Sensitive Data Protection は、 Google Cloudの内部と外部のセンシティブ データを検出、分類、匿名化するのに役立ちます。このページでは、Sensitive Data Protection を構成するサービスについて説明します。
Sensitive Data Protection を使用するタイミング
一般的なユースケースは次のとおりです。
- エンタープライズ クラウド リポジトリ全体でシャドー データを検出する: BigQuery、Cloud SQL、Cloud Storage 全体でデータアセットを継続的にスキャンしてプロファイリングし、カタログに登録されていないセンシティブ データを特定して、組織のセキュリティ ポスチャーを評価します。
- リアルタイム アプリケーションでのセンシティブ データ漏洩を防ぐ: データを保存する前に、ストリーミング API ペイロード、ユーザー フォーム、LLM プロンプト入力から機密トークン（個人情報（PII）や認証情報など）を検査して秘匿化します。
- 有用性を維持しながら分析データセットを匿名化する: 仮名化、日付のシフト、バケット化を使用して直接的および間接的な識別子を変換し、研究チームとビジネス インテリジェンス チームが平文の PII を公開せずにデータを分析できるようにします。
- コンプライアンス監査と法令上の報告を自動化する: 保護医療情報（PHI）と財務記録を検出してモニタリングし、GDPR、HIPAA、PCI DSS に基づくコンプライアンス義務を満たします。
- セキュリティの検出結果をインシデント対応パイプラインにストリーミングする: リスクの高い検出結果のアラートを Pub/Sub と Security Command Center に送信して、自動データタグ付け、アクセス取り消し、セキュリティ修復ワークフローをトリガーします。
機密データの検出
検出サービスを使用すると、組織、フォルダ、プロジェクト全体のデータのプロファイルを生成できます。データ プロファイルには、データアセットに関する指標とメタデータが含まれており、センシティブ データとリスクの高いデータの場所を特定できます。Sensitive Data Protection は、これらの指標をさまざまな詳細レベルで報告します。プロファイリングできるデータの種類については、サポートされているリソースをご覧ください。
スキャン構成を使用して、スキャンするリソース、検索する情報のタイプ（infoType）、プロファイリングの頻度、おおびプロファイリングが完了したときに実行するアクションを指定します。
検出サービスの詳細については、データ プロファイルの概要をご覧ください。
機密データの検査
検査サービスを使用すると、個々のリソースの詳細なスキャンを実行して、センシティブ データのインスタンスを見つけることができます。検索する infoType を指定すると、検査サービスは、その infoType に一致するデータのすべてのインスタンスに関するレポートを生成します。たとえば、Cloud Storage バケット内のクレジット カード番号の件数と各インスタンスの正確な場所がレポートに表示されます。
検査には、次の 2 つの方法があります
- Google Cloud コンソールまたは機密データ保護の Cloud Data Loss Prevention API（DLP API）を使用して、検査またはハイブリッド ジョブを作成します。
- DLP API に
content.inspectリクエストを送信します。
ジョブによる検査
検査とハイブリッド ジョブは、 Google Cloud コンソールまたは Cloud Data Loss Prevention API を使用して構成できます。検査ジョブとハイブリッド ジョブの結果は Google Cloudに保存されます。
検査ジョブまたはハイブリッド ジョブの完了時に機密データの保護で行うアクションを指定できます。たとえば、結果を BigQuery テーブルに保存したり、Pub/Sub 通知を送信したりするようにジョブを構成できます。
検査ジョブ
Sensitive Data Protection には、一部のGoogle Cloud プロダクトのサポートが組み込まれています。BigQuery テーブル、Cloud Storage バケットまたはフォルダ、Datastore の種類を検査できます。詳細については、ストレージとデータベースの機密 Google Cloud データを検査するをご覧ください。
ハイブリッド ジョブ
ハイブリッド ジョブを使用すると、任意のソースから送信されたデータのペイロードをスキャンし、検査の検出結果を Google Cloudに保存できます。詳細については、ハイブリッド ジョブとジョブトリガーをご覧ください。
content.inspect リクエストによる検査
DLP API の content.inspect メソッドを使用すると、検査のためにデータを DLP API に直接送信できます。レスポンスには検査の検出結果が含まれます。同期オペレーションが必要な場合、または検出結果を Google Cloudに保存しない場合は、この方法を使用します。
センシティブ データの匿名化
匿名化サービスにより、機密データのインスタンスを難読化できます。 マスキング、削除、バケット化、日付シフト、トークン化など、さまざまな変換方法を使用できます。
匿名化を行う方法は 2 つあります。
- 検査ジョブを使用して、Cloud Storage データの匿名化されたコピーを作成します。詳しくは、ストレージ内の機密データの匿名化をご覧ください。
- DLP API に
content.deidentifyリクエストを送信します。詳細については、センシティブ データの匿名化をご覧ください。
リスク分析
リスク分析サービスを使用すると、構造化された BigQuery データを分析して、機密情報が公開される（再識別される）リスクを特定して可視化できます。
リスク分析の手法を使用して、匿名化を行う前に効果的な匿名化方式を決定したり、匿名化を行った後で変更や異常値をモニタリングしたりできます。
リスク分析は、リスク分析ジョブを作成して実行します。詳細については、再識別リスク分析をご覧ください。
Cloud Data Loss Prevention API
Cloud Data Loss Prevention API では、Sensitive Data Protection サービスをプログラムで使用できます。DLP API を使用すると、 Google Cloud の内部および外部のデータを検査し、クラウドの内部または外部にカスタム ワークロードを構築できます。詳細については、サービス メソッドのタイプをご覧ください。
非同期オペレーション
保存データを非同期で検査または分析する場合は、DLP API を使用して DlpJob を作成できます。DlpJob の作成は、 Google Cloud コンソールで検査ジョブ、混合型ジョブ、リスク分析ジョブを作成することと同じです。DlpJob の結果は Google Cloudに保存されます。
同期オペレーション
データを同期的に検査、匿名化、再識別する場合は、DLP API のインライン content メソッドを使用します。画像内のデータを匿名化するには、image.redact メソッドを使用します。API リクエストでデータを送信すると、DLP API は検査、匿名化、再識別の結果を返します。content メソッドと image.redact メソッドの結果は Google Cloudに保存されません。
料金
Sensitive Data Protection の使用に関連する費用については、Sensitive Data Protection の料金をご覧ください。
次のステップ
- プロジェクトのデータをプロファイリングする方法を学習する。
- 検査を開始またはスケジュールする方法を学習する。
- ハイブリッド ジョブを使用して外部ソースのデータを検査する方法を確認する。
- Cloud Storage に保存されているデータの匿名化されたコピーを作成する方法を学習する。
- データセットの k-匿名性を計算する方法を学ぶ。
- DLP API を使用してデータを匿名化および再識別する方法を学習する。