Data Security Center (DSC) は、識別特徴量、識別モデル、識別テンプレートの 3 階層構造を使用して、資産内の機密データをスキャンします。組み込みテンプレートは、金融サービス、クラウドセキュリティ、電力、モノのインターネット (IoV)、インターネット業界など、一般的な業界をカバーしています。要件に合うものがない場合は、ゼロからカスタムテンプレートを作成するか、組み込みテンプレートをコピーして作成できます。
基本概念
識別テンプレートの階層
識別テンプレートには 1 つ以上の識別モデルが含まれ、各識別モデルには 1 つ以上の識別特徴量が含まれます。
| 用語 | 説明 |
|---|---|
| 識別特徴量 | 基本的な検出単位です。特徴量は、コンテンツ識別、メタデータ識別、辞書識別をサポートし、正規表現、「含む」、「含まない」などの演算子を使用します。複数のルールを AND または OR で組み合わせることで、複雑な検出ロジックを構築できます。DSC は、組み込みの識別特徴量を提供し、カスタム識別特徴量もサポートしています。 |
| 識別モデル | 1 つ以上の識別特徴量から構築され、最終的な識別結果を生成します。モデルは、データベースインスタンス、テーブル、OSS バケット、Simple Log Service Logstore、ファイルディレクトリなど、特定の資産タイプに範囲を限定できます。DSC は、組み込みの識別モデルを提供し、カスタム識別モデルもサポートしています。 |
| 識別テンプレート | 特定の業界やコンプライアンス基準に合わせて調整された識別モデルのコレクションです。DSC は、組み込みの識別テンプレートを提供し、カスタム識別テンプレート (最大 10 個) もサポートしています。 |
テンプレートタイプ
| テンプレートタイプ | 説明 |
|---|---|
| 組み込み識別テンプレート | DSC が提供する業界固有のテンプレートです：金融業界向けデータ分類テンプレート、クラウドセキュリティ向け内部セキュリティテンプレート、電力業界向けデータ分類テンプレート、モノのインターネット (IoV) 業界向けデータ分類テンプレート、インターネット業界向けデータ分類テンプレート。組み込みテンプレートは有効化または無効化のみ可能で、感度レベル、識別特徴量、識別モデルはカスタマイズできません。 |
| カスタム識別テンプレート | 組み込みテンプレートが要件を満たさない場合に、独自のテンプレートを作成します。カスタムの識別特徴量とモデルを設定できます。カスタム識別テンプレートの最大数は 10 です。 |
識別タスクにおけるテンプレートのロール
DSC は、有効化された各テンプレートに次の 3 つのロールのいずれかを割り当てます：
| ロール | 説明 |
|---|---|
| メイン識別テンプレート | デフォルトの識別タスクで使用されます。メインテンプレートは1つだけ許可されており、無効化することはできません。デフォルトのメインテンプレートは、[インターネット業界向けデータ分類テンプレート]です。DSC コンソールでは、[Asset Insight] ページの分類とグレーディングセクションで、メインテンプレートに基づいた識別結果が表示されます。 |
| アクティブな識別テンプレート | カスタム識別タスクで選択可能な、有効化された組み込みまたはカスタムテンプレートです。一度に最大 2 つのアクティブな識別テンプレートを有効にできます。 |
| 共通識別テンプレート | GB/T 35273-2020 (情報セキュリティ技術 - 個人情報セキュリティ仕様) に準拠して個人情報を保護するために、組み込みテンプレートと同時に自動的に適用されます。共通識別テンプレートは、識別タスクで手動で選択することはできません。 |
カスタム識別タスクを作成する際には、メイン識別テンプレートとアクティブな識別テンプレートを選択します。合計で最大 2 つのテンプレートを選択できます。詳細については、「カスタム識別タスクの作成」をご参照ください。
感度レベル
DSC は、機密データを S1 (最低) から S10 (最高) までのスケールで分類します。識別モデルで利用可能な感度レベルは、関連付けられたテンプレートによって決定されます。
| レベル | 説明 |
|---|---|
| N/A | 現在のテンプレートに一致する機密データは検出されませんでした。 |
| S1 | 非機密データ。通常、漏洩しても損害は発生しません。例：都道府県、市町村、製品名。 |
| S2 | 中程度の機密データ。漏洩すると低レベルの損害が発生します。例：氏名、住所。 |
| S3 | 高機密データ。少量でも漏洩すると深刻な損害が発生します。例：ID ドキュメント、アカウントパスワード、データベース情報。 |
| S4 | コア機密データ。いかなる状況でも漏洩してはなりません。例：遺伝子、指紋、虹彩情報。 |
組み込みの識別モデルと特徴量の表示
組み込み識別モデルの表示
Data Security Center コンソールにログインします。
左側のナビゲーションウィンドウで、[分類とグレーディング] > [設定] を選択します。
[識別モデル] タブで、[すべてのソース] ドロップダウンリストから [組み込み] を選択します。検索ボックスにモデル名を入力し、
アイコンをクリックして特定のモデルを検索します。
[操作] 列で [詳細] をクリックして、モデルの識別ルールとしきい値を表示します。特定の識別特徴量を表示するには、特徴量名をコピーし、[識別特徴量] タブで検索します。
組み込み識別特徴量の表示
Data Security Center コンソールにログインします。
左側のナビゲーションウィンドウで、[分類とグレーディング] > [設定] を選択します。
[識別特徴量] タブで、[ソース] ドロップダウンリストから [組み込み] を選択します。検索ボックスにキーワードを入力し、
アイコンをクリックして特定の特徴量を検索します。
カスタム識別モデルと特徴量の作成
カスタム識別モデルの作成
モデルの直接作成
[識別モデル] タブで、[作成] をクリックします。
[作成] パネルで、以下のパラメーターを設定し、[OK] をクリックします。
基本情報
パラメーター 説明 モデル名 カスタム識別モデルの名前。 モデルの説明 (任意) モデルの説明。 タグ (任意) [個人機密情報]、[個人情報]、または [一般情報] を選択します。 データカテゴリ (任意) モデルをカスタム識別テンプレート、機密データカテゴリ、および感度レベルに関連付けます。カスタム識別テンプレートのみ選択できます。 モデルルール
パラメーター 説明 識別特徴量 1 つ以上の組み込みまたはカスタム識別特徴量を選択します。複数の特徴量は OR 論理演算子で評価されます。 識別範囲 (任意) モデルが適用される資産タイプを選択します。複数の資産タイプは OR 論理演算子で評価されます。 詳細設定 (任意) 資産タイプと条件グループによって、より正確な識別範囲を定義します。資産タイプを選択し、条件間で AND または OR を選択し、[条件の追加] または [グループの作成] をクリックして複合条件を構築します。 識別しきい値
パラメーター 説明 最小ヒット数 (非構造化データ) 単一の OSS オブジェクトが機密として分類されるために必要な特徴量ヒットの最小数。たとえば、しきい値が 1 の場合、ファイルがモデル内の少なくとも 1 つの特徴量に一致すれば、機密として識別されます。 ヒット率 (構造化データ) ApsaraDB RDS などの構造化データについて、200 のデータサンプル全体での最小ヒット率。たとえば、50% の場合、200 サンプルのうち少なくとも 100 がモデルに一致すれば、列は機密として識別されます。
既存モデルからのサブモデルの作成
サブモデルは親モデルの識別特徴量を継承するため、元のモデルを変更せずにわずかなバリエーションが必要な場合に便利です。
[識別モデル] タブで、拡張したいモデルを見つけ、[操作] 列の [サブモデルの作成] をクリックします。
[サブモデルの作成] パネルで、パラメーターを設定し、[OK] をクリックします。[モデル] と [識別特徴量] パラメーターは親モデルから継承され、変更できません。[補完的な特徴量] を追加して検出範囲を拡張します。他のすべてのパラメーターは、モデルの直接作成と同じ設定に従います。
選択したモデル自体がサブモデルである場合、その [モデル] と [識別特徴量] は変更されません。
カスタム識別特徴量の作成
[識別モデル] タブで、[特徴量の追加] をクリックします。
[特徴量の追加] パネルで、以下のパラメーターを設定し、[OK] をクリックします。
パラメーター 説明 特徴量名 カスタム識別特徴量の名前。 一致項目 ルール一致：[ルールの追加] を使用して特徴量ルールを構築します。ルールは AND または OR ロジックを使用できます。[例外ルール] を有効にすると、除外すべきパターンを定義できます。例外ルールに一致するデータは、特徴量ルールに一致してもフラグ付けされません。辞書一致：キーワードを入力して Enter キーを押します。各キーワードは 1～128 文字です。キーワードにカンマを含めることはできません (カンマはキーワード間の区切り文字として扱われます)。あいまい一致がサポートされています。 データタイプ 識別するデータのタイプ：[構造化データ] または [非構造化データ]。
識別モデルの有効化または無効化
識別モデルは、識別テンプレートが有効になるために有効化されている必要があります。組み込みテンプレート内の組み込みモデルは、デフォルトで有効になっています。
「[識別モデル]」タブで、モデルを見つけ、「[ステータス]」列の 
または 
アイコンをクリックして、その状態を切り替えます。
ステータスの変更は、進行中の識別タスクには影響しません。新しいステータスは次回の実行時に有効になります。
組み込み識別テンプレートの詳細の表示
Data Security Center コンソールにログインします。
左側のナビゲーションウィンドウで、[分類とグレーディング] > [設定] を選択します。
[テンプレート管理] タブで、[テンプレートの設定] をクリックし、[タイプ] が [組み込み] に設定されているテンプレートを見つけます。
[操作] 列の [表示] をクリックして、テンプレート内のすべての機密データカテゴリと識別モデルを表示します。モデルの識別特徴量としきい値を確認するには、モデル名をコピーし、[識別モデル] タブで検索します。
カスタム識別テンプレートの作成
テンプレートの直接作成
[テンプレート管理] タブで、[テンプレートの設定] をクリックし、次に [新しいテンプレート] をクリックします。
[新しいテンプレート] ページで、[基本情報] セクションにテンプレート名と説明を入力し、[次へ] をクリックします。
[テンプレートの設定] ステップで、機密データカテゴリと識別モデルを設定し、[OK] をクリックします。
機密データカテゴリの設定：
[テンプレートノードの設定] セクションで、[カテゴリの作成] をクリックします。カテゴリ名を入力し、[OK] をクリックします。
カテゴリの横にある
アイコンをクリックし、[同レベルのカテゴリを追加] または [サブカテゴリの追加] を選択して、カテゴリ階層を構築します。
必要に応じて繰り返し、複数のカテゴリを作成します。
カテゴリへの識別モデルの追加：
カテゴリの横にある
アイコンをクリックし、[作成] をクリックします。[作成] ダイアログボックスで、追加する識別モデルを選択し、[ステータス] 列の
をオンにし、[OK] をクリックします。
データタグ、モデルタイプ、またはモデル名でモデルをフィルタリングします。組み込みとカスタムの両方の識別モデルを選択できます。
重要テンプレートでモデルを有効にすると、そのテンプレートを使用するすべてのタスクでその識別ルールがアクティブになります。
既存テンプレートのコピーによる作成
既存のテンプレートが要件に近い場合、コピーする方が高速です。
[テンプレート管理] タブで、[テンプレートの設定] をクリックします。
組み込みテンプレートをコピーする場合：テンプレートを見つけ、[操作] 列の [コピー] をクリックします。
カスタムテンプレートをコピーするには、テンプレートを見つけ、[アクション] 列の
をクリックし、[コピー] を選択します。
[テンプレートのコピー] ダイアログボックスで、デフォルト名は
<元のテンプレート名>+copyです。必要に応じて名前を更新し、[OK] をクリックします。新しいテンプレートを見つけ、[操作] 列の [編集] をクリックします。テンプレート名、機密データカテゴリ、識別モデルを調整し、[OK] をクリックします。
その他の操作
テンプレートの削除
削除できるのは、カスタム識別テンプレートのみです。テンプレートを削除するには、[テンプレートの設定]をクリックし、テンプレートを見つけ、[操作]列の
アイコンをクリックして、[削除]を選択します。テンプレートを削除すると、そのテンプレートに属するすべてのカスタム識別モデルも削除されます。
機密データカテゴリの管理
機密データカテゴリは、カスタム識別テンプレートに対してのみ設定できます。[テンプレート管理] タブで、[テンプレートの設定] をクリックし、テンプレートを見つけ、[操作] 列の [編集] をクリックし、次に [次へ] をクリックします。[テンプレートノードの設定] セクションで：
カテゴリの追加：既存のカテゴリの横にある
アイコンをクリックし、[同レベルのカテゴリを追加] を選択します。カテゴリ名の変更：カテゴリの入力ボックスをクリックして名前を編集します。
カテゴリの削除：カテゴリの横にある
アイコンをクリックし、[削除] を選択します。
テンプレート内の識別モデルの管理
組み込みテンプレートの場合、モデルの有効化または無効化のみが可能です。カスタムテンプレートの場合、[テンプレートノードの設定] セクションで：
モデルの追加：カテゴリの横にある
アイコンをクリックし、[作成] を選択します。モデルの削除：カテゴリの横にある
アイコンをクリックし、モデルを見つけて 
アイコンをクリックします。
感度レベルの設定
感度レベルの設定は、テンプレートタイプによって異なります：
組み込みテンプレート：感度レベルの説明のみ変更できます。レベルの作成と削除はサポートされていません。
カスタムテンプレート (直接作成)：デフォルトで 10 の感度レベルが設定されています。S10 のみ削除できます。最大 10 レベルまでサポートされています。
カスタムテンプレート (コピーして作成)：デフォルトのレベルはコピー元のテンプレートと一致します。デフォルトのレベルは削除できません。
[テンプレート管理] タブで、[感度レベルの設定] タブをクリックし、[変更中のテンプレート] を対象のテンプレートに設定します。その後：
レベルの削除：レベルを見つけ、[操作] 列の [削除] をクリックします。
レベルの作成：[カスタム感度レベルの設定] をクリックします。
レベルの編集：レベルを見つけ、[操作] 列の [編集] をクリックします。
識別テンプレートの有効化とメインテンプレートの設定
識別テンプレートの有効化
テンプレートが設定されていない場合、組み込みの新国家標準テンプレートがデフォルトで有効になり、メインテンプレートとして設定されます。識別タスクで別のテンプレートを使用するには、まずそれを有効にする必要があります。
一度に最大 2 つの識別テンプレートを有効にできます。有効化されたテンプレートは [有効なテンプレート] セクションに表示されます。
[テンプレート管理] タブで、[テンプレートの設定] をクリックします。
有効にしたいテンプレートを探し、[ステータス] 列の
アイコンをクリックします。ステータスが 
に変更されることを確認します。
メイン識別テンプレートの設定
メインテンプレートは、デフォルトの識別タスクで使用されます。デフォルトのタスクで別のテンプレートに対してスキャンを実行したい場合にこれを変更します。
有効化されたテンプレートのみがメインテンプレートとして設定できます。メインテンプレートを変更する前に、現在それに関連付けられているすべての識別タスクを終了してください。詳細については、「識別タスクの終了」をご参照ください。
[テンプレート管理] タブで、[テンプレートの設定] をクリックします。[有効なテンプレート] セクションで、メインテンプレートとして設定したいテンプレートを見つけ、[メインテンプレート] をクリックします。
確認メッセージで [続行] をクリックします。変更後、テンプレートは [メインテンプレート] としてマークされ、選択不可になります。
制限事項
| リソース | 制限 |
|---|---|
| アカウントあたりのカスタム識別テンプレート数 | 10 |
| 一度に有効にできる識別テンプレート数 | 2 |
| カスタム識別テンプレートあたりの感度レベル数 | 10 |
| 辞書一致のキーワード長 | 1～128 文字 |
| 構造化データのヒット率に使用されるデータサンプル数 | 200 |
次のステップ
有効化された識別テンプレートを使用して、資産全体の機密データをスキャンします。詳細については、「識別タスクを使用した機密データのスキャン」をご参照ください。