Por qué todas las empresas deberían priorizar la informática confidencial

COMENTARIO

La mayoría de las fugas de datos se producen cuando los datos se encuentran en un estado vulnerable, ya sea durante su uso o durante su procesamiento. Esta vulnerabilidad puede poner en peligro sectores como el financiero, el sanitario, el gubernamental y el de defensa, donde la confidencialidad es crucial. La innovación y la colaboración en la industria del software también pueden verse afectadas. Sin embargo, las soluciones sostenibles, como la informática confidencial, cifran y protegen los datos sensibles durante el procesamiento, lo que reduce el riesgo de acceso no autorizado.

Como responsable de tecnologías emergentes, comencé a trabajar con informática confidencial hace un par de años. A través de mis investigaciones y proyectos prácticos, me quedó claro que La informática confidencial tiene un inmenso potencial para mejorar significativamente la seguridad para industrias vulnerables, ya que protege los datos en uso.

Tres razones por las que las empresas deberían considerar la informática confidencial

1. Cumplir con la normativa y evitar sanciones

Varios requisitos y normativas de cumplimiento, como el Reglamento General de Protección de Datos (RGPD), exigen una protección estricta de los datos durante todo su ciclo de vida. Esto garantiza que las organizaciones implementen medidas de seguridad adecuadas a los riesgos del procesamiento de datos. Las normas de cumplimiento propuestas recientemente insisten explícitamente en proteger también los datos en uso. En enero de 2023, la Ley de Resiliencia Operativa Digital (DORA) presentó el Artículo 6, enfatizando la seguridad de los datos para las instituciones financieras al exigir el cifrado de los datos en reposo, en tránsito y en uso, cuando sea relevante.

Lo mismo se aplica al sector de la salud. La Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA, por sus siglas en inglés) exige salvaguardas administrativas, físicas y técnicas para proteger la confidencialidad, integridad y disponibilidad de la información médica protegida (PHI, por sus siglas en inglés), incluida la protección de los datos durante el procesamiento.

La capacidad de la informática confidencial para proteger los datos de los clientes y las transacciones es una bendición para sectores como el financiero y el sanitario, que están constantemente bajo escrutinio en materia de seguridad de los datos. Garantiza el cumplimiento de estas normativas mediante el uso de enclaves seguros basados ​​en hardware para aislar los datos y los cálculos confidenciales y proteger los datos en uso. Esto evita el acceso no autorizado durante el procesamiento de datos y permite a las organizaciones evitar multas y sanciones elevadas al cumplir con las directrices normativas como RGPD y la Ley de Privacidad del Consumidor de California (CCPA)La tecnología podría ayudar a las plataformas de atención médica y minorista a cumplir con estándares como HIPAA y PCI-DSS.

Además, la informática confidencial ayuda a mantener la credibilidad y fomenta la innovación y la colaboración. Este potencial de innovación podría ser un poderoso factor diferenciador para cualquier industria.

2. Protección de la infraestructura basada en la nube pública

Las nubes públicas son vulnerables a ataques maliciosos. En 2023, la industria farmacéutica perdió Un promedio de $4,82 millones Debido a los ciberataques, se destaca la demanda de una mejor privacidad y protección de datos. La multitenencia a nivel de infraestructura segrega las instancias informáticas y genera problemas como vecinos ruidosos y vulnerabilidades del hipervisor, lo que puede derivar en acceso no autorizado a los datos y ataques de malware avanzados.

Para proteger los entornos de nube pública, las organizaciones deben confiar en el sistema operativo host, el hipervisor, el hardware, el firmware y el sistema de orquestación del proveedor de la nube. La computación confidencial utiliza entornos de ejecución confiables (TEE) para abordar estas preocupaciones de seguridad y establecer regiones de memoria protegidas o enclaves de seguridad. Su certificación remota garantiza la integridad de la carga de trabajo al hacer que los datos privados sean invisibles para los proveedores de la nube y evitar el acceso no autorizado de los administradores de sistemas, propietarios de infraestructura, proveedores de servicios, el sistema operativo host y el hipervisor u otras aplicaciones en el host.

La escalabilidad y la elasticidad son otros beneficios clave de la computación en la nube. La mayoría de las aplicaciones y cargas de trabajo se ejecutan en máquinas virtuales o contenedores, y las arquitecturas modernas prefieren los contenedores. Las ofertas de computación confidencial permiten migrar las aplicaciones existentes basadas en máquinas virtuales o contenedores sin cambios de código mediante la elevación y el desplazamiento de la carga de trabajo. Puse a prueba con éxito este enfoque para mejorar la seguridad de GitOps para un cliente, migrando el flujo de trabajo de CI/CD de ejecutores públicos a entornos de computación confidencial.

La computación confidencial mejora la seguridad y también es probable que reduzca la barrera a la adopción de la nube para cargas de trabajo que exigen seguridad.

3. Adopción segura de IA/ML y GenAI

En una encuesta reciente de Code42, 89% de los encuestados De los encuestados, afirmaron que las nuevas herramientas de IA están haciendo que sus datos sean más vulnerables. Los modelos de IA requieren un flujo continuo de datos, lo que los hace propensos a ataques y fugas de datos. La informática confidencial aborda este problema protegiendo los datos de entrenamiento y asegurando los conjuntos de datos confidenciales durante el entrenamiento del modelo y la inferencia. Esta tecnología garantiza que los modelos de IA solo aprendan de los datos autorizados, lo que proporciona a las empresas un control total sobre sus datos y mejora la seguridad.

Aún existen lagunas en los conceptos y casos de uso de la IA generativa (GenAI), pero no disuaden a las empresas de adoptar un enfoque mesurado e incremental para implementar GenAI. Los modelos GenAI aprenden de diversas entradas, incluidas las indicaciones y los datos de entrenamiento. Al interactuar con otras herramientas GenAI, como las de observabilidad y monitoreo, empaquetado, DevOps y GitOps, etc., pueden exponer o transmitir información no autorizada de manera involuntaria.

Estas posibilidades han llevado a los países a implementar regulaciones para mejorar la privacidad. Las máquinas virtuales (VM) confidenciales y los contenedores son soluciones efectivas. Experimentamos esto de primera mano cuando un cliente optó por implementar GenAI de generación aumentada de recuperación (RAG), lo que garantiza el cumplimiento de los requisitos de confidencialidad y localización de los datos. La solución se implementó utilizando un LLM local y herramientas operativas, incluidos almacenes de datos y herramientas configurados localmente. El proceso garantizó la confidencialidad de las indicaciones y las respuestas del LLM.

Conclusión

Los entornos de nube son bastante lucrativos, ya que brindan mayor agilidad y un acceso más amplio a los recursos informáticos a un costo reducido. A pesar de estas ventajas, tanto las nubes públicas como las privadas son susceptibles a las violaciones de datos. La computación confidencial aborda este problema al proteger los datos en uso, lo que la convierte en un componente crucial de la seguridad en la nube. Además, ayuda a las empresas a cumplir con los requisitos regulatorios. A medida que avancen las tecnologías 5G e IA, la computación confidencial se volverá aún más accesible y efectiva.