Por qué IBM cree que la informática confidencial es el futuro de la seguridad en la nube

Después de más de una década en la era de la computación en la nube, se ha satisfecho en gran medida la demanda más urgente de migración de datos y aplicaciones. Para convencer a las empresas de que pongan aún más funciones básicas y datos confidenciales en la nube, una amplia gama de empresas están presionando por un nuevo estándar que garantice niveles más profundos de seguridad y privacidad.

Denominado “Computadora confidencial”, este estándar va más allá de la privacidad y la seguridad basadas en políticas para implementar salvaguardas en un nivel técnico más profundo. Al utilizar un cifrado que solo se puede desbloquear a través de las claves que posee el cliente, Confidential Computing garantiza que las empresas que alojan datos y aplicaciones en la nube no tengan forma de acceder a los datos subyacentes, ya sea que estén almacenados en una base de datos o pasen a través de una aplicación.

“Esto es parte de lo que vemos como el desbloqueo de la próxima generación de adopción de la nube”, dijo el CTO de IBM, Hillery Hunter. “Se trata de hacer que los clientes no solo vean el primer tipo de cosas móviles de consumidores realmente obvias que pueden hacer en una nube pública. Existe una segunda generación de consideraciones de carga de trabajo en la nube que están más en el centro de estas. actividades que involucran datos más sensibles. Aquí es donde la seguridad debe considerarse de antemano en el diseño general “.

En su informe más reciente sobre el “ciclo de la seguridad en la nube”, Gartner identificó a Confidential Computing como una de las 33 tecnologías de seguridad clave. La compañía señaló que las empresas citan las preocupaciones de seguridad como su principal razón para evitar la nube, incluso cuando se convencen de sus beneficios más amplios.

El procesamiento confidencial es intrigante porque permite que los datos permanezcan encriptados incluso mientras se procesan y utilizan en aplicaciones. Dado que la empresa que aloja los datos no puede acceder a ellos, este estándar de seguridad podría evitar que los piratas informáticos adquieran datos no cifrados cuando acceden a la capa de aplicación. En teoría, también permitiría a las empresas compartir datos, incluso entre competidores, para realizar controles de seguridad a los clientes y eliminar el fraude.

Dicho esto, implementar la informática confidencial no es fácil. Gartner predice que se necesitarán de 5 a 10 años para que el estándar se vuelva común.

“Incluso para las organizaciones más reacias, ahora existen técnicas como la Computación Confidencial que pueden abordar las preocupaciones persistentes”, dijo Steve Riley, analista senior de Gartner. “Puede dejar de preocuparse si puede confiar en su proveedor de servicios en la nube”.

Para impulsar este desarrollo, la Fundación Linux anunció el Consorcio de Computación Confidencial en diciembre de 2019.El proyecto de código abierto reunió a proveedores de hardware, desarrolladores y hosts en la nube para crear estándares abiertos que aseguraron que esta próxima generación de productos de seguridad pudiera funcionar en conjunto entre proveedores de la nube. Las empresas fundadoras incluyeron a Alibaba, Arm, Baidu, IBM, Intel, Google Cloud, Microsoft y Red Hat.

“Impulsar la adopción de tecnología se ve facilitado por estándares abiertos”, dijo Hunter sobre la decisión de IBM de unirse al esfuerzo.

Google anunció su primer conjunto de productos de Computación Confidencial en julio, otra señal del impulso detrás de este concepto.

IBM y la informática confidencial

La informática confidencial puede ser nueva para IBM, pero la compañía ha estado fabricando productos que adoptan estos principios durante varios años. Hace casi una década, quedó claro que todos los niveles de la computación en la nube debían estar mejor protegidos si los clientes querían obtener la mayoría de sus datos de misión crítica en línea, según Marcel Mitran, CTO de IBM LinuxONE.

“Reconocimos hace muchos años que había algunos inhibidores clave en ese espacio en torno al manejo de datos sensibles”, dijo. “Tiene un acuerdo caballeroso con el proveedor de servicios en la nube de que pueden alojar sus datos confidenciales en la nube y prometen no tocarlos, prometen no mirarlos y prometen no hacerle nada malo. Pero la realidad es que, al final del día, uno la promesa es solo una promesa. Hay malos actores por ahí. La gente comete errores “.

Dado que los clientes corporativos necesitan más garantías, IBM y otros han comenzado a desarrollar formas de brindar seguridad a nivel técnico. IBM comenzó a brindar algunas de estas garantías técnicas en 2016 con su plataforma blockchain, una arquitectura diseñada esencialmente para facilitar el intercambio de datos entre dos partes que no confían entre sí.

Después de cierto éxito inicial, la compañía comenzó a invertir en servicios en la nube más confidenciales, lanzando sus servicios Cloud Hyper Protect e IBM Cloud Data Shield en 2018.

Hyper Protect Cloud Services utiliza hardware y software para brindar seguridad FIPS 140-2 Nivel 4, mientras que Cloud Data Shield permite a los desarrolladores crear seguridad directamente en aplicaciones nativas de la nube.

“Estos servicios realmente apuntan a resolver las necesidades de un extremo a otro de publicar una aplicación en la nube o una solución basada en la nube en una nube pública mientras se mantiene la confidencialidad”, dijo Mitran. “Podemos ofrecer garantías de que en ningún momento el host en la nube raspará la memoria de dichas aplicaciones, y podemos demostrar técnicamente que nuestra oferta de servidor virtual garantiza ese nivel de privacidad y seguridad”.

Ofrecer ese nivel de seguridad en todo el proceso de procesamiento ha ayudado a IBM a atraer una gama cada vez mayor de empresas de servicios financieros que se sienten más cómodas colocando datos confidenciales de los clientes en la nube. La compañía ahora ofrece IBM Cloud for Financial Services, que se basa en Hyper Protect. El año pasado, Bank of America se inscribió en este servicio y en aplicaciones de alojamiento para sus clientes.

Si bien los servicios financieros son un objetivo atractivo para la informática confidencial, lo mismo ocurre con cualquier industria altamente regulada. Eso incluye la atención médica, así como cualquier negocio que intente administrar los requisitos de datos de privacidad como el GDPR, dijo Hunter.

A principios de este año, IBM llegó a un acuerdo con Apple que toca ambos elementos. Las compañías anunciaron Hyper Protect iOS SDK para CareKit de Apple, el marco de código abierto para aplicaciones de salud de iOS. Cloud Hyper Protect está integrado para garantizar que los datos subyacentes estén encriptados donde se utilizan. Martin dijo que esta asociación es un buen ejemplo de cómo Confidential Computing está facilitando que los desarrolladores adopten un enfoque basado en la seguridad para crear aplicaciones.

“En el contexto del escenario Apple Care Kit, literalmente se está hablando de agregar dos líneas de código a la aplicación para lograr una seguridad de backend móvil completamente administrada”, dijo. “Este es el epítome de la agilidad y la confianza que se unen”.

Aunque Gartner describe la informática confidencial como aún en sus primeras etapas, los clientes potenciales han oído hablar del concepto y están cada vez más intrigados. Muchos también están experimentando una mayor presión para pasar a la nube a medida que la pandemia acelera las transformaciones digitales en todas las industrias.

Estas empresas quieren saber que la seguridad se abordará desde el principio.

“Debido a la creciente preocupación que todos tienen por la ciberseguridad y gracias a COVID, el mundo ha cambiado en términos de la urgencia de pasar a la nube”, dijo Hunter. “Pero en términos de apetito por el riesgo, todos también se han dado cuenta de que deben hacerlo con mucho cuidado. Creemos que Confidential Computing está realmente bien posicionado para proporcionar las soluciones necesarias para la próxima ola de adopción de la nube “.