Penerapan AI berdaulat di KSA: VPC, self-hosted, dan di dalam Kerajaan

Postur 1 — Shared cloud

Multi-tenant, regional, paling cepat dimulai. Data Anda terisolasi secara logis dari tenant lain tetapi berbagi infrastruktur dengan mereka. Untuk pilot pada perjalanan yang tidak sensitif — FAQ produk publik, pencarian status pesanan — ini biasanya pertukaran yang tepat.

Ia menjadi pertukaran yang keliru begitu perjalanannya menyentuh data pribadi yang regulator Anda punya pendapat tentangnya, atau begitu bagian pengadaan meminta atestasi tenant tunggal.

Postur 2 — VPC khusus

Tenant tunggal, berjalan di dalam akun cloud Anda sendiri. Anda memiliki batas jaringan, manajemen kunci, dan permukaan auditnya; vendor mengoperasikan control plane di dalamnya.

Inilah postur yang paling sering dipilih perusahaan GCC. Ia memenuhi syarat isolasi tanpa meminta tim Anda menjalankan platformnya, dan menjaga daftar egress tetap sesuatu yang bisa dirinci serta disetujui tim keamanan Anda.

Postur 3 — Self-hosted

Platform berjalan di pusat data Anda, di dalam perimeter keamanan Anda, di perangkat keras Anda. Tidak ada yang keluar kecuali Anda yang mengarahkannya keluar.

Pilih ini ketika perimeternya sendiri yang menjadi syarat — pekerjaan yang bersinggungan dengan pertahanan, beban kerja finansial tertentu, atau kebijakan internal yang lebih tua daripada era cloud. Anggarkan beban operasionalnya secara jujur: kini Andalah yang menjalankan platformnya, dan jadwal peningkatan versi mengikuti kalender Anda, bukan kalender vendor.

Postur 4 — Di dalam Kerajaan

Dihosting di dalam Arab Saudi, dengan residensi data penuh di dalam batas negara. Ini ortogonal terhadap tiga postur pertama, bukan opsi keempat dalam sebuah daftar — Anda bisa berada di dalam Kerajaan pada shared cloud, pada VPC, maupun self-hosted.

Ia adalah jawaban spesifik atas pertanyaan residensi, dan makin sering menjadi jawaban yang dibutuhkan bagian pengadaan secara tertulis sebelum evaluasi teknis dijadwalkan.

Apa arti sebenarnya dari keselarasan NCA CCC-2

Cloud Cybersecurity Controls dari Otoritas Keamanan Siber Nasional menetapkan apa yang harus dilakukan penyedia layanan cloud dan pelanggannya masing-masing. Level 2 mencakup tingkatan tempat sebagian besar beban kerja perusahaan berada.

“Selaras” baru menjadi klaim yang berarti ketika vendor bisa menunjukkan arsitektur acuannya, menyebutkan kendali mana yang ada di pihak mereka dan mana di pihak Anda, lalu menyerahkan pembagian itu ke tim keamanan Anda sebagai dokumen. Vendor yang memperlakukan CCC-2 sebagai logo di slide belum pernah membacanya.

Mintalah matriks tanggung jawab bersama itu secara eksplisit. Jawabannya — atau ketiadaannya — bersifat diagnostik.

Daftar kendali yang perlu Anda minta

Terlepas dari posturnya, mintalah hal-hal ini secara tertulis sebelum pilot, bukan sesudahnya:

• Enkripsi saat transit dan saat disimpan, serta siapa yang memegang kuncinya.
• Model isolasi tenant, dinyatakan terpisah untuk lapisan jaringan dan lapisan data.
• SSO dan SCIM, agar akses mengikuti proses joiner-mover-leaver yang sudah Anda jalankan.
• Kebijakan penyamaran dan redaksi data pribadi, termasuk apa yang muncul di log.
• Jejak audit lengkap atas tindakan agen — setiap pembacaan dan penulisan, dapat diatribusikan dan diekspor.
• Paparan model: model mana yang melihat data Anda, di mana ia berjalan, dan apakah ada yang dipakai untuk pelatihan.
• Retensi dan penghapusan data, dengan jalur penghapusan yang diuji, bukan sekadar dijelaskan.
• Kesiapan MSA, DPA, dan SOW, agar bagian hukum tidak menjadi penyebab pilot tertunda.

Mengurutkan keputusannya

Pilih postur berdasarkan perjalanan yang sedang Anda pilotkan, bukan berdasarkan beban kerja paling sensitif yang mungkin suatu saat Anda jalankan. Memulai di shared cloud pada perjalanan FAQ publik lalu pindah ke VPC untuk perjalanan kedua adalah jalur yang normal dan bisa dipertanggungjawabkan — asalkan platformnya benar-benar control plane yang sama di semua postur.

Pastikan itu sebelum Anda mulai. Berpindah antar postur murah bila keduanya satu target penerapan; ia menjadi implementasi ulang ketika “self-hosted” milik vendor sebenarnya produk yang berbeda.