CISOの視点: 機密コンピューティング(Confidential Compute): 処理中のデータの保護 (2024/08/28)

CISOの視点: 機密コンピューティング(Confidential Compute): 処理中のデータの保護 (2024/08/28)

https://www.ateam-oracle.com/post/ciso-perspectives-confidential-compute-protecting-data-inprocess

投稿者： Leia Manchanda | Field CISO


はじめに


データは新しい通貨であり、特に人工知能(AI)と機械学習(ML)がビジネス目標の最適化のための重要なツールになるため、環境全体でデータを保護することが基本です。


コンピューティングでは、データは移動中、保存中および使用中の3つの状態に存在します。ネットワークを横断するデータは「移動中」であり、ストレージ内のデータは「保存中」であり、処理されるデータは「使用中」です。機密データをすべての状態で保護するデータを常に保存、消費、共有している世界では、かつてないほど重要になっています。


データの機密性と整合性を確保するために、企業は暗号化を活用して、不正な表示を停止し、不正な変更を防止または検出します。しかし、「移動中」および「保存中」のデータを保護するこれらの手法は一般的にデプロイされていますが、3番目の状態である「使用中」のデータを保護することは、移動が少ないフロンティアであり、脅威のアクターは、攻撃が成功する確率が高いことを知っているため、使用中のデータをターゲットにすることに重点をますますシフトしています。



使用中のデータの保護


3つ目のユースケースへの対応は、機密コンピューティングで対処できます。機密コンピューティングは、データ、アプリケーションおよびコード処理を暗号化および分離することで、クラウド・データが機密かつ「使用中」に保たれるよう支援します。


機密コンピューティングのコンテキストでは、未承認のエンティティーには、ホスト、ホストオペレーティングシステム、ハイパーバイザ、システム管理者、サービスプロバイダ、インフラストラクチャー所有者、または脅威アクターを含むハードウェアへの物理的アクセスを持つほかのアプリケーションを含めることができます。機密コンピューティングは、ライフサイクル全体を通じてデータを保護し、次のことを保証します。


  • 未承認のエンティティが使用中のデータを表示できないようにすることで、データの機密性を確保
  • 未認可のエンティティが処理中のデータを変更できないようにすることで、データの整合性
  • コードを未承認のエンティティで置換または変更できないようにすることによるコードの整合性


これらの属性を一緒に使用すると、データが機密に保たれるという保証だけでなく、実行された計算が正しい計算であるため、計算の結果も信頼できます。AIとMLが活用するアルゴリズムと分析としてのみ増幅する依存関係。腐敗したデータに基づくビジネス上の意思決定は、企業と消費者の両方にとって壊滅的なものになる可能性があります。



OCIでの機密コンピューティング


OCIの機密インスタンスは、コンピュート仮想マシン(VM)またはベアメタル・インスタンスであり、データとデータを処理するアプリケーションの両方が、データの処理中に暗号化および分離されるため、データまたはアプリケーション・コードの不正アクセスまたは変更が防止されます。


OCI Confidential Computeソリューションは、第2世代のAMD EPYCTMプロセッサと第3世代のAMD EPYCTMプロセッサを備えたOracleのAMDインスタンスで使用できます。機密VMはAMD Secure Encrypted Virtualization (SEV)テクノロジを使用し、機密ベアメタル・インスタンスはAMD Transparent Secure Memory Encryption (TSME)テクノロジを使用します。


機密コンピューティング:


  • リアルタイム暗号化を使用して分離を改善します。データおよびアプリケーションは、VMの作成時に生成されたVMごとの暗号化キーを使用して暗号化され、CPUの一部であるAMDセキュア・プロセッサにのみ存在します。このキーには、どのアプリケーション、VMまたはインスタンス、ハイパーバイザまたはOracle Cloud Infrastructureからもアクセスできません。
  • 機密VMを有効にするには、アプリケーションを変更する必要はありません。
  • パフォーマンスへの影響を最小限に抑えながら、使用中のデータを保護しながら高パフォーマンスを実現します。


機密コンピューティングは、ハードウェア・レベルで使用中のデータを保護し、セキュアな暗号化仮想化(SEV)や機密ベアメタル・サーバー(セキュア・メモリー暗号化(SME)などのAMD Infinity Guard機能を使用することで、お客様が機密仮想マシン(VM)を有効にできるようにします。これらの機能は、OCIのすべてのE3およびE4シェイプで使用可能な第2世代および第3世代のAMD EPYCプロセッサで使用可能なセキュリティ・コンポーネントを利用します。


  • AMD SEVを使用すると、AMD EPYCプロセッサは、VMごとに一意のキーを使用してメモリーを暗号化し、ゲストをハイパーバイザと相互に分離することで、整合性とプライバシを保護するのに役立ちます。
  • SMEでは、ブート時に AMDセキュアプロセッサによって1つの鍵が生成され、システムメモリー全体の暗号化に使用されます。


暗号化鍵は、セキュアなプロセッサによってハードウェアレベルで保護されるため、Oracleでもアクセスできません。



メリット


機密コンピューティングには、機密VMやベアメタル・サーバーを含めるようにセキュリティ体制を強化するかどうかを決定する際に、組織が考慮できるいくつかの利点があります。


  • 機密コンピューティングは、ハードウェアの最下位層を通じてセキュリティを提供することで、信頼できる当事者(OS、エコシステム・パートナー、管理者)のリストを最小限に抑え、データ漏洩のリスクを軽減します。
  • ハードウェアベースの強固な信頼ルートを通じて、より小さな攻撃面と使用中のデータのセキュリティを提供することで、インサイダーの脅威やファームウェアの侵害など、ある種の脆弱性から保護するのに役立ちます。金融、医療、その他の規制の厳しい業界では、ライフサイクル全体を通じてデータを保護することが重要です。
  • 組織は、機密コンピューティングを使用して、地域および業界のフレームワークに対する規制コンプライアンスを満たし、維持することもできます。


これらすべてのメリットは、アプリケーション・コードを変更することなく、パフォーマンスへの影響を最小限に抑えながら、OCIの機密コンピューティング製品を通じて提供されています。機密コンピューティングを有効にしても、コンピュート・インスタンスの価格に加えて追加コストは発生しません。



まとめ


OCIの機密コンピューティング（Confidential Compute）は、使用中のデータを保護しながら高いパフォーマンスを提供し、ほとんどのアプリケーションでパフォーマンスへの影響をほとんどまたはまったく生じさせず、データ整合性がすべてを意味するときに、データをライフサイクル全体にわたって確実に保護するための優れたソリューションとなっています。

参照

コメント

コメントを投稿

このブログの人気の投稿

Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20)

イメージ
Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20) https://mikedietrichde.com/2024/11/20/important-update-to-oracle-database-19c-support-timelines/ 長い沈黙は、私が隠れているという意味ではありません。つまり、今はとても忙しいということです。そして、より少ない旅行で、私はあなたのコメントにもブログと返信するより多くの時間を持っていることを願っています。それでも、Oracle Database 19cサポート・タイムラインの非常に重要な更新について説明します。 * 更新された内容 2024年11月19日現在、Oracle Database 19cのサポート・タイムラインが調整されています。 MOSノート: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールを見ると、新しい日付が表示されます。 Premier Support、2029年12月31日まで 2030年1月1日から2032年12月31日までの拡張サポート 2033年1月1日から2034年12月31日までのアップグレード・サポート これは知ることがとても大切です。 他のリリースの更新はありますか。 MOSノートの終わりにある変更ログ: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールでは、Oracle Database 21cの最新の更新も確認できます。このリリースのPremier Support期間は、2027年7月31日まで延長されました。 また、Oracle Database 23aiのパッチ適用終了日は2032年12月31日に設定されています。 Lifetime Support Policy 更新は、Oracle Technology Productsの Oracle Lifetime Support Policy (6ページ)でも確認できます。 From: Oracle Lifetime Support Policy for Oracle Technology Product s – page 6 – Nov 19, 2024 特に、次の表に示す制限事項に注意してください。 Oracle Database 1...
続きを読む

Oracle APEXのInteractive Gridで、Oracle Formsと比較して、重複行の検証を制御/通過させる方法 (2022/07/21)

イメージ
Oracle APEXのInteractive Gridで、Oracle Formsと比較して、重複行の検証を制御/通過させる方法 (2022/07/21) https://medium.com/oracledevs/how-to-control-or-pass-validation-for-duplicate-rows-in-interactive-grid-of-oracle-apex-as-compare-18f453f750bf 投稿者： Jignesh oracle Formsでは、データブロックの重複行を制御するのは非常に簡単ですが、IGの検証を制御するにはどうすればよいでしょうか。 必要な出力 ステップ1：インタラクティブグリッドのある白紙ページを作成します（私は1つの領域「IG」を作成し、インタラクティブグリッドとしてタイプを選択しました） ステップ 2: リージョンに Static ID を定義する (私の場合、リージョンは IG で、Static ID も IG です) ステップ3：複製を制御したいカラムのStatic IDを定義します ステップ4：関数とグローバル変数に移動します コード： var validity, message, ui = this.data; (function($) { function update(model) { var projKey = model.getFieldKey(“PROJECT_ID”), recObj = [], recArray = []; model.forEach(function(record, index, id) { var projid = parseInt(record[projKey], 10), // record[salKey] should be a little faster than using model.getValue in a loop meta = model.getRecordMetadata(id); if (!isNaN(projid) && !meta.deleted && !meta.agg) { recObj = {ID: id, project_id: projid}; recArray.push(recObj)...
続きを読む

Oracle APEX 24.1の一般提供の発表 (2024/06/17)

イメージ
Oracle APEX 24.1の一般提供の発表 (2024/06/17) https://blogs.oracle.com/apex/post/announcing-oracle-apex-241 投稿者： Ashish Mohindroo | Vice President, Product Management APEX Low Code Application Platform Oracle APEX 24.1は、 ダウンロード が一般的に可能になり、世界中のOCI APEX Application DevelopmentおよびAutonomous Database Cloud Serviceリージョンにロールアウトされています。この最新リリースで、GenAIを使用して最初のローコード・アプリケーションを構築する方法を学習します。リリースのお知らせのリプレイはこちらからご覧いただけます。 このリリースでは、優れたエンタープライズ・グレードのアプリケーションを簡単に構築できるイノベーションの3つの主要な柱(AI支援アプリケーション開発、Oracleの次世代データ・プラットフォームのパワー活用、高度なWebおよびモバイル・アプリケーションを構築するための強力なエンタープライズ・グレードのコンポーネント)が提供されています。 AI支援アプリ開発 このリリースでは、AIをローコード開発に直接取り込み、すべての開発者が高度なクラウドおよびモバイル・アプリケーションを簡単に構築できるようにしています。開発者は、AIをアシスタントとして使用して、時間と労力を削減してアプリを構築できるようになりました。APEX AIアシスタントを使用すると、開発者は複数のウィンドウを使用して表名と列名を検索する必要がなくなります。 APEX 24.1 では、クラウドおよびモバイル・アプリの自然言語ベースの開発を可能にするネイティブAI搭載APEX AIアシスタントを導入しました。APEX AIアシスタントを使用すると、すべての開発者は自然言語を使用してSQLを生成できるため、アプリケーションをより簡単に構築したり、ワンクリックで構文修正を実行したり、表名を覚える必要がなくなります。開発者は、自然言語プロンプトを使用して目的の機能とコンポーネントを指定し、直感的な会話型インタフェースを使用し...
続きを読む