Cloud Data Loss Prevention（Cloud DLP）は機密データの保護の一部になりました。API 名は Cloud Data Loss Prevention API（DLP API）のままです。機密データの保護を構成するサービスについては、機密データの保護の概要をご覧ください。

このページは Cloud Translation API によって翻訳されました。

組織またはフォルダの Cloud SQL データをプロファイリングする

このページでは、組織またはフォルダレベルで Cloud SQL データ検出を構成する方法について説明します。プロジェクトをプロファイリングする方法については、単一プロジェクトの Cloud SQL データをプロファイリングするをご覧ください。

検出サービスの詳細については、データプロファイルをご覧ください。

仕組み

Cloud SQL データのプロファイリングの概要的なワークフローは次のとおりです。

スキャン構成を作成する

スキャン構成を作成すると、Sensitive Data Protection によって Cloud SQL インスタンスの識別と各インスタンスへのデフォルトの接続の作成が開始します。検出の対象となるインスタンスの数によっては、このプロセスに数時間かかることがあります。Google Cloud コンソールを終了し、後で接続を確認できます。
スキャン構成に関連付けられたサービスエージェントに、必要な IAM ロールを付与します。
デフォルトの接続の準備ができたら、適切なデータベースユーザー認証情報で各接続を更新し、Sensitive Data Protection のCloud SQL インスタンスへのアクセスを許可します。既存のデータベースユーザーアカウントを指定することも、データベースユーザーを作成することもできます。

注: Cloud SQL for PostgreSQL インスタンスでは、サービスエージェントをデータベースユーザーとして使用することもできます。
推奨: Sensitive Data Protection がデータのプロファイリングに使用できる接続の最大数を増やします。接続数を引き上げると、検出の高速化が可能になります。

サポート対象のサービス

この機能は次のサービスをサポートしています。

Cloud SQL for MySQL
Cloud SQL for PostgreSQL

Cloud SQL for SQL サーバーはサポートされていません。

処理とストレージのリージョン

Sensitive Data Protection はリージョンサービスとマルチリージョンサービスであり、ゾーンは区別されません。Sensitive Data Protection が Cloud SQL インスタンスをプロファイリングすると、データは現在のリージョンで処理されますが、必ずしも現在のゾーンで処理されるわけではありません。たとえば、Cloud SQL インスタンスが us-central1-a ゾーンに保存されている場合、機密データの保護はデータプロファイルを処理し、us-central1 リージョンに保存します。

詳細については、データ所在地に関する検討事項をご覧ください。

始める前に

組織レベルでデータプロファイルを構成するために必要な IAM 権限があることを確認します。

組織管理者（roles/resourcemanager.organizationAdmin）またはセキュリティ管理者（roles/iam.securityAdmin）のロールを付与されていなくても、スキャン構成を作成できます。ただし、スキャン構成を作成した後、これらのいずれかのロールを持つユーザーが、サービスエージェントにデータプロファイリングのアクセス権を付与する必要があります。
プロファイリングするデータがある各リージョンに検査テンプレートが必要です。複数のリージョンで 1 つのテンプレートを使用する場合は、global リージョンに保存されているテンプレートを使用します。組織のポリシーで global リージョンに検査テンプレートを作成できない場合は、リージョンごとに専用の検査テンプレートを設定する必要があります。詳細については、データ所在地に関する検討事項をご覧ください。

このタスクによって、global リージョンでのみ検査テンプレートを作成できます。1 つ以上のリージョンに専用の検査テンプレートが必要な場合は、このタスクを実行する前にテンプレートを作成する必要があります。
特定のイベント（機密データの保護が新しいテーブルをプロファイリングする場合など）が発生したときに Pub/Sub 通知をトピックに送信するには、このタスクを実行する前に Pub/Sub トピックを作成します。
リソースにタグを自動的に適用するように Sensitive Data Protection を構成できます。この機能を使用すると、計算された機密性レベルに基づいて、これらのリソースへのアクセスを条件付きで付与できます。この機能を使用するには、まずデータの機密性に基づいてリソースへの IAM アクセスを制御するの説明に沿ってタスクを完了する必要があります。

データプロファイルを生成するには、サービスエージェントコンテナとその中の Service エージェントが必要です。こちらのタスクにより、これらは自動的に作成できます。

スキャン構成を作成する

[スキャン構成の作成] ページに移動します。

[スキャン構成の作成] に移動
組織に移動します。ツールバーで、プロジェクトセレクタをクリックして組織を選択します。

以降のセクションでは、[スキャン構成の作成] ページの手順について詳しく説明します。各セクションの最後で、[続行] をクリックします。

検出タイプの選択

[Cloud SQL] を選択します。

スコープの選択

次のいずれかを行います。

組織レベルでプロファイリングを構成するには、[組織全体をスキャン] を選択します。
フォルダレベルでプロファイリングを構成するには、[選択したフォルダをスキャン] を選択します。[参照] をクリックしてフォルダを選択します。

スケジュールを管理

デフォルトのプロファイリング頻度がニーズを満たしている場合は、[スキャン構成の作成] ページのこのセクションをスキップできます。

このセクションは、次の理由で構成します。

すべてのデータまたはデータの特定のサブセットのプロファイリング頻度を細かく調整する。
プロファイリングしないテーブルを指定します。
1 回以上プロファイリングしないテーブルを指定します。

プロファイリングの頻度を詳細に調整するには、次の手順を行います。

[スケジュールを追加] をクリックします。
[フィルタ] セクションで、テーブルがスケジュールのスコープに含まれる 1 つ以上のフィルタを定義します。

次のうち少なくとも 1 つを指定します。
- 1 つ以上のプロジェクトを指定するプロジェクト ID または正規表現。
- インスタンス ID または 1 つ以上のインスタンスを指定する正規表現。
- データベース ID または 1 つ以上のデータベースを指定する正規表現。
- テーブル ID または 1 つ以上のテーブルを指定する正規表現。この値を [データベースリソース名または正規表現] フィールドに入力します。
正規表現は RE2 構文に基づく必要があります。

たとえば、データベース内のすべてのテーブルをフィルタに含めるには、[データベース ID] フィールドにデータベース ID を入力します。

さらにフィルタを追加する場合は、[フィルタを追加] をクリックし、前述の手順を繰り返します。
[頻度] をクリックします。
[頻度] セクションで、検出サービスが選択したテーブルをプロファイリングするかどうかを指定します。プロファイリングする場合はその頻度も指定します。
- テーブルをプロファイリングしない場合は、[このデータをプロファイリング] をオフにします。
- 少なくとも 1 回テーブルをプロファイリングする場合は、[このデータをプロファイリングする] をオンのままにします。
  
  このセクションの次のフィールドで、システムがデータを再プロファイリングするかどうかと、再プロファイリングオペレーションをトリガーするイベントを指定します。詳細については、データプロファイル生成の頻度をご覧ください。
  1. [On a schedule] の場合、テーブルを再プロファイリングする頻度を指定します。テーブルに変更が加えられたかどうかにかかわらず、テーブルは再プロファイリングされます。
  2. [スキーマが変更された場合] で、選択したテーブルに最後にプロファイリングが行われた後にスキーマが変更された場合に、Sensitive Data Protection が確認を行う頻度を指定します。スキーマが変更されたテーブルのみが再プロファイリングされます。
  3. [スキーマの変更の種類] では、再プロファイリング操作をトリガーするスキーマの変更の種類を指定します。次のいずれかを選択します。
    - 新しい列: 新しい列を取得したテーブルを再プロファイリングします。
    - 削除された列: 列が削除されたテーブルを再プロファイリングします。
    たとえば、毎日新しい列を取得するテーブルがあり、それらの内容を毎回プロファイリングする必要があるとします。[スキーマの変更時] を [毎日再プロファイリング] に設定し、[スキーマ変更の種類] を [新しい列] に設定します。
  4. [検査テンプレートの変更] で、関連する検査テンプレートが更新されたときにデータを再プロファイリングするか、再プロファイリングする場合は、その頻度も指定します。
    注: このページの検査テンプレートの選択手順で使用する検査テンプレートを指定します。
    
    検査テンプレートの変更は、次のいずれかが発生すると検出されます。
    - スキャン構成で検査テンプレートの名前が変更されている。
    - 検査テンプレートの updateTime が変更されます。
[条件] をクリックします。

[条件] セクションで、プロファイリングするデータベースリソースのタイプを指定します。デフォルトでは、Sensitive Data Protection は、サポートされているすべてのデータベースリソースタイプをプロファイリングするように設定されています。Sensitive Data Protection によって追加のデータベースリソースタイプのサポートが追加されると、それらも自動的にプロファイリングされます。
省略可: プロファイリングするデータベースリソースのタイプを明示的に設定する場合は、次の操作を行います。
1. [データベースリソースタイプ] フィールドをクリックします。
2. プロファイリングするデータベースリソースタイプを選択します。
後で Cloud SQL データベースのリソースタイプに対する検出サポートを Sensitive Data Protection によって追加した場合、このリストに戻ってそれらを選択した場合にのみ、それらのタイプがプロファイリングされます。
[完了] をクリックします。
さらにスケジュールを追加する場合は、[スケジュールを追加] をクリックして前の手順を繰り返します。
スケジュールの優先度を指定するには、上矢印と下矢印を使用して並べ替えます。

スケジュールの順序は、スケジュール間の競合を解決する方法を示します。テーブルが 2 つの異なるスケジュールのフィルタと一致する場合、スケジュールリストでより上位のスケジュールがそのテーブルのプロファイリング頻度を決定します。

注: 検出の料金モードがサブスクリプションモードの場合、Sensitive Data Protection がデータをプロファイリングするレートは、購入した容量によって異なります。1 日のプロファイリング容量を確認するには、使用率のモニタリングをご覧ください。容量が不足している場合、スケジュールで設定したプロファイリングの頻度が実行されないことがあります。プロファイリングするテーブルのバックログがある場合、スケジュール順序は、機密データの保護がバックログ内のテーブルをプロファイリングする順序を決定しません。代わりに、スコープ内のすべてのテーブルにキュー内のスロットがランダムに割り当てられます。
リストの最後のスケジュールには、常に [デフォルトのスケジュール] というラベルが付加されます。このデフォルトスケジュールは、作成したスケジュールのいずれとも一致しない、選択したスコープ内のテーブルに対応します。このデフォルトスケジュールは、システムのデフォルトプロファイリング頻度に沿って実行されます。
デフォルトのスケジュールを調整する場合は、[ スケジュールを編集] をクリックして、必要に応じて設定を調整します。

検査テンプレートの選択

検査構成の指定方法に応じて、次のいずれかのオプションを選択します。どのオプションを選択しても、データが保存されているリージョンで Sensitive Data Protection がデータをスキャンします。つまり、データが送信元のリージョンから離れることはありません。

オプション 1: 検査テンプレートを作成する

global リージョンに新しい検査テンプレートを作成する場合は、このオプションを選択します。

[新しい検査テンプレートを作成] をクリックします。
省略可: infoType のデフォルトの選択を変更するには、[infoType を管理] をクリックします。

組み込みとカスタムの infoType を管理する方法について詳しくは、Google Cloud コンソールを使用して infoType を管理するをご覧ください。

続行するには、少なくとも 1 つの infoType が選択されている必要があります。
省略可: ルールセットを追加して信頼度のしきい値を設定し、検査テンプレートをさらに構成します。詳細については、検出の構成をご覧ください。

機密データの保護でスキャン構成を作成するときに、この新しい検査テンプレートが global リージョンに保存されます。

オプション 2: 既存の検査テンプレートを使用する

使用したい既存の検査テンプレートがある場合は、このオプションを選択します。

[既存の検査テンプレートを選択] をクリックします。
使用する検査テンプレートの完全なリソース名を入力します。[リージョン] フィールドには、検査テンプレートが保存されているリージョンの名前が自動入力されます。
入力する検査テンプレートは、プロファイリングするデータと同じリージョンに存在する必要があります。

データ所在地を考慮するため、機密データの保護は、そのテンプレートが保存されているリージョン外の検査テンプレートを使用しません。

検査テンプレートの完全なリソース名を確認する手順は次のとおりです。
1. 検査テンプレートリストに移動します。このページは別のタブで開きます。
  
  検査テンプレートに移動
2. 使用する検査テンプレートを含むプロジェクトに切り替えます。
3. [テンプレート] タブで、使用するテンプレートのテンプレート ID をクリックします。
4. 開いたページで、テンプレートの完全なリソース名をコピーします。完全なリソース名の形式は次のとおりです。
```
projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID
```
5. [スキャン構成の作成] ページの [テンプレート名] フィールドに、テンプレートの完全なリソース名を貼り付けます。
別のリージョンの検査テンプレートを追加するには、[検査テンプレートを追加] をクリックして、テンプレートの完全なリソース名を入力します。専用の検査テンプレートがあるリージョンごとに、上記の手順を繰り返します。
省略可: global リージョンに保存されている検査テンプレートを追加します。機密データの保護では、専用の検査テンプレートがないリージョンのデータに、このテンプレートが自動的に使用されます。

注意: global リージョンに格納されている検査テンプレートを含めない場合、機密データの保護では、専用の検査テンプレートのないリージョンのデータをプロファイリングできません。詳細については、データ所在地に関する検討事項をご覧ください。

アクションの追加

次のセクションでは、データプロファイルを生成した後に機密データの保護で行うアクションを指定します。

他の Google Cloud サービスでのアクションの構成に対する課金については、データプロファイルのエクスポートの料金をご覧ください。

Google Security Operations に公開する

データプロファイルから収集された指標によって、Google Security Operations の検出結果にコンテキストが追加されます。コンテキストが追加されることで、最も重要なセキュリティ問題の特定に役立ちます。

たとえば、特定のサービスエージェントを調査する場合、Google Security Operations では、サービスエージェントがアクセスしたリソースと、それらのリソースに高機密データが含まれているかどうかを特定できます。

データプロファイルを Google Security Operations インスタンスに送信するには、Google Security Operations を有効にします。

組織で Google Security Operations インスタンスが有効になっていない場合（スタンドアロンプロダクトまたは Security Command Center Enterprise を介して有効になっていない場合）、このオプションをオンにしても効果はありません。

Security Command Center に公開する

データプロファイルの検出結果は、Security Command Center で脆弱性と脅威の検出結果の優先度付けと対応計画の策定を行う際にコンテキストを提供します。

このアクションを使用する前に、Security Command Center を組織レベルで有効にする必要があります。組織レベルで Security Command Center を有効にすると、統合サービス（Sensitive Data Protection など）の検出結果のフローが有効になります。Sensitive Data Protection は、すべてのサービスティアで Security Command Center と連携します。

Security Command Center が組織レベルで有効になっていない場合、機密データの保護の検出結果は Security Command Center に表示されません。詳細については、Security Command Center の有効化レベルを確認するをご覧ください。

データプロファイルの結果を Security Command Center に送信するには、[Security Command Center に公開] オプションがオンになっていることを確認します。

詳細については、Security Command Center にデータプロファイルを公開するをご覧ください。

データプロファイルのコピーを BigQuery に保存する

[データプロファイルのコピーを BigQuery に保存する] を有効にすると、生成された全プロファイルの保存済みコピーまたは履歴を保持できます。これは、監査レポートの作成やデータプロファイルの可視化に役立ちます。この情報は他のシステムに読み込むこともできます。

また、このオプションを使用することで、データが存在するリージョンに関係なく、すべてのデータプロファイルを 1 つのビューに表示できます。このオプションをオフにしても、Google Cloud コンソールでデータプロファイルを表示できます。ただし、Google Cloud コンソールで一度に 1 つのリージョンを選択すると、選択したリージョンのデータプロファイルのみが表示されます。

データプロファイルのコピーを BigQuery テーブルにエクスポートするには、次の手順を行います。

[データプロファイルのコピーを BigQuery に保存する] を有効にします。
データプロファイルを保存する BigQuery テーブルの詳細を入力します。
- [プロジェクト ID] に、データプロファイルをエクスポートする既存のプロジェクトの ID を入力します。
- [データセット ID] に、データプロファイルをエクスポートするプロジェクト内にある既存のデータセット名を入力します。
- [テーブル ID] に、データプロファイルをエクスポートする BigQuery テーブルの名前を入力します。このテーブルを作成していない場合は、指定した名前を使用して、機密データの保護によって自動的に作成されます。

このオプションを有効にした時点から、機密データの保護はプロファイルのエクスポートを開始します。エクスポートを有効にする前に生成されたプロファイルは、BigQuery に保存されません。

リソースにタグを適用する

[リソースにタグを適用する] をオンにすると、計算された機密レベルに応じてデータに自動的にタグが付けられます。このセクションでは、まずデータの機密性に基づいてリソースへの IAM アクセスを制御するのタスクを完了する必要があります。

計算された機密性レベルに応じてリソースに自動的にタグを付けるには、次の操作を行います。

[リソースにタグを付ける] オプションをオンにします。
感度レベル（高、中、低、不明）ごとに、その感度レベル用に作成したタグ値のパスを入力します。

機密レベルをスキップすると、そのレベルのタグは適用されません。
機密レベルのタグが存在する場合にリソースのデータリスクレベルを自動的に下げるには、[リソースにタグを適用する場合、そのプロファイルのデータリスクを「低」に下げる] を選択します。このオプションを使用すると、データセキュリティとプライバシー対策の改善を測定できます。

重要: このオプションは、プロファイリングされたリソースの計算されたデータリスクレベルをオーバーライドします。
次のいずれかまたは両方を選択します。
- 初めてプロファイリングされるリソースにタグを付ける。
- プロファイルの更新時にリソースにタグを付ける。次の検出実行で Sensitive Data Protection が機密レベルのタグ値を上書きする場合は、このオプションを選択します。そのため、リソースに対するプリンシパルのアクセス権は、そのリソースのデータ機密性レベルの計算値が増加または減少するにつれて自動的に変更されます。
  
  検出サービスがリソースに適用した機密性レベルのタグ値を手動で更新する場合は、このオプションを選択しないでください。このオプションを選択すると、機密データの保護によって手動で更新したデータが上書きされる可能性があります。

Pub/Sub に公開

[Pub/Sub に公開] を有効にすると、プロファイリング結果に基づいて、プログラムによるアクションを実行できます。Pub/Sub 通知を使用して、重大なデータリスクや機密性が高い検出結果を把握し、修正するワークフローを開発できます。

Pub/Sub トピックに通知を送信する手順は次のとおりです。

[Pub/Sub に公開] を有効にします。

オプションのリストが表示されます:各オプションでは、Sensitive Data Protection によって Pub/Sub に通知を送信するイベントが記述されます。
Pub/Sub 通知をトリガーするように設定するイベントを選択します。

[プロファイルが更新されるたびに Pub/Sub 通知を送信する] を選択した場合、プロファイルの機密性レベル、データリスクレベル、検出された infoType、公開アクセス、その他の重要な指標が変更されると、機密データの保護で通知が送信されます。
選択したイベントごとに、次の手順を行います。
1. トピックの名前を入力します。名前は次の形式にする必要があります。
```
projects/PROJECT_ID/topics/TOPIC_ID
```
  以下を置き換えます。
  - PROJECT_ID: Pub/Sub トピックに関連付けられているプロジェクトの ID。
  - TOPIC_ID: Pub/Sub トピックの ID。
2. 通知にテーブルプロファイル全体を含めるか、プロファイリングされたテーブルの完全なリソース名のみを含めるかを指定します。
3. 機密データの保護で通知が送信されるようにするために、満たす必要がある最小データのリスクと機密性レベルを設定します。
4. データリスクと機密性条件の一方または両方のみを満たす必要があるかどうかを指定します。たとえば、AND を選択した場合、機密データの保護で通知が送信される前に、データリスクと機密性条件の両方が満たされる必要があります。

注: サービスエージェントには、Pub/Sub トピックに対する公開アクセス権が付与されている必要があります。公開アクセス権を持つロールの例として、Pub/Sub パブリッシャーのロール（roles/pubsub.publisher）があります。サービスエージェントがまだない場合は、機密データの保護により、後で [スキャン構成の作成] ページで作成できます。Pub/Sub トピックの構成または権限に問題がある場合、Sensitive Data Protection は Pub/Sub 通知の送信を最大 2 週間再試行します。2 週間が経過すると、通知は破棄されます。

サービスエージェントコンテナと課金の管理

このセクションでは、サービスエージェントコンテナとして使用するプロジェクトを指定します。機密データの保護で新しいプロジェクトを自動的に作成することも、既存のプロジェクトを選択することもできます。

新しく作成したサービスエージェントを使用するか、既存のサービスエージェントを使用するかにかかわらず、プロファイリングするデータへの読み取りアクセス権があることを確認してください。

プロジェクトを自動的に作成する

組織でプロジェクトを作成するために必要な権限がない場合は、代わりに既存のプロジェクトを選択するか、必要な権限を取得する必要があります。必要な権限については、組織レベルまたはフォルダレベルでデータプロファイルを操作するために必要なロールをご覧ください。

サービスエージェントコンテナとして使用するプロジェクトを自動的に作成する手順は次のとおりです。

[サービスエージェントコンテナ] フィールドで、提案されたプロジェクト ID を確認し、必要に応じて編集します。
[作成] をクリックします。
省略可: デフォルトのプロジェクト名を更新します。
この新しいプロジェクトに関連するすべての課金対象オペレーションに対して課金されるアカウントを選択します（検出に関係のないオペレーションを含む）。

注: 組織レベルの検出サブスクリプションがすでにある場合でも、プロジェクトを作成するにはこの請求先アカウントが必要です。ただし、すべての検出オペレーションでは、サブスクリプションに関連付けられたプロジェクトから課金されます。
[作成] をクリックします。

機密データの保護によって新しいプロジェクトが作成されます。このプロジェクト内のサービスエージェントは、機密データ保護やその他の API への認証に使用されます。

既存のプロジェクトを選択

既存のプロジェクトをサービスエージェントコンテナとして選択するには、[サービスエージェントコンテナ] フィールドをクリックしてプロジェクトを選択します。

構成を保存するロケーションの設定

[リソースのロケーション] リストをクリックし、このスキャン構成を保存するリージョンを選択します。後で作成するすべてのスキャン構成も、このロケーションに保存されます。

いずれのスキャン構成の保存先を選択しても、スキャンするデータには影響しません。データは、データが保存されているリージョンと同じリージョンでスキャンされます。詳細については、データ所在地に関する検討事項をご覧ください。

確認と作成

スキャン構成の作成後にプロファイリングが自動的に開始されないようにするには、[一時停止モードでスキャンを作成する] を選択します。
この構成は、次のような場合に利用できます。
- Google Cloud 管理者は、引き続きサービスエージェントにデータプロファイリングのアクセス権を付与する必要があります。
- 複数のスキャン構成を作成し、一部の構成で他の構成をオーバーライドする。
- データプロファイルを BigQuery に保存することを検討しており、サービスエージェントが出力テーブルへの書き込みアクセス権を持っていることを確認する。
- Pub/Sub 通知を構成し、サービスエージェントに公開アクセス権を付与します。
- [リソースにタグを適用] アクションを有効にした場合、サービスエージェントに機密レベルのタグへのアクセス権を付与する必要があります。
設定を確認し、[作成] をクリックします。
Sensitive Data Protection により検出スキャン構成が作成され、これが検出スキャン構成リストに追加されます。

スキャン構成を表示または管理するには、スキャン構成を管理するをご覧ください。

Sensitive Data Protection は、Cloud SQL インスタンスを識別し、インスタンスごとにデフォルトの接続を作成します。検出の対象となるインスタンスの数によっては、このプロセスに数時間かかることがあります。Google Cloud コンソールを終了し、後で接続を確認できます。

デフォルトの接続の準備ができたら、Sensitive Data Protection を使用して Cloud SQL インスタンスのプロファイルを作成するデータベースユーザー認証情報で接続を更新します。詳細については、検出に使用する接続を管理するをご覧ください。

注: Google は検出アルゴリズムを定期的に改善しています。Google が実装する新しい改善で、お客様の組織やプロジェクトにメリットがあることが判明した場合は、データプロファイルが自動的に再生成され、スキャン構成のアクションがやり直される場合があります。このオペレーションに関して、Sensitive Data Protection で料金が発生することはありません。ただし、Google はアクションをやり直すため、他の Google Cloud サービスの使用に対して料金が発生する場合があります。たとえば、データプロファイルを BigQuery に保存するように機密データの保護を構成した場合、BigQuery の料金が発生する場合があります。

次のステップ

接続を更新する方法をご確認ください。