このドキュメントでは、個人情報（PII）などのセンシティブ データを含む大規模なデータセットを Google Cloudで保護するためのハイレベルなアーキテクチャについて説明します。このアーキテクチャは、センシティブ データを偶発的な公開や悪意のあるデータ漏洩から保護するように設計されています。このガイドは、クラウド ネットワーキングと ID の基本的なコンセプトを理解しているデータ コンプライアンス オフィサーとクラウド セキュリティ エンジニアを対象としています。このアーキテクチャでは、リソースが誤って構成されている場合でも、寛容な Identity and Access Management（IAM）設定を明示的にオーバーライドして不正なパブリック アクセスを防ぐネットワーク境界の使用が強調されています。
このドキュメントのデプロイ セクションでは、この境界をセルフデプロイし、公開アクセス ブロックをシミュレートするための Terraform コードのサンプルを提供します。
アーキテクチャ
次のアーキテクチャ図は、 Google Cloud上の堅牢な多層データ保護戦略を示しています。データが非構造化状態から安全な管理対象環境に移行する様子を効果的に示しています。
上の図は、Google の各サービスが最初のデータ アップロードからデータアクセスまで、データのセキュリティをどのように提供するかを示しています。
- 適切な IAM 権限を持つユーザーが、BigQuery または Cloud Storage データ ストレージ サービスにデータをアップロードします。ストレージ サービスは、顧客管理の暗号鍵（CMEK）と Cloud KMS Autokey を使用するように構成されています。
- サービスは、Cloud KMS Autokey から取得した CMEK を使用してデータを暗号化します。
- Sensitive Data Protection は、リポジトリ内のセンシティブ データを継続的に検査、分類、匿名化します。センシティブ データを匿名化するために、Sensitive Data Protection は、構成したテンプレートとオプションを使用してデータをマスクします。
- ストレージ サービスは VPC Service Controls の境界内にあり、境界外からのデータアクセスをブロックします。指定されたユーザーとシステム（IAM プリンシパル）にアクセス権限を付与するには、Access Context Manager のアクセスレベル テンプレートを使用します。指定されたプリンシパルは、境界内のデータにアクセスできます。
- VPC Service Controls は、アクセスレベル テンプレートで指定されていないユーザーのアクセスを拒否します。
使用するプロダクト
- VPC Service Controls: Google Cloud リソースのデータ引き出しのリスクを最小限に抑えるマネージド ネットワーキング機能。
- Sensitive Data Protection: 個人情報（PII）などの貴重なデータアセットを検出、分類、保護できるようにするためのフルマネージド サービス。
- Cloud Key Management Service（Cloud KMS）: 単一の一元化されたクラウド サービスで、暗号鍵の作成、インポート、管理を行い、暗号オペレーションを実行できるサービス。
- Access Context Manager: Google Cloudのプロジェクトとリソースに対して、きめ細かい属性ベースのアクセス制御ポリシーを定義できるサービス。
- BigQuery: ML、地理空間分析、ビジネス インテリジェンスなどの組み込み機能を使用してデータの管理と分析を支援する、Google Cloud のフルマネージド エンタープライズ データ ウェアハウス。
- Cloud Storage: 低コストで無制限のオブジェクト ストア。さまざまなデータ型に対応しています。データには Google Cloudの内部および外部からアクセスでき、冗長性を確保するために複数のロケーションに複製されます。
ユースケース
このアーキテクチャは、 Google Cloudで機密データを処理するための堅牢なセキュリティ フレームワークを提供します。データ保護、アクセス制御、データ引き出しの防止に重点を置いています。このアーキテクチャは、強力な暗号化と自動化されたデータ匿名化およびネットワーク境界制御を組み合わせることで、センシティブ データの安全な環境を確立するのに役立ちます。この実装により、データが顧客管理の鍵（CMEK）で暗号化され、機密情報が自動的に検出されてマスクされ、アクセスが厳密に制限され、コンテキストに応じて管理されるようになります。これらの対策は、データ漏洩のリスクを大幅に軽減するのに役立ちます。
このドキュメントで説明するアーキテクチャのユースケースの例を次に示します。
- 規制対象の業界（金融、医療、公共部門）: 規制の厳しい業界では、コンプライアンスとデータ セキュリティの達成に役立つセキュリティ フレームワークが必要です。コンプライアンスを達成し、機密性の高い顧客データを保護するには、保存中のデータの保護、センシティブ データの検出、アクセス制御の実施が不可欠です。規制対象業界では、データ コンプライアンスの達成に役立つこの設計を実装することをおすすめします。
- 規制対象外の業界: データ規制の対象外の業界では、堅牢なセキュリティ フレームワークを実装することでメリットが得られます。機密データの漏洩を防ぎ、データを安全に保存し、データへのアクセスを制御するポリシーを整備することが重要です。このドキュメントのアーキテクチャは、規制の緩い業界が規制の厳しい業界と同じレベルのセキュリティを達成するのに役立ちます。規制対象外の業界では、この設計をベスト プラクティスとして実装することをおすすめします。
設計上の考慮事項
- ログ違反を分析し、本番環境ワークロードの誤ったロックアウトを防ぐには、常に VPC Service Controls を最初にドライラン モードで実装します。
- 信頼できる企業ネットワークと管理デバイスが保護されたリソースとやり取りできるようにするには、正確な Access Context Manager のポリシーとレベルを定義します。
機密データが存在する可能性のある場所を迅速かつ費用対効果の高い方法で特定するには、大規模なデータセットでサンプリングを有効にして Sensitive Data Protection を実行します。詳しくは、次のリソースをご覧ください。
これらのデータセットを包括的に保護するには、サンプリングでデータを検査した後、包括的なスキャンを実行します。詳細については、機密データの検出の概要をご覧ください。
自動暗号化の適用を確実にするには、リソースを作成する前に、フォルダまたはプロジェクト レベルで Cloud KMS Autokey を有効にします。
デプロイ
このアーキテクチャのサンプル実装をデプロイするには、GitHub で入手できるデータ セキュリティのコードサンプルを使用します。
次のステップ
- Cloud KMS Autokey の使用方法については、Cloud KMS Autokey を使用してリソースを簡単に暗号化する Codelab をご覧ください。
- Access Context Manager で VPC Service Controls を使用する方法を確認する。
- Cloud アーキテクチャ センターで、リファレンス アーキテクチャ、図、ベスト プラクティスを確認する。
寄稿者
著者:
- Manish Gaur | セキュリティ アーキテクト
- James Meyer | セキュリティ アーキテクト
その他の寄稿者:
- Osvaldo Costa | ネットワーキング スペシャリスト カスタマー エンジニア
- Susan Wu | アウトバウンド プロダクト マネージャー
- Mark Schlagenhauf | テクニカル ライター、ネットワーキング
- Biodun Awojobi | セキュリティとコンプライアンス担当カスタマー エンジニアリング責任者