機密コンピューティングによるデータ クリーン ルームの実現

多くの企業にとって、今日のデータ コラボレーション環境は、市場の優位性を高める貴重な洞察を活用する刺激的な機会を提供します。 データ クリーン ルームの急速な導入により、さまざまな業界の企業がデータ コラボレーション イニシアチブの立ち上げと拡大に迅速に取り組んでいます。

しかし、これと同じデータ コラボレーションの状況は、一般に機密性の高いデータや個人を特定できる情報 (PII) を扱う、厳しく規制されている特定の業界にとって、潜在的なデータ侵害と責任の地雷原のように見える可能性があります。 金融サービス、ヘルスケア、通信などの業界の企業は、目の前にあるデータ コラボレーションの機会を自信を持って追求するために、コラボレーション インフラストラクチャに最高レベルのデータ セキュリティを必要としています。

Confidential Computing は、ハードウェアベースの信頼できる実行環境 (TEE) の追加のセキュリティを提供し、処理中のデータやコードへの不正アクセスを防ぎます。 機密コンピューティングでは、機密データへのアクセスを許可する前に、構成証明を使用してコンピューティング環境 (ハードウェアおよびソフトウェアを含む) の整合性を検証します。

機密コンピューティングを利用したデータ クリーン ルームはあらゆる業界に応用できますが、これらの規制された業界が最もメリットを享受できます。 たとえば、金融サービスでは、データ クリーン ルームは次のようないくつかの重要なユースケースをサポートできます。

• 不正行為の検出とマネーロンダリング対策の戦術が改善されました。 金融詐欺を効果的に暴露し、軽減するために、金融機関はさまざまなデータを分析して、パターン、異常、不審なアクティビティを特定する必要があります。 データ クリーン ルームにより、より多くのデータが分析に利用できるようになり、不正行為の検出が大幅に迅速かつ正確になります。
• ポートフォリオのリスクに対するより深い洞察。 データ クリーン ルームは、経済指標、市場動向、および潜在的なリスクの評価を強化し、リスク管理戦略の精度を高める関連情報を組み込んだ、より広範なコンテキストを提供する外部データへのアクセスを提供します。
• 洗練された保険料率計算。 データ クリーン ルーム内からより多くのデータにアクセスできるため、保険会社は、人口動態、行動パターン、外部市場の傾向などの包括的な変数を組み込んで、リスク要因を理解し、評価できるようになります。 これにより、より正確なリスク予測が可能になり、より公平でよりカスタマイズされた保険価格設定につながります。
• 隣接する製品のカスタマイズされた推奨事項。 データ クリーン ルームにより、銀行は顧客の行動、好み、財務パターンを理解し、個々のニーズや状況に合わせて隣接する商品の推奨を調整できるようになります。 このデータ主導のアプローチは、パーソナライズされた関連性の高い金融商品とサービスを提供することで、顧客エンゲージメントと満足度を高めます。

ヘルスケア エコシステム内では、データ クリーン ルームにより、研究チームが実世界のデータなどの機密データセットにアクセスして、患者の機密情報を保護しながら高度な分析を行うことができます。 医療におけるユースケースの例は次のとおりです。

• 共同臨床試験の募集。 患者データに対して独自のモデルを実行し、モデルの重みを明らかにすることなく、臨床試験登録基準を満たす可能性の高い候補者を決定します。
• RWE および SDOH データを使用した治験後の分析。 Habu の健康データ所有者の社会的決定要因の強力なネットワークを活用して、PII を公開したり治験後の洞察に対する信頼を損なうことなく、共同データセットの共同探索を可能にします。
• コンソーシアムとのコラボレーションの向上。 公的機関と民間機関の間のコラボレーションは、インセンティブの不整合により課題に直面することがよくあります。 データ クリーン ルームは、法的および倫理的な複雑さを軽減することでコラボレーションを合理化し、より協力的で豊かな環境を促進します。

解決策には次の手順が含まれます。

• AES 対称暗号化を使用して、データ クリーン ルームの所有者はデータセットを暗号化し、AES キーを非対称 RSA キー ペアでラップし、ラップした暗号化キーを Azure Key Vault に保存します。
• パートナーは、データセットに対して上記のアプローチに従います。
• 双方とも、必要なデータ暗号化キーへのアクセスを Habu に許可するように Azure Key Vault を構成します。
• 所有者と Habu は、結果を決定し、Habu が提供し、AMD SEV-SNP Confidential VM によってサポートされる TEE で実行するプログラムを共同作成します。
• この TEE では、Habu は構成証明トークンを取得し、それを所有者とパートナーの Azure Key Vault に送信して、それぞれの秘密キーを解放します。
• Habu は TEE 内の両方のデータセットを復号化し、結果を Habu の共有ストレージ アカウントに書き込みます。

• Azure Kubernetes サービス は、コンフィデンシャル コンピューティング VM ノード (クラスター内のエージェント プールとして) の追加をサポートし、ハードウェア ベースの信頼できる実行環境内で機密ワークロードを実行できるようにします。
• Microsoft Azure 証明書 は、ハードウェアベースとソフトウェアベースの認証を組み合わせて使用し、機密ワークロードを起動する前に、信頼できる実行環境の ID と整合性を検証します。 これにより、侵害されていない信頼できるハードウェア上で実行されることが保証され、VM またはコンテナ上で実行されるソフトウェアの整合性と信頼性が検証され、キーが信頼できるソフトウェア コンポーネントにのみリリースされることが保証されます。
• Azure Key Vault これにより、データ クリーン ルームの所有者とそのコラボレーション パートナーは、暗号化と認証に使用される暗号キー、証明書、その他の秘密を安全に保存および管理できます。

このアーキテクチャは、ワークロードの品質を向上させるために使用できる一連の指針となる Azure Well-Architected フレームワークの柱を実装します。 詳細については、「 Microsoft Azure の適切に設計されたフレームワーク。

安全

このソリューションは、機密コンピューティングによって実現された Habu データ クリーン ルームを使用して、信頼できる実行環境外のコードによるデータの読み取りや変更を防ぎます。 Habu データ クリーン ルーム、Microsoft Azure 機密コンピューティング環境、Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) テクノロジーを備えた Infinity Guard を備えた AMD EPYC™ プロセッサーのプライバシー機能を組み合わせることにより、組織は確実に連携できます。機密データを危険にさらすことなくパートナーに提供します。

コストの最適化

コストの最適化とは、不必要な経費を削減し、業務効率を向上させる方法を検討することです。 詳細については、「 コスト最適化の柱に関するガイダンス。

単一リージョンでの展開の場合、価格情報の例は、 価格計算ツール。

Habu データ クリーン ルームは、ローコード/ノーコードの SaaS サービスとして利用できます。 ハブについてもっと詳しく Azureマーケットプレイスで。