أحرف الاستخدام

باستخدام تقنيات الحوسبة السرية، يمكنك تقوية بيئتك الظاهرية من المضيف وhypervisor والمسؤول المضيف وحتى مسؤول الجهاز الظاهري الخاص بك. اعتمادا على نموذج التهديد الخاص بك، نقدم تقنيات مختلفة تمكنك من:

• منع الوصول غير المصرح به: قم بتشغيل البيانات الحساسة في السحابة. ثق بأن Azure يوفر أفضل حماية ممكنة للبيانات، مع تغيير بسيط أو بدون تغيير عما يتم إنجازه اليوم.

• تلبية التوافق التنظيمي: قم بالترحيل إلى السحابة والاحتفاظ بالتحكم الكامل في البيانات لتلبية اللوائح الحكومية لحماية المعلومات الشخصية وتأمين IP التنظيمي.

• ضمان التعاون الآمن وغير الموثوق به: قم بمعالجة المشاكل على نطاق العمل على مستوى الصناعة من خلال تمشيط البيانات عبر المؤسسات، وحتى المنافسين، لفتح تحليلات البيانات الواسعة والرؤى الأعمق.

• عزل المعالجة: تقديم موجة جديدة من المنتجات التي تزيل المسؤولية عن البيانات الخاصة مع المعالجة العمياء. لا يمكن حتى استرداد بيانات المستخدم من قبل موفر الخدمة.

السيناريوهات

يمكن أن تنطبق الحوسبة السرية على سيناريوهات مختلفة لحماية البيانات في الصناعات المنظمة مثل الحكومة والخدمات المالية ومعاهد الرعاية الصحية. على سبيل المثال، يساعد منع الوصول إلى البيانات الحساسة على حماية الهوية الرقمية للمواطنين من جميع الأطراف المعنية، بما في ذلك مزود السحابة الذي يخزنها. وقد تحتوي نفس البيانات الحساسة على بيانات بيومترية تُستخدم للعثور على الصور المعروفة لاستغلال الأطفال وإزالتها، ومنع الاتجار بالبشر، والمساعدة في تحقيقات الطب الشرعي الرقمي.

توفر هذه المقالة نظرة عامة على العديد من السيناريوهات الشائعة. تمثل التوصيات الواردة في هذا المقال نقطة بداية لتطوير تطبيقك باستخدام خدمات وأطر الحساب السري.

بعد قراءة هذا المقال، ستتمكن من الإجابة على الأسئلة التالية:

• ما بعض السيناريوهات الخاصة بحوسبة Azure السرية؟
• ما مزايا استخدام حوسبة Azure السرية لسيناريوهات الأطراف المتعددة وخصوصية بيانات العميل المحسّنة وشبكات سلسلة الحركات؟

أمان الحساب متعدد الأطراف

تتطلب المعاملات التجارية والتعاون في المشروع مشاركة المعلومات بين أطراف متعددة. غالباً ما تكون البيانات التي يتم مشاركتها سرية. قد تكون البيانات معلومات شخصية، وسجلات مالية، وسجلات طبية، وبيانات خاصة بالمواطنين، وما إلى ذلك. وتشترط المؤسسات العامة والخاصة حماية بياناتها من الوصول غير المصرح به. في بعض الأحيان، ترغب هذه المؤسسات في حماية البيانات من مشغلي البنية الأساسية للحوسبة أو المهندسين ومهندسي الأمان ومستشاري الأعمال وعلماء البيانات.

على سبيل المثال، نما استخدام التعلم الآلي لخدمات الرعاية الصحية بشكل كبير حيث حصلنا على إمكانية الوصول إلى مجموعات بيانات أكبر وصور للمرضى تم التقاطها بواسطة الأجهزة الطبية. يستفيد تشخيص الأمراض وتطوير الأدوية من مصادر البيانات المتعددة. يمكن للمستشفيات والمعاهد الصحية التعاون من خلال مشاركة سجلات المرضى الطبية الخاصة بهم مع بيئة تنفيذ مركزية موثوق بها (TEE). تقوم خدمات التعلم الآلي التي تعمل في TEE بتجميع وتحليل البيانات. ويمكن أن يوفر تحليل البيانات المجمعة هذا دقة تنبؤ أعلى بسبب نماذج التدريب على مجموعات البيانات الموحدة. باستخدام الحوسبة السرية، يمكن للمستشفيات تقليل مخاطر المساس بخصوصية مرضاهم.

تُتيح لك حساب "Azure" السري معالجة البيانات من مصادر متعددة دون تعريض بيانات الإدخال لأطراف أخرى. يتيح هذا النوع من الحسابات الآمنة سيناريوهات مثل مكافحة غسيل الأموال والكشف عن الاحتيال والتحليل الآمن لبيانات الرعاية الصحية.

يمكن لمصادر متعددة رفع بياناتها على منطقة واحدة محظورة في جهاز افتراضي. يطلب أحد الأطراف من الجيب إجراء عمليات حسابية أو معالجة على البيانات. ولا يمكن لأي طرف (ولا حتى الشخص الذي ينفذ التحليل) رؤية بيانات الطرف الآخر التي تم تحميلها في الجيب.

في الحوسبة الآمنة متعددة الأطراف، تذهب البيانات المشفرة إلى الجيب. يقوم الجيب بفك تشفير البيانات باستخدام مفتاح، وإجراء التحليل، ويحصل على نتيجة، ويرسل نتيجة مشفرة يمكن لأحد الأطراف فك تشفيرها باستخدام المفتاح المعين.

مكافحة غسيل الأموال

يشارك في هذا المثال الحسابي الآمن متعدد الأطراف العديد من البنوك البيانات مع بعضها دون الكشف عن البيانات الشخصية لعملائها. تدير البنوك تحليلات متفق عليها تُجرى على مجموعة البيانات الحساسة المجمعة. يمكن للتحليلات التي تُجرى على مجموعة البيانات المجمعة اكتشاف حركة الأموال الخاصة بأحد المستخدمين بين عدة بنوك دون إطلاع البنوك على بيانات بعضها.

ويمكن لهذه المؤسسات المالية من خلال الحساب السري زيادة معدلات اكتشاف الاحتيال ومعالجة تصورات غسيل الأموال والحد من النتائج الإيجابية الكاذبة ومواصلة التعلم من مجموعات البيانات الأكبر.

تطوير الأدوية في مجال الرعاية الصحية

تساهم المرافق الصحية الشريكة بمجموعات بيانات صحية خاصة لتدريب نموذج "ML". ويمكن لكل مرفق الاطلاع على مجموعة بياناته فحسب. ولا يمكن لأي مرفق أو حتى موفر سحابة الاطلاع على البيانات أو نموذج التدريب. تستفيد جميع المرافق من استخدام نموذج التدريب. يصبح النموذج أدق من خلال زيادة بياناته. يمكن لكل مرفق ساهم في تدريب النموذج استخدامه والاستفادة من نتائجه.

حماية الخصوصية باستخدام حلول IoT وحلول المباني الذكية

لدى العديد من البلدان/المناطق قوانين خصوصية صارمة حول جمع البيانات واستخدامها حول وجود الأشخاص وتحركاتهم داخل المباني. قد يتضمن ذلك البيانات التي تكون بيانات تعريف شخصية مباشرة من CCTV أو عمليات فحص شارة الأمان. أو، يمكن تحديده بشكل غير مباشر حيث يمكن اعتبار مجموعات مختلفة من بيانات المستشعر قابلة للتعرف شخصيا عند تجميعها معا.

يجب أن تكون الخصوصية متوازنة مع التكلفة والاحتياجات البيئية حيث تحرص المؤسسات على فهم الإشغال/الحركة من أجل توفير الاستخدام الأكثر كفاءة للطاقة لتسخين المبنى وإضاءته.

عادة ما يتطلب تحديد مجالات العقارات الخاصة بالشركات تحت أو الإفراط في شغلها من قبل الموظفين من الإدارات الفردية معالجة بعض البيانات الشخصية إلى جانب بيانات فردية أقل مثل أجهزة استشعار درجة الحرارة والضوء.

في حالة الاستخدام هذه، يتمثل الهدف الأساسي في السماح بمعالجة تحليل بيانات الإشغال وأدوات استشعار درجة الحرارة جنبا إلى جنب مع أدوات استشعار تتبع حركة الدوائر التلفزيونية المغلقة وبيانات سحب الشارة لفهم الاستخدام دون تعريض البيانات المجمعة الأولية لأي شخص.

يتم استخدام الحوسبة السرية هنا عن طريق وضع تطبيق التحليل (في هذا المثال قيد التشغيل على مثيلات الحاوية السرية) داخل بيئة تنفيذ موثوق بها حيث تكون البيانات قيد الاستخدام محمية بالتشفير.

تتم إدارة مجموعات البيانات المجمعة من العديد من أنواع أدوات الاستشعار وموجز البيانات في قاعدة بيانات Azure SQL Always Encrypted باستخدام Enclaves، وهذا يحمي الاستعلامات قيد الاستخدام عن طريق تشفيرها في الذاكرة. يمنع هذا مسؤول الخادم من الوصول إلى مجموعة البيانات المجمعة أثناء الاستعلام عنها وتحليلها.

المتطلبات القانونية أو القضائية

ينطبق عادة على FSI والرعاية الصحية حيث توجد متطلبات قانونية أو تنظيمية تحد من حيث يمكن معالجة بعض أحمال العمل وتخزينها في وضع الراحة.

في حالة الاستخدام هذه، نستخدم مجموعة من تقنيات الحوسبة السرية من Azure مع نهج Azure ومجموعات أمان الشبكة (NSGs) والوصول المشروط ل Microsoft Entra لضمان استيفاء أهداف الحماية التالية ل "رفع وتحويل" تطبيق موجود:

• التطبيق محمي من مشغل السحابة أثناء الاستخدام باستخدام الحوسبة السرية
• يمكن نشر موارد التطبيق فقط في منطقة Azure في غرب أوروبا
• يمكن تعيين مستهلكي التطبيق الذين يصادقون باستخدام بروتوكولات المصادقة الحديثة إلى المنطقة ذات السيادة التي يتصلون منها، ويرفضون الوصول ما لم يكونوا في منطقة مسموح بها.
• يقتصر الوصول باستخدام البروتوكولات الإدارية (RDP وSSH وما إلى ذلك) على الوصول من خدمة Azure Bastion المدمجة مع إدارة الهويات المتميزة (PIM). يتطلب نهج إدارة الهويات المتميزة نهج وصول مشروط يتحقق من المنطقة السيادية التي يصل إليها المسؤول.
• تقوم جميع الخدمات بتسجيل الإجراءات إلى Azure Monitor.

التصنيع - حماية IP

تحمي مؤسسات التصنيع الملكية الفكرية حول عملياتها وتقنياتها التصنيعية، وغالبا ما يتم الاستعانة بمصادر خارجية لجهات خارجية تتعامل مع عمليات الإنتاج المادي، والتي يمكن اعتبارها بيئات "عدائية" حيث توجد تهديدات نشطة لسرقة هذا IP.

في هذا المثال تقوم Tailspin Toys بتطوير خط ألعاب جديد، والأبعاد المحددة والتصميمات المبتكرة من ألعابهم مملوكة للشركة ويريدون الحفاظ عليها آمنة، في حين أن تكون مرنة على الشركة التي يختارونها لإنتاج نماذجهم الأولية فعليا.

توفر شركة Contoso، وهي شركة عالية الجودة للطباعة والاختبار ثلاثية الأبعاد، الأنظمة التي تطبع النماذج الأولية فعليا على نطاق واسع وتديرها من خلال اختبارات السلامة المطلوبة للموافقات على السلامة.

تنشر Contoso التطبيقات والبيانات الحاوية المدارة من قبل العملاء داخل مستأجر Contoso، والذي يستخدم آلات الطباعة ثلاثية الأبعاد الخاصة بهم عبر واجهة برمجة تطبيقات من نوع IoT.

تستخدم شركة Contoso بيانات تتبع الاستخدام من أنظمة التصنيع المادية لدفع أنظمة الفوترة والجدولة وترتيب المواد الخاصة بها بينما تستخدم Tailspin Toys بيانات تتبع الاستخدام من مجموعة التطبيقات الخاصة بها لتحديد مدى نجاح تصنيعها لألحامها ومعدلات العيوب.

يمكن لمشغلي Contoso تحميل مجموعة تطبيقات Tailspin Toys في مستأجر Contoso باستخدام صور الحاوية المتوفرة عبر الإنترنت.

يفرض نهج تكوين Tailspin Toys النشر على الأجهزة الممكنة للحوسبة السرية بحيث تتم حماية جميع خوادم وقواعد بيانات تطبيقات Tailspin أثناء الاستخدام من مسؤولي Contoso على الرغم من أنها تعمل في مستأجر Contoso.

إذا حاول مسؤول محتال في شركة Contoso، على سبيل المثال، نقل حاويات Tailspin Toys المقدمة إلى أجهزة حساب x86 العامة غير قادرة على توفير بيئة تنفيذ موثوق بها، فقد يعني ذلك التعرض المحتمل ل IP السري.

في هذه الحالة، سيرفض محرك نهج Azure Container Instance تحرير مفاتيح فك التشفير أو بدء تشغيل الحاويات إذا كشف استدعاء التصديق أن متطلبات النهج غير قادرة على الوفاء بها، مما يضمن حماية عنوان IP الخاص ب Tailspin Toys قيد الاستخدام وفي حالة الراحة.

يتم ترميز تطبيق Tailspin Toys نفسه لإجراء مكالمة دورية إلى خدمة التصديق والإبلاغ عن النتائج مرة أخرى إلى Tailspin Toys عبر الإنترنت للتأكد من وجود رسالة كشف أخطاء مستمرة لحالة الأمان.

تقوم خدمة التصديق بإرجاع التفاصيل الموقعة بشكل مشفر من الأجهزة التي تدعم مستأجر Contoso للتحقق من أن حمل العمل يعمل داخل جيب سري كما هو متوقع، والإثبات خارج سيطرة مسؤولي Contoso ويستند إلى جذر الأجهزة للثقة التي توفرها الحوسبة السرية.

خصوصية محسنة لبيانات العملاء

على الرغم من أن مستوى الأمان الذي يوفره Microsoft Azure سرعان ما أصبح أحد أفضل محركات تبني الحوسبة السحابية، إلا إن العملاء يثقون بمزودهم بدرجات مختلفة. العميل يسأل عن:

• الحد الأدنى من الأجهزة والبرامج وقواعد الحوسبة التشغيلية الموثوقة (TCBs) لأحمال العمل الحساسة.
• التنفيذ الفني، وليس سياسات وعمليات الأعمال فقط.
• الشفافية بشأن الضمانات والمخاطر المتبقية والتخفيفات من المخاطر التي يحصلون عليها.

تسير الحوسبة السرية في هذا الاتجاه من خلال السماح للعملاء بالتحكم المتزايد في قواعد الحوسبة الموثوقة TCB المستخدمة لتشغيل أحمال العمل السحابية الخاصة بهم. تسمح حوسبة Azure السرية للعملاء بتحديد جميع الأجهزة والبرامج التي يمكنها الوصول إلى أحمال العمل الخاصة بهم (البيانات والتعليمات البرمجية) بدقة، وتوفر الآليات التقنية لفرض هذا الضمان بشكل يمكن التحقق منه. باختصار، يحتفظ العملاء بالسيطرة الكاملة على أسرارهم.

سيادة البيانات

في الوكالات الحكومية والعامة، تُعد حوسبة Azure السرية حلاً لرفع درجة الثقة نحو القدرة على حماية السيطرة على البيانات في السحابة العامة. علاوة على ذلك، بفضل الاعتماد المتزايد لقدرات الحوسبة السرية في خدمات PaaS في Azure، يمكن تحقيق درجة أعلى من الثقة مع تقليل التأثير على قدرة الابتكار التي توفرها خدمات السحابة العامة. هذا المزيج من حماية سيادة البيانات مع تقليل التأثير على قدرة الابتكار يجعل الحوسبة السرية Azure استجابة فعالة جدا لاحتياجات السيادة والتحول الرقمي للخدمات الحكومية.

تقليص سلسلة الثقة

وقد مكّن الاستثمار الهائل والابتكار المطرد في الحوسبة السرية من إزالة مزود الخدمة السحابية من سلسلة الثقة إلى درجة غير مسبوقة. توفر الحوسبة السرية من Azure أعلى مستوى من السيادة المتاحة في السوق اليوم. وهذا يسمح للعملاء والحكومات بتلبية احتياجاتهم من السيادة اليوم وما زالوا يستفيدون من الابتكار غدا.

يمكن للحوسبة السرية زيادة عدد أحمال العمل المؤهلة للنشر على السحابة العامة. ويمكن أن يؤدي ذلك إلى اعتماد سريع للخدمات العامة لعمليات الترحيل وأحمال العمل الجديدة، وتحسين الوضع الأمني​للعملاء بسرعة، وتمكين السيناريوهات المبتكرة بشكل أسرع.

سيناريوهات BYOK (إحضار مفتاحك الخاص)

يتيح اعتماد الوحدات النمطية الآمنة للأجهزة (HSM) النقل الآمن للمفاتيح والشهادات إلى وحدة تخزين سحابية محمية - Azure Key Vault Managed HSM - دون السماح لموفر الخدمة السحابية بالوصول إلى هذه المعلومات الحساسة. لا توجد أسرار يتم نقلها خارج HSM في شكل نص عادي، ما يتيح سيناريوهات التحكم في المفاتيح والشهادات التي يتم إنشاؤها وإدارتها بواسطة العميل، ولكنها لا تزال تستخدم تخزيناً آمناً قائماً على السحابة.

سلسلة الحركات الآمنة

شبكة سلسلة الحركات هي شبكة لا مركزية من العقد. ومن يعمل على تشغيل هذه العقد وصيانتها المشغلون أو المدققون الذين يرغبون في ضمان النزاهة والتوصل إلى توافق في الآراء بشأن حالة الشبكة. وتكون العقد نفسها هي نسخ طبق الأصل من دفاتر الأستاذ وتستخدم لتتبع معاملات سلسلة الحركات. وتحتوي كل عقدة على نسخة كاملة من سجل المعاملات، ما يضمن تحقيق التكامل والتوافر في أي شبكة توزيع.

يمكن لتقنيات شبكة سلسلة الحركة القائمة على قمة الحساب السري استخدام الخصوصية القائمة على الأجهزة لتمكين سرية البيانات والحسابات الآمنة. وفي بعض الحالات، يتم تشفير دفتر الأستاذ بالكامل لحماية الوصول إلى البيانات. وفي بعض الأحيان، قد تحدث المعاملة نفسها داخل وحدة حسابية داخل المنطقة المحظورة داخل العقدة.