгляде на регулирование. Мы называем это «суверенитет как проектное решение» (sovereignty by design).
Цель состоит в том, чтобы решения о суверенитете принимались на основе бизнес-потребностей и рисков, а не только нормативных требований. Некоторые данные и рабочие нагрузки действительно нуждаются в суверенных средах. Многие другие — нет, и могут оставаться у глобальных облачных и SaaS-партнеров, где скорость и масштаб по-прежнему имеют значение. Это дает организациям дифференцированный контроль на основе профилей рисков, избавляя их от необходимости суетиться каждый раз при появлении нового регионального требования.
Аналогичным образом, важной концепцией является «Минимально жизнеспособная компания» (Minimum Viable Company) — отраслевой термин для обозначения наименьшего набора критически важных сервисов, данных, приложений и квалифицированных сотрудников, необходимых для продолжения работы в случае отказа в обслуживании или другого сбоя. Многие организации еще не определили свою MVC. Ее определение превращает неопределенные риски в нечто, что совет директоров может оценить и профинансировать.
Пять шагов к обеспечению суверенитета по дизайну:
Достигните видимости и контроля
Суверенитет начинается с установления контроля над вашим массивом данных — понимания того, какие данные у вас есть, где они находятся и кто имеет к ним доступ. Крайне важно сохранять конечные права собственности на предоставление или отзыв такого доступа, одновременно понимая уязвимости, такие как юрисдикционная подверженность риску и потенциальная эксфильтрация данных. Все это опирается на надежные возможности управления данными.
Ранжируйте по риску, а не по категории
Определите свою MVC, затем ранжируйте данные и приложения по стратегической ценности и юридическим рискам. Применяйте средства суверенного контроля там, где это оправдано рисками, а не в качестве общей политики.
Создайте суверенную основу для ИИ
Отдавайте приоритет суверенным средам для конфиденциальных данных и рабочих нагрузок ИИ с высоким уровнем риска.
Передайте ответственность совету директоров
Только 19% организаций утверждают, что их стратегия обеспечения цифрового суверенитета управляется на уровне совета директоров. Еще 36% по-прежнему испытывают трудности с получением поддержки со стороны руководства, в то время как 56% не имеют навыков для реализации стратегии даже там, где она существует. Перевод вопросов суверенитета из разряда задач отдельных департаментов в ранг приоритетов совета директоров — это самый быстрый способ мобилизовать ресурсы.
Объедините закупки и обеспечение суверенитета в единый процесс
Оценивайте поставщиков по степени юрисдикционного контроля и возможностям развертывания суверенных решений, а не только по набору функций. Запланируйте пути выхода, возможности переноса данных и условия хранения ключей до того, как они вам понадобятся.
При таком подходе данные, а не приложение, становятся точкой контроля, которая размещается и управляется в зависимости от того, необходимо ли соответствовать требованиям суверенитета.
Без четкой стратегии вопросы суверенитета слишком часто решаются тактически. Имея ее, организации могут быстро реагировать на меняющиеся регуляторные требования и ускорять инициативы в области ИИ, поскольку данные понятны, права собственности четко определены, а контроль установлен.
В конечном счете, управление данными закладывает основу для долгосрочной стратегии корпоративного суверенитета. Имея надежную основу данных, организации могут оставаться конкурентоспособными, добиваться контроля и суверенитета над своими данными, а также обеспечивать соответствие требованиям в любой юрисдикции или регионе.
