Данные становятся одним из ключевых ресурсов для развития искусственного интеллекта, аналитики и новых цифровых сервисов. Однако во многих отраслях самые ценные данные одновременно оказываются и самыми чувствительными. Банки не могут раскрывать информацию о клиентах и транзакциях, медицинские организации — генетические данные и истории болезней, фармацевтические компании — результаты исследований и библиотеки молекул, а промышленные предприятия — параметры технологических процессов, в которых заключено производственное ноу-хау.

При этом данных одной организации часто недостаточно для качественной аналитики. Чем больше разнообразных данных доступно, тем больше возможностей для моделей машинного обучения и аналитических задач. Так возникает противоречие: чтобы получать более точные результаты, организациям нужно сотрудничать и использовать данные друг друга, но передача исходной информации создает юридические, коммерческие и информационные риски.

Конфиденциальные вычисления помогают снять это противоречие. Они позволяют совместно анализировать данные и обучать модели, не раскрывая участникам исходные наборы данных в открытом виде. Технология применима в разных отраслях, и в каждой она помогает превратить изолированные массивы данных в основу для совместной аналитики, сохраняя контроль над чувствительной информацией.

Вычисления без доступа к исходным данным

Шифрование данных при хранении и передаче давно стало стандартной практикой. Конфиденциальные вычисления защищают данные в процессе обработки: владелец не передает их в открытом виде ни облаку, ни партнеру, а участники получают только согласованный результат.

В международной практике, например, у Confidential Computing Consortium и Gartner, термин confidential computing закреплен за аппаратными доверенными средами исполнения. Криптографические и распределенные методы — многосторонние вычисления, федеративное обучение, гомоморфное шифрование, дифференциальную приватность — относят к более широкому классу технологий повышения приватности (Privacy-Enhancing Technologies, PETs). В русскоязычной среде конфиденциальными вычислениями обычно называют все эти подходы вместе.

На практике чаще всего применяют три подхода. Доверенные среды исполнения (Trusted Execution Environment, TEE) и многосторонние вычисления (Multi-Party Computation, MPC) защищают данные в процессе вычисления какой-либо функции от них. Федеративное обучение — способ обучать модели машинного обучения без передачи исходных данных в единый центр; само по себе оно не исключает утечек, поэтому его комбинируют с другими механизмами. Гомоморфное шифрование и дифференциальная приватность чаще выступают дополнением к основным подходам.

1. Доверенная среда исполнения (TEE, Trusted Execution Environment)

Доверенная среда исполнения — аппаратно изолированная среда, в которой выполняется код. В зависимости от реализации это отдельный анклав внутри процесса (Intel SGX) или целая конфиденциальная виртуальная машина (Intel TDX, AMD SEV-SNP). Доступа к ее памяти не имеют ни операционная система хоста, ни гипервизор, ни администратор облачной инфраструктуры с правами root. Память шифруется, данные в открытом виде существуют только внутри процессора, а удаленная аттестация позволяет владельцу данных проверить, что в TEE работает именно тот код, который согласован всеми сторонами.

Похожие возможности появились и у графических ускорителей: начиная с NVIDIA H100 конфиденциальные вычисления поддерживаются на GPU, что важно для задач ИИ. Главное преимущество TEE — производительность: вычисления могут быть практически любыми, а накладные расходы во многих сценариях невелики.

Однако у этого подхода есть ограничения. Первое связано с моделью безопасности: защита TEE зависит от реализации аппаратной среды, механизмов аттестации и своевременного устранения уязвимостей. Как и любые аппаратные решения, TEE требуют регулярного обновления и проверки безопасности. Исследования показывают, что даже изолированные среды исполнения могут быть подвержены атакам через сторонние каналы и другие уязвимости аппаратной архитектуры. Поэтому при использовании TEE важно учитывать не только возможности технологии, но и модель угроз, требования к защите данных и механизмы контроля.

Второе — доступность в России. Аппаратные TEE реализованы в основном в процессорах и ускорителях зарубежных производителей. Сертифицировать такие решения для работы с чувствительными данными затруднительно, а для объектов критической информационной инфраструктуры они плохо сочетаются с курсом на переход к доверенным программно-аппаратным комплексам.

2. Многосторонние вычисления (MPC, Multi-Party Computation)

Многосторонние вычисления — семейство криптографических протоколов, которые позволяют нескольким сторонам совместно вычислить функцию от своих данных, не раскрывая эти данные друг другу. Протоколы строятся на разных основах: разделении секрета, «искаженных схемах» (garbled circuits) и гомоморфном шифровании. В промышленных платформах чаще всего используется разделение секрета, поэтому стоит описать его подробнее.

Каждое исходное значение (секрет) разбивается на несколько случайных долей так, что любая доля по отдельности неотличима от шума и ничего не говорит об исходном значении. Восстановить его можно, только объединив достаточное число долей: в простейших схемах — все, в пороговых — заранее заданное их количество. Узлы участников обмениваются долями и выполняют над ними операции по протоколу. Исходные данные при этом нигде не собираются в открытом виде — ни на одном сервере, ни у посредника.

Раскрывается только итог вычисления, о котором стороны договорились заранее: число общих контрагентов у нескольких предприятий, средняя наработка на отказ по типу оборудования или параметры совместно обученной модели.

У MPC есть три важные особенности:

  • Не требуется специальное оборудование. Протоколы работают на обычных серверах и не требуют доверия к производителю процессора, а их стойкость доказывается математически.
  • Стойкость доказывается в рамках модели нарушителя. Протокол предполагает, например, что участники следуют ему честно, или что против него не сговорится больше заданного числа сторон. Если сговорятся держатели достаточного числа долей, они восстановят исходные данные. Поэтому число узлов, их владельцы и модель нарушителя — архитектурное решение, которое согласуется со службами ИБ всех участников.
  • Скорость. Вычисления в MPC на порядки медленнее открытых: умножения и сравнения требуют обмена сообщениями между узлами, и производительность упирается в задержки и пропускную способность сети. Дешевле всего обходятся линейные операции, дороже — нелинейные. На практике через MPC эффективно считают суммы и статистические агрегаты, пересечение множеств, обучают регрессионные модели и неглубокие деревья решений.

3. Федеративное обучение

Федеративное обучение позволяет обучать модель на данных, которые остаются у их владельцев. Каждый участник обучает модель локально и передает наружу не записи, а обновления модели — градиенты или веса. Координатор объединяет их в общую модель и рассылает ее участникам для следующего раунда.

Исходные данные физически не покидают периметр предприятия, и это снимает часть возражений юристов и ИБ. Но не все: обновления весов тоже несут информацию об обучающих данных. Известны атаки, позволяющие по градиентам реконструировать отдельные обучающие примеры, а по поведению итоговой модели определить, участвовала ли конкретная запись в обучении.

Поэтому в чувствительных сценариях федеративное обучение не применяют в чистом виде. От реконструкции по отдельным обновлениям защищает безопасная агрегация: обновления складываются через MPC, и координатор видит только сумму, а не вклад каждого участника. От атак на итоговую модель защищает дифференциальная приватность: в обновления добавляется калиброванный шум, а суммарная допустимая утечка информации ограничивается так называемым бюджетом приватности.

Дополнительные инструменты: гомоморфное шифрование и дифференциальная приватность

Гомоморфное шифрование позволяет выполнять вычисления прямо над зашифрованными данными, не расшифровывая их. Теоретически это самый универсальный подход, но для большинства прикладных задач он пока слишком медленный и используется точечно – например, для отдельных операций внутри MPC-протоколов.

Дифференциальная приватность — это математическая гарантия того, что результат почти не зависит от присутствия в данных конкретной записи. Ее добавляют к результатам любого из подходов, когда эти результаты публикуются или запрашиваются многократно.

Подходы можно применять по отдельности или вместе. Выбор зависит от характера данных, сложности вычислений, модели угроз и того, какой результат должен получить каждый участник.

Где наиболее востребованы конфиденциальные вычисления

Банковский сектор и финансы

Банки располагают данными о платежах, кредитной истории, транзакциях и поведении клиентов. Но данные одной организации не всегда дают полную картину: клиент может обслуживаться в нескольких банках, а мошенническая схема — затрагивать сразу несколько финансовых учреждений.

Конфиденциальные вычисления позволяют совместно анализировать такие данные, не раскрывая друг другу клиентские базы и отдельные операции. Один из основных сценариев — выявление мошенничества. Банки могут искать общие признаки подозрительных транзакций, выявлять повторяющиеся схемы и повышать качество антифрод-моделей. В результате организация получает дополнительные сигналы, которые остались бы незаметными при анализе только собственных данных.

Другое направление — кредитный скоринг и оценка риска дефолта. Совместный анализ данных нескольких банков помогает точнее оценивать кредитные риски, особенно для категорий заемщиков, по которым у отдельного банка мало данных. Обмениваться кредитными досье при этом не нужно: участники совместно рассчитывают статистические показатели или обучают модели с ограниченным раскрытием информации.

Еще один сценарий — противодействие отмыванию денег и другим финансовым преступлениям. Совместная аналитика позволяет сопоставлять сигналы разных организаций и находить подозрительные связи между операциями, которые внутри одной компании выглядят обычными.

Для финансового сектора важен и сравнительный анализ рисков: участники оценивают общие тенденции рынка, не раскрывая детали собственного портфеля. При этом технология не отменяет банковскую тайну и требования к обработке персональных данных. Допустимые вычисления, правила доступа и состав раскрываемых результатов определяются заранее.

Медицина: исследования, диагностика и персонализированное лечение

Медицинские данные распределены между клиниками, лабораториями, исследовательскими центрами, страховыми организациями и другими участниками системы здравоохранения. Их совместный анализ помогает выявлять закономерности заболеваний и оценивать эффективность лечения, но объединение геномных данных и медицинского анамнеза в одном хранилище связано с серьезными рисками для конфиденциальности и врачебной тайны.

Конфиденциальные вычисления позволяют исследовательским командам использовать данные в вычислениях результата, не раскрывая сами данные. Одно из направлений — генетические исследования. Полногеномный поиск ассоциаций (GWAS) выявляет статистические связи между генетическими вариантами и заболеваниями. Для него нужны большие и разнообразные выборки, которые обычно распределены между организациями. Совместные вычисления позволяют анализировать такие выборки, не раскрывая исследователям исходные генетические сведения. Чем шире выборка, тем больше гипотез о факторах риска и предрасположенностях можно проверить на данных разных групп пациентов.

Еще один сценарий — оценка эффективности и безопасности лечения. Совместный анализ результатов лабораторных исследований, назначений и исходов терапии выявляет закономерности, которые не видны в рамках одной клиники, в том числе различия в ответе на лечение.

Конфиденциальные вычисления также помогают развитию персонализированной медицины: модели получают возможность учитывать больше факторов — генетические особенности, истории заболеваний, результаты анализов.

Фармацевтика: поиск лекарств и разработка антибиотиков

Разработка новых препаратов требует анализа больших объемов исследовательских данных: результатов экспериментов, свойств молекул, биологической активности соединений. Эти данные распределены между фармацевтическими компаниями, лабораториями и исследовательскими центрами и составляют значительную часть их интеллектуальной собственности.

Конфиденциальные вычисления позволяют объединять аналитические возможности участников, не раскрывая друг другу химические библиотеки и результаты исследований. На такой основе можно обучать модели для поиска перспективных соединений, прогнозирования их свойств и выбора направлений экспериментов. Такие проекты уже реализованы, например, в европейском консорциуме MELLODDY (2019–2022 гг.) десять фармацевтических компаний совместно обучали модели прогнозирования свойств молекул методом федеративного обучения, при этом химические библиотеки не покидали контур каждой компании.

Отдельное направление — исследования антибиотиков. Ученые и фармкомпании работают с данными о свойствах соединений, их активности против микроорганизмов и устойчивости бактерий к существующим препаратам. Совместный анализ этих данных помогает находить новые закономерности, отбирать перспективные молекулы и эффективнее планировать исследования.

Промышленность: надежность оборудования и эффективность производства

Для промышленности ценность данных часто связана с тем, что они раскрывают параметры технологических процессов. Температура, давление, длительность циклов, химический состав сырья и вибрационные характеристики оборудования одновременно служат признаками для моделей и содержат производственное ноу-хау. В отличие от персональных данных, такие параметры нельзя обезличить, заменив имена или удалив идентификаторы: специалист, знакомый с технологией, восстановит особенности производства по самим значениям и их сочетаниям.

При этом данных одного предприятия может не хватать для обучения моделей на редких событиях: специфическая поломка оборудования может случаться раз в несколько лет. Совместный анализ данных нескольких производств дает более широкую статистику и повышает качество прогнозирования отказов.

Конфиденциальные вычисления применимы для предиктивного обслуживания оборудования, сравнительного анализа производственных площадок и оптимизации технологических режимов. Несколько предприятий могут совместно выявлять признаки, предшествующие отказам однотипных агрегатов, не раскрывая друг другу параметры своих процессов.

Другой сценарий — оптимизация расхода сырья и энергии. Аналитика на данных разных производств помогает находить связи между технологическими параметрами и результатами выпуска. Участники получают прогнозы, агрегированную статистику или параметры совместно обученной модели, сохраняя контроль над исходными данными.

Преимущества для бизнеса

Несмотря на различия между отраслями, логика применения конфиденциальных вычислений общая: организации хотят получить аналитическую ценность из данных, которые не готовы передавать другим участникам в открытом виде. Для команды Big Data конфиденциальные вычисления — не столько инструмент защиты, сколько инфраструктурная предпосылка для совместной работы с данными. Там, где классическое обезличивание невозможно, как в случае промышленных данных, они открывают путь к кооперации. Формула меняется с «доверьте нам данные» на «исходные данные остаются у вас, наружу выходит только согласованный результат».

Практический эффект складывается из трех составляющих.

  • Качество моделей. Совместная работа с данными позволяет расширять выборки, учитывать больше факторов и находить закономерности, которые невозможно обнаружить на данных одной организации.
  • Снятие операционных барьеров. Конфиденциальные вычисления меняют роль службы информационной безопасности. Обычно каждый запрос на передачу данных наружу ИБ оценивает как потенциальную утечку и чаще всего отказывает: после передачи контроль над данными теряется. С конфиденциальными вычислениями меняется предмет согласования. Вместо вопроса «кому мы отдаем данные» обсуждается, что выходит наружу и в каком виде: перечень допустимых расчетов, модель нарушителя, минимальное число участников в агрегатах, параметры дифференциальной приватности, порядок аудита и сценарии остановки вычислений.
  • Новые бизнес-модели. Появляется возможность создавать отраслевые аналитические сервисы, где компании платят не за доступ к данным, а за результат вычислений — прогноз, оптимизацию, рекомендацию. Данные остаются под контролем владельца, а монетизируется интеллектуальная надстройка.

Рынок и российские решения

Глобальный рынок конфиденциальных вычислений уже сложился как самостоятельное направление. В списке стратегических технологических трендов на 2026 год (октябрь 2025 года) Gartner прогнозирует, что к 2029 году более 75% операций, выполняемых в недоверенной инфраструктуре, будут защищены в процессе обработки с помощью конфиденциальных вычислений. Речь прежде всего об аппаратных TEE в облаках.

Оценки объема рынка у аналитиков расходятся в разы, но все они предполагают высокие темпы роста. Так, ABI Research ожидает, что с 2025 по 2032 год рынок вырастет более чем в 13 раз и достигнет 162 млрд долл. Global Market Insights в более консервативном прогнозе закладывает среднегодовой рост более 26% до 2032 года.

В России интерес к таким решениям тоже растет. Среди отечественных разработчиков это направление развивает компания «Убик», с 2025 года входящая в Группу Arenadata. Ее платформа Ubic Conclave состоит из комплексных решений, построенных на технологиях многосторонних вычислений и федеративном обучении. Решения на ее основе применяются в госсекторе, банковской сфере, телекоммуникациях и маркетинге; на той же технологии работает межбанковский сервис совместной оценки кредитного риска с участием более десяти банков.

От пилотных экспериментов до платформенного внедрения

Конфиденциальные вычисления — не коробочное решение, и переход на них требует системного подхода. В нашей практике можно выделить пять этапов, которые не стоит пропускать.

1. Выбор пилотного сценария. Это должна быть задача с высокой бизнес-ценностью, которая решается за счет объединения знаний на данных разных участников и при этом связана с высокими рисками передачи собственных данных. Начинать с задач без бизнес-ценности бессмысленно, но и замахиваться сразу на самое сложное не стоит. Первый пилот лучше делать на исторических данных и на одном-двух заранее определенных расчетах, чтобы проверить архитектуру и процесс согласований, а не только модель.

2. Запуск технического пилота. В эксперименте участвуют несколько компаний с реальными историческими данными. Для совместного обучения модели формально достаточно двух участников, но и итоговая модель несет информацию о данных партнера — это нужно учесть в модели угроз. Для сравнительной статистики двух участников мало: среднее по двоим позволяет каждому вычислить данные другого. Трех тоже может быть недостаточно, если двое способны сговориться. Поэтому для агрегатов задают минимальный порог участников (часто не меньше пяти), правило доминирования, при котором ни один участник не дает больше заданной доли агрегата, и при необходимости добавляют шум.

На этом этапе проверяются корректность работы выбранного механизма на реальных объемах, измеримое улучшение метрик модели по сравнению с обучением на данных одной компании и накладные расходы защищенной обработки. Их нужно измерять, а не предполагать. У TEE они составляют от единиц процентов до нескольких раз в зависимости от реализации, профиля нагрузки и объема памяти. У MPC вычисления на порядки медленнее открытых и упираются в задержки и пропускную способность сети.

3. Интеграция с AI Governance. Результаты пилота фиксируются в управленческих регламентах:

  • утверждается модель нарушителя и состав узлов: кто их контролирует и какой сговор допускает протокол;
  • назначаются ответственные за узлы платформы, ключи и учетные записи участников;
  • прописывается процедура аудита — кто и как проверяет, что выполняются только согласованные расчеты: аттестация среды исполнения для TEE, журнал запросов и контроль перечня расчетов для MPC, учет бюджета приватности там, где применяется дифференциальная приватность;
  • утверждается перечень допустимых расчетов и порядок его изменения;
  • утверждаются SLA по времени вычислений и доступности платформы.

4. Юридическое оформление. Для промышленных данных это прежде всего режим коммерческой тайны (98-ФЗ). Каждый участник локальным актом определяет, какие сведения составляют коммерческую тайну и в каком виде — долей секрета, обновлений модели, агрегатов — они допускаются к совместным вычислениям. Для банков ключевое ограничение — банковская тайна (ст. 26 Федерального закона «О банках и банковской деятельности»), для медицины — врачебная тайна (ст. 13 323-ФЗ).

Если в данных есть персональные данные, по каждому сценарию отдельно оценивается соответствие 152-ФЗ. Для MPC и федеративного обучения ключевой вопрос — считаются ли доли секрета и обновления модели персональными данными. Устоявшейся правоприменительной практики здесь пока нет, поэтому позицию лучше заранее зафиксировать с юристами. При использовании TEE в облаке обработка фактически поручается провайдеру, что требует отдельного оформления, а для зарубежного облака — учета требований о локализации и трансграничной передаче.

Если узел размещается на значимом объекте КИИ, он должен соответствовать требованиям 187-ФЗ и приказов ФСТЭК России к безопасности таких объектов, включая требования к применяемому ПО и оборудованию. Если участники конкурируют на одном рынке, обмен агрегированной информацией оценивается на соответствие антимонопольному законодательству. Внутри одной группы лиц под единым контролем ограничения статьи 11 135-ФЗ не применяются, между независимыми компаниями нужна правовая оценка, а агрегаты без идентификации участников снижают риски.

Все это закрепляется многосторонним соглашением о порядке совместных вычислений: что считается, кто получает результаты, как разрешаются споры. Без этого этапа масштабирование на внешних партнеров невозможно.

5. Масштабирование на платформенный уровень. На этом этапе создается инфраструктура, которая стандартизирует подключение новых участников и автоматизирует процессы безопасности. Для MPC и федеративного обучения модуль конфиденциальных вычислений ставится в контур каждого участника, поэтому централизуются координация, каталог расчетов и управление доступом, а не данные. В архитектуре на TEE, наоборот, вычисления выполняются в общей защищенной среде, и платформенный уровень строится вокруг аттестации и управления ключами.

В заключение

Во многих отраслях главная проблема в том, что значимые для анализа сведения распределены между организациями, которые не могут свободно ими обмениваться.

Конфиденциальные вычисления позволяют организовать совместную работу без раскрытия чувствительных данных. Они не отменяют правовые ограничения, не гарантируют абсолютного отсутствия утечек и не заменяют проверку результатов. Но при правильно выбранной архитектуре и модели угроз они дают возможность получать аналитическую ценность из данных нескольких участников там, где традиционный обмен данными слишком рискован или невозможен.

Автор – Дмитрий Красников, руководитель направления Big Data и BI К2Тех