暗号化された複数管轄区域データファブリック

ミッションクリティカルなAIプロジェクトに先立つ問いが一つある。データはどこに存在してよいのか。正しい答えは「最も安価な場所」でも「提供者が好む場所」でもない。機関が決定する場所である——そしてその決定は、しばしば複数の管轄区域、複数の施設、そして improvisation を許さない一連の法的義務を伴う。

Demixは、その決定を委任できない機関のために、暗号化データファブリックを設計・運用する。原則は明快である。情報は機関が指示する場所に存在し、任務が要求する場所に複製され、明示的な承認なく信頼境界を離れることは決してない。回復力は露出の口実ではなく、可用性は制御喪失の口実ではない。本稿では、当社がこのファブリックをいかに捉え、何を保証するかを述べる。

偶然ではなく、管轄区域による主権

複数管轄区域は、しばしばプロジェクト終盤に解決されるコンプライアンス問題として扱われる。Demixでは、初日から設計要件である。あらゆるデータには、認可された保管場所と、認可された通過点の集合が存在する。レプリカは継続性と近接性の要件を満たすために作成される——主権を犠牲にしてコストを削減するために決して作成されない。

実際には、これは次のことを意味する。機関は、運用データは国内領域に留める一方、集約されたメタデータは調整目的で流通してよいと要求できる。あるいは、二次施設が復旧用のホットコピーを保持し、一次施設と同じ法的体制下に置かれることを要求できる。ファブリックはあらゆる流れを明示的な決定として扱い、記録し、監査可能にする——設定の副作用としてではない。

この厳格さは運用内部に文化的効果をもたらす。新たな複製経路はすべて、性能最適化ではなく管轄区域に関する問いから始まる。法的答えが変われば、トポロジーもそれに従って変わる。規制環境において、この規律は官僚主義ではない。今日の技術的便宜のために下された決定が、明日の法的露出となることを防ぐものである。

検証可能な完全性を伴うエンドツーエンド暗号化

自社施設間の通過は暗号化トンネルを通り、端点間の強固な認証と継続的な完全性検証を伴う。データは転送中および保管時に暗号化され、鍵は監査されたライフサイクルで管理され、アクセスはネットワーク的近接性ではなく明示的な権限によって付与される。

この設計には重要な帰結がある。ネットワーク区間が侵害されたとしても、内容は保護されたままであり、改変は検知可能である。機関はいつでも、データがどこにあり、誰がアクセスし、改変されたか否かを証明できる。監査は年に一度作成される報告書ではない。ファブリックの継続的性質であり、いつでも検証可能である。

当社が行わないことを明言しておく価値がある。当社は制御しない経路を通じてデータを流さず、認可されていない管轄区域に黙認のコピーを保持せず、信頼境界を弱める運用上の近道を受け入れない——その近道がより速く、より安価であっても。ミッションクリティカルな運用において、データを露出させる最も安価な経路は経路ではない。発生を待つ重大事象である。

ホットレプリカと驚きのない継続性

ミッションクリティカルな運用における可用性は、決して故障しないことではない——決して停止しないことである。ファブリックはサービスを支えるデータのホットレプリカを維持し、既知の経路上で継続的複製とミリ秒単位の遅延を実現する。施設が停止しても、サービスはレプリカから継続し、整合性は保たれ、英雄的な手動介入は不要である。

この挙動は想定ではなく、訓練される。定期的なフェイルオーバー演習により、レプリカが引き継ぐこと、データが無傷で到達すること、切替時間が文書化された範囲内に収まることを検証する。これらの演習結果は記録される。ファブリックに依存する者は、信じるのではなく検証できる。これが当社の継続性の扱いである——証拠を伴う、測定された能力としてであり、スライド資料の約束としてではない。

従来の複製と当社が運用するファブリックの違いは、保証の範囲にある。従来の複製はデータがそこにあることを約束する。ファブリックは、データがそこに、無傷で、認可された場所に存在し、コピー間の切替が負荷の下で機能することを実証する。不可欠なサービスを運用する者にとって、その違いは復旧できるか否かの違いである。

運用者にとって何が変わるか

ファブリック上で運用する機関にとって、三つのことが変わる。第一に、予測可能性。データの所在と挙動はベンダーのブラックボックスではなくなり、検証可能な技術的契約となる。第二に、自律性。運用は、情報がどこに存在してよいかに関する第三者の決定に依存しなくなる。第三に、防御可能性。エンドツーエンド暗号化、検証可能な完全性、監査証跡により、重大事象は不透明な大災害ではなくなり、既知の範囲と比例した対応を伴う調査可能な事象となる。

これらのいずれも、機関が性能を放棄することを要求しない。ファブリックは、主権がアプリケーションにとって透過的となるよう設計されている。認可されたデータへの問い合わせは、ローカルレプリカからであれ二次レプリカからであれ、期待される遅延内で返る。トポロジーの複雑さは当社の問題であり、運用の簡潔さが当社の提供するものである。

ファブリックが要求しないことにも言及しておく価値がある。データがどこに存在するかに関するベンダーの説明を信頼することも、監査を定期的な好意として受け入れることも要求しない。あらゆる保証は、機関が試験できるものとして表現される。ペイロードを暗号化し、流れを監視し、証跡を検査し、施設を意図的に停止させ、サービスが決して停止しないことを確認する。行使できない主権は主張にすぎない。試験に裏打ちされた主権は運用上の事実である。

データは指示された場所に。ミッションクリティカルな運用が要求する回復力を備えて。それがファブリックであり、認知層が自信をもって運用できる基盤である。