データ流出防止

データ流出保護は、ネットワーク制御とデータ ガバナンス コントロールを組み合わせた多層防御アプローチです。 これは、3 つの ネットワーク セキュリティ アーキテクチャすべてに適用されます。 このページでは、ネットワーク レベルのコントロールと Unity カタログ コントロールを組み合わせて、Azure Databricks展開での不正なデータ転送を防ぐ方法について説明します。

これらのコントロールを実装するエンド ツー エンドの参照アーキテクチャについては、 データ流出保護アーキテクチャに関するページを参照してください。

データ流出保護とは

データ流出とは、Azure Databricks環境から機密データを不正に転送することです。 データ流出保護を使用すると、開いているネットワーク パス、誤って構成されたストレージ、過度に制限されていないエグレス ルール、または侵害された資格情報の悪用を回避できます。 正当なアクセス権を持つユーザーがクエリ結果をダウンロードしたり、承認されていない外部の宛先に書き込んだりできないようにすることもできます。

ネットワーク制御は、承認されていないネットワーク パスを閉じます。Unity カタログ コントロールは、承認されたユーザーとコンピューティングが、アクセスが許可されているデータで実行できる操作を制御します。 両方が必要です。

ネットワーク制御:

• ネットワークの分離: パブリック インターネット アクセスのないプライベート ネットワークにワークロードをデプロイします。
• Private 接続: Private Linkを使用して、インターネットにアクセスせずにクラウド サービスにアクセスします。
• エグレス制御: ファイアウォールまたはプロキシベースの制御を使用して送信アクセスを制御します。
• ストレージ アクセス ポリシー: どのストレージ アカウントとサービス ワークロードにアクセスできるかを制限します。

Unity Catalog のコントロール:

• 標準アクセス制御: カタログ、スキーマ、テーブル、ボリュームに対する GRANT および REVOKE アクセス許可。
• 属性ベースのアクセス制御 (ABAC):オブジェクト ID だけでなく、データ オブジェクトにアタッチされた属性 (タグ) に基づいてデータ アクセスを制御します。
• 行フィルターと列マスク: 行レベルと列レベルのセキュリティを適用して、ユーザーがテーブル内で表示する内容を制限します。
• ワークスペース カタログ バインド: どのワークスペースがどのデータにアクセスできるかを分離します。
• 監査ログ: 監視とコンプライアンスのためにすべてのデータ アクセスをキャプチャします。

各ネットワーク アーキテクチャに関連する方法

ネットワーク制御の深さは、選択したアーキテクチャに応じてスケーリングされます。 Unity Catalog コントロールは、3 つのアーキテクチャすべてに同じように適用され、承認されたユーザーとコンピューティングがデータで実行できる操作を制御し、ネットワークの状態に基づいて変更することはありません。

ネットワーク制御だけでは、承認されたユーザーがアクセスを誤って使用することを防ぐことはありません。 それらを Unity Catalog コントロールと組み合わせて、完全なデータ流出保護を行います。

実装するタイミング

次の場合にデータ流出保護を実装します。

• 機密性の高い、または規制されたデータ (財務、医療、政府) の処理。
• コンプライアンス フレームワークでは、エグレス制御 (SOC 2、HIPAA、PCI DSS、FedRAMP など) が義務付けられています。
• 組織では、データ移動を完全に可視化する必要があります。
• 業界の規制では、特定のリージョンまたはサービスへのデータ転送が禁止されています。

セキュリティ層

データ流出保護は、複数のセキュリティ メカニズムを組み合わせたものになります。 次の表は、各レイヤーとそのAzure実装をまとめたものです。

AWS と Azure にこれらのレイヤーを実装する完全なリファレンス アーキテクチャについては、「Data 流出保護アーキテクチャを参照してください。

コストに関する考慮事項

データ流出保護は、プライベート接続とトラフィック検査に必要な追加のインフラストラクチャにより、標準的なデプロイよりもネットワーク コストが高くなります。