Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Die Datenhoheit ist ein kritisches Konzept bei Cloud-Governance und Compliance. Sie bezieht sich auf die rechtliche und regulatorische Befugnis, die ein Land, eine Region oder Organisation über Daten hat, insbesondere in Bezug auf den Ort, an dem diese Daten gespeichert und verarbeitet werden. Dieses Konzept gestaltet, wie vertrauliche Workloads in Cloudumgebungen konzipiert, gesteuert und überwacht werden. In diesem Artikel untersuchen Sie die Prinzipien der Datenhoheit und deren Anwendung auf Cloudumgebungen.
Was ist Datenhoheit?
Die Datenhoheit ist ein vielfältiges Konzept, das besagt, dass Daten den Gesetzen und Der Governance des Landes/der Region unterliegen, in dem sich die Daten physisch befinden, unabhängig davon, wer die Daten besitzt oder verwaltet. Dies bedeutet, dass die Nationen das Recht haben, über daten zu verfügen, die innerhalb ihrer Grenzen gespeichert sind.
Microsoft ermöglicht es Ihnen jedoch, auszuwählen, wo sich Ihre Daten befinden, während die Rechte des Landes oder der Region, in der die Daten gehostet werden, im Kontext des Zugriffs auf diese Daten begrenzt sind. Regulierungsbehörden können keinen Zugriff auf Daten ausschließlich basierend auf ihrem Standort anfordern. Stattdessen unterliegt der Zugang gesetzlichen Prozessen und vom Kunden kontrollierten Garantien.
Wichtige Prinzipien
Die Datenhoheit basiert auf vier grundlegenden Prinzipien:
| Prinzip | Description |
|---|---|
| Datenbesitz | Organisationen behalten den Besitz und die Kontrolle über ihre Daten, auch wenn sie in Clouddiensten von Drittanbietern gespeichert sind. |
| Datenschutz und Privatsphäre | Vertrauliche Daten müssen durch robuste Sicherheitsmaßnahmen und die Einhaltung lokaler Datenschutzbestimmungen geschützt werden. |
| Grenzüberschreitende Datenübertragung | Die Übertragung von Daten über internationale Grenzen unterliegt einer behördlichen Kontrolle und ist durch nationale Gesetze eingeschränkt. |
| Rechtliche Zuständigkeit | Der Rechtsrahmen für Daten wird unabhängig vom Ursprung des Datenbesitzers durch seinen physischen Standort bestimmt. |
Verschlüsselung als Souveränitätskontrolle
In Cloudumgebungen spielt die Verschlüsselung eine zentrale Rolle bei der Durchsetzung der Datenhoheit. Daten werden standardmäßig verschlüsselt, um sicherzustellen, dass der physische Zugriff auf die Infrastruktur nicht mit dem Zugriff auf lesbare Daten gleicht. Nur der Datenbesitzer oder das System enthält die Verschlüsselungsschlüssel, wodurch die Verschlüsselung zum primären Mechanismus für die Aufrechterhaltung der Kontrolle über in der Cloud gehostete Daten wird. Um einen umfassenden Schutz über den gesamten Datenlebenszyklus hinweg zu gewährleisten, wird die Verschlüsselung in der Regel in drei unterschiedlichen Zuständen angewendet: Ruhezustand, Übertragung und Verwendung, wobei jeweils verschiedene Phasen der Datenverarbeitung und des Risikos der Exposition behandelt werden.
| Verschlüsselungstyp | Description |
|---|---|
| Verschlüsselung während der Übertragung | Sichert Daten, während sie über Netzwerke hinweg verschoben werden – zwischen Geräten, Diensten oder Rechenzentren. Wird in der Regel mithilfe von TLS implementiert. |
| Verschlüsselung im Ruhezustand | Schützt Daten, die auf dem Datenträger oder einem anderen beständigen Speicher gespeichert sind, z. B. Datenbanken, Dateisysteme und Sicherungen. |
| Verwendete Verschlüsselung | Schützt Daten, während sie aktiv im Arbeitsspeicher oder in der CPU verarbeitet werden. Häufig werden vertrauliche Computertechnologien berücksichtigt. |
Standardmäßig verwenden alle Azure-Dienste die Verschlüsselung während der Übertragung, einschließlich der Kommunikation zwischen Regionen und Regionen. Dienste implementieren in der Regel Verschlüsselung mit TLS-Zertifikaten, die automatisch generiert werden, wenn ein Dienst bereitgestellt und von einer vertrauenswürdigen öffentlichen Zertifizierungsstelle signiert wird. In einigen Szenarien können Kunden eigene Zertifikate mitbringen, indem sie entweder eine PFX-Datei (mit dem privaten Schlüssel) in einen Dienst importieren oder das Zertifikat über Azure Key Vault verwalten.
Alle Dienste in Azure verwenden die serverseitige Verschlüsselung für ruhende Daten mithilfe von plattformverwalteten Schlüsseln (PMKs). Diese Schlüssel werden von der Plattform für Sie generiert und verwaltet. Viele Dienste unterstützen auch vom Kunden verwaltete Schlüssel (CMKs). Je nach Dienst können diese Schlüssel in Kombination mit den PMKs verwendet werden, um noch besser zu schützen. Vom Kunden verwaltete Schlüssel können entweder in Azure Key Vault (Standard oder Premium) oder in vielen Fällen in Azure Key Vault verwaltetes HSM gespeichert werden. Letzteres wird für Ihre vertraulichsten souveränen Workloads empfohlen, da dieser Dienst garantiert, dass Sie die vollständige Kontrolle über die Verschlüsselungsschlüssel in einer einzelnen Mandantenumgebung haben. Diese vollständige Kontrolle kommt jedoch auch mit mehr Verantwortlichkeiten zusammen. Sie sind voll verantwortlich für den Schutz der Sicherheitsdomäne, die beim Aktivieren Ihrer verwalteten HSM-Instanz heruntergeladen werden muss .
Sie können auch die Externe Schlüsselverwaltung für bestimmte regulierte Workloads in Betracht ziehen. Dieser Dienst ist eine Erweiterung des von Azure Key Vault verwalteten HSM und ermöglicht es Ihnen, Ihre Schlüssel außerhalb von Azure zu besitzen und zu verwalten. Die Verwaltung externer Schlüssel ist eine Funktion, mit der Kunden ihre eigenen Hardwaresicherheitsmodule (Hardware Security Modules, HSMs) verwenden können, um kryptografische Vorgänge für Clouddienste zu unterstützen. Mit der Verwaltung externer Schlüssel können Kunden ihre Schlüssel in ihren eigenen HSMs speichern, die physisch von den Clouddiensten getrennt sind. Diese Funktion, die als "Behalten Sie Ihren eigenen Schlüssel" (HYOK) bezeichnet wird, stellt sicher, dass Sie immer die volle Kontrolle über Ihre Schlüssel behalten. Diese vollständige Kontrolle hat jedoch mehr Verantwortlichkeiten, da Sie für die Verfügbarkeit, Skalierbarkeit und Sicherungen aller wichtigen Materialien verantwortlich sind.
Während die meisten Datensicherheitsmaßnahmen auf der Verschlüsselung von Daten im Ruhezustand und bei der Übertragung beruhen, erweitert Azure Confidential Computing diese Funktionen auch auf die Verschlüsselung von Daten in der Nutzung. Dies bedeutet, dass die tatsächliche Computeinstanz, die mit den (entschlüsselten) Daten interagiert, die Verschlüsselung selbst innerhalb des zugewiesenen Speicherplatzes verwendet. Azure entspricht vollständig den Standards des Confidential Computing Consortium , die auf Intel, AMD und NVIDIA-Hardware verfügbar sind.
Datenresidenz
Die Data Residency konzentriert sich in erster Linie darauf, wo sich Ihre Daten physisch befinden und durch praktische Überlegungen wie Leistung, Compliance und Geschäftskontinuität geprägt sind. In der folgenden Tabelle sind die wichtigsten Aspekte aufgeführt, die auf Entscheidungen zur Datenresidenz Einfluss nehmen:
| Aspekt | Description |
|---|---|
| Latenz und Leistung | Entscheidungen zur Datenhaltung können sich auf die Geschwindigkeit und Leistung des Datenzugriffs auswirken. Das Platzieren von Daten, die endbenutzern näher sind, kann die Latenz verringern und die Benutzerfreundlichkeit insgesamt verbessern. |
| Complianceanforderungen | Organisationen können Optionen zur Datenresidenz auswählen, die mit den lokalen und branchenspezifischen Compliance-Anforderungen übereinstimmen. Dadurch wird sichergestellt, dass Daten in übereinstimmung mit den geltenden Vorschriften gespeichert werden. |
| Rechtliche Zuständigkeit | Data Residency dreht sich um die Wahl des Rechenzentrums oder der Cloudregion, in der Daten gespeichert werden. Während Daten in der Regel den Gesetzen ihres physischen Standorts unterliegen, bestätigen einige Länder/Regionen die rechtliche Autorität über Daten, die von inländischen Cloudanbietern aufbewahrt werden, unabhängig vom physischen Standort. |
| Verfügbarkeit und Redundanz von Daten | Überlegungen zur Datenaufbewahrung beeinflussen Redundanz und Notfallwiederherstellungsstrategien. Organisationen und Cloudanbieter replizieren möglicherweise Daten in mehrere Regionen, um hohe Verfügbarkeit und Resilienz sicherzustellen. |
Mit Azure, Microsoft 365 und Dynamics 365 können Sie auswählen, wo Ihre Daten gespeichert werden, um die Anforderungen an die Datenspeicherung zu erfüllen. Indem Sie strategisch ausgerichtete Rechenzentrumsregionen innerhalb derselben Geografie mit Hilfe von Azure-Regionspaaren verwenden, können Sie Georedundanz verbessern, priorisierte Wiederherstellung sicherstellen und von gestaffelten Plattformupdates profitieren und gleichzeitig Compliance beibehalten und die Datenresilienz verbessern.
Nächste Schritte
- Ermitteln Sie den erforderlichen Residency-Bereich und die zulässigen Azure-Regionen pro Klassifizierung.
- Verschlüsselungsabdeckung (im Ruhezustand / bei der Übertragung / bei der Nutzung) im Hinblick auf aktuelle Workloads.
- Definieren sie das Schlüsselbesitzmodell (PMK → CMK → Managed HSM → EKM) pro Datenebene.