हाइब्रिड क्लाउड सुरक्षा में डेटा संप्रभुता

हाइब्रिड क्लाउड सुरक्षा में डेटा संप्रभुता वह अनुशासन है जिसके तहत यह सुनिश्चित किया जाता है कि संवेदनशील डेटा, जिसमें सुरक्षा नियंत्रणों द्वारा बनाई गई प्रतियां और मेटाडेटा शामिल हैं, को केवल उन्हीं तरीकों से संसाधित, संग्रहीत और एक्सेस किया जाए जिन्हें स्वामित्व रखने वाला संगठन और उसके नियामक स्वीकार करते हैं। हाइब्रिड वातावरण में, इसके लिए यह सोच-समझकर निर्णय लेना आवश्यक है कि कौन से सुरक्षा कार्य स्थानीय रूप से चलेंगे और कौन से प्रदाता के क्लाउड में चल सकते हैं।

यह लेख हाइब्रिड क्लाउड सुरक्षा मार्गदर्शिका का हिस्सा है। यह सामान्य जानकारी है, कानूनी सलाह नहीं। कृपया अपनी कानूनी और अनुपालन टीमों से आवश्यकताओं की पुष्टि करें।

डेटा निवास बनाम डेटा संप्रभुता बनाम डेटा स्थानीयकरण

डेटा रेजीडेंसी वह स्थान है जहां डेटा संग्रहीत होता है, डेटा लोकलाइज़ेशन इसे देश के भीतर रखने की एक कानूनी आवश्यकता है, और डेटा संप्रभुता यह निर्धारित करती है कि कौन से कानून इसे नियंत्रित करते हैं और कौन इस तक पहुंच सकता है।

निवास आवश्यक है, लेकिन पर्याप्त नहीं। क्षेत्र में संग्रहीत डेटा को अन्यत्र स्थित प्रदाता कर्मियों द्वारा, विदेशी कानून के तहत बाध्य होकर, या अन्य देशों में लॉग और सहायता प्रणालियों में प्रतिलिपि बनाकर प्राप्त किया जा सकता है।

सुरक्षा उपकरण संप्रभुता को खतरे में क्यों डालते हैं?

सुरक्षा उपकरण संप्रभुता के लिए खतरा पैदा करते हैं क्योंकि वे किसी संगठन के सबसे संवेदनशील डेटा को संभालते हैं, अक्सर डिक्रिप्टेड रूप में, और इसे लॉग और साक्ष्य में कॉपी करते हैं।

मुख्य जोखिम बिंदु निम्नलिखित हैं:

• निरीक्षण। ए secure web gateway यह गेटवे स्कैन करने के लिए TLS ट्रैफ़िक को डिक्रिप्ट करता है। उस समय, क्रेडेंशियल, व्यक्तिगत डेटा और गोपनीय दस्तावेज़ सादे टेक्स्ट में मौजूद होते हैं, चाहे गेटवे कहीं भी चल रहा हो।
• साक्ष्य की प्रतियां। डीएलपी इंजन ऐसी सामग्री की प्रतियां या अंश संग्रहीत कर सकते हैं जिनके कारण जांचकर्ताओं द्वारा समीक्षा के लिए कोई नीति सक्रिय हुई हो।
• लॉग और टेलीमेट्री। यूआरएल, फ़ाइल नाम, उपयोगकर्ता पहचान और डिवाइस विवरण लॉगिंग और एनालिटिक्स प्लेटफ़ॉर्म पर प्रवाहित होते हैं, जो अक्सर विक्रेता के केंद्रीय क्षेत्र में स्थित होते हैं।
• खतरे का विश्लेषण। संदिग्ध फाइलों को नष्ट करने के लिए क्लाउड सैंडबॉक्स में भेजा जा सकता है।
• सहायता पहुंच। समस्या निवारण के दौरान विक्रेता इंजीनियर किरायेदार डेटा देख सकते हैं।

इसलिए, क्लाउड-आधारित सुरक्षा आर्किटेक्चर डेटा को सीमाओं के पार स्थानांतरित कर सकता है, भले ही संगठन के अपने एप्लिकेशन और स्टोरेज ऐसा कभी न करें।

किसी भी सुरक्षा संरचना के लिए संप्रभुता से संबंधित चार प्रश्न

किसी भी सुरक्षा संरचना की संप्रभुता की स्थिति को चार प्रश्न परिभाषित करते हैं: निरीक्षण कहाँ होता है, वातावरण से क्या बाहर जाता है, लॉग कहाँ रहते हैं, और संवेदनशील डेटा तक कौन पहुँच सकता है।

1. निरीक्षण कहाँ होता है?

ट्रैफ़िक को डिक्रिप्ट करने वाले हर बिंदु की पहचान करें: स्थानीय उपकरण, क्लाउड पॉइंट ऑफ़ प्रेजेंस, ब्राउज़र नियंत्रण और एंडपॉइंट एजेंट। स्थानीय निरीक्षण से विनियमित प्रवाह के स्थानीय रूप से लागू हिस्से को संगठन के अपने बुनियादी ढांचे पर रखा जा सकता है। क्लाउड सेवाओं पर किसी भी फ़ॉरवर्डिंग और घटना के साक्ष्य के स्थान का अलग से आकलन करें। TLS निरीक्षण पर NSA के दिशानिर्देश यह सुझाव देते हैं कि प्लेनटेक्स्ट की मौजूदगी को सीमित करने के लिए एंटरप्राइज़ नेटवर्क के भीतर एक बार निरीक्षण किया जाए।

2. पर्यावरण से क्या-क्या बाहर निकलता है?

सुरक्षा स्टैक आपके इंफ्रास्ट्रक्चर के बाहर क्या-क्या भेजता है, उसकी सूची बनाएं: पूरा पेलोड, सैंडबॉक्सिंग के लिए फ़ाइल सैंपल, डीएलपी घटना के साक्ष्य, मेटाडेटा, या केवल पॉलिसी अपडेट। इनमें से प्रत्येक को अलग-अलग तरीके से नियंत्रित किया जा सकता है।

3. लकड़ियाँ कहाँ पाई जाती हैं?

लॉग डेटा होते हैं। एक्सेस लॉग पहचान को गतिविधि से जोड़ते हैं, और डीएलपी लॉग में संवेदनशील सामग्री हो सकती है। तय करें कि कौन से लॉग किस अधिकार क्षेत्र से बाहर भेजे जा सकते हैं, और क्या लॉग को स्थानीय रूप से संग्रहीत किया जा सकता है और चुनिंदा रूप से केंद्रीय एसआईईएम को भेजा जा सकता है।

4. संवेदनशील डेटा तक कौन पहुंच सकता है?

यह निर्धारित करें कि कौन-कौन डिक्रिप्टेड सामग्री या घटना के साक्ष्य देख सकता है: आपके प्रशासक, आपका प्रबंधित सेवा प्रदाता, सुरक्षा विक्रेता का सहायता स्टाफ, या क्लाउड प्रदाता। फिर विचार करें कि कौन से कानूनी प्रावधान इनमें से किसी को भी इसे प्रकट करने के लिए बाध्य कर सकते हैं। उदाहरण के लिए, अमेरिकी क्लाउड अधिनियम स्पष्ट करता है कि अमेरिकी अधिकारी अमेरिका स्थित प्रदाताओं से उनके पास मौजूद या उनके नियंत्रण में मौजूद डेटा को प्रस्तुत करने की मांग कर सकते हैं, चाहे वह कहीं भी संग्रहीत हो।

नियामक और खरीद संबंधी कारक

GDPR के स्थानांतरण नियम, यूरोपीय संघ के क्लाउड संप्रभुता ढांचा, DORA और क्षेत्रीय नियम संप्रभुता को एक प्राथमिकता से एक आवश्यकता में बदल रहे हैं।

GDPR के स्थानांतरण नियम। GDPR के अध्याय V के अंतर्गत, यूरोपीय आर्थिक क्षेत्र से बाहर व्यक्तिगत डेटा के स्थानांतरण के लिए पर्याप्तता निर्णय, मानक संविदात्मक खंडों जैसे उपयुक्त सुरक्षा उपाय, या विशिष्ट छूट की आवश्यकता होती है। व्यक्तिगत डेटा युक्त सुरक्षा टेलीमेट्री भी इन्हीं नियमों के अधीन है।

यूरोपीय संघ का क्लाउड संप्रभुता ढांचा। यूरोपीय आयोग का क्लाउड संप्रभुता ढांचा , जिसे पहली बार अक्टूबर 2025 में प्रस्तुत किया गया था, क्लाउड प्रदाताओं को आठ उद्देश्यों पर अंक देता है: रणनीतिक, कानूनी और अधिकार क्षेत्र संबंधी, डेटा और एआई, परिचालन, आपूर्ति श्रृंखला, तकनीकी, सुरक्षा और अनुपालन, और पर्यावरणीय स्थिरता। प्रदाताओं को 0 से 4 तक का संप्रभुता प्रभावशीलता आश्वासन स्तर (SEAL) प्राप्त होता है। अप्रैल 2026 में, आयोग ने चार प्रदाताओं को €180 मिलियन तक के संप्रभु क्लाउड अनुबंध प्रदान किए , जिसके लिए कम से कम SEAL-2, डेटा संप्रभुता स्तर की आवश्यकता थी। यह ढांचा यूरोपीय संघ के संस्थानों के लिए लिखा गया है, लेकिन यह प्रत्येक खरीदार को संप्रभुता आवश्यकताओं के लिए एक व्यावहारिक शब्दावली प्रदान करता है।

वित्तीय संस्थाओं के लिए डिजिटल ऑपरेशनल रेजिलिएंस एक्ट (DORA)। डिजिटल ऑपरेशनल रेजिलिएंस एक्ट 17 जनवरी, 2025 से लागू हो गया है। इसके दायरे में आने वाली वित्तीय संस्थाओं को आईसीटी तृतीय-पक्ष जोखिम का प्रबंधन करना, आईसीटी सेवा व्यवस्थाओं का रजिस्टर बनाए रखना और निकास तथा एकाग्रता जोखिम के लिए योजना बनाना अनिवार्य है। बैंक के डेटा को संसाधित करने वाली सुरक्षा सेवाएं इस अधिनियम के अंतर्गत आईसीटी सेवाएं मानी जाती हैं।

क्षेत्रीय और राष्ट्रीय नियम। स्वास्थ्य सेवा, रक्षा, सार्वजनिक क्षेत्र और महत्वपूर्ण अवसंरचना संगठनों को अक्सर अतिरिक्त स्थानीयकरण या मान्यता संबंधी आवश्यकताओं का सामना करना पड़ता है।

बैंकिंग के लिए हाइब्रिड क्लाउड आर्किटेक्चर

बैंक आमतौर पर अपने स्वयं के बुनियादी ढांचे पर डिक्रिप्शन और लॉग रखते हैं, जबकि दूरस्थ कर्मचारियों और SaaS के लिए क्षेत्र-प्रतिबंधित क्लाउड सेवाओं का उपयोग करते हैं।

बैंक संप्रभुता की समस्या को स्पष्ट रूप से दर्शाते हैं। उन्हें क्लाउड SaaS और रिमोट वर्क की आवश्यकता होती है, लेकिन वे सख्त पर्यवेक्षी अपेक्षाओं के तहत ग्राहकों के वित्तीय डेटा को भी संभालते हैं। एक विशिष्ट हाइब्रिड पैटर्न:

• जब स्थानीय स्तर पर प्रसंस्करण की आवश्यकता हो, तो बैंक-नियंत्रित प्रवर्तन पर शाखा और मुख्यालय के विनियमित प्रवाह को बनाए रखें, और क्लाउड-आधारित सेवाओं और साक्ष्य भंडारण का अलग से मूल्यांकन करें।
• दूरस्थ कर्मचारियों के लिए अनुमोदित क्षेत्रों तक सीमित क्लाउड पॉइंट्स ऑफ प्रेजेंस का उपयोग करें।
• निरीक्षण लॉग और डीएलपी साक्ष्य को देश के भीतर ही संग्रहित करें, और केवल वही जानकारी एसओसी को भेजें जिसकी उसे आवश्यकता है।
• निरीक्षण प्रमाणपत्र प्राधिकरण के लिए ग्राहक-नियंत्रित कुंजियों और हार्डवेयर सुरक्षा मॉड्यूल का उपयोग करें।
• एक ही नीति सेट बनाए रखें ताकि लेखा परीक्षकों के लिए स्थानीय और क्लाउड प्रवर्तन सुसंगत बना रहे।
• निकास योजना सहित, सुरक्षा विक्रेता का विवरण DORA सूचना रजिस्टर में दर्ज करें।

बीमा कंपनियों, भुगतान संस्थानों और निवेश फर्मों पर भी यही पैटर्न लागू होता है।

संप्रभुता का समर्थन करने वाले वास्तुशिल्प पैटर्न

सात आर्किटेक्चर पैटर्न क्लाउड सेवाओं को छोड़े बिना अधिकांश संप्रभुता आवश्यकताओं को पूरा करते हैं।

सुरक्षा विक्रेताओं के लिए संप्रभुता चेकलिस्ट

किसी भी सुरक्षा विक्रेता को शॉर्टलिस्ट करने से पहले, उसकी संप्रभुता संबंधी दावों की जांच करने के लिए इस चेकलिस्ट का उपयोग करें।

• क्या किसी विशिष्ट यातायात वर्ग के लिए सभी निरीक्षण हमारे बुनियादी ढांचे पर किए जा सकते हैं?
• कौन से डेटा तत्व डिफ़ॉल्ट रूप से हमारे वातावरण से बाहर हो जाते हैं, और क्या उनमें से प्रत्येक को निष्क्रिय किया जा सकता है?
• लॉग, साक्ष्य और टेलीमेट्री डेटा किन देशों में संग्रहीत किया जाता है?
• कौन से विक्रेता कर्मी किरायेदार के डेटा तक पहुंच सकते हैं, कहां से और किस अनुमति के तहत?
• विक्रेता और उसके उप-प्रोसेसरों पर किन क्षेत्राधिकारों के कानून लागू होते हैं?
• क्या हम अपना खुद का HSM या कुंजी प्रबंधन इस्तेमाल कर सकते हैं?
• यदि विक्रेता का क्लाउड पहुंच से बाहर हो जाए तो क्या काम करता रहेगा?
• कौन से प्रमाणपत्र लागू होते हैं (उदाहरण के लिए FedRAMP, IRAP, BSI C5, SOC 2 Type II, CSA STAR)?

स्काईहाई किस प्रकार डेटा संप्रभुता का समर्थन करता है?

Skyhigh, आवश्यकतानुसार ग्राहक के बुनियादी ढांचे पर वेब निरीक्षण और निरीक्षण कुंजी रखकर डेटा संप्रभुता का समर्थन करता है। डेटा सुरक्षा घटना के साक्ष्य Skyhigh क्लाउड में रखे जाते हैं, जो आपकी संप्रभुता आवश्यकताओं के संदर्भ में एक अलग प्रश्न है जिसका उत्तर देना आवश्यक है।

Skyhigh Hybrid SSE Mesh डेटा प्लेन को भौतिक रूप से परिसर में ही रखता है, जहाँ अनुपालन की आवश्यकता होती है। SSL/TLS डिक्रिप्शन और वेब निरीक्षण Secure Service Gateway पर स्थानीय रूप से चलते हैं, इसलिए वेब पेलोड आपके अपने इंफ्रास्ट्रक्चर के अंदर ही डिक्रिप्ट हो जाते हैं। Skyhigh क्लाउड के माध्यम से लागू की जाने वाली सेवाओं में डेटा सुरक्षा भी शामिल है। remote browser isolation एआई सुरक्षा नियंत्रण, सीएएसबी और डेटा सुरक्षा स्थिति प्रबंधन, गेटवे से प्रासंगिक ट्रैफ़िक प्राप्त करते हैं, इसलिए अपने निवास और संप्रभुता आवश्यकताओं के अनुसार उन प्रवाहों का दायरा निर्धारित करें। स्थानीय ZTNA संगठन के अपने गेटवे पर चलता है। चयनित उत्पादों और संस्करणों के लिए निरीक्षण-कुंजी सुरक्षा, किसी भी HSM एकीकरण और ऑन-प्रिमाइसेस सैंडबॉक्सिंग समर्थन की पुष्टि करें। समर्पित निकास आईपी और स्रोत आईपी एंकरिंग क्लाउड-निरीक्षित ट्रैफ़िक के लिए निकास को नियंत्रित करने में मदद करते हैं, लेकिन अकेले यह निर्धारित नहीं करते कि सामग्री कहाँ संसाधित होती है ( Skyhigh Security )। प्लेटफ़ॉर्म का क्लाउड रजिस्ट्री डेटा निवास, कानूनी शर्तों और अन्य विशेषताओं के आधार पर क्लाउड सेवाओं का मूल्यांकन भी करता है, ताकि नीति उपयोगकर्ताओं को अनुपालन सेवाओं की ओर निर्देशित कर सके।

सूत्रों का कहना है

1. यूरोपीय संघ। विनियमन (ईयू) 2016/679 (सामान्य डेटा संरक्षण विनियमन) , अध्याय V. https://eur-lex.europa.eu/eli/reg/2016/679/oj
2. यूरोपीय संघ। विनियमन (ईयू) 2022/2554 (डिजिटल परिचालन लचीलापन अधिनियम)। https://eur-lex.europa.eu/eli/reg/2022/2554/oj
3. यूरोपीय आयोग। “सॉवरेन क्लाउड फ्रेमवर्क की व्याख्या” (1 जून, 2026)। https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
4. यूरोपीय आयोग। “रणनीतिक खरीद के माध्यम से आयोग क्लाउड संप्रभुता को बढ़ावा देता है” (17 अप्रैल, 2026)। https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
5. अमेरिकी न्याय विभाग। क्लाउड एक्ट संसाधन। https://www.justice.gov/criminal/cloud-act-resources
6. एनएसए। ट्रांसपोर्ट लेयर सिक्योरिटी इंस्पेक्शन से उत्पन्न जोखिम का प्रबंधन (नवंबर 2019)। https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
7. Skyhigh Security “अपने सिमेंटेक एज को आधुनिक बनाना” Secure Web Gateway "Skyhigh Hybrid SSE Mesh के साथ" (15 जुलाई, 2026)। https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
8. Skyhigh Security “स्काईहाई एसएसई प्लेटफॉर्म के साथ हाइब्रिड को अपनाना अब और भी आसान हो गया है” (3 अक्टूबर, 2024)। https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html