半構造化/非構造化データの非識別化

Overview

Netskope Data Security Posture Management（DSPM）は、組織のリポジトリ全体で機密データを修復するデータ匿名化（DID）機能を提供します。匿名化は、個人を特定できる情報 (PII) や保護医療情報 (PHI) などの機密フィールドを、定義されたマスキング、ハッシュ化、または非表示のルールを使用して変換すると同時に、構造的なデータの有効性を保持します。

Netskope DSPMは、リレーショナルデータベースに加え、ネットワークファイル共有に保存されている半構造化表形式ファイルの非識別化をサポートしています。半構造化ファイルの非識別化を有効にすると、DSPMサイドカーがファイルスキーマを解析し、検出されたフィールドを列定義にマッピングし、エンティティデータ型（EDT）に関連付けられた構成済みの非識別化ルールを適用して、修正されたファイルをアトミックに書き戻します。

非識別化は、次のいずれかの方法で機能します。

• Overwriting the source at rest：元のファイル共有にある元のファイルを直接変更して置き換えます。
• Outputting to a separate destination：修復済みファイルを、元のファイルをそのまま保持したまま、分離された指定の宛先ファイル共有に書き込みます。

エンティティデータ型、サイドカー展開、および構造化非識別化の詳細については、次の資料をご覧ください。

• 詳細については、エンティティデータ型をご覧ください。
• 詳細については、DSPM Sidecar Administration 概要 を参照してください。
• 詳細については、DSPMデータの非識別化の適用をご覧ください。

サポートされているファイル形式とリポジトリ

サポートされているファイル形式

Netskope DSPMは、以下の半構造化ファイルおよび表形式ファイルの匿名化をサポートします。

サポートされているリポジトリ

以下のデータストアタイプで、半構造化コンテンツの非識別化を構成できます。

• Server Message Block (SMB)：ネットワーク接続ストレージ共有およびローカルファイルディレクトリ共有。
  • 注：非構造化ファイルおよび半構造化ファイルの非識別化は、現在SMBファイル共有でのみ利用できます。

前提条件とスキャン要件

半構造化データストアで非識別化を有効にする前に、次の運用要件を確認してください：

• DSPM Sidecar: 最適な処理とローカライズされたスキャンには、接続されたDSPMサイドカーが推奨されます。
• Service Account Permissions：スタンドアロンのデータストアには、クラウドIAMポリシーは必要ありません。ただし、SMB共有に接続するためにNetskope DSPMで設定されたアカウントクレデンシャルには、DSPMへのSMBファイル共有の接続で定義されている標準の読む専用ロールを超えた書き込み権限が必要です。
  • Overwriting source at rest: The service account must have Change share permissions and NTFS Modify permissions on the source share folder.
  • Outputting to a separate destination: The service account must retain read-only permissions on the source share, and have Change share permissions and NTFS Modify permissions on the designated destination folder.
• Scan Type Coercion：非識別化を有効にすると、スキャンモードが自動的にAdvanced Scanに、サンプリングレートが100%に設定されます。スマートスキャンと100％未満のサンプリングレートは、データの完全性を確保するため、非識別化ストアでは許可されていません。

データストアの非識別化を有効にする

半構造化データストアで非識別化ワークフローを許可する場合：

1. In the Netskope One platform, go to Settings > DSPM > Data Stores > Data Store Inventory.

2. リストからデータストアを Select し、Edit をクリックします。

3. 「分類」セクションで、「分類」のトグルが有効になっていることを確認します。

4. Select Remediate De-Identification Violations チェックボックスを選択します。このオプションは、サポートされているデータストアサービスでのみ表示されます。

5. 「スキャン設定」では、システムがスキャンモードを自動的にAdvanced Scanに、サンプルサイズを100%に設定します。

6. 出力先を設定します：

   • 保存されている元のファイルを上書きするには、出力ディレクトリを空のままにします。

     保存されている既存ファイルを上書きすると、元に戻せません。上書きされたファイルは復元できません。

   • （オプション）既存のファイルを置き換えるのではなく、隔離されたフォルダーに修復されたファイルを書き込む場合は、指定された宛先SMBパスを指定します。

7. Saveをクリックしてください。

非識別化の列を登録

非識別化は列ごとの明示的なオプトイン方式で動作します。非識別化ではデータが上書きされるため、この設計により、明示的な選択を確実に行えるほか、実行前に非識別化ルールを検証できます。データストアで非識別化が有効になっていても、1つ以上の列を明示的に登録するまでは、ファイルは変更されません。

半構造化インベントリから列を登録するには、次の手順を実行します。

1. In the Netskope One platform, go to DSPM > Classification > Classification Management.
2. Semi-Structuredタブをクリックしてください。
3. フィルターを使用して、データストア、ファイル名、または特定のエンティティデータ型(EDT)を見つけます。
   • Tip: 検出されたファイルの Review File for De-Identification アクションアイコンをクリックして、Files タブから直接このビューに移動することもできます。
4. 半構造化ファイルに関連付けられた列を確認します。
   • File Name：ファイルの相対パスと名前。
   • Column：検出された表形式のフィールドまたはヘッダー。
   • Data Type: 識別されたエンティティデータ型 (US SSN、電子メール、クレジットカード番号など)。非識別化ルール名（DLP ルールとは異なる）をクリックして、割り当てられた変換ロジックを確認します。
   • De-Id Violations：エンティティデータ型と一致するレコードの数。テーブルツールバーの目のアイコンをクリックすると、違反が0件の列を表示または非表示にできます。
5. 修復するフィールドを選択：
   • 個々のフィールドを登録するには、各ターゲットフィールドの横にある Enable De-Identification 列のチェックボックスをオンにします。
   • 表示されているすべてのフィールドを一度に登録するには、テーブルヘッダーの一括選択チェックボックスを選択してください。
6. Saveをクリックしてください。

修復およびファイル整合性

スケジュールされたスキャンまたは手動スキャンが登録済みデータストアで実行されると、DSPMサイドカーが修復プロセスを実行します。

アトミックライトバック

ファイル書き戻し操作はアトミックです。

• サイドカーはソースファイルをメモリ内で処理し、すべてのフィールド変換を検証します。
• 修復済みファイルは、構成に応じて、ソースのSMB共有に書き戻され（その場で上書き）、または指定された別の宛先ファイル共有に出力されます。
• 処理中に解析エラーや書き込みエラーが発生すると、処理は即座に停止し、ソースファイルはそのまま残ります。システムは、部分的なファイル、切り捨てられたファイル、または半分マスクされたファイルを生成することはありません。

構造的忠実度

非識別エンジンは、サポートされているすべての半構造化形式で構造の忠実性を保持します。

• 行とレコードの数は、元のファイルと同じままです。
• ヘッダー、列の順序、区切り文字、引用符の修飾子、行の終わり（CRLFまたはLF）、およびファイルのエンコーディングは保持されます。
• 行の幅は、ルール定義と上書き中に使用される置換値の長さによって変わる場合があります。
• 非識別化に登録されていない列は、バイト単位で変更されません。
• マスクアルゴリズムは、決定論的ルールを使うときに、複数のファイルとデータセット間で参照整合性を維持します。

非識別化結果を監視する

修復結果を確認して監査ログを検査するには：

1. In the Netskope One platform, go to DSPM > Classification > Classification Management.
2. Semi-Structured タブをクリックし、スキャン後に違反カウンターが更新された状態を反映していることを確認します。
3. テーブルでは、列の行を展開して、その特定の列の実行ログを確認できます。
   • 注意：非識別ログは、その列に対して非識別が実行された場合にのみ表示されます。
4. DSPM > Policies > DLP Profiles & Rules に移動して、ポリシーの一致と運用イベントを追跡する専用のスキャンログを生成および確認します。
5. Settings > DSPM > Activity Log に移動すると、非識別化が有効になった日時、列が登録された日時、スキャンジョブが完了した日時などの管理レコードを表示できます。