データ分類に関するレコメンデーション

Power Platform Well-Architected Security チェックリストのレコメンデーションに適用されます:

このガイドでは、機密度に基づいてデータを分類するためのレコメンデーションを提供します。 データの種類によって機密度のレベルが異なり、ほとんどのワークロードではさまざまな種類のデータが保存されます。 データ分類は、データの機密性、含まれる情報の種類、従う必要があるコンプライアンス ルールに基づいてデータを分類するのに役立ちます。 これにより、アクセス制御やさまざまな情報タイプの保持ポリシーなど、適切なレベルの保護を適用できます。

定義

主要な設計戦略

データ分類は、セキュリティ保証を適切に評価するのに役立ち、トリアージ チームがインシデント対応中に発見を迅速化するのに役立ちます。 設計プロセスの前提条件は、データを機密、制限、公開、またはその他の機密度分類として扱う必要があるかどうかを明確に理解することです。 データは複数の環境に分散される可能性があるため、データの保存場所を決定することも重要です。 データの保存場所を知ることで、セキュリティ要件を満たす戦略を設計できます。

データの分類は面倒な作業になる恐れがあります。 データ資産を検索し、分類を推奨するツールを使用できます。 しかし、ツールだけに頼ってはいけません。 チーム メンバーが慎重に演習を行うようにしてください。 その後、必要に応じてツールを使用して自動化します。

これらのベストプラクティスに加えて、適切に設計されたデータ分類フレームワークを作成するを参照してください。

組織定義の分類法を理解する

分類法は、データ分類を階層的に表現したものです。 分類基準を示す名前付きエンティティがあります。

組織によってデータ分類フレームワークは異なる場合がありますが、通常は名前、説明、例を含む 3～5 つのレベルで構成されます。 次に、データ分類の分類法の例をいくつか示します。

分類範囲を定義する

ほとんどの組織は、さまざまなラベルを持っています。

どのデータ資産とコンポーネントが各機密度レベルに属し、どのデータ資産とコンポーネントが属していないのかを確認してください。 目標としては、トラブルシューティングの迅速化、ディザスター リカバリーの迅速化、法的な監査などが考えられます。 目標をよく理解すると、分類作業を適切に行うのに役立ちます。

以下の簡単な質問から始めて、システムの複雑さに応じて必要に応じて拡張してください。

1. データと情報タイプの起源は何ですか?
2. アクセスに基づいて予想される制限は何ですか? たとえば、公開情報データ、規制、またはその他の予想される使用例ですか?
3. データ占有領域とは何ですか? データはどこに格納されますか? データはどのくらいの期間保持する必要がありますか?
4. アーキテクチャのどのコンポーネントがデータと対話しますか?
5. データはシステム内をどのように移動するのでしょうか?
6. 監査レポートにはどのような情報が期待されますか?
7. 運営前データは分類する必要がありますか?

データ ストアの在庫を確認する

データ分類はシステム全体に適用されます。 範囲内のすべてのデータ ストアとコンポーネントのインベントリを作成します。 新しいシステムを設計している場合は、分類定義ごとに最初の分類を必ず行ってください。 システム内のコンポーネント間でデータがどのように流れるかを考慮し、データがデータ分類の境界を越えないようにしてください。

データに接続する方法を検討してください。

• 新しいデータ: 紙ベースのプロセスから移行する場合など、ワークロードで以前はどこにも保存されていなかった新しいデータが生成される場合は、このデータを Microsoft Dataverse に保存することをお勧めします。 その後、Microsoft Purview で Microsoft Dataverse データを接続して管理します。

• 既存のシステムからの読み取り/書き込み: ワークロードが既存のデータに接続する必要がある場合は、既存のデータベースまたはシステムを読み書きする方法を設計する必要があります。 仮想テーブルを使用したり、コネクタやデータフローを介してデータに接続したり、オンプレミスのデータにオンプレミスのゲートウェイを使用したりできます。

範囲を定義する

範囲を定義するときは、詳細かつ明示的にしてください。 データ ストアが表形式システムであると仮定します。 機密度をテーブル レベル、またはテーブル内の列でも分類したいと考えています。 また、データ処理に関連している、またはデータ処理に関与している可能性のある非データ ストア コンポーネントに分類を拡張するようにしてください。 たとえば、非常に機密性の高いデータ ストアのバックアップを分類しましたか? ユーザー機密データをキャッシュしている場合、データ ストアのキャッシュは範囲内ですか? 分析データ ストアを使用する場合、集約されたデータはどのように分類されますか?

分類ラベルに基づいたデザイン

分類はアーキテクチャ上の決定に影響を与えるはずです。 最も明らかな領域はセグメント化戦略であり、さまざまな分類ラベルを考慮する必要があります。

分類情報は、システムとワークロードのコンポーネント全体にわたって移行するため、データとともに移動する必要があります。 機密としてラベル付けされたデータは、それとやり取りするすべてのコンポーネントによって機密として扱われる必要があります。 たとえば、あらゆる種類のアプリケーション ログから個人データを削除または難読化して、個人データを保護するようにしてください。

分類は、データを公開する方法においてレポートのデザインに影響します。 たとえば、情報タイプ ラベルに基づいて、情報タイプ ラベルの結果として難読化するためにデータ マスキング アルゴリズムを適用する必要がありますか? どの役割が生データとマスクされたデータを可視化する必要がありますか? レポート作成にコンプライアンス要件がある場合、データは規制や標準にどのようにマッピングされますか? このことを理解すると、特定の要件への準拠を実証し、監査人向けにレポートを作成することが容易になります。

また、データの保持や廃止スケジュールなどのデータ ライフサイクル管理操作にも影響します。

クエリに分類法を適用する

識別されたデータに分類ラベルを適用する方法は多数あります。 メタデータを含む分類スキーマを使用することは、ラベルを示す最も一般的な方法です。 アーキテクチャ設計プロセスには、スキーマの設計が含まれる必要があります。

すべてのデータを明確に分類できるわけではないことに留意してください。 分類できないデータをレポートでどのように表現するかについて、明確な決定を下します。

実際の実装はリソースのタイプによって異なります。 Power Platform ワークロードによって消費されるデータは、Power Platform 外部のデータ ソースから発生する可能性があります。 スキーマには、分類の整合性を維持しながら、さまざまなデータ ソースからのデータがどのようにワークロード内を移動するか、またはある データ ストア から別のデータ ストアに転送される可能性がある方法に関する詳細を含める必要があります。

特定の Azure リソースには、分類システムが組み込まれています。 たとえば、Azure SQL Server には分類エンジンがあり、動的マスキングをサポートし、メタデータに基づいてレポートを生成できます。 Microsoft Teams、Microsoft 365 グループ、および SharePoint サイトには、機密度ラベルをコンテナ レベルで適用できます。 Microsoft Dataverse は、Microsoft Purview と統合してデータ ラベルを適用します。

実装を設計するときは、プラットフォームでサポートされている機能を評価し、それらを活用してください。 分類に使用されるメタデータがデータ ストアとは分離され、別々に保存されていることを確認します。

ラベルを自動的に検出して適用できる特殊な分類ツールもあります。 これらのツールはデータ ソースに接続されます。 Microsoft Purview には自動検出機能があります。 同様の機能を提供するサードパーティ ツールもあります。 検出プロセスは手動検証を通じて検証する必要があります。

データ分類を定期的に確認してください。 分類のメンテナンスは運用に組み込む必要があります。そうしないと、メタデータが古い場合、特定された目的やコンプライアンスの問題に対して誤った結果が生じる可能性があります。

トレードオフ: ツールに関してコストのトレードオフに注意してください。 分類ツールはトレーニングが必要であり、複雑になる場合があります。

最終的には、分類は中央チームを通じて組織全体に展開される必要があります。 予想されるレポート構造について彼らから意見をもらいます。 また、集中化されたツールとプロセスを活用して組織の調整を図り、運用コストを軽減します。

Power Platform の促進

分類はアーキテクチャ上の決定に影響を与えるはずです。

Microsoft Purview は、組織全体のデータ資産を可視化します。 詳細については、Microsoft Purview について説明するを参照してください。

Microsoft Purview Data Map を使用すると、自動データ検出と機密データ分類が可能になります。 Microsoft Purview と Microsoft Dataverse の統合により、ビジネス アプリケーションのデータ資産をより適切に理解して管理し、そのデータを保護し、リスクとコンプライアンスの姿勢を改善できるようになります。

この統合では、次のことが可能です。

• Microsoft Dynamics 365、Power Platform、および Microsoft Purview でサポートされているその他のソース全体にわたる、総合的で最新のデータ マップを作成します。
• 組み込みのシステム分類またはユーザー定義のカスタム分類に基づいてデータ資産を自動的に分類し、機密データの識別と理解に役立ちます。
• データ コンシューマーが貴重かつ信頼できるデータを発見できるようにします。
• データ キュレーターとセキュリティ管理者がデータ資産を安全に管理および維持し、データの露出を減らし、機密データをより適切に保護できるようにします。

詳細については、Microsoft Purview で Microsoft Dataverse に接続して管理するを参照してください。

組織の整合性

クラウド導入フレームワークは、ワークロード チームが組織分類に従うことができるようにデータを分類する方法について中央チームにガイダンスを提供します。

詳細については、データ分類とは? を参照してください

参照

• データ分類と機密度ラベル分類
• 適切に設計されたデータ分類フレームワークを作成する
• Microsoft Purview で Microsoft Dataverse に接続して管理する

セキュリティ チェックリスト

完全な推奨事項セットを参照してください。