La informática confidencial es una tecnología emergente. Se desarrolló en respuesta a la creciente necesidad de un procesamiento seguro y fiable de los datos confidenciales.
A medida que las organizaciones confían cada vez más en los servicios en la nube para almacenar y procesar datos, han surgido preocupaciones en torno a la seguridad y la privacidad de esos datos, sobre todo cuando se trata de información confidencial.
La computación en nube tradicional se basa en diversos mecanismos de seguridad, como el cifrado y los controles de acceso, para proteger los datos.
Sin embargo, es posible que estos mecanismos no ofrezcan una protección suficiente para los datos confidenciales procesados en la nube, ya que dependen de la confianza en el proveedor de la nube y en el hardware subyacente.
La computación confidencial se desarrolló como un medio para abordar esta brecha de confianza, proporcionando una forma de procesar los datos sensibles en un entorno seguro y de confianza, incluso en presencia de proveedores de la nube o hardware potencialmente comprometidos.
Veamos en qué consiste y cómo funciona la informática confidencial.
¿Qué es la informática confidencial?
La informática confidencial es un enfoque de la seguridad de los datos que permite procesar y almacenar información confidencial en un entorno seguro y de confianza. Protege los datos en reposo, en uso y en tránsito cifrándolos y manteniéndolos confidenciales incluso desde la infraestructura en la que se procesan.
El objetivo principal de la informática confidencial es proporcionar un entorno de ejecución de confianza (TEE) que garantice la privacidad y la seguridad de los datos durante todo el ciclo de vida del procesamiento.
Los TEE utilizan mecanismos de seguridad basados en hardware como los módulos de plataforma de confianza (TPM) y los enclaves seguros para proteger los datos de accesos no autorizados e incluso por parte de usuarios con privilegios.
Los enclaves seguros no son más que componentes de hardware aislados que crean un entorno de ejecución seguro dentro de un procesador. Pueden ejecutar código y procesos de forma aislada del resto del sistema, lo que garantiza la confidencialidad e integridad de los datos que se procesan.
Intel SGX y ARM TrustZone son dos ejemplos de tecnologías de computación confidencial que hacen uso de enclaves seguros.
¿Cómo funciona la informática confidencial?
La informática confidencial es un conjunto de tecnologías y técnicas cuyo objetivo es proteger los datos y las aplicaciones durante el procesamiento, que es un momento en el que la información sensible puede ser vulnerable a accesos no autorizados o a manipulaciones.
Normalmente, los datos están sin cifrar en la memoria antes de ser procesados. Esto conduce a compromisos de seguridad.
La informática confidencial resuelve este problema aprovechando un entorno de ejecución de confianza (TEE), que es un enclave seguro dentro de una CPU que está protegido por claves de cifrado y mecanismos de autenticación incrustados.
Cuando los datos se procesan en un TEE, permanecen cifrados en la memoria hasta que la aplicación ordena al TEE que los descifre para procesarlos.
El TEE proporciona un entorno aislado para el procesamiento de los datos e impide el acceso no autorizado a los datos o a las claves de cifrado. Incluso si el entorno host subyacente se ve comprometido, la TEE puede impedir el acceso a los datos, garantizando su confidencialidad e integridad.
Durante el procesamiento de datos en una TEE, los datos son invisibles para el sistema operativo, el hipervisor y otros recursos de la pila informática.
Esto significa que los proveedores de la nube y sus empleados no pueden acceder a los datos, lo que proporciona una capa adicional de seguridad.
Mediante el uso de TEE y otras tecnologías de computación confidencial, las organizaciones pueden proteger sus datos y aplicaciones sensibles de una serie de amenazas de seguridad, incluyendo malware, exploits de usuario raíz y otros tipos de ataques.
Razones para adoptar la informática confidencial
He aquí algunas razones por las que las organizaciones deberían utilizar la informática confidencial.
#1. Proteger los datos sensibles
La informática confidencial ayuda a proteger los datos sensibles, como los historiales médicos y la información personal. Garantiza que estos datos se mantengan confidenciales incluso mientras se procesan mediante el uso de la encriptación y otras medidas de seguridad.
#2. Cumplir los requisitos de conformidad
Muchas industrias tienen estrictas regulaciones de cumplimiento como GDPR e HIPAA. La informática confidencial puede ayudar a las organizaciones a cumplir estas normativas garantizando que los datos confidenciales se mantengan seguros durante todo el ciclo de vida del procesamiento.
#3. Permitir colaboraciones seguras
Algunas organizaciones necesitan colaborar con proveedores y otros terceros, pero compartir datos sensibles puede ser arriesgado. La informática confidencial puede ayudar a facilitar colaboraciones seguras permitiendo a las organizaciones compartir datos en un entorno seguro, manteniéndolos confidenciales y protegidos de ataques externos.
#4. Mayor confianza
Al garantizar que los datos sensibles se manejan de forma segura y transparente, la informática confidencial puede aumentar la confianza entre los participantes. Esto puede ser especialmente crucial en escenarios en los que intervienen varias partes, como la gestión de la cadena de suministro o las transacciones financieras.
#5. Ahorro de costes
La informática confidencial también puede reducir los costes asociados a las filtraciones de datos y a las violaciones de la normativa. Al prevenir estos incidentes, las empresas pueden ahorrar dinero en honorarios legales, multas y otros gastos.
¿Qué es el Consorcio de Informática Confidencial?
El Consorcio de Informática Confidencial (CCC) es un grupo de colaboración de empresas y organizaciones tecnológicas que trabajan para promover la adopción y el desarrollo de entornos de ejecución de confianza.
Su objetivo es desarrollar normas y marcos abiertos que permitan a los desarrolladores crear y desplegar aplicaciones y servicios seguros en distintos entornos informáticos, como nubes públicas y privadas, dispositivos periféricos y centros de datos locales.
El CCC pretende alcanzar sus objetivos mediante una gobernanza abierta y la colaboración entre sus miembros, entre los que se encuentran empresas y organizaciones tecnológicas líderes como Google, IBM/Red Hat, Intel, AMD, Microsoft, Alibaba, Oracle, VMware y muchas más.
Las principales actividades del consorcio incluyen la definición de estándares para toda la industria, la promoción del desarrollo de herramientas y mejores prácticas de código abierto, y el apoyo a la investigación y la educación en informática confidencial.
Puede encontrar más información sobre este consorcio en la página web del CCC. No dude en visitarla si desea ver los seminarios web sobre informática confidencial.
Casos de uso
He aquí algunos de los casos de uso de la informática confidencial:
Sanidad e investigación
La tecnología de computación confidencial también puede utilizarse para permitir el entrenamiento seguro multipartito de algoritmos de IA para la detección de enfermedades y otros fines. Esto puede ayudar a los hospitales y a las instituciones de investigación a colaborar y compartir datos manteniendo la privacidad y confidencialidad de los datos de los pacientes.
Cadena de suministro
El intercambio seguro de datos entre distintos participantes de la cadena de suministro, incluidos proveedores, fabricantes y minoristas, puede hacerse posible con el uso de la informática confidencial. Esto puede favorecer la colaboración e impulsar el rendimiento logístico.
La información sobre rutas de envío, horarios de entrega y seguimiento de vehículos puede utilizarse para garantizar la seguridad de los datos de logística y transporte.
Servicios financieros
La informática confidencial es cada vez más importante en el sector financiero debido a la naturaleza sensible de los datos financieros, incluida la información personal y los datos de las transacciones.
Se utiliza para gestionar las transacciones financieras de forma segura, garantizando que los datos estén encriptados y protegidos de accesos no autorizados. Esto ayuda a prevenir el fraude y las violaciones de datos y mejora la seguridad general de los sistemas financieros.
Internet de las cosas
También puede utilizarse en dispositivos IoT para procesar de forma segura datos personales como los biométricos, la ubicación y los detalles personales. Esto puede mejorar la seguridad general de los sistemas IoT y ayudar a evitar accesos no autorizados.
A medida que más organizaciones se trasladan a la nube y dependen de la infraestructura digital para llevar a cabo sus operaciones comerciales, la necesidad de soluciones informáticas seguras no hará sino crecer.
La informática confidencial ofrece una solución versátil e importante a este reto que ayuda a las organizaciones a proteger sus datos, generar confianza con sus clientes y mantener el cumplimiento de los requisitos normativos.
Nota del autor
El objetivo de la informática confidencial es garantizar que los datos sensibles se mantengan siempre encriptados y se procesen en un entorno seguro. De este modo, aunque un atacante consiga acceder al hardware subyacente o al proveedor de la nube, no podrá acceder a los datos confidenciales.
Esto se consigue mediante el uso de hardware y software especializados como el Entorno de Ejecución de Confianza y la memoria y el almacenamiento cifrados.
Puede que también le interese conocer formas prácticas de proteger los datos sensibles.