应对数据监管的挑战
互联网与本地化数据监管
互联网是去中心化的，没有国界。通过互联网，信息可以在几毫秒内传输到全球，几十年前无法想象的服务和商业模式，如今已成为普遍现象。
但是，组织在信息和数据方面面临的法律和监管现状则要复杂得多。由于对数据隐私的担忧，各地纷纷制定和实施严格的隐私法规，例如《通用数据保护条例》(GDPR) 和《加州消费者隐私法》(CCPA)。有 100 多个国家/地区通过了一套独特的数据监管法律，分别实施各自的跨境数据管理框架。
鉴于互联网的全球互联网络没有国界，旨在保护消费者隐私的数据法规有时难以解读，且不断变化，也难以遵循。世界各地的数据法规各不相同，有时还因行业而异，使得组织难以遵循最新标准、必要的认证和物理数据存储要求。
面对这两难现状，许多组织依靠数据本地化：将数据保存在一个特定区域内，不让数据在全世界传输或离开某个云区域进行处理和存储。
然而，数据本地化也存在一系列挑战。
挑战 1：选择本地化基础设施模式
现代组织在选择应用程序的运行地点时，主要有四个选择：
本地数据中心
公共云
私有云
混合云基础设施
他们选择的模式对其如何实现 业务扩展和实施数据本地化都有重大影响。
1. 本地数据中心：将区域内客户的数据存储在本地数据中心，本地化变得相对简单。只要本地基础设施获得充分保护，其中的数据就会保留在本地。
但对于区域外的客户，使用本地方式几乎不可能实现数据本地化。为服务这些客户，他们的数据必须引入内部数据中心，并离开数据来源地区。
2. 公共云：与本地计算相比，公共云计算在许多方面都可以更简单地为全球受众服务，因为基于云的应用程序可以在全球各地的服务器上运行。然而，云计算对数据处理地点几乎没有可见性，给那些希望控制数据去向的组织带来了挑战。
组织如果使用公共云计算并希望将其数据本地化，应考虑其公有云供应商的云区域位置。“云区域”是指云提供商的服务器实际位于数据中心的哪个区域。将数据限制在一个特定的云区域，应该可能实现本地化。然而，并不是所有的公共云提供商都在所需地区拥有数据中心，也不是所有提供商都能保证数据不会离开该地区。
3. 私有云：与本地数据中心模式一样，私有云 模式部分解决了数据本地化的问题：如果云位于所需地区，其中的数据就理所当然能本地化。但是，云区域外的客户的数据则不能本地化，除非在客户所在地区也配置额外的私有云。若在客户所在的每个地区均运行私有云，组织的维护成本则太高昂。(私有云的成本比公共云要高，因为物理基础设施的成本没有多个云客户来共同承担）。
4. 混合基础设施：混合模式也存在上述数据本地化挑战。组织往往难以确保数据在混合云模式中流向正确的地方，特别是在多个不同云平台和基础设施类型之间同步数据时，这更是一项挑战。
解决第 1 项挑战：与无关乎基础设施的全球边缘网络合作
将所有基础设施设置在一个地区内，抑制了抵达全球受众的能力；但对大多数组织来说，要在世界各地维护基础设施也不切实际。
最佳方案是与全球边缘网络（CDN 供应商或提供 CDN 缓存与其他额外服务的供应商）合作，这无关乎基础设施。这样，网站和应用程序能够扩展到全球受众，无论他们使用的是混合云、公共云、私有云，还是本地模式。
挑战 2：抵达全球受众，同时将数据保留在本地
没有对数据处理地点的粒度控制，不可能实现数据本地化。但没有广泛分布的非本地入网点，也不可能服务全球受众。本地化和全球化是两种相反的能力——但理想情况下，数据本地化合作伙伴能够同时提供这两种能力。
解决第 2 项挑战：确保全球边缘网络能够对数据流进行本地化控制
对于需要将数据本地化的组织来说，最终目标是控制数据的处理和存储位置。组织必须评估边缘网络供应商，确保他们有考虑对数据的去向和处理方式进行本地化控制。
挑战 3：本地化解密
收集用户数据的组织使用加密技术来保护传输中的数据和静态数据，因此只有获得了授权才可以查看、处理或更改数据。对于穿越网络的数据，目前使用最广泛的加密协议是传输层安全 (TLS)。TLS 依靠的是非对称加密，需要两个密钥：一个公钥和一个私钥。公钥提供给整个互联网，私钥则保密。
私钥的存储位置决定了加密数据（包括潜在的敏感数据）的解密位置。这对本地化非常重要，因为数据一解密，就可被任何有权访问解密数据的人看到。
解决第 3 项挑战：本地化解密的两项关键能力
TLS 加密非常强大，几乎可以抵御任何人的破译企图。这意味着，通过 TLS 加密的数据，只要保持加密状态，就可以安全穿越本地化区域以外的地区。为确保只在指定区域内进行解密，组织需要两项关键能力：
第 1 项能力：本地 TLS 密钥存储。组织需要能够将私钥保存在本地化区域内的服务器上。这可确保通过 TLS 加密的数据只能在该区域内解密和查看。如果组织使用外部供应商完成 TLS 加密，则供应商需要提供无密钥 SSL，以确保密钥不会离开组织的基础设施。
第 2 项能力：代理加密连接。想要实施数据本地化的组织实际上需要结合本地化私钥存储，以及可以有效将客户的加密连接代理到私钥存储位置和 TLS 可以安全终止之地的全球网络。
挑战 4：本地化访问
一将数据本地化，组织就必须采取预防措施，确保数据保留在其本地化区域内。内部访问控制对保持数据本地化极为重要，特别是对于有国际入网点的组织。如果本地化区域以外的员工从其所在区域访问数据，这就抵消了为保持数据本地化所做的所有工作。
不幸的是，今天许多组织都在使用传统的授权系统，信任企业网络内的任何人，无论他们在什么地方。这种设置即城堡与护城河模型（网络边界即护城河），不容易映射到数据本地化方法。如果组织中的任何人无论在什么地方都可以访问数据，那不如不要将数据本地化。
解决第 4 项挑战：将位置作为一个授权因素
组织可以通过将位置作为访问数据的一个授权因素来解决这一问题。
This is easier to implement when organizations adopt a zero trust model rather than a castle-and-moat model. In a zero trust model, no user or device is trusted by default, even from inside the corporate network. Several factors can be evaluated by the zero trust solution before it grants access: device posture, user identity and privileges, location, and more.
边缘计算：新的 本地化基础设施解决方案
在边缘计算中，应用程序在有许多入网点的边缘网络上运行，而非几个相互隔离的数据中心。这带来了以下优势：在世界各地运行代码，同时更高效地服务用户，并尽可能在用户附近处理数据。边缘计算的这一特性让本地化变得更加可行。
从本地化和监管合规的角度来看，边缘计算的另一优势是，不同代码可以在边缘的不同部位运行。这可促进有效的数据本地化和本地化监管合规：可以根据不同地区的法规，在不同地区部署略微不同的应用程序功能。
Cloudflare 和数据隐私
互联网上的隐私对我们个人和工作生活的安全至关重要，然而，互联网在构建时并没有考虑到隐私。因此到处充满了对互联网技术公司数据和隐私处理方式的担忧。
Cloudflare 的使命是帮助构建更好的互联网，包括专注通过构建保护隐私的产品和技术来修复这一基本设计缺陷。
Cloudflare 数据本地化套件在全球 250 多个地点提取流量，然后将本地化客户的所有流量转发到本地化地区的数据中心。在流量到达区域内的数据中心之前，既不会检查流量，也不会将流量解密。利用地域密钥管理器，客户可以将其 TLS 密钥保存在指定区域内。因此，Cloudflare 的客户能够将全球网络带来的性能、安全和可用性等优势与本地化需求结合起来。
Cloudflare 就影响当今技术决策者的最新趋势和主题发布了系列文章，本文为其一。
关键要点
阅读本文后，您将能够：
数据监管的复杂性
数据本地化带来的 4 大挑战
如何解决每项挑战
边缘计算带来的优势