Вопрос суверенитета данных в Южной Африке не сводится к географическому расположению центров обработки данных. Хотя наличие дата-центра в пределах границ отвечает на вопрос «где» находится данные, он не дает ответа на более важный вопрос — «кому» принадлежат ключи доступа, кто может получить доступ к информации и кто управляет базовыми компонентами системы.
Контроль над данными утекает через многочисленные копии, а не через государственные границы. Любой экспорт, промежуточная база данных, таблица или поток данных от поставщика представляет собой дополнительное место хранения с собственными правами доступа, состоянием обновлений и юрисдикцией. Многие компании никогда не учитывали эти копии.
Недавние инциденты с утечками не требовали иностранной границы. Институты, чьи собственные системы не были затронуты, все равно отправляли уведомления клиентам, поскольку копия идентификационных данных этих клиентов находилась у поставщика услуг. Таким образом, проблема заключалась не в резидентстве.
Основные выводы
Резидентство указывает на местоположение, тогда как суверенитет определяет владельца контроля. Даже если центр обработки данных находится внутри страны, остается открытым вопрос о том, кто контролирует данные. Контроль невозможно приобрести, в отличие от локализации в стране.
В сентябре Южная Африка активно обсуждала цифровую суверенность. В Дурбане прошла конференция GovTech под лозунгом «архитектор своей цифровой судьбы», где министр представил национальную повестку дня по суверенитету, а Президент на саммите гигантских облачных провайдеров в июле заявил, что суверенитет теперь измеряется способностью нации защищать свои данные.
Большинство вопросов сводится к одному: где расположены данные, то есть в какой границе находятся байты. Для большинства предприятий этот вопрос уже решен: их данные находятся в Южной Африке. Однако сложнее понять, являются ли они собственностью организации.
Местоположение
Вопрос о местоположении решается хорошо. Microsoft эксплуатирует регионы Azure в Йоханнесбурге и Кейптауне с 2019 года и обязалась инвестировать еще 5,4 миллиарда рандов в облачную и ИИ-инфраструктуру Южной Африки к концу 2027 года. Google и Amazon также имеют свои региональные центры. Даже обработка данных внутри страны для Microsoft 365 Copilot — запросы и ответы обрабатываются в пределах границ — была обещана Южной Африке на ноябрь 2026 года, однако апрельская корректировка сохранила дату 2026 года для пяти других стран, исключив Южную Африку.
Политика также следовала этому направлению намеренно. Национальная политика в отношении данных и облачных технологий, утвержденная Кабинетом в 2024 году, требует хранить только государственные данные, касающиеся национальной безопасности, внутри страны, не устанавливая дополнительных требований к локализации данных и оставляя трансграничные передачи на усмотрение Popia.
Согласно последнему опросу PwC об облачных технологиях в Африке, 45% организаций отмечают, что геополитика влияет на решения об инфраструктуре, и большинство обсуждений сводится к вопросу о местоположении региона у поставщика.
Если бы суверенитет был адресом, мы бы уже достигли цели. Но это не так. В июне прошлого года юридический директор Microsoft во Франции дал показания в Сенатском расследовании под присягой, что не может гарантировать, что данные, хранящиеся для французских государственных органов, никогда не будут переданы властям США без согласия Франции. Он добавил, что такого никогда не случалось, и компания связана контрактом сопротивляться необоснованным запросам. Это был честный ответ, который не зависел от политики Microsoft, поскольку стоящим законом является американский закон, а не корпоративная политика, и любой американский провайдер, хранящий данные, должен дать такой же ответ.
Ответы с тех пор были сосредоточены на инженерных решениях, а не на обещаниях: установление границ данных, внутренняя обработка и ключи шифрования, которыми владеет клиент. Один аналитик четко сформулировал этот сдвиг в апреле: суверенитет в облаке «больше не просто о том, где находятся данные, а о управлении рисками».
Кто
Если убрать флаги из фразы, суверенитет данных сводится к четырем вопросам, которые южноафриканская организация может задать самой себе.
Кто держит ключи?
Все три гигантских облачных провайдера теперь позволяют клиенту шифровать собственные данные с использованием ключей, которые он хранит в собственном хранилище. По опыту автора, немногие южноафриканские предприятия воспользовались этой опцией, что означает, что на практике ответ таков: «поставщик, от нашего имени».
Кто может получить доступ?
Исследование Sophos о программах-вымогателях на 2026 год, основанное на данных 135 атакованных южноафриканских организаций за последний год, показало, что в 85% случаев программа-вымогатель и самый серьезный компрометация личности организации были одним и тем же событием, по сравнению с 67% в мировом масштабе. Путь к данным Южной Африки — это учетные данные, которые уже имели доступ. Суверенитет — это вопрос именно об этих учетных данных.
Кто обслуживает систему?
База данных внутри страны, работающая на неподдерживаемой версии, не является суверенной; она подвержена риску с локальным адресом. SQL Server 2017 имеет 12 месяцев поддержки, а Windows Server 2016 — всего три месяца.
И кто еще хранит копию? Принцип 10 Королевского совета требует от совета директоров управлять рисками, связанными с «аутсорсинговыми услугами, поставщиками и третьими сторонами, включая трансграничные операции». Именно этот последний вопрос был громко освещен в сентябре.
Копии
Автор отмечает, что в большинстве компаний наблюдаются следующие ситуации:
Финансовый отчет, который ежедневно выгружается из ERP в сервер отчетности, поскольку в 2017 году отчетность замедляла производство. Этот сервер никогда не добавлялся в расписание резервного копирования, его движок базы данных отстает от источника на две версии, а его данные доступны группе «Все».
Таблица клиентов, которая существует один раз в основной системе, а затем снова появляется в CRM, маркетинговой платформе, программе лояльности, платформе поставщика проверки личности и складе, созданном для консолидации всех этих данных, став седьмой копией.
Таблица в общей папке с 40 000 номерами идентификации, экспортированная для проекта в 2022 году и прикрепленная к электронному письму дважды.
Каждая из этих сущностей является местом, где существуют данные. У каждой есть свои права доступа, свое состояние обновлений, свое резервное копирование и своя юрисдикция. Ни одна из них не фигурирует в реестре активов, поскольку реестр перечисляет системы, а копии не являются системами. Согласно июньскому опросу Redgate среди 2150 специалистов по базам данных, 77% организаций не имеют формального процесса управления данными. Количество копий в большинстве компаний неизвестно, потому что об этом никогда не спрашивали.
Именно здесь теряется суверенитет — копия за копией, внутри границ.
Внутренний адрес
9 сентября группа программ-вымогателей Dire Wolf заявила о краже 200 ГБ данных у RelyComply, южноафриканского поставщика услуг по проверке личности и борьбе с отмыванием денег для регулируемых финансовых учреждений — «производственные базы данных и облачное хранилище Amazon S3», по словам злоумышленников, около 3,57 миллиарда строк. RelyComply подтвердила инцидент и начало расследования.
В течение нескольких дней несколько регулируемых учреждений обращались к своим клиентам и, где это требовалось законом, к Регулятору информации. Каждое из них могло честно заявить, что их собственные системы не были взломаны. Один из крупнейших банков страны расследовал, подпадают ли под действие инцидента проверки личности, проводимые им при открытии счета. Две недели ранее та же группа атаковала компанию по отслеживанию транспортных средств с более чем двумя миллионами подписчиков; эти данные оказались в даркнете к 8 сентября.
Третий случай в этом месяце затронул более глубокие звенья цепи. Поставщик административных политик для страховых компаний сообщил, что вторжение в июне — повторное использование пароля сотрудником на несвязанном сайте, системе поддержки, которую поставщик выводил из эксплуатации — раскрыло, по его подсчетам, около 400 000 записей, принадлежащих клиентам около 45 страховых компаний. Базы данных полисов остались нетронутыми; данные были оставлены в файлах. Была выплачена выкупная плата в обмен на обещание уничтожить данные, и к 7 сентября первая страховая компания появилась на сайте утечки. Регуляторы дважды заявили о том же. Регулятор информации, действуя в соответствии с Popia, отметил, что обязанность «лежит на ответственной стороне» — на страховщике, а не на его поставщике. Prudential Authority, согласно Стандарту совместного использования 2, заявил: «обязанность, опять же, лежит на страховщиках»: 24-часовой контроль принадлежит им, независимо от того, с какого сервера покинули данные.
Крейг Роузварн из Wolfpack называет это атаками «цифровой цепочки поставок» или «хаб-и-спица»; автор предпочитает более простой термин. В случае проверки личности учреждения имели южноафриканского поставщика по южноафриканскому контракту.
Где находится сама копия
То, где находится сама копия, — это другой вопрос. Собственное уведомление о конфиденциальности поставщика, вполне правомерно, разрешает обработку в Южной Африке, Великобритании, Европейской экономической зоне, Соединенных Штатах «или в других странах», и автор сомневается, что многие из его клиентов могли знать, какие именно. Но у них не было контроля над копией идентификационных данных своих клиентов, и эта разница проявилась в виде уведомления об утечке.
Одно следует из этого: способ различен — повторно использованный пароль, уязвимость нулевого дня в приложении поставщика — но то, что покидает систему, всегда одно и то же: база данных или, как в случае с администратором, ее копия в процессе передачи — экспорт, передаваемый файл, вложение в службу поддержки. Периметр — это место, откуда начинает атакующий. Это не место, где находятся данные.
Настройка, а не решение
Суверенитет также определяется в более небольших помещениях, чем зал заседаний совета директоров.
Рассмотрим емкость Microsoft Fabric в регионе Северная Южная Африка, где все рабочие нагрузки Fabric доступны, а хранилище OneLake находится внутри границ. Copilot в Fabric по умолчанию отключен в этом арендаторе, поскольку лежащая в основе служба Azure OpenAI работает в центрах обработки данных США и Европы. Microsoft документирует это простым языком и предоставляет эту настройку, что абсолютно правильно.
Чтобы использовать эту функцию, администратор Fabric включает настройку арендатора под названием «Данные могут быть отправлены в Azure OpenAI для обработки за пределами географического региона вашей емкости, границы соответствия или национального облачного экземпляра». С этого момента запросы и результаты покидают страну.
Это и есть решение о суверенитете. В большинстве организаций оно принимается администратором во вторник днем, потому что для панели управления требовалась эта функция, и это нигде не фиксируется так, чтобы его прочитал директор. Часть работы Microsoft выполнена корректно — настройка по умолчанию верна, а документация откровенна. Пробел находится на стороне клиента: кто принимает решение, на основании какой политики и где это протоколируется.
Суверенное состояние
Организация, обладающая суверенитетом над своими данными, может выполнить пять действий. Она может подсчитать свои копии — включая выгрузки, электронные таблицы и поставщиков — и указать, кому принадлежит каждая из них. Она хранит собственные ключи там, где это позволяет платформа. Она знает, какие учетные данные могут получить доступ к личной информации, и проверила их в этом году. Она знает статус поддержки каждого движка, содержащего эту информацию. И она знает, что хранит каждый поставщик, на каких условиях, в какой юрисдикции — и может забрать все обратно, если потребуется.
Ни одно из этих пяти действий не связано с границей. Все пять связаны с контролем, и все пять — это вопросы, на которые теперь несет ответственность совет директоров.
Национальные дебаты пройдут свой ход и приведут к тому, что приводят такие дебаты — к политике, трекеру, большему числу центров обработки данных, и все это приветствуется. Вопрос, который на самом деле будет поставлен южноафриканским предприятиям в следующем году их советами директоров, их страховщиками и Регулятором, — это другой: «Кто владеет этим?»
Последнее слово
Автор провел свою рабочую жизнь на уровне, где фактически определяется цифровая судьба страны — на уровне баз данных и людей, которые ими управляют, и никогда не видел, чтобы суверенитет терялся на границе. Он видел, как он терялся в ночной выгрузке, в общей папке и в схеме поставщика, по одной копии за раз.
Резидентство теперь является товаром, и Южная Африка — хорошее место для его покупки. Контроль не продается. Его необходимо учитывать, хранить и пересматривать, и организации, которые сделают это в этом году, получат ответ, когда...
