Data Security Center (DSC) は、接続されたデータ資産をスキャンして機密情報を検出し、秘密度レベルおよびタイプに基づいて各検出結果を分類・グレーディングします。これにより、正確なアクセスの制御を適用し、データセキュリティ態勢を強化するために必要な可視性が得られます。
前提条件
作業を開始する前に、以下の条件を満たしていることを確認してください。
DSC がスキャン対象のデータ資産にアクセスできるように権限付与を行っています。詳細については、「アセットの権限付与」をご参照ください。
カスタム識別タスクを作成する場合は、少なくとも 1 つの有効な識別テンプレートが存在している必要があります。詳細については、「識別テンプレートの使用」をご参照ください。
タスクの種類
DSC では、次の 2 種類の識別タスクがサポートされています。スキャン要件に合ったタイプを選択してください。
| タスクの種類 | 使用タイミング |
|---|---|
| デフォルトタスク | アセットを権限付与すると自動的に作成されます。メイン識別テンプレートを使用します。すべての権限付与済みアセットに対する定期的な継続的スキャンに適しています。 |
| カスタム識別タスク | デフォルト以外のテンプレートで特定のアセットをスキャンする場合、複数のテンプレートを適用する場合、または過去の Simple Log Service (SLS) データをスキャンする場合に作成します。 |
デフォルトタスク
アセットを権限付与すると、DSC はそのアセットに対してメイン識別テンプレートを使用してデフォルトタスクを自動的に作成します。
識別テンプレート： デフォルトタスクは常に DSC 用に設定されたメイン識別テンプレートを使用します。この設定はタスクごとに変更できません。
メイン識別テンプレート：DSC で設定されたグローバルテンプレートです。組み込みの業界テンプレート（インターネット業界分類や車載インターネット分類など）またはカスタムテンプレートのいずれかになります。
共通識別テンプレート：メインテンプレートが組み込みの業界テンプレートの場合、DSC は「個人情報セキュリティ仕様 (GB/T 35273-2020)」標準に基づく共通識別テンプレートも併用します。
スキャンのトリガーとスケジュール：
ワンクリック接続 (データベース、Object Storage Service (OSS)、SLS)：
接続時に 今すぐアセットをスキャンして機密データを識別する。 を選択した場合、デフォルトタスクが即時実行されます。
上記オプションを選択しなかった場合は、手動でスキャンをトリガーします。分類とグレーディング > タスク > 識別タスク に移動し、デフォルトタスク をクリックしてから 再スキャン をクリックします。
アカウント/パスワード接続 (データベース)： 接続時にシステムがデフォルトタスクを作成します。その後、翌日から毎日定期的にスキャンが自動実行され、通常は早朝時間帯に行われます。
2 回のスキャン間の最小間隔は 24 時間です。
スキャン範囲：
データベースおよび OSS：初回実行時はフルスキャンを行い、以降の実行では新規または更新されたデータのみをスキャンします。
SLS：各スキャンでは、スキャン実行時刻を基準として前日の 00:00 ～ 24:00 のデータを対象とします。特定の過去の SLS データをスキャンするには、代わりにカスタム識別タスクを作成してください。
メイン識別テンプレートを変更しても、即時のスキャンはトリガーされません。新しいルールは次回のスケジュール実行時から適用されます。
カスタム識別タスク
カスタム識別タスクは、以下の目的で作成します。
メインテンプレートではなく、1 つ以上の有効な識別テンプレートを使用して特定のアセットをスキャンする。
カスタム時間範囲を指定して過去の SLS データをスキャンする。
システムでは、最大で 5 つのアクティブな定期識別タスク をサポートしています。この上限に達すると、それ以上定期スケジュール付きのタスクを作成できなくなります。
テンプレートが現在無効になっている場合は、カスタムタスクで選択する前に有効化してください。詳細については、「識別テンプレートの有効化」をご参照ください。
スキャン動作と制限事項
スキャンロジック
| タスクの種類 | 初回スキャン | 以降のスキャン |
|---|---|---|
| デフォルトタスク | アセット内のすべての権限付与済みデータのフルスキャン | 新規または更新されたデータオブジェクトのみをスキャン。手動または設定されたスケジュールでトリガーされる |
| カスタム識別タスク | 指定された識別範囲内のデータをスキャン | 指定された範囲内で新規または更新されたデータオブジェクトのみをスキャン |
前回のスキャン以降に変更されていないデータオブジェクトはスキップされます。
感度レベル
DSC は、機密データを S1 ～ S10 のスケールで分類します。数値が高いほど秘密度が高くなります。1 つのデータオブジェクトが複数の識別ルールに一致する場合、最も高い秘密度レベルが優先されます。N/A の結果は、機密データが検出されなかったことを意味します。
秘密度レベルの有効範囲は、関連付けられた識別テンプレートによって異なります。詳細については、「識別テンプレートの秘密度レベルの設定」をご参照ください。
スキャン対象オブジェクト単位
| アセットタイプ | スキャン対象オブジェクト単位 |
|---|---|
| データベース (RDS、PolarDB) | <Instance>/<Database>/<Table> — 各テーブルが 1 つのデータオブジェクト |
| ビッグデータ (Tablestore、MaxCompute) | <Instance>/<Table> — 各テーブルが 1 つのデータオブジェクト |
| OSS | <Bucket>/<File> — 各ファイルが 1 つのデータオブジェクト |
| SLS | <Project>/<Logstore>/<Time Segment> — データは 5 分単位のセグメントに分割され、各セグメントが 1 つのデータオブジェクト |
サンプリング制限
DSC は、検出カバー率とシステムパフォーマンスのバランスを取るためにデータをサンプリングします。
構造化データおよびビッグデータ (RDS、PolarDB、Tablestore、MaxCompute)：
デフォルトでは、各テーブルの先頭 200 行がサンプリングされます。この値はテーブルあたり最大 1,000 行まで増やすことができます。
サンプリングされた行内では、フィールドあたり先頭 10 KB のデータのみがスキャンされます。
非構造化データ (OSS)：
200 MB を超えるファイルはデフォルトでスキップされます。この制限はファイルあたり最大 1,000 MB まで引き上げることができます。
圧縮またはアーカイブファイルの場合、先頭 1,000 個の子ファイルのみがスキャンされます。
1 つのスキャンタスクでは、バケットあたり最大 4 オブジェクトを同時スキャンします。
QPS 制限：1 つのスキャンタスクによる OSS バケットへの API リクエストは 1 秒あたり最大 100 件です。
帯域幅制限：1 つのスキャンタスクあたりの内部アウトバウンド帯域幅は最大 200 MB/s です。
DSC はテキスト、Office ドキュメント、画像、設計ファイル、コード、バイナリ、アーカイブ、アプリケーション、音声、動画、化学構造ファイルなど、800 種類以上の OSS ファイル形式をサポートしています。完全な一覧については、「識別可能な OSS ファイル形式」をご参照ください。
非構造化データ (SLS)：
200 MB を超えるファイルはスキップされます。
すべての制限事項の包括的なリファレンスについては、「使用制限」をご参照ください。
スキャン速度
以下の推定値は参考情報です。実際の速度はシステム負荷やデータの複雑さによって異なります。
| データタイプ | 推定スキャン速度 |
|---|---|
| 構造化データ (RDS、PolarDB) およびビッグデータ (Tablestore、MaxCompute) | 1,000 テーブル以上のデータベースの場合、約 1 分あたり 1,000 カラム (200 行サンプル) |
| 非構造化データ (OSS、SLS) | 1 TB あたり 6～48 時間（平均 24 時間）。ファイル形式のディストリビューションに依存 |
ベストプラクティス
| 推奨事項 | 詳細 |
|---|---|
| リスクの高いアセットを優先 | 一度にすべてのデータをスキャンできない場合は、頻繁にアクセスされる、頻繁に更新される、または不審な操作の対象となるアセットから開始してください。 |
| まずはターゲットを絞ったパイロットスキャンを実施 | 本格展開前に、特定のデータベースまたは OSS バケットに限定して初期スキャンを実施し、識別ルールを検証・調整してください。すべての識別ルールを無差別に有効化しないでください。汎用ルール（日付、時刻、URL など）は大規模データセットで誤検知を大量に発生させる可能性があります。ビジネスコンテキストに関連するルールのみを有効化してください。構造化データの場合は、サンプルサイズが代表的なデータを十分にキャプチャできる大きさであることを確認してください。 |
| スキャンスケジュールをデータ更新頻度に合わせる | データの変更頻度に応じて、タスクを毎日、毎週、または毎月実行するように設定してください。定期的なスキャンにより、新しい機密データをタイムリーに検出できます。パフォーマンスへの影響を最小限に抑えるため、スキャンはピーク時間外にスケジュールしてください。 |
デフォルト識別タスクの管理
デフォルトタスクは、すべての権限付与済みアセットにわたる機密データの継続的な可視性を提供します。表示、設定、一時停止、終了、再有効化は可能ですが、削除はできません。
デフォルトタスクの表示
Data Security Center コンソール にログインします。
左側のナビゲーションウィンドウで、分類とグレーディング > タスク に移動します。
タスク ページで、識別タスク タブをクリックし、次に デフォルトタスク をクリックします。
検出タスクモニタリング ページで、デフォルトタスクの一覧を表示します。
このページから、以下の操作を実行できます。
| 操作 | 説明 |
|---|---|
| 再スキャン | 即時フルスキャンをトリガーして結果を更新します。メイン識別テンプレートを更新後、識別モデルをスペックアップ後、またはデータに大幅な変更が発生した場合に使用します。 |
| 一時停止 | 実行中のデフォルトタスクを一時的に停止します。たとえば、データベースパフォーマンスの問題を検出した場合などに使用します。 |
| 終了 | 現在のタスク実行を停止し、今後のサイクルでのデフォルトタスクの実行を防止します。 |
| 有効化 | 終了したタスクを再有効化します。 |
デフォルトタスクは削除できません。
スキャン設定の構成
デフォルトタスクのスケジュールをカスタマイズします。スキャン周期をデータ更新頻度に合わせて設定してください（最小：毎日）。
検出タスクモニタリング ページで、設定するタスクのチェックボックスをオンにしてから、タスクリストの上部にある スキャン設定 をクリックします。
スキャン設定 ダイアログボックスで、スキャン周期と自動スキャン開始時刻を設定し、OK をクリックします。
データベースへの影響を最小限に抑えるため、開始時刻をピーク時間外に設定してください。
スキャン中の CPU およびメモリ使用量を監視してください。異常が発生した場合は、直ちにタスクを一時停止または終了してください。
カスタム識別タスクの作成
カスタム識別タスクを使用すると、デフォルト以外のスケジュールで特定のアセットをスキャンしたり、専用テンプレートを使用したりできます。
システムでは、最大で 5 つのアクティブな定期識別タスク をサポートしています。この上限に達すると、それ以上定期タスクを作成できなくなります。
カスタム識別タスクの作成
開始前に、使用する識別テンプレートが有効になっていることを確認してください。詳細については、「識別テンプレートの使用」をご参照ください。
左側のナビゲーションウィンドウで、分類とグレーディング > タスク に移動します。
識別タスク タブで、タスクを作成する アセットタイプ を選択し、作成 をクリックします。
作成 パネルで、以下に説明するパラメーターを設定し、OK をクリックします。
基本情報：
| パラメーター | 説明 |
|---|---|
| アセットタイプ | 前のステップで選択したアセットタイプが表示されます。変更できません。 |
| タスク名 | タスクの名前を入力します。 |
| タスクメモ | （オプション）タスクに関するメモを入力します。 |
タスクとプラン：
タスク開始時刻を選択します。
即時スキャン：作成後にすぐにタスクを実行します。
定期スキャン：スケジュールされた頻度でタスクを実行します。スキャン頻度 および スキャン時刻 (構造化データのみ) を設定します。スケジュールに加えて即時実行もトリガーする場合は、今すぐ 1 回スキャン を選択します。
スキャン時刻 設定は構造化データアセットにのみ適用されます。非構造化データのスキャンは、システムリソースの可用性に応じて実行されます。
識別テンプレート：このタスクで使用する有効な識別テンプレートを最大 2 つ選択します。テンプレートの有効化方法の詳細については、「識別テンプレートの使用」をご参照ください。
識別範囲：
構造化データ (RDS、PolarDB) の場合：
| パラメーター | 説明 |
|---|---|
| 構造化データの識別範囲 | グローバルスキャン：すべての権限付与済み構造化アセットをスキャンします。スキャン範囲の指定：特定のインスタンスおよびデータベースを選択します。複数のインスタンスを追加するには、識別範囲の追加 をクリックします。 |
| スキャン制限 | テーブルあたりのサンプリング行数。デフォルト：200 行。最大：1,000 行。 |
非構造化データ (OSS) の場合：
| パラメーター | 説明 |
|---|---|
| オブジェクト | グローバルスキャン：すべての権限付与済み OSS バケットをスキャンします。スキャン範囲の指定：特定のバケットを選択し、オプションでフィルター（プレフィックス、ディレクトリ、サフィックス）を使用して特定のファイルを含めるまたは除外します。 |
| サンプリング方法 | ListObjects API を使用してデータを取得します。グローバルスキャン：すべてのデータをスキャンします。カスタム深度：サンプリング比率（サンプリングレート）に基づいてスキャンします。たとえば、レートが 1/10 の場合、1 番目のファイルをスキャンし、9 つスキップして 11 番目をスキャンします。 |
| スキャン深度 | グローバルスキャン：ディレクトリパス全体をスキャンします。スキャン範囲の指定：深さをレベル 1～10 に制限します。たとえば、「5」と入力すると、上位 5 階層のディレクトリのみをスキャンします。 |
| スキャン制限 | スキャン対象の最大ファイルサイズ。デフォルト：200 MB。最大：1,000 MB。制限を超えたデータはスキップされます。 |
| すべての識別結果を SLS に同期 | フルスキャンログを Simple Log Service に送信するには選択します。 |
非構造化データ (SLS) の場合：
| パラメーター | 説明 |
|---|---|
| アセット範囲 | グローバルスキャン：すべての権限付与済み SLS プロジェクトをスキャンします。スキャン範囲の指定：特定のプロジェクトおよび Logstore を選択します。 |
| 時間範囲 | 直近 15 分、直近 1 時間、昨日、直近 1 日、直近 7 日、直近 30 日。カスタム：5 分単位（ステップサイズ：5 分）でカスタム範囲を指定します。 |
その他の設定：
| パラメーター | 説明 |
|---|---|
| タグ付け結果の上書き | 手動タグ付け結果をスキップ：手動修正を保持します。手動タグ付け結果を上書き：手動修正を新しいスキャン結果で置き換えます。 |
カスタム識別タスクの変更または削除
編集：カスタム識別タスクの設定を再構成します。すべてのパラメーターを変更できます。
> 削除（その他の操作メニュー
経由）：不要になったカスタム識別タスクを削除します。
タスク操作の管理
タスクの再スキャン
識別モデルがスペックアップされた場合やデータに大幅な変更が発生した場合は、再スキャンをトリガーします。再スキャンにより、指定されたアセットの即時フルスキャンが実行されます。
スキャンタイプ が 即時スキャン に設定されているカスタムタスクでは、再スキャンはサポートされていません。再スキャンの前に、関連する識別テンプレートが有効になっていることを確認してください。パフォーマンスへの影響を最小限に抑えるため、この操作はピーク時間外に実行してください。
識別タスク タブで、再スキャンをトリガーします。
カスタム識別タスク：タスクリストで、操作 列の 再スキャン をクリックします。
デフォルトタスク：デフォルトタスク をクリックし、対象アセットを見つけて、操作 列の 再スキャン をクリックします。
スキャンステータス 列で進捗を追跡します。
タスクの一時停止または終了
一時停止：実行中のタスクを一時的に停止します。サービス異常時に便利です。操作 列の 一時停止 をクリックします。
終了：現在のタスクを停止し、そのタスクの今後のすべての実行を防止します（カスタム識別タスクおよびデフォルトタスクの両方に適用）。
正しい識別結果
DSC がデータを誤って識別した場合（誤検知）や機密データを見逃した場合（偽陰性）、結果を手動で修正できます。これらの修正により、システムの精度が時間とともに向上します。
タスク ページで、修正タスク タブをクリックします。
左側のナビゲーションウィンドウで、管理するアセットタイプをクリックします。
対象の機密データの 操作 列で、修正 または 再開 をクリックします。画面の指示に従って 修正モデル を変更し、OK をクリックします。
再開後、以前の識別モデルが復元されます。
結果の表示とエクスポート
メイン識別テンプレートによる最新のスキャン結果は、データ分類 > アセットインサイト ページで確認できます。詳細については、「機密データ識別結果の表示」をご参照ください。
結果をダウンロードするには、対象の識別テンプレートおよびデータアセットを指定してエクスポートタスクを作成します。
エクスポート結果は、正常に識別タスクが完了したアセットおよびテンプレートに対してのみ利用可能です。
エクスポートタスクの作成
タスク ページで、エクスポートタスク タブをクリックします。
作成 をクリックします。
エクスポートタスクを設定します。
基本情報 セクションで、タスク名を入力し、識別タスクで使用された識別テンプレートを選択します。有効な識別テンプレートのみを選択できます。
エクスポート次元 セクションで、アセットタイプ または アセットインスタンス を選択します。
アセットタイプ：エクスポートするアセットタイプを選択します。
アセットインスタンス：エクスポートする特定のアセットインスタンスを選択します。
OK をクリックします。
エクスポートタスクを作成すると、そのステータスがエクスポートタスクリストに表示されます。データセットが大きいほど、エクスポートに時間がかかります。
エクスポート結果のダウンロード
エクスポートステータス が 完了 に変わることを待ちます。
対象のエクスポートタスクの 操作 列で、ダウンロード をクリックします。
エクスポートデータは完了後 3 日以内にダウンロードしてください。3 日を過ぎるとタスクが有効期限切れとなり、エクスポートデータは利用できなくなります。
次のステップ
識別テンプレートの表示と設定 — 識別タスクで使用する識別ルールおよびテンプレートを設定します。
サポートされているデータアセットタイプ — DSC が機密データをスキャンできるアセットタイプを確認します。
データスキャンおよび識別 — 識別タスクに関する一般的な問題をトラブルシューティングします。