两个不同的问题
当一个组织说它已经解决了数据驻留问题时，几乎总是指一件事：数据存储在某个特定区域，并受云服务商的区域性保障覆盖。这是一项真实的控制措施，回答的也是一个真实的问题。
但它回答不了第二个问题，即数据是从哪里被访问的。一个数据集可以完全存放在欧盟区域内，却每天被位于第三国的运维团队通过支持工具、共享控制台或应急访问（break-glass）凭据读取。存储位置本身无法阻止这种情况，而且在许多架构中，也没有任何机制以合规部门能够查询的形式把它记录下来。
对于《通用数据保护条例》（GDPR）下的数据传输分析、海湾地区的数据本地化制度，以及越来越多的行业特定监管期望而言，决定答案的正是访问问题。
为什么访问问题越来越难回答
过去几年里，有三方面因素让情况变得更糟，但没有一个是安全失误。
分布式团队意味着支持和工程职能确实横跨多个司法管辖区。托管服务意味着服务商的员工可能从其运营所在的任何地点接触您的环境。而 AI 系统意味着数据越来越多地被一些进程读取，这些进程在哪里执行，只是别人平台上的一个实现细节。
这些都是正当的运营选择。但叠加在一起，就意味着能够触达您受监管数据的地点，比您被问及时会列出的地点更多，也比您的数据保护影响评估中所描述的更多。
强制执行与证据是两个不同的问题
这里涉及两种不同的能力，而组织常常只买了其中一种，却以为两种都买到了。
强制执行是指系统拒绝来自批准范围之外来源的访问。它是预防性的，可以测试，也是大多数人所说的地理围栏。
证据是指您能够在数月之后证明：来自未经批准来源的访问从未发生，或者只在特定日期、出于当时已获授权的特定原因发生过。它是回溯性的，也是监管机构或数据保护机构真正要求提供的东西。
只有强制执行而没有证据，您只能声称某项控制措施起了作用。只有证据而没有强制执行，您只是在记录一个未能阻止的问题。数据驻留计划两者都需要，而通常缺失的是证据这一半，因为它要求在整个监管期限内保留访问来源记录，而不只是在一个滚动的运营时间窗口内保留。
设计能够产生证据的数据驻留控制措施
- 按数据分类级别而不是在整个组织范围内定义批准的来源范围，因为大多数组织对低敏感度数据所需的访问范围，确实比对受限数据所需的更宽
- 记录每一次访问尝试及其来源和处理结果，包括被允许的尝试，因为要证明某事没有发生，需要的是完整记录，而不是例外清单
- 明确记录应急访问（break-glass）路径，包括授权人和理由，因为计划外的跨境访问是正常的运营事件，假装并非如此只会降低而不是提高记录的可信度
- 按照底层数据适用的监管期限保留来源记录，而不是沿用日志平台的默认保留期
- 让记录可以被独立验证，因为当组织自己出具关于自身的访问来源证据时，这恰恰是监管机构有理由持怀疑态度的一类证据
海湾地区的特殊考量
对于正在向阿联酋和沙特阿拉伯拓展的组织来说，访问问题往往比存储问题影响更大。该地区的本地化要求通常围绕控制权和管辖权来设定，而不仅仅是物理位置；监管机构实际采用的检验标准，往往是谁能从何处触达数据，而不仅仅是哪个数据中心存放着数据。
如果组织带着纯粹基于存储区域的数据驻留方案进场，会发现对话转向了自己没有准备过的方向。而带着访问来源证据进场的组织，会发现对话推进得很快。我们按司法管辖区所做的分析见 阿联酋 PDPL 与 ADGM 网络风险框架 和 沙特阿拉伯 PDPL 与 SDAIA。
- 问问您的团队，上个月您最敏感的数据集是从哪里被访问的，看看得到答案需要多长时间
- 检查您的访问记录是否包含被允许的尝试，还是只包含被拦截的尝试
- 将访问来源数据的保留期限与数据本身的保留义务进行核对
- 将批准的来源范围与分类级别挂钩，而不是在所有地方套用同一项策略
基于来源的访问规则现已在 ROOTKey 中提供，可按分类级别设定适用范围，并完整记录被允许和被拦截的尝试。您可以在一个保险库上设置国家允许列表并查看流量视图，或在 ROOTKey GDPR 页面了解这些控制措施如何协同运作。