このドキュメントでは、個人情報（PII）などのセンシティブ データを含む大規模なデータセットを保護するためのハイレベルなアーキテクチャについて説明します Google Cloud。このアーキテクチャは、センシティブ データを偶発的な漏洩や悪意のある引き出しから保護できるように設計されています。クラウド ネットワーキングと ID の基本的なコンセプトに精通しているデータ コンプライアンス オフィサーとクラウド セキュリティ エンジニアを対象としています。このアーキテクチャでは、リソースが誤って構成されている場合でも、許可型の Identity and Access Management（IAM）設定を明示的にオーバーライドして不正な公開アクセスを防ぐネットワーク境界の使用について説明します。
このドキュメントのデプロイ セクションでは、この境界を自己デプロイして公開アクセス ブロックをシミュレートするための Terraform コード サンプルを提供します。
アーキテクチャ
次のアーキテクチャ図は、での堅牢な多層データ保護戦略を示しています Google Cloud. データが非構造化状態から保護された管理対象環境に移行する様子を効果的に示しています。
上の図は、各 Google サービスが最初のデータアップロードからデータアクセスまでのデータを保護する方法を示しています。
- 適切な IAM 権限を持つユーザーが、BigQuery または Cloud Storage データ ストレージ サービスにデータをアップロードします。ストレージ サービスは、顧客管理の暗号鍵（CMEK）と Cloud KMS Autokey を使用するように構成されています。
- サービスは、Cloud KMS Autokey から取得した CMEK を使用してデータを暗号化します。
- Sensitive Data Protection は、リポジトリ内のセンシティブ データを継続的に検査、分類、匿名化します。センシティブ データを匿名化するために、Sensitive Data Protection は、構成したテンプレートとオプションを使用してデータをマスキングします。
- ストレージ サービスは VPC Service Controls 境界内にあり、境界外からのデータアクセスをブロックします。指定されたユーザーとシステム（IAM プリンシパル）にアクセス権を付与するには、Access Context Manager アクセスレベルテンプレートを使用します。指定されたプリンシパルは、境界内のデータにアクセスできます。
- VPC Service Controls は、アクセスレベル テンプレートで指定されていないユーザーのアクセスを拒否します。
使用するプロダクト
- VPC Service Controls: リソースのデータ 引き出しリスクを最小限に抑えるマネージド ネットワーキング機能。 Google Cloud
- Sensitive Data Protection: 個人情報（PII）などの貴重なデータアセットを検出、分類、保護できるようにするためのフルマネージド サービス。
- Cloud Key Management Service（Cloud KMS）: 単一の 一元化されたクラウド サービスで、暗号鍵を作成、インポート、 管理し、暗号オペレーションを実行できるサービス。
- Access Context Manager: プロジェクトとリソースに対してきめ細かい属性ベースの アクセス制御ポリシーを定義できるサービス Google Cloud。
- BigQuery: ML、地理空間分析、ビジネス インテリジェンスなどの組み込み機能を使用してデータの管理と 分析を支援する、Google Cloud のフルマネージド エンタープライズ データ ウェアハウス。
- Cloud Storage: 低コストで無制限のオブジェクト ストア。さまざまなデータ型に対応しています。データには Google Cloudの内部および外部からアクセスでき、冗長性を確保するために複数のロケーションに複製されます。
ユースケース
このアーキテクチャは、機密性の高い データを処理するための堅牢なセキュリティ フレームワークを提供します Google Cloud。データ保護、アクセス制御、引き出し防止に重点を置いています。このアーキテクチャは、強力な暗号化と自動データ匿名化、ネットワーク境界制御を組み合わせることで、センシティブ データの安全な環境を確立するのに役立ちます。この実装により、データが顧客管理の鍵（CMEK）で暗号化され、機密情報が自動的に検出されてマスキングされ、アクセスが厳密に制限されてコンテキストに応じて管理されるようになります。これらの対策により、データの引き出しリスクを大幅に軽減できます。
このドキュメントで説明するアーキテクチャのユースケースの例を次に示します。
- 規制対象の業界（金融、医療、公共部門）: 規制の厳しい業界では、コンプライアンスとデータ セキュリティの達成に役立つセキュリティ フレームワークが必要です。コンプライアンスを達成し、センシティブ データを含む顧客データを保護するには、保存データの保護、センシティブ データの検出、アクセス制御の実施が不可欠です。規制対象の業界では、この設計を実装してデータ コンプライアンスを達成することをおすすめします。
- 規制対象外の業界: データ 規制の対象とならない業界でも、堅牢なセキュリティ フレームワークを実装することでメリットが得られます。センシティブ データが漏洩するのを防ぎ、データを安全に保存し、データへのアクセスを制御するポリシーを整備することが重要です。このドキュメントのアーキテクチャは、規制対象外の業界が規制の厳しい業界と同じレベルのセキュリティを達成するのに役立ちます。規制対象外の業界では、この設計を効果的な手法として実装することをおすすめします。
設計上の考慮事項
- ログ違反を分析し、本番環境 ワークロードの誤ったロックアウトを防ぐには、常に ドライラン モード で VPC Service Controls を最初に実装します。
- 信頼できる企業ネットワークと管理デバイスが 保護されたリソースとやり取りできるようにするには、正確な Access Context Manager ポリシーとレベルを定義します。
機密データが存在する可能性のある場所を迅速かつ費用対効果の高い方法で特定するには、大規模なデータセットでサンプリングを有効にして Sensitive Data Protection を実行します。 詳しくは、次のリソースをご覧ください。
これらのデータセットを包括的に保護するには、サンプリングでデータを検査した後、包括的なスキャンを実行します。詳細については、 機密データの検出の概要をご覧ください。
自動暗号化の適用を確実にするには、リソースを作成する前に、フォルダまたはプロジェクト レベルで Cloud KMS Autokey を有効にします。
デプロイ
このアーキテクチャのサンプル実装をデプロイするには、GitHub で入手できる データ セキュリティ コードサンプル を使用します。
次のステップ
- Cloud KMS Autokey の使用方法については、 Cloud KMS Autokey を使用してリソースを簡単に暗号化する Codelab をご覧ください。
- Access Context Manager で VPC Service Controls を使用する方法を確認する。
- Cloud アーキテクチャ センターで、リファレンス アーキテクチャ、図、ベスト プラクティスを確認する。
寄稿者
著者:
- Manish Gaur | セキュリティ アーキテクト
- James Meyer | セキュリティ アーキテクト
その他の寄稿者:
- Osvaldo Costa | ネットワーキング スペシャリスト カスタマー エンジニア
- Susan Wu | アウトバウンド プロダクト マネージャー
- Mark Schlagenhauf | テクニカル ライター、ネットワーキング
- Biodun Awojobi | セキュリティとコンプライアンス担当カスタマー エンジニアリング責任者