Data Security Center:データマスキングの設定と実装

データマスキングの方法

{
    "dataHeaderList": ["name", "age"], // データのヘッダーリスト
    "dataList": [  // マスキング対象のデータリスト
        ["lily", 18],  // データの各行
        ["lucy", 17]
    ],
    "ruleList": [1002, null] // マスキングルールのリスト
}

データマスキング結果の例

DSC は、ハッシュ、墨消し、置換、丸め、暗号化、シャッフルなどのマスキングアルゴリズムをサポートしています。次の表は、さまざまなマスキングアルゴリズムに基づくデータマスキング結果の例を示しています。

課金概要

DSC Enterprise Edition のみ、データマスキング機能をサポートしています。DSC Enterprise Edition を購入すると、データマスキング機能を使用できます。DSC は、サブスクリプション課金方式を使用します。詳細については、課金概要 をご参照ください。静的データマスキングの方法を使用すると、追加料金が発生する場合があります。

DSC の有効化

• DSC を有効化していない場合、または DSC の Free Edition のみを有効化している場合は、DSC Enterprise Edition を購入できます。詳細については、DSC の購入 をご参照ください。

• DSC の Free Edition を有効化していて、データマスキング機能を使用する場合は、DSC を Enterprise Edition にアップグレードする必要があります。詳細については、サブスクリプション DSC の仕様変更 をご参照ください。

静的データマスキング

機能の説明

静的データマスキングタスクを作成するときに、設定済みのマスキングテンプレートを選択できます。また、マスキング対象の機密フィールドにマスキングアルゴリズムを設定することもできます。データマスキングテンプレートの設定方法の詳細については、「データマスキングテンプレートとアルゴリズムの設定」をご参照ください。

前提条件

静的データマスキングの方法を使用してデータベースまたは OSS オブジェクトをマスキングする場合は、マスキング対象のデータ資産に対するアクセス許可を DSC に付与する必要があります。詳細については、次のトピックをご参照ください。

• DSC にデータベースへのアクセスを承認する

• DSC に MaxCompute へのアクセスを承認する

• ECS インスタンスでホストされている自己管理データベースへのアクセスを DSC に承認する

• DSC に OSS および Simple Log Service の非構造化データへのアクセスを承認する

データマスキングタスクの作成

データマスキングタスクを作成して、データマスキングの範囲とルールを指定できます。

1. DSC コンソール にログオンします。

2. 左側のナビゲーションペインで、[リスクガバナンス] > [データの非識別化] を選択します。

3. [静的非識別化] タブで、[タスク設定] タブをクリックします。次に、[非識別化タスクの追加] タブをクリックします。

4. 画面の指示に従って、データマスキングタスクのパラメーターを設定します。

   1. [基本タスク情報] ステップ (非識別化タスクの追加ウィザード) のパラメーターを設定し、[次へ] をクリックします。

      説明

      カスタムタスク名を指定できます。

   2. 非識別化ソース設定ステップ (非識別化タスクの追加ウィザード) のパラメーターを設定し、[次へ] をクリックします。

      Apsaradb RDS テーブル、polardb-x テーブル、maxcompute テーブル、polardb テーブル、apsaradb For Oceanbase テーブル、analyticdb For Mysql テーブル、および自己管理データベーステーブル

      パラメーター	必須	説明
      [データストレージのタイプ]	はい	データマスキングのソースファイルのストレージタイプ。[apsaradb RDS テーブル/polardb-x テーブル/maxcompute テーブル/polardb テーブル/apsaradb For Oceanbase テーブル/analyticdb For Mysql テーブル/自己管理データベーステーブル] に設定します。
      [ソースサービス]	はい	データマスキングのソーステーブルを提供するサービス。有効な値: [RDS]、[polardb-x]、[oceanbase]、[maxcompute]、[ADB-MYSQL]、[polardb]、および [ECS 自己構築データベース]。
      [ソースデータベース/プロジェクト]	はい	ソーステーブルを格納するデータベースまたはプロジェクト。
      [ソーステーブル名]	はい	ソーステーブルの名前。
      [ソースパーティション]	いいえ	[ソースサービス] パラメーターを [maxcompute] に設定した場合、[ソースパーティション] パラメーターを設定できます。 ソーステーブル内のマスキング対象データを格納するパーティションの名前。このパラメーターを空のままにすると、DSC はソーステーブルのすべてのパーティションで機密データをマスキングします。 MaxCompute テーブルを作成するときにパーティションを指定できます。パーティションは、テーブルの異なる論理区分を定義します。データをクエリするときに、パーティションを指定してクエリの効率を向上させることができます。詳細については、パーティション をご参照ください。
      [サンプル SQL]	いいえ	[ソースサービス] パラメーターを [RDS]、[polardb-x]、[oceanbase]、または [ECS 自己構築データベース] に設定した場合、[サンプル SQL] パラメーターを設定できます。 マスキング対象の機密データの範囲を指定する SQL ステートメント。このパラメーターを空のままにすると、DSC はソーステーブルのすべてのデータをマスキングします。

      OSS オブジェクト

      重要

      TXT、CSV、XLSX、および XLS オブジェクトのみマスキングできます。

      パラメーター	必須	説明
      [データストレージのタイプ]	はい	データマスキングのソースファイルのストレージタイプ。[OSS ファイル] に設定します。
      [ファイルソース]	はい	データマスキングの OSS オブジェクトのソース。有効な値: [アップロードされたローカルファイル] および [OSS バケット]。
      [ファイルのアップロード]	はい	[ファイルソース] パラメーターを [アップロードされたローカルファイル] に設定した場合は、[ローカルファイルを選択] をクリックして OSS オブジェクトをアップロードします。
      [ソースファイルが配置されている OSS バケット]	はい	[ファイルソース] パラメーターを [OSS バケット] に設定した場合は、ドロップダウンリストから OSS オブジェクトが属する OSS バケットを選択します。キーワードを入力して、ドロップダウンリストから OSS バケットを検索して選択できます。
      [ソースファイル名]	はい	[ファイルソース] パラメーターを [OSS バケット] に設定した場合は、ソース OSS オブジェクトの名前を指定します。名前にはファイル拡張子を含める必要があります。 OSS オブジェクトのデータをマスクする場合は、OSS オブジェクトの名前を指定します。例: test.csv。 複数の OSS オブジェクトのデータをマスキングする場合は、[パスを開く] をオンにします。システムは同じマスキングルールを使用して複数の OSS オブジェクトをマスキングします。オブジェクトは同じ形式で、同一の列構造である必要があります。 Open the pass を有効にすると、アスタリスク (*) をワイルドカードとして使用して、複数の OSS オブジェクトを指定し、オブジェクト内のデータを一度にマスクできます。アスタリスク (*) は、オブジェクト名のプレフィックスでのみ使用できます。例：test*.xls。これは、名前が test で始まる XLS ファイルと一致します。
      [ソースファイルの説明]	いいえ	[ファイルソース] パラメーターを [アップロードされたローカルファイル] に設定した場合は、ソース OSS オブジェクトの説明を入力します。
      [区切り文字の選択]	いいえ	列の区切り文字。ソース OSS オブジェクトの区切り文字に基づいて区切り文字を選択します。このパラメーターは、CSV オブジェクトと TXT オブジェクトに必要です。有効な値: [セミコロン ";" (macos/linux のデフォルト)] [コンマ "," (windows のデフォルト)] [演算子 '|']。
      [テーブルにヘッダー行が含まれる]	いいえ	ソース OSS オブジェクトにヘッダー行が含まれるかどうかを指定します。

   3. 非識別化アルゴリズムステップのパラメーターを設定し、[次へ] をクリックします。

      

      • ドロップダウンリストからデータマスキングテンプレートを選択します。ソースフィールドリストでは、[非識別化] 列のスイッチが自動的にオンになり、データマスキングテンプレートに基づいてフィールドに [マスキングアルゴリズム] が自動的に設定されます。

        データマスキングテンプレートのルールリストの設定は、マスキングするソースフィールドと一致する必要があります。そうでない場合、データマスキングテンプレートは有効になりません。データマスキングテンプレートの設定方法の詳細については、データマスキングテンプレートとアルゴリズムの設定 をご参照ください。

      • リストでデータをマスキングするソースフィールドを見つけ、[非識別化] 列のスイッチをオンにして、ビジネス要件に基づいて [マスキングアルゴリズム] を選択します。

      [アルゴリズムの選択] 列の [パラメーターの表示と変更] をクリックして、選択したアルゴリズムのルールを表示および変更できます。アルゴリズムルールにおけるパーティション形式の詳細については、パーティション形式 をご参照ください。

      説明

      [テンプレートを強制的に有効にする] をオンにすると、ページのアルゴリズムを変更できません。アルゴリズムを変更するには、関連するテンプレートルールを変更する必要があります。

      パーティション形式

      パーティションタイプ	パーティション形式	例
      N 週間後	カスタムパーティションキー列=$[yyyymmdd+7*N]	time=$[20190710+7*1]。このパーティションは、DSC が 2019 年 7 月 10 日から 1 週間以内に生成されたデータをマスキングすることを示します。 // パーティションの説明
      N 週間前	カスタムパーティションキー列=$[yyyymmdd-7*N]	time=$[20190710-7*3]。このパーティションは、DSC が 2019 年 7 月 10 日の 3 週間前に生成されたデータをマスキングすることを示します。 // パーティションの説明
      N 日後	カスタムパーティションキー列=$[yyyymmdd+N]	time=$[20190710+2]。このパーティションは、DSC が 2019 年 7 月 10 日から 2 日以内に生成されたデータをマスキングすることを示します。 // パーティションの説明
      N 日前	カスタムパーティションキー列=$[yyyymmdd-N]	time=$[20190710-5]。このパーティションは、DSC が 2019 年 7 月 10 日の 5 日前に生成されたデータをマスキングすることを示します。 // パーティションの説明
      N 時間後	カスタムパーティションキー列=$[hh24mi:ss+N/24]	time=$[0924mi:ss+2/24]。このパーティションは、DSC が 24 時間制で 09:00:00 から 2 時間以内に生成されたデータをマスキングすることを示します。 // パーティションの説明
      N 時間前	カスタムパーティションキー列=$[hh24mi:ss-N/24]	time=$[0924mi:ss-1/24]。このパーティションは、DSC が 24 時間制で 09:00:00 の 1 時間前に生成されたデータをマスキングすることを示します。 // パーティションの説明
      N 分後	カスタムパーティションキー列=$[hh24mi:ss+N/24/60]	time=$[0924mi:ss+2/24/60]。このパーティションは、DSC が 24 時間制で 09:00:00 から 2 分以内に生成されたデータをマスキングすることを示します。 // パーティションの説明
      N 分前	カスタムパーティションキー列=$[hh24mi:ss-N/24/60]	time=$[0924mi:ss-2/24/60]。このパーティションは、DSC が 24 時間制で 09:00:00 の 2 分前に生成されたデータをマスキングすることを示します。 // パーティションの説明

5. マスクされたデータを保存する宛先を構成し、[書き込み権限テスト] の下の [テスト] をクリックします。テストに合格したら、[次へ] をクリックします。

   重要

   データアセットへの接続に使用するアカウントは、データアセットに対する書き込み権限を持っている必要があります。

   

6. 処理ロジックを設定します。

   パラメーター	必須	説明
   タスクのトリガー方法	はい	データマスキングタスクを実行するために使用される方法。有効な値： 手動のみ：このオプションを選択した場合、データマスキングタスクを手動で実行する必要があります。 スケジュールのみ：このオプションを選択した場合、データマスキングタスクの自動実行を設定する必要があります。設定が完了すると、データマスキングタスクは、時間単位、日単位、週単位、または月単位で特定の時点で自動的に実行されます。 手動 + スケジュール：このオプションを選択した場合、[タスク設定] タブの [アクション] 列で [開始] をクリックして、データマスキングタスクを手動で実行できます。また、データマスキングタスクの自動実行を設定することもできます。設定が完了すると、データマスキングタスクは、時間単位、日単位、週単位、または月単位で特定の時点で自動的に実行されます。
   増分脱感作をオンにする	いいえ	増分マスキングを有効にするかどうかを指定します。このスイッチをオンにすると、DSC は、以前のデータマスキングタスクが完了した後に追加されたデータのみをマスキングします。増分識別子として、時間の経過とともに値が増加するフィールドを指定する必要があります。たとえば、作成時間フィールドまたは自動インクリメント ID フィールドを増分識別子として指定できます。 重要 DSC は、ApsaraDB RDS データベースの増分データマスキングのみをサポートしています。
   シャードフィールド	いいえ	DSC がソースデータを複数のシャードに分割する際に基準とするシャードフィールド。DSC は、シャード内のソースデータを同時にマスキングして、データマスキングの効率を向上させます。ビジネス要件に基づいて、1 つ以上のシャードフィールドを指定できます。 DSC は、ApsaraDB RDS データベースの増分データマスキングのみをサポートしています。プライマリキー、または一意のインデックスが作成されているフィールドをシャードフィールドとして使用することをお勧めします。 このパラメーターを空のままにすると、プライマリキーがシャードフィールドとして使用されます。DSC は、プライマリキーに基づいてソースデータを分割し、ソースデータをマスキングします。 重要 ソースデータにプライマリキーがない場合は、シャードフィールドを指定する必要があります。指定しないと、データマスキングタスクは失敗します。 過剰なシャードフィールドを指定すると、クエリのパフォーマンスとデータの精度が低下する可能性があります。注意して進めてください。
   テーブル名の競合解決	はい	テーブル名の競合を処理するために使用される方法。有効な値： ターゲットテーブルを削除し、同じ名前の新しいテーブルを作成する。 ターゲットテーブルにデータを追加する。このオプションを選択することをお勧めします。
   行の競合解決	はい	行の競合を処理するために使用される方法。有効な値： 競合する行をターゲットテーブルに保持し、新しいデータを破棄する。このオプションを選択することをお勧めします。 ターゲットテーブル内の競合する行を削除し、新しいデータを挿入する。

7. [送信] をクリックします。

データマスキングタスクの実行と表示

[手動のみ] に [タスクのトリガー方法] パラメーターを設定した場合、データマスキングタスクを手動で実行する必要があります。[スケジュール済みのみ] に [タスクのトリガー方法] パラメーターを設定した場合、データマスキングタスクの自動実行を設定する必要があります。設定が完了すると、データマスキングタスクは特定の時点で自動的に実行されます。[手動 + スケジュール済み] に [タスクのトリガー方法] パラメーターを設定した場合、データマスキングタスクを手動で実行するか、データマスキングタスクを自動的に実行するように設定することができます。

1. [静的脱感作] タブで、[タスク構成] タブをクリックします。次に、作成したデータマスキングタスクを見つけ、[アクション] 列の [開始] をクリックして、データマスキングタスクを実行します。

   

2. [静的脱感作] タブで、[ステータス] タブをクリックして、データマスキングタスクの進捗状況とステータスを表示します。

   

データマスキングタスクで発生するエラーのトラブルシューティング

データマスキングタスクが失敗した場合、次の表を参照してエラーをトラブルシューティングできます。

データマスキングタスクの変更または削除

実行待機中または実行中のデータマスキングタスクは、変更または削除できません。

• データマスキングタスクの変更

  データマスキングタスクの設定を変更するには、タスクを見つけて、[アクション] 列の [変更] をクリックします。

• データマスキングタスクの削除

  重要

  データマスキングタスクを削除すると、復元できません。 慎重に進めてください。

  データマスキングタスクを今後使用しない場合は、タスクを削除できます。 タスクを見つけて、[アクション] 列の [削除] をクリックします。 表示されるメッセージで、[OK] をクリックします。

動的データマスキング

機能の説明

動的データマスキングタスクは、設定済み マスキングテンプレート に基づいて指定されたデータをマスキングします。ExecDatamask オペレーションを呼び出して、マスキングするデータ (データ) とマスキングテンプレートの ID (TemplateId) を指定できます。その後、Data パラメーターの dataList フィールドで指定されたデータは、一致モード (フィールド と 機密の種類) に基づいてマスキングされます。これは マスキングテンプレート で定義されています。

テンプレート ID は、DSC コンソールの マスキング設定[データガバナンス] > [データの非識別化] ページの データマスキングテンプレートとアルゴリズムを構成する タブで取得できます。カスタムデータマスキングテンプレートを作成することもできます。詳細については、 をご参照ください。

次の表では、ExecDatamask オペレーションを呼び出してデータをマスキングするときに使用されるマスキングテンプレートの一致方法について説明します。

例

制限

ExecDatamask オペレーションを呼び出して機密データを動的にマスキングする前に、マスキングする機密データのサイズが 2 MB 未満であることを確認してください。

ExecDatamask オペレーションの呼び出しレコードを表示する

1. DSC コンソール にログオンします。

2. 左側のナビゲーションペインで、[リスクガバナンス] > [データの非識別化] を選択します。

3. [データの非識別化] ページで、[動的非識別化] タブをクリックします。

4. [動的非識別化] タブで、ExecDatamask オペレーションの呼び出しレコードを表示します。

   説明

   同じアカウントと IP アドレスを使用して ExecDatamask オペレーションを複数回呼び出した場合、1 つのレコードのみが保持されます。[累積呼び出し回数] が記録されます。

静的データマスキングの方法に基づいてマスキングされたデータを共有する方法の例

DSC は、OSS バケット内の構造化 CSV ファイルの機密データをマスキングするために使用できる静的データマスキングの方法を提供します。マスキングされたデータは、安全なデータ共有のために、同じアカウント内の特定の OSS バケットに保存できます。詳細については、OSS テーブルファイルの機密データをマスキングする をご参照ください。