データ分類に関するレコメンデーション
適用されるのは Power Platform Well-Architected Securityチェックリストの推奨事項です:
| セ:03 | データ処理に関係するすべてのワークロード データとシステムに、機密度ラベルを分類し、一貫して適用します。 分類を使用して、ワークロードの設計、実装、およびセキュリティの優先順位付けに影響を与えます。 |
|---|
このガイドでは、機密度に基づいてデータを分類するためのレコメンデーションを提供します。 データの種類によって機密度のレベルが異なり、ほとんどのワークロードではさまざまな種類のデータが保存されます。 データ分類は、データの機密性、含まれる情報の種類、従う必要があるコンプライアンス ルールに基づいてデータを分類するのに役立ちます。 これにより、アクセス制御やさまざまな情報タイプの保持ポリシーなど、適切なレベルの保護を適用できます。
定義
| 任期 | Definition |
|---|---|
| Classification | 機密度レベル、情報の種類、コンプライアンス要件、および組織が提供するその他の基準によってワークロード資産を分類するプロセス。 |
| Metadata | 資産に分類法を適用するための実装。 |
| 分類法 | 合意された構造を使用して分類されたデータを整理するシステム。 通常、データ分類を階層的に表現したもの。 分類基準を示す名前付きエンティティがあります。 |
主要な設計戦略
データ分類は、セキュリティ保証を適切に評価するのに役立ち、トリアージ チームがインシデント対応中に発見を迅速化するのに役立ちます。 設計プロセスの前提条件は、データを機密、制限、公開、またはその他の機密度分類として扱う必要があるかどうかを明確に理解することです。 データは複数の環境に分散される可能性があるため、データの保存場所を決定することも重要です。 データの保存場所を知ることで、セキュリティ要件を満たす戦略を設計できます。
データの分類は面倒な作業になる恐れがあります。 データ資産を検索し、分類を推奨するツールを使用できます。 しかし、ツールだけに頼ってはいけません。 チーム メンバーが慎重に演習を行うようにしてください。 その後、必要に応じてツールを使用して自動化します。
これらのベストプラクティスに加えて、適切に設計されたデータ分類フレームワークを作成するを参照してください。
組織定義の分類法を理解する
分類法 は、データ分類を階層的に表現したものです。 分類基準を示す名前付きエンティティがあります。
組織によってデータ分類フレームワークは異なる場合がありますが、通常は名前、説明、例を含む 3～5 つのレベルで構成されます。 次に、データ分類の分類法の例をいくつか示します。
| 秘密度 | 情報タイプ | プロパティ |
|---|---|---|
| パブリック | 公開マーケティング資料、Web サイトで入手可能な情報 | 自由にアクセスできる機密ではない情報 |
| Internal | 組織に関連するポリシー、手順、予算 | 特定の組織に関連する情報 |
| 社外秘 | 営業秘密、顧客データ、最終レコード | 機密性が高く保護が必要な情報 |
| 極秘 | 機密性の高い個人識別情報 (機密性の高い PII)、カード所有者データ、保護対象健康情報 (PHI)、銀行口座データ | 機密性が高く、最高レベルのセキュリティが必要な情報。 違反またはその他の開示があった場合、法的通知が必要になる場合があります。 |
重要
ワークロード所有者は、組織が確立した分類法に従う必要があります。 すべてのワークロードの役割は、機密度レベルの構造、名前、および意味について合意する必要があります。 独自の分類システムを作成しないでください。
分類範囲を定義する
ほとんどの組織は、さまざまなラベルを持っています。
どのデータ資産とコンポーネントが各機密度レベルに属し、どのデータ資産とコンポーネントが属していないのかを確認してください。 目標としては、トラブルシューティングの迅速化、ディザスター リカバリーの迅速化、法的な監査などが考えられます。 目標をよく理解すると、分類作業を適切に行うのに役立ちます。
以下の簡単な質問から始めて、システムの複雑さに応じて必要に応じて拡張してください。
- データと情報タイプの起源は何ですか?
- アクセスに基づいて予想される制限は何ですか? たとえば、公開情報データ、規制、またはその他の予想される使用例ですか?
- データ占有領域とは何ですか? データはどこに格納されますか? データはどのくらいの期間保持する必要がありますか?
- アーキテクチャのどのコンポーネントがデータと対話しますか?
- データはシステム内をどのように移動するのでしょうか?
- 監査レポートにはどのような情報が期待されますか?
- 運営前データは分類する必要がありますか?
データ ストアの在庫を確認する
データ分類はシステム全体に適用されます。 範囲内のすべてのデータ ストアとコンポーネントのインベントリを作成します。 新しいシステムを設計している場合は、分類定義ごとに最初の分類を必ず行ってください。 システム内のコンポーネント間でデータがどのように流れるかを考慮し、データがデータ分類の境界を越えないようにしてください。
データに接続する方法を検討してください。
新しいデータ: 紙ベースのプロセスから移行する場合など、ワークロードによって、以前はどこにも保存されていなかった新しいデータが生成される場合は、このデータを Microsoft Dataverseに保存することをお勧めします。 その後、 接続 して、 Microsoft Dataverse Purview Microsoft を通じてデータを管理 できるようになります。
既存のシステムからの読み取り/書き込み: ワークロードが既存のデータにアクセスする必要がある場合は、既存のデータベースまたはシステムへの読み取りおよび書き込み方法を設計する必要があります。 仮想テーブルを使用したり、コネクタやデータフローを介してデータに接続したり、オンプレミスのデータにオンプレミスのゲートウェイを使用したりできます。
範囲を定義する
範囲を定義するときは、詳細かつ明示的にしてください。 データ ストアが表形式システムであると仮定します。 機密度をテーブル レベル、またはテーブル内の列でも分類したいと考えています。 また、データ処理に関連している、またはデータ処理に関与している可能性のある非データ ストア コンポーネントに分類を拡張するようにしてください。 たとえば、非常に機密性の高いデータ ストアのバックアップを分類しましたか? ユーザー機密データをキャッシュしている場合、データ ストアのキャッシュは範囲内ですか? 分析データ ストアを使用する場合、集約されたデータはどのように分類されますか?
分類ラベルに基づいたデザイン
分類はアーキテクチャ上の決定に影響を与えるはずです。 最も明らかな領域はセグメント化戦略であり、さまざまな分類ラベルを考慮する必要があります。
分類情報は、データがシステム内およびワークロードのコンポーネント間を移動するとき、データとともに移動する必要があります。 機密としてラベル付けされたデータは、それとやり取りするすべてのコンポーネントによって機密として扱われる必要があります。 たとえば、あらゆる種類のアプリケーション ログから個人データを削除または難読化して、個人データを保護するようにしてください。
分類は、データの公開方法においてレポートのデザインに影響します。 たとえば、情報タイプ ラベルに基づいて、情報タイプ ラベルの結果として難読化するためにデータ マスキング アルゴリズムを適用する必要がありますか? どの役割が生データとマスクされたデータを可視化する必要がありますか? レポート作成にコンプライアンス要件がある場合、データは規制や標準にどのようにマッピングされますか? このことを理解すると、特定の要件への準拠を実証し、監査人向けにレポートを作成することが容易になります。
また、データの保持や廃止スケジュールなどのデータ ライフサイクル管理操作にも影響します。
クエリに分類法を適用する
識別されたデータに分類ラベルを適用する方法は多数あります。 メタデータを含む分類スキーマを使用することは、ラベルを示す最も一般的な方法です。 アーキテクチャ設計プロセスには、スキーマの設計が含まれる必要があります。
すべてのデータを明確に分類できるわけではないことに留意してください。 分類できないデータをレポートでどのように表現するかについて、明確な決定を下します。
実際の実装はリソースのタイプによって異なります。 Power Platform ワークロードによって消費されるデータは、Power Platform 外部のデータ ソースから発生する可能性があります。 スキーマには、分類の整合性を維持しながら、さまざまなデータ ソースからのデータがどのようにワークロード内を移動するか、またはある データ ストア から別のデータ ストアに転送される可能性がある方法に関する詳細を含める必要があります。
特定の Azure リソースには、分類システムが組み込まれています。 たとえば、Azure SQL Server には分類エンジンがあり、動的マスキングをサポートし、メタデータに基づいてレポートを生成できます。 Microsoft Teams、Microsoft 365 グループ、および SharePoint サイトには、機密度ラベルをコンテナ レベルで適用できます。 Microsoft Dataverse Microsoft Purviewと統合してデータ ラベルを適用します。
実装を設計するときは、プラットフォームでサポートされている機能を評価し、それらを活用してください。 分類に使用されるメタデータがデータ ストアとは分離され、別々に保存されていることを確認します。
ラベルを自動的に検出して適用できる特殊な分類ツールもあります。 これらのツールはデータ ソースに接続されます。 Microsoft Purviewには自動検出機能があります。 同様の機能を提供するサードパーティ ツールもあります。 検出プロセスは手動検証を通じて検証する必要があります。
データ分類を定期的に確認してください。 分類のメンテナンスは運用に組み込む必要があります。そうしないと、メタデータが古い場合、特定された目的やコンプライアンスの問題に対して誤った結果が生じる可能性があります。
トレードオフ: ツールのコストトレードオフに注意してください。 分類ツールはトレーニングが必要であり、複雑になる場合があります。
最終的には、分類は中央チームを通じて組織全体に展開される必要があります。 予想されるレポート構造について彼らから意見をもらいます。 また、集中化されたツールとプロセスを活用して組織の調整を図り、運用コストを軽減します。
Power Platform の促進
分類はアーキテクチャ上の決定に影響を与えるはずです。
Microsoft Purviewは、組織全体のデータ資産の可視性を提供します。 詳細については、「 Purviewの詳細 Microsoft 」を参照してください。
Microsoft Purview Data Mapは、自動データ検出と機密データの分類を可能にします。 Microsoft Purviewと Microsoft Dataverse の統合により、ビジネス アプリケーションのデータ資産をより適切に理解して管理し、そのデータを保護し、リスクとコンプライアンスの姿勢を改善できるようになります。
この統合では、次のことが可能です。
- Microsoft Dynamics 365、 Power Platform、および Microsoft Purviewでサポートされているその他のソース全体にわたる、総合的で最新のデータ マップを作成します。
- 組み込みのシステム分類またはユーザー定義のカスタム分類に基づいてデータ資産を自動的に分類し、機密データの識別と理解に役立ちます。
- データ コンシューマーが貴重かつ信頼できるデータを発見できるようにします。
- データ キュレーターとセキュリティ管理者がデータ資産を安全に管理および維持し、データの露出を減らし、機密データをより適切に保護できるようにします。
詳細については、 接続 を参照して、 Microsoft Dataverse Purview Microsoft で管理してください。
組織の整合性
クラウド導入フレームワークは、ワークロード チームが組織分類に従うことができるようにデータを分類する方法について中央チームにガイダンスを提供します。
詳細については、データ分類とは? を参照してください
関連情報
セキュリティ チェックリスト
完全なレコメンデーションのセットを参照してください。