BigQuery の列レベルのセキュリティで、きめ細かなアクセス制御を
Google Cloud Japan Team
※この投稿は米国時間 2020 年 4 月 2 日に、Google Cloud blog に投稿されたものの抄訳です。
Google Cloud でお客様が自社のデータを管理する際に役立つ重要な機能をご紹介します。新しくリリースされた BigQuery の列レベルのセキュリティ管理機能は、データの取扱いのためのクラスが区別されたデータにポリシーを設定するうえで重要となる機能です。この機能により、GDPR や CCPA といったデータの取り扱いのためのクラス分けが必須となる規制に準拠できるようになります。
BigQuery を使用している組織は、プロジェクトやデータセット、テーブルと言う概念により、すでにデータコンテナの管理を行い、「最小限の権限」の原則を満たしています。しかし、PHI（医療にかかわる患者の個人情報 - Patient Health Information ）や PII（個人を特定できる情報 - Personally Identitifiable Information ）など、特定のデータクラスに対し個別のアクセス権を求めるニーズが高まっています。たとえテーブルにアクセスできたとしても、そのテーブルの機密データを表示させないようにする場合などです。
ここで役立つのが列レベルのセキュリティです。列レベルのセキュリティでは、組織で使用するデータクラスを定義できます。BigQuery の列レベルのセキュリティは、BigQuery コンソールのスキーマ画面において、列に適用される新しいポリシータグとして設定でき、Data Catalog の階層分類で管理されます。
分類は通常、次の 2 つのレベルで構成されています。
●ルートノード: データクラスが定義されている場所
●リーフノード: ポリシータグでデータ型を説明する場所（電話番号や住所など）
上述の抽象化レイヤを使用すると、ルートノードでポリシーを管理でき（これらのルードノードをデータクラスとして使用することを推奨）、リーフノードを介して各列の管理やタグの設定ができます。ポリシータグは、列のコンテンツの意味を示しています。
高度に規制された業界で事業を行っている組織やチームは、機密データに対して格段の注意を払う必要があります。「BigQuery の列レベルのセキュリティにより、データやクエリを簡単に共有できる一方で、非常にセキュリティの高いデータは必要な人しか利用できないようになっているため安心できます」と、Prosper Marketplace 社のデータ アーキテクトである Ben Campbell 氏は述べています。
BigQuery での列レベルのセキュリティの全体像は以下のとおりです。
上記の例では、組織におけるデータの機密性は、制限付き、機密、制限なし、の 3 つのカテゴリに分類できます。この特定の組織の場合、PHI と PII の両方が厳しい制限付き、財務データが機密のカテゴリに該当します。リーフノードには、たとえば Google Cloud データ損失防止（DLP）で検出可能な情報など、さまざまな情報の種類が含まれていることがわかります。そのため、リーフノード（または中間ノード）を、制限付きのデータクラスから、機密性の低いデータクラスに移動できます。ルートノードでポリシーを管理する場合、適用されたポリシーを変更するために、列にタグを再設定する必要はありません。リーフノードの移動によって、規制やコンプライアンス要件の変更を反映できます。たとえば、「郵便番号」を「制限なしデータ」から「PII」に移動します。すると即座に、該当のデータは制限付きのアクセスになります。
BigQuery の列レベルのセキュリティについて確認する
BigQuery のスキーマ画面で、BigQuery の列に適用される関連ポリシーを確認できます。アクセス権がない列に対してクエリを実行しようとすると（バナー通知とフィールドのグレー表示により明確に表示され）、アクセスは確実に拒否されます。アクセス制御は、BigQuery データ（API、ビューなど）のアクセスに使用されるすべての方法に適用されます。
以下のようになります。
Google Cloud では、BigQuery（および Google Cloud）のデータ ガバナンス機能を強化して、アクセス、アクセス中のデータ変換、データ保持に関するより多くの制御を提供し、Google Cloud のさまざまなストレージ システム全体にわたるデータ ガバナンスを包括的に実現できるよう絶えず取り組んでいます。この機能をぜひお試しください。
- By Google Cloud データ ガバナンス担当プロダクト マネージャー Uri Gilad、BigQuery ソフトウェア エンジニア Thibaud Hottelier
