機密コンピューティングは、処理中のデータを保護するクラウド・コンピューティング・テクノロジーです。暗号化キーを排他的に管理することで、クラウド内でエンドツーエンドのデータ・セキュリティーを強化します。
機密コンピューティング・テクノロジーは、処理中の機密データをCPUエンクレーブに分離して保護します。処理中のデータと処理に使用されるテクニックを含むエンクレーブの内容には、許可されたプログラミング・コードのみがアクセスできます。これらはクラウド・プロバイダーを含む他の誰も見ることもできず、また知ることもできません。
企業のリーダーがパブリッククラウド・サービスやハイブリッドクラウド・サービスにますます依存するようになるにつれて、クラウド内のデータ・プライバシーは最重要課題になります。機密コンピューティングの主な目標は、クラウド内の企業データが保護によって機密性が保たれているという高い安心感をリーダーに提供し、機密データとコンピューティング・ワークロードをパブリッククラウド・サービスに移行するよう促すことです。
クラウド・プロバイダーは長年にわたり、保存中のデータ（ストレージ、データベース、データセンター内）と転送中のデータ（ネットワーク接続上を移動中）のデータを保護するための暗号化サービスを提供してきました。機密コンピューティングは、処理中またはランタイム中の使用されているデータを保護することで、残りのデータ・セキュリティーの脆弱性を排除します。データは、ライフサイクルを通じてあらゆる段階で保護されます。
Thinkニュースレター
AI、サイバーセキュリティ、データ、自動化に関する厳選されたニュースをThinkニュースレターで購読しているセキュリティリーダーに加わりましょう。専門家によるチュートリアルと解説をメールで直接配信することで、手軽に学ぶことができます。IBMプライバシー・ステートメントをご覧ください。
サブスクリプションは英語で配信されます。すべてのニュースレターに登録解除リンクがあります。サブスクリプションの管理や解除はこちらから。詳しくはIBMプライバシー・ステートメントをご覧ください。
データは、アプリケーションで処理される前に、メモリー内で暗号化されていない状態にになっている必要があります。これにより、処理前、処理中、および処理後に、メモリー・ダンプやrootユーザーによる侵害、その他の悪意のあるエクスプロイト攻撃に対してデータが脆弱になります。
機密コンピューティングでは、CPU内の安全な領域であるハードウェア・ベースのTrusted Execution Environment（TEE）を活用して、このサイバーセキュリティーの課題を解決します。TEEは、組み込まれた暗号化鍵を使用して保護されます。組み込みの認証メカニズムにより、許可されたアプリケーション・コードのみが鍵にアクセスできるようになります。マルウェアやその他の不正なコードが鍵にアクセスしようとした場合や、許可されたコードが何らかの形でハッキングまたは変更された場合に、TEEは鍵へのアクセスを拒否し、計算を中止します。
このように、機密データは、アプリケーションがTEEにデータを復号化して処理するよう指示するまで、メモリー内で保護された状態に維持されます。データは計算プロセスの始めから終わりまで復号化された状態ですが、オペレーティング・システム、仮想マシン（VM）のハイパーバイザー、その他のコンピューティング・スタック・リソース、クラウド・サービス・プロバイダーとその従業員から見ることはできません。
使用中でも機密データを保護します。クラウド・コンピューティングのメリットを機密性の高いワークロードにまで拡大させます。機密コンピューティングは、保存時および転送時のデータ暗号化とキーの排他的制御を組み合わせて使用することで、機密性の高い、または規制の厳しいデータセットやアプリケーションのワークロードをパブリッククラウド・エコシステムに移行する際の最大の障壁の1つを排除します。また、ハイブリッドクラウドと AI に関する重要な考慮事項であるデータ主権も実現します。
知的財産を保護します。機密コンピューティングはデータ保護のためだけではありません。TEEは、独自のビジネス・ロジック、分析機能、機械学習アルゴリズム、またはアプリケーション全体を保護するためにも使用できます。
新しいクラウド・ソリューションでパートナーと安全に共同作業が可能になります。たとえば、ある企業のチームは、自社の機密データに別の企業独自の計算を組み合わせることで、データの機密性を維持しながら新しいソリューションを生み出すことができます。どちらの企業も、共有したくないデータや知的財産を共有する必要はありません。
クラウド・プロバイダーを選ぶときの懸念を払拭します。機密コンピューティングにより、企業のリーダーは、顧客データ、独自のテクノロジー、およびその他の機密資産の保管と処理に不安を感じることなく、組織の技術要件とビジネス要件に最適なクラウド・コンピューティング・サービスを選択できます。このアプローチは、クラウド・プロバイダーが競合するビジネス・サービスも提供している場合に、さらに競争上の懸念を軽減するのにも役立ちます。
エッジで処理されるデータを保護します。エッジコンピューティングは、企業アプリケーションをIoT（モノのインターネット）デバイスやローカル・エッジ・サーバーなどのデータソースに近づける分散コンピューティングのフレームワークです。このフレームワークを分散型クラウド・パターンの一部として使用すると、エッジ・ノードのデータとアプリケーションを機密コンピューティングで保護できます。
2019年、CPUメーカー、クラウド・プロバイダー、ソフトウェア企業のグループ（Alibaba社、AMD社、Baidu社、Fortanix社、Google社、IBM、Red Hat、Intel社、Microsoft社、Oracle社、Swisscom社、Tencent社、VMware社）が、Linux財団の後援の下、Confidential Computing Consortium1（CCC、機密コンピューティング・コンソーシアム）を結成しました。
CCCの目標は、機密コンピューティングに関する業界全体の標準を定義し、オープンソースの機密コンピューティング・ツールの開発を促進することです。コンソーシアムの最初のオープンソース・プロジェクトの2つであるOpen Enclave SDKとRed Hat Enarxは、開発者がTEEプラットフォーム間で変更の有無にかかわらず実行されるアプリケーションを構築するのを支援します。
しかし、今日最も広く使用されている機密コンピューティング・テクノロジーの一部は、コンソーシアムの設立前にメンバー企業によって導入されました。たとえば、Intel Xeonプロセッサー上でTEEを実現するIntel SGX（Software Guard Extensions）テクノロジーは2016年から提供されています。IBMは、IBM Cloud仮想サーバーおよびBare Metal Serversで一般的に利用できる機密コンピューティング機能を提供しています。