Andmete kohalikkuse vaikne poliitika
Serveriruum, kuhu keegi ei tahtnud minna
Esimene tõsine õppetund andmete asukoha kohta tuli mulle keldrist, mis lõhnas kergelt kohvi, betooni ja institutsionaalse kannatlikkuse järele. Avalik organisatsioon oli kutsunud rühma juhte vaatama ruumi, kus hoiti selle kõige tundlikumaid andmeid. Tuur pidi olema sümboolne. Andmed polnud glamuurne teema. Ei olnud klaasseinu, ei olnud filmilikke siniseid tulesid, ei olnud armatuurlauda, mis loendaks innovatsiooni minutis. Olid riiulid, sildid, lukustatud kapid, hoiuleht ja inimene, kes teadis, millist kaitselülitit ei tohi kunagi puutuda, kui sa ei taha veeta pärastlõunat juristidega.
Keegi küsis, kas organisatsioon peaks osa töökoormusest mujale viima, sest kelder tundus vanamoodne. Rajatiste haldur ei kaitsnud ruumi kui püha paika. Ta küsis lihtsalt, kes suudaks peatada halva juurdepääsutaotluse kell kolm öösel, kes suudaks tõestada, milline koopia on autoriteetne, kelle käes on võtmed, kes suudaks andmed taastada ilma välismaist tugiteenust kasutamata, ja kes selgitaks valikut kodanikule, kui andmed ületaksid piiri kogemata. Küsimus polnud selles, kas metallkast näeb moodne välja. Küsimus oli selles, kuhu autoriteet langeb.
See on andmete asukoha vaikne poliitika. See ei kuuluta end harva poliitikana. See ilmneb arhitektuurina, hankimisena, latentsusajana, varukoopiate kujundusena, lepingukeelena, võtmehaldusena, logimisena, tugiteenuse juurdepääsuna ja näiliselt süütu väljana, mis ütleb regioon. Siis ühel päeval on vaidlus, audit, rikkumine, eelarvešokk, uus seadus, ühinemine või teenuse tõrge. Järsku avastavad kõik, et koht, kus andmed asuvad, on kogu aeg teinud institutsionaalseid otsuseid, lihtsalt parema kaablihaldusega.
Andmete asukohta taandatakse sageli lihtsale lausele: hoia andmed lähedal. See pole vale, kuid see on liiga väike. Asukoht pole ainult füüsiline kaugus. See on õigusliku ulatuse, operatiivse juhtimise, tehnilise sõltuvuse, majandusliku riski ja inimliku vastutuse korraldus andmete ümber. Andmed võivad olla salvestatud ühes riigis, samal ajal kui õigus neid lugeda, kopeerida, kustutada, suunata või hinnastada elab kusagil mujal. Kaart võib öelda kohalik, samal ajal kui juhtimistasand ütleb palun oodake.
Asukoht ei ole kontroll
Kõige levinum viga on kohelda geograafiat valitsemise asendajana. Andmekeskus piiri sees võib olla kasulik. See võib vähendada latentsusaega, lihtsustada kontrolli, rahuldada sektori reegleid ja muuta intsidentidele reageerimise vähem sõltuvaks kaugematest meeskondadest. Kuid hoone on ainult üks kiht. Kui identiteet, krüpteerimisvõtmed, tugivahendid, orkestreerimine, telemeetria, arveldus ja halduslik ümberlükkamine elavad mujal, on andmed kohalikud samamoodi, nagu jalgratas on turvaline, sest esiratas on lukustatud iseenda külge. See näeb välja nagu meede. See ei ole kogu meede.
Kontroll on kihiline. On olemas salvestuskoht, mis vastab küsimusele, kus bitid asuvad. On olemas võtme asukoht, mis vastab küsimusele, kes saab need bitid loetavaks muuta. On olemas identiteedikiht, mis vastab küsimusele, kes võib päringuid esitada. On olemas operatsioonikiht, mis vastab küsimusele, kes võib muuta, peatada, migreerida, paljundada, hetktõmmiseid teha või kustutada. On olemas tõenduskiht, mis vastab küsimusele, kes saab tõendada, mis juhtus. On olemas lepingukiht, mis vastab küsimusele, millised lubadused loevad, kui asjad lakkavad olemast rõõmsad. Kohalikkus muutub reaalseks alles siis, kui need kihid osutavad autoriteedile, mida institutsioon suudab tegelikult järele valvata.
See ei tähenda, et iga organisatsioon peab omama iga serverit. See oleks kummaline järeldus ja ka kingitus inimestele, kes müüvad keldreid. See tähendab, et juhid peaksid lõpetama küsimise, kas andmed on kohalikud, nagu oleks kohalikkus märkeruut. Kasulikud küsimused on täpsemad. Milline koopia loeb. Kes hoiab võtmeid. Millised administraatorid saavad poliitikat üle kirjutada. Millised logid on sõltumatud. Milline jurisdiktsioon saab sundida millist osalist. Milline sõltuvus takistaks meil liikumast. Milline kulu ilmneb, kui proovime.
Need küsimused kõlavad tehnilistena, kuni nad seda ei ole. Haiglas mõjutab kohalikkus seda, kas kliinilised andmed jäävad võrgu katkemise ajal kättesaadavaks. Omavalitsuses mõjutab see seda, kas kodanike andmeid saab avaliku õiguse ootuste kohaselt auditeerida. Koolis mõjutab see seda, kas õpiandmeid saab taaskasutada väljaspool nende algset eesmärki. Pangas mõjutab see seda, millised regulaatorid näevad millist jälge. Teadusinstituudis mõjutab see seda, kas andmeid saab jagada ilma institutsiooni tegevustulevikku ära andmata. Ükski sellest ei ole abstraktne. See on võimu torustik.
Õiguskaart ei ole sama mis võrgukaart
Võrgud on väga head poliitika varjamisel. Paketid ületavad piire ilma väikest tseremooniat küsimata. Koopiad tekivad, sest kättesaadavus vajab neid. Tugitehnikud vajavad hädaolukorra tööriistu, sest süsteemid lähevad rikki ebamugavatel kellaaegadel, mis on üks väheseid usaldusväärseid fakte arvutimaailmas. Analüüsimeeskonnad tahavad koopiaid, sest ootamine on igav. Turbemeeskonnad tahavad telemeetriat, sest alternatiiv on oletamine formaalses keeles. Igaüks neist põhjustest võib olla õigustatud. Igaüks neist võib ka autoriteeti liigutada.
Õiguslik võim järgib osapooli, lepinguid, jurisdiktsioone, tütarettevõtteid, administraatoreid, töötlejaid, alltöötlejaid ja mõnikord üllatavaid tõlgendusi juurdepääsust. Kirje võib asuda Amsterdamis, samas kui ettevõtet väljaspool riiki võidakse kohustada juurdepääsul abistama. Võti võib olla mähitud teenusesse, mis on tehniliselt kaugel. Logi võib olla salvestatud piirkonda, mis valiti seetõttu, et see oli vaikimisi. Varukoopia võib säilida kohas, mida keegi juhatuse esitluse ajal ei maininud. Süsteemiskeem võib olla õige ja siiski poliitiliselt mittetäielik.
Seetõttu tekitab fraas andmete asukoht sageli vale rahulikkuse. Asukoht ütleb sulle midagi selle kohta, kus andmeid hoitakse. See ei ütle automaatselt, kes saab neid mõjutada, kontrollida, konfiskeerida, peatada, hinnastada või vaikselt võimatuks teha nende lahkumise. Asukoht on toanumber. Kohalikkus, õigesti mõistetuna, on üürileping, varuvõti, majaomanik, koristusgraafik, kindlustuspoliis ja inimene, kes teab, milline aken ei sulgu.
Institutsioonid vajavad õiguslik-operatiivset kaarti, mitte ainult pilvepiirkondade kaarti. See kaart peaks näitama autoriteetset kirjet, koopiaid, varukoopiaid, logisid, mudeli sisendeid, tuletatud andmeid, juurdepääsuvahendajaid, võtmehoidjaid, inimesepõhiseid tugiteid ja lepingulisi kitsaskohti. See peaks näitama ka seda, mis juhtub stressi ajal. Tavalised tööskeemid on sageli viisakad. Stressiskeemid räägivad tõtt.
Operatiivne kontroll on suveräänsuse igav vorm
Avalikud arutelud suveräänsusest haaravad sageli lippude, strateegilise autonoomia või kangelasliku kõnepruugi järele oma jalul seismisest. Operatsioonis on suveräänsus vähem teatraalne. See on võime paigata ilma anumata, taastada ilma oletamata, keelata juurdepääsutee ilma teenust katkestamata, vahetada võtmeid ilma nädalapikkuse paanikata, liigutada töökoormusi ilma institutsiooni ümber kirjutamata ja esitada tõendeid ilma ekraanitõmmise ümber komiteed kokku kutsumata. See ei ole kõne. See on teisipäevane pärastlõuna muudatusaknaga.
Operatiivne kontroll on oluline, sest andmete lokaliteeti pannakse proovile intsidentide, mitte loosungitega. Tavapärases elus töötab peaaegu iga arhitektuur brošüüris. Päris küsimus on see, mis juhtub, kui identiteediteenus on maas, müüja konto on arveldusvaidluse tõttu külmutatud, regulaator küsib valdusahelat, võtmevahetus ebaõnnestub, andmesubjekt taotleb kustutamist, mudel hakkab kasutama valet allikat või kahe koha vaheline võrk muutub kalliks, aeglaseks või poliitiliselt ebamugavaks. Kui institutsioon ei suuda neil hetkedel tegutseda, ei kontrolli ta andmeid üheski mõistlikus tähenduses.
Hea lokaliteedi disain annab operaatoritele nimetatud volitused. Nad näevad, kus kirjed asuvad. Nad saavad paljunemise peatada. Nad saavad tõestada, milline koopia on autoriteetne. Nad saavad tugitee ära lõigata. Nad saavad eksportida kirjeid kasutatavas vormingus. Nad saavad juurdepääsu taasesitada. Nad saavad näidata, millised tuletatud artefaktid pärinevad millisest allikast. Nad saavad kustutada või säilitada vastavalt poliitikale. Need on tagasihoidlikud võimed. Need ei pane konverentsilavad särama. Need hoiavad ära selle, et päris inimesed veedavad nädalavahetusi otsides varukoopiat, mida keegi ei omanud.
Siin on ka tööjõu küsimus. Kui lokaliteet on ähmane, kompenseerivad inimesed. Vastavusmeeskonnad ajavad taga arhitektuurimeeskondi. Arhitektuurimeeskonnad ajavad taga platvormimeeskondi. Platvormimeeskonnad ajavad taga tarnijaid. Tarnijad saadavad diagramme, mis sisaldavad palju kaste ja vähem vastuseid. Kulu ei ole ainult raha. See on institutsionaalne tähelepanu. Iga tund, mis kulub andmete asukoha avastamisele, on tund, mida ei kulutata otsustamisele, mida institutsioon nendega tegema peaks.
Kulud on poliitiline signaal
Andmete lokaliteeti esitatakse sageli vastavuskuluna. Mõnikord on see nii. Kohalik salvestus, kohalikud operatsioonid, kohalik personal, koondatud rajatised, sõltumatud auditijäljed ja migratsiooniõigused nõuavad kõik raha. Kuid kulude arutelu on tavaliselt liiga kitsas. Ka mitte-lokaliteedil on kulud. Need on lihtsalt jaotatud arvete, viivituste, riskipuhvrite, väljumistasude, intsidentide tööjõu, audititöö, dubleeritud tööriistade ja imeliku harjumuse kaudu maksta oma kirjete kättesaamise eest kohast, mille valisite, sest see nägi slaidil odav välja.
Odavaim arhitektuur esimesel päeval võib olla see, mis muudab lahkumise kalliks tuhandendal päeval. Salvestuslahendus võib tunduda tõhus, kuni iga analüütiline kasutus nõuab suurte andmemahtude liigutamist üle piiride. Tsentraliseeritud platvorm võib lihtsustada hankimist, muutes samal ajal iga asutuse sõltuvaks ühisest teekaardist, mida see ei saa mõjutada. Kaugjuhtimistasand võib vähendada operatiivset koormust, tekitades samal ajal õigusliku küsimuse, mida keegi ei taha enda kanda võtta. Kulud ei ole võimust eraldatud. Need on üks viis, kuidas võim räägib pärast seda, kui hankijad on ruumist lahkunud.
Asukohaga seotud otsuseid tuleks seega hinnata ajas. Mida maksab käitamine. Mida maksab auditeerimine. Mida maksab uue säilitusnõude täitmine. Mida maksab tarnija vahetamine. Mida maksab ühe andmekogumi eraldamine teisest. Mida maksab minimaalse kohaliku käitusvõimekuse säilitamine. Mida maksab kustutamise tõendamine. Mida maksab olukord, kus latentsus sunnib inimesi mitteametlikke koopiaid kasutama, sest ametlik tee on aeglasem kui tavaline inimlik kannatlikkus.
Asutused avastavad asukoha hinna sageli alles siis, kui nad vajavad valikuvabadust. Valikuvabadus on hilja ostes kallis. See on odavam, kui see kavandatakse varakult: avatud vormingud, selged andmelepingud, sõltumatud logid, kohalik võtmehaldus, dokumenteeritud eksporditeed, testitud taastamisharjutused ja personalimudel, mis ei kohtle kogu operatiivteadmist välise tellimusena. See ei ole omanduse nostalgia. See on raamatupidamine pikema tähelepanuvõimega.
Sõltumatus on võime tarnijale pettumust valmistada
Institutsionaalne sõltumatus kõlab suurejooneliselt, kuni seda proovile pannakse. Kasulik praktiline määratlus on lihtne: kas asutus suudab öelda ei, kaotamata võimet tegutseda. Kas ta suudab keelduda hinnatõusust. Kas ta suudab tagasi lükata riskantse tugitee. Kas ta suudab migreerida töökoormuse. Kas ta suudab poliitikat muuta kiiremini kui tarnija teekaart. Kas ta suudab jätkata kodanike, patsientide, õpilaste, klientide või teadlaste teenindamist läbirääkimiste ajal. Kui vastus on ei, võib asutus olla väljastanud rohkem kui infrastruktuuri. Ta võib olla väljastanud oma tuleviku.
See ei ole argument tarnijate vastu. Tõsised asutused sõltuvad alati teistest organisatsioonidest. Haiglad sõltuvad meditsiinitarvikute tarnijatest. Linnad sõltuvad töövõtjatest. Ülikoolid sõltuvad ajakirjadest, laboritest ja võrgustikest. Sõltuvus on normaalne. Oht on sõltuvus ilma roolita. Asukoht on üks viis, kuidas hoida piisavalt juhtimisvõimu asutuse missiooni lähedal.
Iseseisvusel on ka kultuuriline mõõde. Meeskonnad, kes ei halda kunagi oma tõendusmaterjali, kaotavad oskuse esitada häid küsimusi. Nad muutuvad vilunuks müüjaportaalides, kuid vähem vilunuks omaenda andmetes. Nad oskavad tellida aruandeid, kuid mitte seada kahtluse alla eeldusi. Nad oskavad vastu võtta juhtimislahendusi, kuid mitte kontrollida andmete päritolu. Lõpuks hakkab asutus segi ajama juurdepääsu teenusele oskusega seda valdada. See segadus on mugav seni, kuni see muutub kalliks.
Lokaalsusstrateegia peaks säilitama asutuse pädevuse. Hoidke piisavalt arhitektuuriteadmisi, et mõista andmete liikumist. Hoidke piisavalt andmehaldusteadmisi, et mõista andmete päritolu. Hoidke piisavalt turvateadmisi, et mõista võtmehaldust. Hoidke piisavalt õigusteadmisi, et mõista jurisdiktsiooni. Hoidke piisavalt operatiivteadmisi, et viia läbi taasteharjutus ilma avastamata, et protseduurijuhend on dekoratiivne PDF. Eesmärk ei ole teha kõike üksi. Eesmärk on jääda võimekaks vastutavaks osapooleks, mitte hästi rahastatud kõrvaltvaatajaks.
Tehisintellekti kiht muudab lokaalsuse keerulisemaks
Tehisintellektisüsteemid muudavad lokaalsuse keerulisemaks, sest nad loovad tuletatud artefakte suurel kiirusel. Kirjest võib saada manustus, tunnus, päring, peenhäälestusnäide, otsingutükk, kokkuvõte, modereerimissignaal, vahemälukirje, hindamisandmestik või logirida. Iga tuletis võib kanda tundlikku tähendust isegi siis, kui see ei sarnane enam originaaliga. Kui lokaalsuspoliitika hõlmab ainult algset kirjet, on asutus lukustanud välisukse, jagades samal ajal maja visandeid.
Otsingusüsteemid on lihtne näide. Dokument võib jääda lokaalseks, kuid selle ekstraheeritud tekst, vektorkujutis, metaandmed ja päringulogid võivad asuda mujal. Mudel ei pruugi dokumenti kunagi salvestada, kuid võib töödelda päringuid, mis sisaldavad piisavalt sellest, et see oluline oleks. Hindamistöövoog võib eksportida keerulisi juhtumeid süsteemi parandamiseks. Seirevahend võib jäädvustada kasutajate küsimusi, mis paljastavad konfidentsiaalseid fakte. Ükski neist voogudest ei ole olemuslikult pahatahtlik. Need on lihtsalt andmed, mis liiguvad ringiga, nagu andmetel on kombeks, kui insenerid püüavad abivalmid olla.
Lokaalsus tehisintellekti jaoks vajab seega päritolureegleid. Mis loetakse tuletatud andmeteks. Millised tuletised pärandavad allika lokaalsusnõuded. Millised logid peavad jääma lokaalseks. Millised päringud võivad ületada piiri. Millised mudeli väljundid on kirjed. Millised vahemälud aeguvad. Millised hindamisnäidised on lubatud. Millised inimretsensendid näevad millist sisu. Ilma nende reegliteta muutub tehisintellekti juhtimine heade kavatsuste kausiks, millele on lisatud GPU-arve.
Vastus ei ole liikumise keelamine. Vastus on muuta liikumine läbipaistvaks. Tehisintellektisüsteeme saab kavandada lokaalse otsingu, lokaalsete indeksite, lokaalsete võtmete, redigeerimisega enne ülekandmist, eesmärgipäraste logide, eraldiseisvate hindamisandmestike ja tuletatud artefaktide selgesõnalise kustutamisega. Arhitektuur ei pea olema paranoiline. See peab lõpetama teesklemise, et tuletatud andmed on kahjutud, sest nad on riietust vahetanud.
Praktiline lokaalsusregister
Praktiline tööriist, mida enamik organisatsioone vajab, ei ole manifest. See on lokaalsusregister. Iga olulise andmestiku kohta peaks register tuvastama autoriteetse koopia, salvestuspiirkonna, võtmehalduse, identiteedihalduse, operatiivadministraatorid, tugijuurdepääsu, koopiad, varukoopiad, logid, tuletatud andmed, õigusliku aluse, säilitusreegli, eksporditee, kustutamistee ja omaniku. Kui see kõlab paljuna, on see siiski vähem tööd kui selle rekonstrueerimine intsidendi ajal, kui kolm inimest on puhkusel ja ainus inimene, kes pärandsüsteemi tunneb, on avastanud aianduse.
The register should be tied to decisions, not kept as documentation theatre. When a new application is approved, it gets a locality entry. When data is replicated, the entry changes. When a model uses a dataset, derived artefacts are recorded. When a supplier adds a subprocessor, the map is reviewed. When keys move, the control entry changes. When an incident happens, the register is used. A register that nobody uses is just a spreadsheet waiting to become archaeology.
Locality also needs thresholds. Not every dataset deserves the same controls. A public events calendar does not need the same treatment as medical records, child welfare data, trade secrets, or legal case files. Classify by sensitivity, mission criticality, legal exposure, reversibility, and public trust. Then match locality controls to risk. This avoids two bad extremes: treating everything as sacred, which makes work impossible, and treating everything as ordinary, which makes apology letters unusually active.
Finally, test the exit path. Do not merely ask whether export exists. Run it. Restore from it. Measure it. Check whether metadata survives. Check whether permissions survive. Check whether derived artefacts can be separated. Check whether the institution can still understand the data outside the original system. Exit that works only in contract language is not exit. It is a polite hostage note.
Local does not mean lonely
A mature locality position is not a bunker. The goal is not to trap every record in a national cupboard and call it strategy. Many forms of collaboration require movement: cross-border research, regional healthcare, fraud prevention, climate modelling, logistics, education, and public safety. Data can and should move when the purpose is clear, the authority is named, the record is protected, and the return path is understood. Locality is not a fear of movement. It is movement with memory.
The best locality designs are federated in spirit. They let institutions keep authoritative control while sharing what is necessary through declared interfaces, contracts, proofs, anonymisation where appropriate, and logs that survive enthusiasm. They avoid both extremes: central hoarding that turns every local institution into a branch office, and isolated purity that makes cooperation impossible. The sweet spot is rarely romantic. It is usually a careful agreement, a boring protocol, and a test that runs before the minister visits.
See on eriti oluline Euroopas, kus paljud asutused on avalikud, poolavalikud, valdkondlikud või piirkondlikult aruandekohustuslikud. Nende kohustused ei ole identsed. Ülikool, haigla, vee-ettevõte, linn ja väiketootja võivad kõik vajada tehisintellekti ja andmetaristut, kuid neil kõigil ei ole vaja sama asukohapoliitikat. Iseseisvus ei tule sellest, kui teeselda, et üks arhitektuur sobib igale missioonile. See tuleb sellest, et asutustele antakse piisavalt ühiseid aluseid koostööks ja piisavalt kohalikku kontrolli, et jääda aruandekohustuslikuks.
Väljend „kohalik eelistus" võib olla kasulik, kui see tähendab alustamist asutuse kohustusest ja liikumist sealt teadlikult väljapoole. See on vähem kasulik, kui sellest saab refleksiivne vastumeelsus kõige kaugjuhtimise suhtes. Kaugteenus võib olla asjakohane. Kohalik süsteem võib olla halvasti juhitud. Küsimus ei ole selles, kas kaabel ületab piiri. Küsimus on selles, kas vastutus ületab seda märkamatult.
Vaikiv osa tuleks kirja panna
Andmete asukoha poliitika jääb vaikseks, sest see on peidetud teostusdetailidesse. See vaikus on riskantne. Kui võim peitub vaikimisi valikutes, lõpetavad asutused teadlike otsuste tegemise. Nad pärandavad need edasi. Regiooni rippmenüüst saab õiguslik hoiak. Tugikontost saab juurdepääsurežiim. Hallatud võtmest saab suveräänsusnõue. Varundusseadest saab säilituspoliitika. Armatuurlauast saab tõend, sest keegi ei hoidnud midagi paremat. Nii triivib valitsemine arhitektuuri ja teeseldakse siis, et see oli alati tehniline.
Vaikiva osa kirjapanek muudab vestlust. See võimaldab juhatustel näha, et asukoht ei ole ideoloogiline eelistus, vaid hulk operatiivseid fakte. See võimaldab inseneridel selgitada, miks võtmehaldus on oluline, ilma et see kõlaks nagu draakoni valvamine. See võimaldab hankijatel võrrelda pikaajalist kokkupuudet, mitte ainult igakuist hinda. See võimaldab õigusmeeskondadel arutada praktilisi juurdepääsuteid. See võimaldab kasutajatel küsida, kuhu nende andmed lähevad. See annab asutusele ühise keele enne intsidenti, mis on traditsiooniliselt meeldivam kui pärast seda.
Kirjutis peaks olema lihtne. Selle andmestiku puhul on autoriteetne koopia siin. Võtmeid kontrollitakse siin. Tugijuurdepääs toimib nii. Logid salvestatakse siia. Tuletatud andmed pärandavad need reeglid. Väljumist testitakse iga kuue kuu tagant. Need rollid võivad liikumist heaks kiita. Need sündmused nõuavad ülevaatamist. See omanik vastab küsimustele. See ei ole luule. See on parem. Luule taastab harva andmebaasi.
Täiuslikku asukohta ei ole. On ainult selged kompromissid ja varjatud kompromissid. Selgeid saab juhtida. Varjatud juhivad sind. See on selle teema poliitiline tuum. See, kus andmed asuvad, kujundab seda, kes saab tegutseda, kes saab keelduda, kes maksab, kes tõendab, kes ootab ja kes jääb piisavalt iseseisvaks, et kurssi muuta. Vaikne teema, jah. Vaikne nii, nagu vundament on vaikne. Ignoreeri seda piisavalt kaua ja hoone avaldab lõpuks oma arvamuse.
Õppetund
Andmete asukoht ei ole dekoratiivne eelistus lähedal asuvate masinate jaoks. See on viis korraldada võimu andmete ümber. Füüsiline asukoht on oluline, kuid ainult koos võtmete, identiteedi, operatsioonide, tõendite, lepingute, tuletiste, inimeste ja väljumisega. Asutus, kes mõistab neid kihte, saab valida, kus andmed peaksid asuma ja miks. Asutus, kes neid ei mõista, teeb ikkagi valiku, lihtsalt juhuslikult.
Praktiline ülesanne on tagasihoidlik ja nõudlik: kaardista volitused, hinda väljumist, säilita tõendeid, liigita riske, testi liikumist ja säilita piisav operatiivne pädevus, et jääda aruandekohustuslikuks. Hea asukoht ei luba puhtust. See lubab, et kui andmed liiguvad, puhkavad või muutuvad kasulikuks, suudab asutus ikka selgitada, kellel oli nende üle võim. See ei ole loosung. See on valitsemine koos põrandaplaaniga.