长期以来，受监管行业一直在处理与数据主权相关的问题。如今，随着地缘政治局势的发展，数据主权的重要性逐渐扩展到更多领域，但这并不意味着相关问题因此变得更容易解决。

从人们对美国《云法案》适用范围的担忧，到对生成式AI模型可能收集哪些遥测数据或敏感业务数据的顾虑，再到美国政府部分持有多家科技公司股权所带来的影响，以及欧盟法规的影响，当前的世界局势意味着，越来越多的企业需要认真考虑数据究竟存储在哪里。

由此带来的是超大规模云服务商纷纷宣布在欧盟建立新的云区域，以及区域性云服务商和私有云服务商积极推介自身解决方案的热潮，它们所承诺的数据主权保障措施各不相同，可能仅仅是在本地设立一个可用区，也可能涉及更复杂的方案，例如调整所有权结构、建立合规框架、规定日志的存储位置，或限定技术支持人员的工作地点。

真正的数据主权涉及法律、技术、合同、治理和基础设施等多个方面的问题，然而，实际提供的解决方案往往名不副实，IDC研究总监Rahiel Nasir将这种现象称为“主权漂白”。

他表示：“仔细审视这些方案就会发现，它们真正提供的不过是数据驻留和数据本地化解决方案，也就是确保数据留在本国境内，这固然是数据主权的一部分，但并不代表数据主权的全部。”

根据他的经验，为了满足数据本地化和数据驻留要求，企业首先提出的需求通常是在本国境内建设数据中心，但与此同时，它们还需要加强身份和访问管理控制，这一点至关重要，因为数据主权不仅关乎数据存储在哪里，同样关乎谁有权访问这些数据，以及访问的理由是什么。

他补充道：“在一个号称具备主权保障的云环境中，只有获得我授权的人才能接触我的数据，这一点非常重要，因为这些数据属于我，只有我才有权授权他人访问，这一原则同样适用于技术支持人员和系统管理员。”

Acceldata高级副总裁Ali Afsar补充说，企业不仅希望通过控制数据的存储位置来掌握主动权，还希望限制用户与数据交互的方式，防止相关操作导致信息泄露到未经批准的环境或司法管辖区之外。

访问与控制

Scality首席营销官Paul Speciale提醒，不要将数据驻留的监管要求与数据主权混为一谈。

他说：“数据驻留关乎地理位置，数据主权则关乎控制权、司法管辖权，以及最终由谁在法律上拥有访问数据的权力。”

对于CIO而言，问题已不再仅仅是数据存储在哪里，还包括谁能够访问数据、谁掌握加密密钥、数据受什么法律框架约束，以及能否证明相关控制措施确实有效，这意味着，企业必须能够说明谁在什么地点、出于什么目的访问了数据。要做到这一点，就需要实施可验证的控制措施，例如根据司法管辖区要求安排数据存储位置、使用不可篡改的备份、严格管控管理员访问权限，以及建立清晰的审计追踪记录。

英国政府近期就国际数据流动对数据主权的影响发起证据征集，明确指出了这一问题。相关文件提到了通过访问实现的数据传输：个人数据虽然仍存储在英国境内，却可以从海外访问，包括由位于其他国家的用户进行访问。

通过访问实现的数据传输包括管理性访问、备份、灾难恢复、技术支持事件处理，有时还包括数据处理，具体取决于适用法规的规定。

《通用数据保护条例》(GDPR)并不要求数据必须留在欧盟境内，但要求无论数据流向何处，都必须按照欧盟标准对其进行保护，其他司法管辖区的数据传输义务可能严格得多，因此，跨国企业可能需要实施访问控制，根据访问者所在的位置，限制其能够查看哪些受监管数据。

Ali Afsar解释说，例如，受印度储备银行监管的支付系统数据必须存储在印度境内，但可以在印度境外进行处理，前提是必须在24小时内将其从海外系统中删除。

在沙特阿拉伯，除少数例外情况外，个人数据必须在沙特境内处理。中国则将从境外访问存储在中国境内的某些类别数据视为跨境数据活动，俄罗斯的法律同样要求严格执行数据本地化规定：俄罗斯公民的个人数据必须始终在俄罗斯境内存储、处理和保留，这也是LinkedIn在俄罗斯遭到封锁的原因。

在其他地区，最严格的监管要求通常集中在医疗保健、金融和公共服务等特定领域。

Nasir指出，并非所有数据都需要迁移到主权云环境中，因为数据的使用方式必须符合监管要求，同时还需要考虑日益增长的AI训练需求。

他说：“如果这些数据泄露，将对企业业务造成灾难性影响。为了对这类数据提供更严格的控制和更高水平的安全保障，可以考虑为其实施一套主权控制措施。至于其他不受合规要求约束、也不属于敏感数据的数据，则可以根据需要，允许任何人在任何地点访问。”

主权与安全

Kiteworks发布的《2026年数据安全与合规风险报告》指出，企业通常对数据主权规则了如指掌，但仍然会遭遇数据泄露、政府提出的数据访问请求，以及未经授权的跨境数据传输等事件。例如，员工出差期间从境外访问数据，或者管理员权限过大，都可能引发此类问题。

Kiteworks欧洲、中东和非洲地区总经理Dario Perfettibile表示：“数据的位置只能告诉监管机构数据存放在哪里，却无法说明还有谁能够访问这些数据。迄今为止，我们看到的每一起真正的数据暴露事件，问题都出在访问控制上，而不是地理位置上。”

如果企业认为，只要数据留在本地区就能确保安全，并以此替代适当的数据管理措施，就会产生虚假的安全感。访问控制、数据标记和数据保留策略虽然需要投入更多精力，但这些措施才是真正能够预防安全事件的关键。

他补充道：“如果制定了数据策略，就可以强制重新审批访问权限，它可以将访问权限限制为只有你本人能够访问，也可以立即阻止你继续访问。”

地理位置并非决定一切

选择距离本地更近的服务，并不意味着上述问题就会自动变得更容易解决。

Keepit集团首席信息安全官(CISO)Kim Larsen表示：“许多企业仍然认为，只要将数据从一家云服务商迁移到另一家，或者用一家超大规模云服务商替换另一家，就能实现数据主权。这种看法忽略了更大的问题。”

他补充说，CIO应该将数据主权视为一种运营能力，而不是一项单纯为了满足合规要求而开展的工作。数据主权的核心并不在于基础设施的规模或所有权本身，而在于能否始终保持对数据的控制权。

他说：“如果一个企业不清楚谁能够访问自己的数据、这些访问行为受哪些法律框架约束，或者自己能否独立恢复数据，那么，即使只是改变服务器的地理位置，也几乎无法降低风险。”

某项服务仅仅因为总部或基础设施位于本地区，并不意味着它就是一个好的选择。

例如，欧盟委员会已经在W Social上开设账户。W Social是一个独立的社交媒体平台，基于AT协议构建，该协议旨在支持数据迁移和用户迁移，Bluesky也采用了这一协议，不过Bluesky托管在欧洲。

欧盟委员会自身的开源战略指出，通过避免供应商锁定，开源技术能够让企业对数字基础设施拥有更大的控制权，近期的一份政策简报也将数字主权定位为一种数字独立形式。

然而，在欧盟境内部署服务器，并不等于拥有自由的数字迁移能力。与同样基于AT协议、总部位于欧洲的Eurosky不同，W Social限制了互操作性，因此可以要求用户进行身份验证。此外，在安全研究人员指出其存在漏洞后，W Social还关闭了源代码的公开访问。

大多数企业仍将继续同时使用全球性和本地服务提供商，不过，它们可能会优先考虑Nasir所说的“全球本地化”方案，即通过全球服务商与本地服务商之间的合作来构建解决方案。

他说：“企业希望混合使用本地和全球服务提供商，它们希望获得微软、AWS和谷歌等公司所提供的全部创新能力，而它们认为，本地服务提供商无法在这些方面与之匹敌。”

IDC的数据显示，只有4%的欧洲企业计划完全转向本地服务提供商。

Nasir表示：“在当今世界，我们无法脱离美国技术而生存，也没有多少人愿意这样做。”

服务的可用性同样重要，而且本地服务提供商可能不具备全球性服务商同等水平的基础设施能力，它们可以提供视频会议等相对容易实现的基础服务，却未必能够提供更复杂的目录服务和数据库服务，也难以提供与美国服务深度集成的生产力软件。

关于数据存储位置的选择，以及用于确保数据存储符合要求的技术控制措施，都有各自的运营影响。

Nasir补充道：“冗余和韧性是数据主权的关键支柱，你需要确保业务运营始终可用，为了实现这一点，就需要分散风险。”

企业网D1net(www.d1net.com)：

国内头部to B IT门户，旗下运营国内头部的甲方CIO专家库和智力输出及社交平台-信众智(www.cioall.com)。旗下运营19个IT行业公众号(微信搜索D1net即可关注)。

版权声明：本文为企业网D1Net编译，转载需在文章开头注明出处为：企业网D1Net，如果不注明出处，企业网D1Net将保留追究其法律责任的权利。