การปรับข้อมูลให้เข้ากับแต่ละพื้นที่ได้รับความสนใจอย่างมากในช่วงไม่กี่ปีที่ผ่านมาเนื่องจากหลายๆ ประเทศมองว่าเป็นวิธีการควบคุมหรือปกป้องข้อมูลประชากรของพวกเขาได้ ในปัจจุบัน ประเทศต่างๆ เช่น ออสเตรเลีย จีน อินเดีย บราซิล และเกาหลีใต้ ได้พิจารณาข้อบังคับที่รักษาอำนาจทางกฎหมายต่อข้อมูลส่วนบุคคลของประชากรในกรณีต่างๆ — ข้อมูลสุขภาพต้องได้รับการเก็บรักษาไว้ภายใน สถาบันของรัฐสามารถทำสัญญากับผู้ให้บริการในท้องถิ่นได้เท่านั้น ฯลฯ
ในสหภาพยุโรป ผลพิจารณาล่าสุดเกี่ยวกับ “Schrems II” ส่งผลให้บริษัทที่ถ่ายโอนข้อมูลส่วนบุคคลนอกสหภาพยุโรปจะต้องปฏิบัติตามข้อกำหนดเพิ่มเติม และอุตสาหกรรมที่มีการควบคุมอย่างเข้มงวดจำนวนหนึ่งต้องการให้ข้อมูลส่วนบุคคลบางประเภทอยู่ภายในอาณาเขตของสหภาพยุโรป
Cloudflare มุ่งมั่นที่จะช่วยเหลือลูกค้าของเราในการรักษาข้อมูลส่วนบุคคลในสหภาพยุโรป เมื่อปีที่แล้ว เราได้เปิดตัว Data Localisation Suite ซึ่งช่วยให้ลูกค้าสามารถควบคุมได้ว่าข้อมูลของลูกค้าจะได้รับการตรวจสอบและเก็บรักษาไว้ที่ใด
วันนี้ เรารู้สึกตื่นเต้นกับการเปิดตัว Customer Metadata Boundary ซึ่งช่วยให้ Data Localisation Suite ตรวจสอบว่าข้อมูลเมตาการรับส่งข้อมูลผู้ใช้ปลายทางของลูกค้าจะอยู่ในสหภาพยุโรป
ข้อมูลเมตา: ข้อมูลขั้นแรก
“ข้อมูลเมตา” อาจฟังดูเป็นคำที่น่ากลัว แต่ก็เป็นแนวคิดที่เรียบง่าย — ที่หมายความว่า “ข้อมูลที่เกี่ยวข้องกับข้อมูล” กล่าวคือ เป็นคำอธิบายของกิจกรรมที่ได้เกิดขึ้นในเครือข่ายของเรา ทุกบริการบนอินเทอร์เน็ตรวบรวมข้อมูลเมตาไว้ในรูปแบบต่างๆ และเป็นเรื่องสำคัญต่อความปลอดภัยของผู้ใช้และความพร้อมใช้งานของเครือข่าย
ที่ Cloudflare เรารวบรวมข้อมูลเมตาเกี่ยวกับการใช้ผลิตภัณฑ์ของเราเพื่อวัตถุประสงค์ที่หลากลาย ได้แก่
- การให้บริการวิเคราะห์ผ่านแดชบอร์ดและ API ของเรา
- การแชร์บันทึกกับลูกค้า
- การยับยั้งภัยคุกคามด้านความปลอดภัย เช่น บอทหรือการโจมตี DDoS
- การปรับปรุงประสิทธิภาพเครือข่ายของเรา
- การรักษาความน่าเชื่อถือและความยืดหยุ่นของเครือข่าย
การนำกลุ่มการดำเนินการดังกล่าวมาปฏิบัติใช้งานจริงที่ Cloudflare มีลักษณะอย่างไร เครือข่ายของเราประกอบไปด้วยบริการจำนวนมาก ได้แก่ Firewall, แคช, ตัวแก้ไข DNS, ระบบการป้องกัน DDoS, Workers Runtime และอีกมากมาย แต่ละบริการจะปล่อยข้อความบันทึกที่มีโครงสร้าง ซึ่งมีช่องต่างๆ เช่น ไทม์แสตมป์ URL การใช้คุณลักษณะของ Cloudflare และตัวระบุบัญชีและโซนของลูกค้า
ข้อความเหล่านี้ไม่มีเนื้อหาการรับส่งข้อมูลของลูกค้า และดังนั้นจึงไม่มีข้อมูล เช่น ชื่อผู้ใช้ รหัสผ่าน ข้อมูลส่วนบุคคล และรายละเอียดส่วนตัวของผู้ใช้ปลายทางของลูกค้า อย่างไรก็ตาม บันทึกเหล่านี้อาจมีที่อยู่ IP ของผู้ใช้ปลายทาง ซึ่งพิจารณาว่าเป็นข้อมูลส่วนบุคคลในสหภาพยุโรป
การปรับข้อมูลให้เข้ากับแต่ละพื้นที่ในสหภาพยุโรป
ระเบียบการคุ้มครองข้อมูลทั่วไป (GDPR) ของสหภาพยุโรปเป็นหนึ่งในกฎหมายความเป็นส่วนตัวของข้อมูลที่ครอบคลุม (และเป็นที่รู้จัก) มากที่สุดในโลก อย่างไรก็ตาม GDPR ไม่ได้รับรองว่าข้อมูลส่วนบุคคลต้องอยู่ในสหภาพยุโรป แต่เป็นกลไกทางกฎหมายหนึ่งในการตรวจสอบให้แน่ใจว่าการคุ้มครองระดับ GDPR จะพร้อมใช้งานสำหรับข้อมูลส่วนบุคคลของสหภาพยุโรป หากมีการถ่ายโอนข้อมูลออกนอกสหภาพยุโรปไปยังประเทศที่สาม เช่น สหรัฐอเมริกา โดยที่ผ่านมาจนถึงไม่นานมานี้ การถ่ายโอนข้อมูลจากสหภาพยุโรปไปยังสหรัฐอเมริกาได้รับอนุญาตภายใต้ข้อตกลงที่เรียกว่า กรอบการคุ้มครองความเป็นส่วนตัวระหว่างสหภาพยุโรปและสหรัฐอเมริกา
หลังจากที่ได้บังคับใช้ GDPR ไม่นาน นักกิจกรรมด้านความปลอดภัยที่ชื่อว่า Max Schrems ได้ยื่นฟ้องต่อ Facebook สำหรับการดำเนินการรวบรวมข้อมูลของพวกเขา ในเดือนกรกฎาคมปี 2020 ศาลยุติธรรมแห่งสหภาพยุโรปได้ออกกฎ “Schrems II” — ซึ่งได้มีผลเหนือกว่ากรอบการคุ้มครองความเป็นส่วนตัวและกฎระเบียบอื่นๆ อย่างไรก็ตาม ศาลได้สนับสนุนกลไกการถ่ายโอนอื่นๆ ที่ถูกต้องที่มีการตรวจสอบว่าข้อมูลส่วนบุคคลของสหภาพยุโรปจะไม่ถูกเข้าถึงโดยเจ้าหน้าที่รัฐบาลของสหรัฐอเมริกาด้วยวิธีการที่ละเมิด GDPR
ตั้งแต่มีผลพิจารณา Schrems II ลูกค้าหลายรายได้สอบถามเราเกี่ยวกับวิธีที่เราคุ้มครองข้อมูลของประชากรในสหภาพยุโรป ซึ่งเป็นเรื่องที่ดีที่ Cloudflare มีการคุ้มครองข้อมูล ที่ใช้งานอยู่แล้วมาโดยตลอดตั้งแต่ก่อนกรณี Schrems II เช่น ข้อผูกพันในระดับแนวหน้าของอุตสาหกรรมเกี่ยวกับคำขอข้อมูลของรัฐบาล ทั้งนี้เพื่อรับมือกับ Schrems II อย่างเฉพาะเจาะจง เราได้ปรับปรุงส่วนเสริมการประมวลผลข้อมูล (DPA) ของลูกค้าของเรา เราได้ปฏิบัติตามข้อสัญญามาตรฐานล่าสุด ซึ่งเป็นข้อตกลงด้านกฎหมายที่ได้รับการอนุมัติโดยคณะกรรมาธิการยุโรปที่อนุญาตให้มีการถ่ายโอนข้อมูล และเราได้เพิ่มหลักการเพิ่มเติมตามที่ระบุไว้ในคำแนะนำเกี่ยวกับมาตรการเพิ่มเติมของ EDPB เดือนมิถุนายน 2021 และสุดท้าย บริการของ Cloudflare ได้รับการรับรองภายใต้มาตรฐาน ISO 27701 ซึ่งมีคุณสมบัติตรงตามข้อกำหนดของ GDPR
เมื่ออิงจากมาตรการเหล่านี้ เราเชื่อว่าลูกค้าในสหภาพยุโรปของเราสามารถใช้บริการ Cloudflare ในลักษณะที่สอดคล้องกับ GDPR และผลพิจารณา Schrems II ได้ เรายังตระหนักว่าลูกค้าหลายรายของเราต้องการให้ข้อมูลส่วนบุคคลของประชากรยุโรปอยู่ในสหภาพยุโรป ตัวอย่างเช่น ลูกค้าบางรายของเราในอุตสาหกรรม เช่น การดูแลสุขภาพ กฎหมาย และการเงิน อาจมีความต้องการต่างๆ เพิ่มเติม ด้วยเหตุผลดังกล่าว เราได้พัฒนาชุดบริการทางเลือกเพื่อตอบโจทย์ความต้องการเหล่านั้น เราเรียกบริการนี้ว่า Data Localisation Suite
Data Localisation Suite มีประโยชน์อย่างไรในปัจจุบัน
Data Localisation เป็นเรื่องท้าทายสำหรับลูกค้าเนื่องด้วยปริมาณและความหลากหลายของข้อมูลที่พวกเขาจัดการ เมื่อเป็นเรื่องการรับส่งข้อมูลของ Cloudflare เราได้พบว่าลูกค้ารู้สึกกังวลเกี่ยวกับ 3 เรื่องต่อไปนี้เป็นหลัก
- ฉันจะแน่ใจได้อย่างไรว่าคีย์การเข้ารหัสของฉันอยู่ในสหภาพยุโรป
- ฉันจะแน่ใจได้อย่างไรว่าบริการ เช่น การแคชและ WAF ถูกใช้งานในสหภาพยุโรปเท่านั้น
- ฉันจะแน่ใจได้อย่างไรว่าข้อมูลเมตาจะไม่มีวันถูกถ่ายโอนออกนอกสหภาพยุโรป
สำหรับข้อกังวลแรก Cloudflare ได้นำเสนอ Keyless SSL และ Geo Key Manager มาอย่างยาวนาน ซึ่งช่วยให้มั่นใจได้ว่าข้อมูลคีย์ SSL/TLS ส่วนตัวไม่เคยออกจากสหภาพยุโรป ทั้งนี้ Keyless SSL ช่วยให้มั่นใจได้ว่า Cloudflare ไม่เคยครอบครองข้อมูลคีย์ส่วนตัวแต่อย่างใด และ Geo Key Manager จะใช้ Keyless SSL ในระบบเพื่อตรวจสอบให้แน่ใจว่าคีย์จะไม่มีวันออกจากภูมิภาคที่ระบุไว้
เมื่อปีที่แล้ว เราได้กล่าวถึงข้อกังวลที่ 2 ที่มีต่อ บริการระดับภูมิภาค ซึ่งช่วยให้มั่นใจได้ว่า Cloudflare จะสามารถถอดรหัสและตรวจสอบเนื้อหาการรับส่งข้อมูล HTTP ภายในสหภาพยุโรปได้เท่านั้น กล่าวคือ การเชื่อมต่อ SSL จะถูกยุติการใช้งานในสหภาพยุโรปเท่านั้น และความปลอดภัยเลเยอร์ 7 และบริการด้านประสิทธิภาพจะถูกใช้งานในศูนย์ข้อมูลของสหภาพยุโรปของเราเท่านั้น
วันนี้ เราเปิดโอกาสให้ลูกค้าบอกเล่าข้อกังวลที่ 3 และข้อกังวลสุดท้าย ตลอดจนรักษาข้อมูลเมตาไว้ในพื้นที่ด้วยเช่นกัน
วิธีการทำงานของ Metadata Boundary
Customer Metadata Boundary ช่วยให้มั่นใจได้ว่าข้อมูลเมตาการรับส่งข้อมูลของผู้ใช้งานปลายทางที่สามารถระบุตัวตนลูกค้าได้จะอยู่ในสหภาพยุโรปเท่านั้น สิ่งนี้รวมถึงบันทึกและการวิเคราะห์ทั้งหมดที่ลูกค้าเห็น
เราทำเช่นนี้ได้อย่างไร ข้อมูลเมตาทั้งหมดที่สามารถระบุตัวตนลูกค้าได้จะเคลื่อนที่ผ่านบริการเดี่ยวที่อุปกรณ์ Edge ของเรา ก่อนจะถูกส่งต่อไปยังหนึ่งในศูนย์ข้อมูลหลักของเรา
เมื่อเปิดใช้งาน Metadata Boundary สำหรับลูกค้า อุปกรณ์ Edge ของเราจะตรวจสอบให้แน่ใจว่าข้อความบันทึกต่างๆ ที่ระบุตัวตนลูกค้าดังกล่าวได้ (ที่มี ID บัญชีของลูกค้า) จะไม่ถูกส่งออกนอกสหภาพยุโรป และจะถูกส่งไปยังศูนย์ข้อมูลหลักของเราในสหภาพยุโรปเท่านั้น ไม่ใช่ศูนย์ข้อมูลหลักของเราในสหรัฐอเมริกา
มีอะไรใหม่บ้าง
ปัจจุบัน Data Localisation Suite ของเราให้ความสำคัญกับการช่วยเหลือลูกค้าในการปรับข้อมูลให้เข้ากับแต่ละพื้นที่ในสหภาพยุโรปเพื่อการรับส่งข้อมูล HTTP ขาเข้า สิ่งนี้รวมถึงแคช, Firewall, การป้องกัน DDoS และผลิตภัณฑ์การจัดการบอท
เราได้ทราบจากลูกค้าว่าลูกค้าต้องการการปรับข้อมูลให้เข้ากับแต่ละพื้นที่สำหรับผลิตภัณฑ์และภูมิภาคต่างๆ เพิ่มเติม ซึ่งหมายถึงการทำให้ผลิตภัณฑ์ Data Localisation ทั้งหมดของเรา ได้แก่ Geo Key Manager และ Regional Services ทำงานในระดับสากลได้ และเรากำลังทำการพัฒนา Metadata Boundary ให้ครอบคลุมผลิตภัณฑ์ Zero Trust ต่างๆ ของเรา เช่น Cloudflare for Teams โปรดติดตาม!