нене, это два разных коммуниста же.
Первый сценарий защиты - есть ездящие по городу "флешки", нужно защитить данные на них от несанкционированного доступа\изменений
Второй сценарий - есть какие-то данные, которые нужно залить извне внутрь контура безопасности, исключив возможность компрометации контура.
Эти два сценария совсем не пересекаются, на самом деле. Может показаться, что они пересекутся в момент типа "шлюз проверяет <придумайте любой механизм проверки, что данные не были подменены>", но это ложное ощущение - должна быть отдельно проверка отсутствия изменения данных (какая-то валидация, шифрование там ит.п.) И уже в сценарии загрузки - отдельно механизмы защиты периметра от влияния данных (например разделением данных и кода)