Was ist die souveräne Cloud?

Die Einhaltung der Datensouveränität — die Auffassung, dass Daten den Gesetzen des Landes oder der Region unterliegen, wo sie generiert wurden — ist eine grundlegende Anforderung der meisten souveränen Cloud-Lösungen. Eine starke Datensouveränität hilft Unternehmen, ihre Kundendaten vor Cyberangriffen und anderen Bedrohungen zu schützen und gleichzeitig sicherzustellen, dass kein Unbefugter Zugriff auf diese Daten hat. Zum Beispiel haben CSPs gemäß den meisten Anforderungen an die Datensouveränität keinen Zugriff auf Kundendaten, selbst wenn sie sich in einem von ihnen betriebenen Cloud-Rechenzentrum befinden.

Ein weiterer wichtiger Aspekt der Datensouveränität ist das Konzept der Datenresidenz, also die Auffassung, dass Daten den Gesetzen und Vorschriften der Region oder des Landes unterliegen, in dem sie gespeichert werden. Neben der Einhaltung des Datenschutzes müssen souveräne Cloud-Lösungen auch alle geltenden Gesetze und Vorschriften zur Datenresidenz einhalten.

Die betriebliche Souveränität trägt dazu bei, dass kritische Infrastrukturen, die mit datenintensiven Anwendungen verbunden sind, immer verfügbar und zugänglich sind. Darüber hinaus hilft die betriebliche Souveränität Unternehmen, die Kontrolle über ihre betrieblichen Abläufe zu behalten und Ineffizienzen zu erkennen. Mit einem soliden Ansatz für die betriebliche Souveränität kann ein Unternehmen selbst dann, wenn eine bestimmte Region von einer Katastrophe betroffen ist, sicherstellen, dass seine kritische Infrastruktur durch einen Business Continuity Disaster Recovery (BCDR)- oder Disaster-Recovery-as-a-Service (DRaaS)-Plan widerstandsfähig bleibt. Schließlich hilft die betriebliche Souveränität Unternehmen bei der Einhaltung lokaler Vorschriften für die Infrastruktur, die zur Unterstützung von Cloud-Umgebungen in einer bestimmten Region erforderlich ist.

So wie die betriebliche und Datensouveränität ist auch die digitale Souveränität innerhalb der Region ein Konzept, für das es keine einzige universelle Definition gibt. Im weitesten Sinne handelt es sich dabei um einen Überbegriff, der den Grad der Kontrolle eines Unternehmens über seine digitalen Assets, darunter Daten, Software, Inhalte und digitale Infrastruktur, beschreibt. Digitale Souveränität ist für das Konzept der souveränen Cloud vor allem im Zusammenhang mit Governance und Transparenz wichtig: Unternehmen, die die Zugriffskontrolle auf ihre digitalen Assets nutzen, müssen Regeln dafür aufstellen, wer welche Rechte hat. Diese Regeln müssen so eingerichtet werden, dass sie leicht durchsetzbar sind, wie zum Beispiel Policy-as-Code, ein Prozess, der es Unternehmen ermöglicht, ihre Infrastruktur und Verfahren auf wiederholbare Weise zu verwalten.

Transparenz, ein weiterer wichtiger Aspekt der digitalen Souveränität, bezieht sich auf die Fähigkeit eines Unternehmens, seine Prozesse und Ergebnisse zu überprüfen. Transparenz stellt sicher, dass Unternehmen Einblick in ihre wichtigsten betrieblichen Workflows erhalten, sodass sie erkennen können, was funktioniert und was geändert werden muss.

Wenn es um souveräne Clouds geht, gibt es keine Einheitslösung. Unternehmen möchten mit ihrem Hybrid-Cloud-Ansatz möglicherweise dasselbe Ergebnis erzielen (z. B. die digitale Transformation). Die Vorgehensweise beim Erreichen dieses Ziels hängt jedoch von der Größe, dem Standort, der Branche und den Geschäftsanforderungen ab. An dieser Stelle werden die Vorteile eines risikobasierten Ansatzes deutlich.

Ein starker, risikobasierter Ansatz für souveräne Clouds gleicht Wachstum – z. B. das Potenzial einer aufregenden neuen Technologie wie generativer KI – mit Risiken wie Reputationsschäden aufgrund einer Datenschutzverletzung aus. Bei kritischen Anwendungen und hochsensiblen Daten möchten Unternehmen möglicherweise ein höheres Maß an Kontrolle ausüben als bei anderen, weniger kritischen Anwendungen. Eine genaue Regelung in Verbindung mit einem normenbasierten Ansatz für Governance-Regeln und -Standards trägt dazu bei, dass die eingeführten Regeln auch technologisch verwaltet werden können.

Je nach den Anforderungen an ein Unternehmen, das Risiko gegenüber dem Wachstum, der Art der gespeicherten Daten und dem Speicherort dieser Daten gibt es zwei Optionen für die Bereitstellung und Durchsetzung souveräner Cloud-Richtlinien: Public oder verteilte Cloud. In den meisten Ländern helfen Public-Cloud- und Multicloud- Bereitstellungen Unternehmen dabei, ihre Cloud-Workloads bereitzustellen und gleichzeitig die Kontrolle über ihre Daten in einer bestimmten Region zu behalten. Eine typische Public-Cloud-Architektur umfasst eine Plattform-Cloud-Ebene, wie eine Hybrid-Cloud-Plattform, die eine stabile, konstante Cloud-Bereitstellung ermöglicht.

Die zweite Option ist das verteilte Cloud-Bereitstellungsmodell, z. B. ein lokaler Infrastrukturanbieter oder ein lokales Rechenzentrum. Diese sind besonders attraktiv für Unternehmen, die mehr Kontrolle über ihre Infrastruktur und ihren Betrieb benötigen. Ein verteiltes Cloud-Bereitstellungsmodell gibt Ihnen im Wesentlichen die Möglichkeit, Workloads und Plattformen in einer beliebigen Infrastruktur Ihrer Wahl bereitzustellen.

In den kommenden Jahren wird die Art und Weise, wie Unternehmen ihre Daten erfassen, sichern, speichern und den Zugriff darauf kontrollieren – insbesondere, wenn sie neue, datenintensive Technologien wie KI und ML nutzen möchten – enorme Auswirkungen auf ihren Erfolg haben. Bei der Auswahl eines CSP, der sie bei der Einrichtung ihrer souveränen Cloud-Umgebung unterstützt, ist es für Unternehmen von entscheidender Bedeutung, zu verstehen, wie ein CSP ihre sensiblen Daten speichern und verarbeiten wird.

Darüber hinaus müssen sie wissen, wie ein CSP die Resilienz unterstützt und plant, Ausfälle durch Cyberangriffe, Naturkatastrophen und andere Bedrohungen zu minimieren. Schließlich müssen Unternehmen, die ein souveränes Cloud-Framework nutzen möchten, sicherstellen, dass die gesamte Cloud-Strategie des von ihnen gewählten CSP mit den Gesetzen der Länder oder Regionen, in denen sie tätig sind, übereinstimmt, sonst drohen ihnen empfindliche Geldbußen oder Strafen.

Hier sind einige wichtige Überlegungen, die Sie bei der Auswahl eines CSP für eine souveräne Cloud-Architektur berücksichtigen sollten:

Datenverwaltung: Der Ansatz eines CSP zur Datenverwaltung ist von entscheidender Bedeutung. Er zeigt, dass sie über die richtigen Richtlinien und Verfahren verfügen, um Ihre Daten erfolgreich zu verarbeiten und die notwendigen Einschränkungen anzuwenden. Sie sollten auch in der Lage sein, regelmäßige Audits durchzuführen, die belegen, dass die Richtlinien, die sie eingeführt haben, eingehalten werden.

Service Level Agreements (SLAs): Ein Service Level Agreement (SLA) mit einem CSP, das eine souveräne Cloud-Umgebung umreißt, sollte sich nicht wesentlich von einer Vereinbarung für eine öffentliche oder private Cloud-Umgebung unterscheiden. Wie bei Public Clouds und Private Clouds sind auch hier die drei wichtigsten Bereiche Kontrolle (Cloud Management), Verfügbarkeit und Leistung.

Einhaltung von Vorschriften: CSPs, die souveräne Cloud-Frameworks einsetzen, müssen über ein hohes Maß an Fachwissen über die Datengesetze in den Regionen, in denen sie tätig sind, sowie über ein tiefes Verständnis der sich ständig ändernden Datenhoheit und Compliance-Landschaft verfügen. Anbieter und Kunden teilen sich die Verantwortung dafür, sich über neue Vorschriften auf dem Laufenden zu halten und Strategien zu entwickeln, um damit umzugehen.

Datenverschlüsselung: Wenn es um Datenhoheit und Datenschutz geht, ist es wichtig, die Vertraulichkeit der Daten zu erreichen. CSPs müssen Unternehmen Mechanismen zur Verfügung stellen, um ihre Daten zu verschlüsseln und mit kryptografischen Schlüsseln zu verwalten. Im Wesentlichen bedeutet dies, dass die Daten in einen verschlüsselten Inhalt umgewandelt werden, der nur von einer Person mit den richtigen Berechtigungen und dem richtigen Schlüssel entschlüsselt werden kann. Durch die Gewährleistung des exklusiven Zugriffs auf diese Verschlüsselung erhalten Unternehmen vollständige technische Sicherheit und Kontrolle darüber, wer zu einem bestimmten Zeitpunkt auf ihre Daten zugreifen kann.

Widerstandsfähigkeit: Wenn etwas schief geht, müssen Sie einen Plan haben, der Ihnen hilft, sich schnell zu erholen. Ziehen Sie nur CSPs in Betracht, die nachweislich Kunden bei ihren Bemühungen um Widerstandsfähigkeit und Wiederaufbau in den betreffenden Ländern oder Regionen unterstützt haben. Alle souveränen Cloud-Implementierungen müssen über integrierte Wiederherstellungs- und Failover-Funktionen verfügen, die auf den jeweiligen Compliance-Bereich zugeschnitten sind, in dem die Daten gespeichert werden.