[論文レビュー] Design choices for productive, secure, data-intensive research at scale in the cloud

Diego Arenas, Jon Atkins+23 more|arXiv (Cornell University)|Aug 23, 2019

Privacy-Preserving Technologies in Data参考文献 12被引用数 7

ひとこと要約

本論文は、データ感受性に応じてカスタマイズされたプロジェクト固有の環境をソフトウェア定義インフラストラクチャ（SDI）で実装することで、スケーラブルで安全かつ生産的なクラウド上でのデータ集約的研究を実現する階層型セキュリティフレームワークを提案する。5段階の感受性レベルでデータ分類、アクセス、エグレッション、分析環境に関する明確なポリシーを定義し、特に上位のレベルでは独立した第三者による承認を導入することで、安全でコンプライアンスを満たし、共同研究が可能な仕組みを提供する。

ABSTRACT

We present a policy and process framework for secure environments for productive data science research projects at scale, by combining prevailing data security threat and risk profiles into five sensitivity tiers, and, at each tier, specifying recommended policies for data classification, data ingress, software ingress, data egress, user access, user device control, and analysis environments. By presenting design patterns for security choices for each tier, and using software defined infrastructure so that a different, independent, secure research environment can be instantiated for each project appropriate to its classification, we hope to maximise researcher productivity and minimise risk, allowing research organisations to operate with confidence.

研究の動機と目的

• クラウド上での大規模なデータサイエンス研究を安全かつ共同で効率的に行えるようにし、侵害リスクを最小限に抑える挑戦に応える。
• 多様なプロジェクト要件に応じた、感受性のある研究データの分類と保護を標準化し、スケーラブルに実施するアプローチを開発する。
• 異なるデータ感受性レベルに応じた明確でカスタマイズ可能なセキュリティポリシーを定義することで、使いやすさとセキュリティのバランスを図る。
• 上位の感受性レベルにおける分類意思決定に対して、独立した第三者による監査を組み込むガバナンスモデルを確立する。
• 再利用可能でソフトウェア定義型のインフラストラクチャモデルを提供し、オンデマンドで独立したプロジェクト固有の安全な環境をプロビジョニング可能にする。

提案手法

• データ感受性を5段階（0〜4）に分類し、Tier 0を個人情報でないデータ、Tier 4を極めて感受性の高い個人情報と定義する。
• 7つの次元（データ分類、データイングレッション、データエグレッション、ソフトウェアイングレッション、ユーザーアクセス、デバイス制御、分析環境）において、各段階ごとに標準化されたセキュリティポリシーを定義する。
• ソフトウェア定義インフラストラクチャ（SDI）を活用し、設定ファイルに基づいて自動的に隔離されたプロジェクト固有のセキュア環境をプロビジョニングする。
• 制御されたソフトウェアイングレッションのための「エアロックプロトコル」を実装し、研究者が書いたコードがデプロイ前にレビューおよび承認される仕組みを導入する。
• データベース駆動のワークフローを備えたWebベースの管理アプリケーションを導入し、前方転送された資格情報のみを用いて環境およびユーザーのプロビジョニングを実現する。
• Tier 2以上でデータ分類意思決定の独立した検証を実施するためのレフェリー・カレッジ（審査委員会）を設立する。特に匿名化または偽名化されたデータに対して重点を置く。

実験結果

リサーチクエスチョン

• RQ1 どのようにすれば、クラウド環境において大規模なデータサイエンス研究を、高いセキュリティと高い生産性を両立させられるか？
• RQ2 さまざまなレベルのデータ感受性に対応する、データ集約的研究を支える体系的なセキュリティポリシーのフレームワークは何か？
• RQ3 ソフトウェア定義インフラストラクチャを活用することで、データ分類の段階に適合した隔離されたプロジェクト固有のセキュア環境をどのように実装できるか？
• RQ4 独立した分類レビューは、感受性の高い研究データの信頼性とコンプライアンスを確保するために果たす役割は何か？
• RQ5 データ機密性や研究者の生産性を損なわず、安全で共同可能な研究をどのように実現できるか？

主な発見

• 提案された階層型フレームワークにより、非個人データ（Tier 0）から極めて感受性の高い個人データ（Tier 4）まで、データ感受性レベルに応じたセキュリティ制御を整えることで、安全でスケーラブルかつ生産的な研究が可能になる。
• 研究の過程で複数の環境を一度の研究内で使用可能であり、データ感受性の変化に伴い動的に再分類や段階変更が可能になる。
• 特に匿名化または偽名化されたデータに対しては、上位の段階（Tier 2以上）におけるデータ分類意思決定の独立したレフェリー審査が不可欠である。
• ソフトウェア定義インフラストラクチャの活用により、各プロジェクトが隔離され、カスタマイズ可能で監査可能なセキュア環境を有することが可能になり、セキュリティと使いやすさの両方が向上する。
• ソフトウェアイングレッション用の「エアロックプロトコル」により、研究者が書いたコードの安全で制御されたデプロイが可能になり、悪意あるまたは意図しないソフトウェア実行のリスクが低減される。
• データベース駆動のWebベース管理システムにより、前方転送された資格情報のみを用いて、一貫性があり監査可能で安全なユーザーおよび環境のプロビジョニングが実現される。