DMS の分類とレベル分けスキャンは、ご利用のデータベース内の機密データを検出します。識別ルールに一致するフィールドに分類とレベル分けのタグを自動的に適用し、高いセキュリティレベルのフィールドを保護し、スキャン結果に機密フィールドを明確に表示します。
原則
DMS の分類とレベル分けスキャンは、識別モデルベースのスキャンと分類とレベル分けベースのスキャンからなる 2 層のプロセスです。システムはまず、識別モデルを使用してテーブルのフィールドとそのデータをスキャンし、名前や日付などの情報タイプを特定します。次に、その結果に基づいて、分類とレベル分けスキャンが、インスタンスに関連付けられた分類とレベル分けテンプレートのルールを適用します。これにより、ビジネス目的でフィールドが分類され、各フィールドにセキュリティレベルとデータマスキングアルゴリズムが自動的に割り当てられます。
分類とレベル分けスキャンは識別モデルベースのスキャンの出力を使用しますが、2 つのプロセスは独立しており、互いに干渉しません。
識別モデルのスキャン
識別モデルベースのスキャンは、次の 2 つの識別メソッドをサポートしています。
データ内容の識別 (正規表現一致)
DMS は、フィールドの内容を識別モデルと照合することで、フィールドを分類します。たとえば、識別モデルが「ID カード」という名前で、フィールドのデータが ID カードの検証アルゴリズムに一致する場合、DMS はそのフィールドを ID カードタイプとしてタグ付けします。
スキャンの効率を確保するため、DMS はデータのランダムサンプルからデータ内容を識別します。サンプル内で一致したデータが特定のしきい値を超えた場合、システムはそれに応じてフィールドを分類します。
メタデータ識別
DMS は、フィールド名を識別モデルと照合することで、フィールドを分類します。たとえば、組み込みの ID カード識別モデルがテーブル内で id_card のようなフィールド名を検出すると、そのフィールドを ID カードタイプとしてタグ付けします。
識別結果
DMS は、1 つのフィールドに対して最大 3 つの識別結果を保存します。
-
DMS は組み込みの識別モデルを提供しており、カスタムモデルを作成することもできます。カスタム識別モデルは、データ内容の識別のみをサポートします。
-
識別モデルは、無効または有効 (デフォルト) に設定できます。システムは、有効になっている識別モデルのみを使用してフィールドをスキャンします。
分類とレベル分けスキャン
分類とレベル分けスキャンの実行中、DMS は各フィールドを分類ルールのセットと照合します。フィールドがルールの基準を満たす場合、DMS はそのルールの分類をフィールドに適用します。
分類ルールの評価
まず、システムは分類とレベル分けテンプレート内のすべての有効な分類ルールをフィルターします。次に、各フィールドについて、次の 3 つのステップでフィールドを評価します。
-
識別モデルの照合。DMS は、フィールドに一致した識別モデルと、分類ルールで指定された識別モデルとの間に重複があるかどうかを確認します。
たとえば、モデル A とモデル B がフィールドに一致し、分類ルールがモデル B とモデル C を指定している場合、共通部分はモデル B です。重複が存在するため、DMS は次のステップに進みます。重複が存在しない場合、そのルールは適用されず、DMS は次のルールを評価します。
-
識別範囲の評価。DMS は、フィールドのメタデータ (データベース名、テーブル名、フィールド名、フィールドの説明など) が、ルールの識別範囲と一致するかどうかを確認します。
メタデータが一致する場合、このルールによる分類はフィールドの候補結果として一時的に保存され、DMS はそのフィールドに対して次の分類ルールの評価に進みます。
-
最終的な分類の割り当て。すべての分類ルールがフィールドに対して評価された後、DMS は分類を割り当てます。
一致するルールが 1 つだけの場合、DMS はその分類をフィールドに適用します。複数のルールが一致する場合、DMS はそれらをセキュリティレベルの昇順でソートし、最も高いセキュリティレベルを持つルールの分類を適用します。
次の図は、単一のフィールドに対する分類と等級付けに基づくスキャンプロセスを示しています。