Что такое суверенитет данных?

Понятие суверенитета данных

Суверенитет данных (data sovereignty) — это принцип, согласно которому цифровые данные подчиняются законам, нормам и юрисдикции той страны, на территории которой они физически хранятся. Иными словами, правовую судьбу данных определяет не их владелец, а географическое расположение сервера.

Это понятие часто путают с тремя близкими терминами:

• Суверенитет данных (data sovereignty) — каким законам подчиняются данные.
• Резидентность данных (data residency) — в каком месте данные физически хранятся.
• Локализация данных (data localization) — требование обязательно хранить данные внутри страны.

Все три связаны: хранение данных в Узбекистане (резидентность) приводит их под действие законов Узбекистана (суверенитет), что нередко закреплено и требованием закона (локализация).

Почему это важно для организаций и государства

Данные организации — персональные данные сотрудников, база клиентов, внутренняя переписка, финансовые и стратегические документы — один из самых ценных её активов. То, в какой юрисдикции они хранятся, напрямую влияет на:

• Правовую защиту. Данные, хранящиеся в Узбекистане, защищаются и могут запрашиваться только в рамках законов и судов Узбекистана.
• Государственную безопасность. Для госорганов и критической инфраструктуры утечка данных граждан и государства за рубеж — это прямой вопрос национальной безопасности.
• Готовность к надзору и аудиту. Если данные внутри страны, регуляторы и службы безопасности могут проверить их законно и быстро.
• Независимость. Зависимость от зарубежного провайдера создаёт риск потери сервиса при геополитическом конфликте или санкциях.

Риски зарубежной юрисдикции и облака

Глобальные облачные сервисы удобны, но с точки зрения суверенитета данных несут серьёзные риски:

Экстерриториальное действие чужих законов

Многие крупные облачные провайдеры подчиняются зарубежному законодательству. Законы отдельных стран (например, такие акты, как CLOUD Act в США) могут обязать провайдера передать данные своему правительству, даже если серверы расположены в другой стране.

Отсутствие прозрачности

• Где именно лежат данные — в каком дата-центре — часто неизвестно.
• Провайдер может копировать или перемещать данные в другой регион.
• При выдаче данных по судебному запросу организацию могут не уведомить.

Зависимость и риск отключения

Из-за геополитической напряжённости, санкций или одностороннего решения провайдера сервис может быть внезапно отключён — а это парализует работу всей организации.

Связь с on-premise и комплаенсом

Есть два практических способа обеспечить суверенитет данных:

• Доверенный сервер внутри страны — данные хранятся в дата-центре в Узбекистане и не покидают территорию страны.
• On-premise-размещение — данные полностью на собственных серверах организации, под её физическим контролем. Это высшая степень суверенитета.

Суверенитет также тесно связан с комплаенсом (соответствием требованиям). Стандарты информационной безопасности, такие как ISO/IEC 27001, и требования к критической информационной инфраструктуре предполагают документирование местоположения данных, контроля доступа и их защиты. Когда данные находятся внутри страны и под контролем, продемонстрировать соответствие таким стандартам гораздо проще.

Как это решено в HAMA

HAMA — единая защищённая платформа для организаций Узбекистана (бизнес и госорганы). Суверенитет данных — один из её базовых принципов:

• Данные хранятся в Узбекистане. Сервер расположен в защищённой инфраструктуре в Узбекистане — данные не покидают юрисдикцию страны.
• Вариант on-premise. Организация может развернуть HAMA полностью в собственной инфраструктуре — тогда физический контроль над данными остаётся за ней.
• End-to-End шифрование. Переписка защищена протоколом Signal (X3DH + Double Ratchet), группы — AES-256-GCM; транспорт только по TLS 1.3. Даже находясь на сервере, содержимое остаётся в зашифрованном виде.
• Подготовка к комплаенсу. HAMA готовится к соответствию O'z DSt ISO/IEC 27001:2023, а также требованиям PP-167 (критическая информационная инфраструктура).

В результате организация получает современный мессенджер, видеоконференции и мониторинг, не отказываясь от суверенитета своих данных.