Use SQL to set up sensitive data classification¶

例1：特定のセマンティックカテゴリを分類¶

この例では、Snowflakeがセマンティックカテゴリ NAME および NATIONAL_IDENTIFIER に属するものとして識別した場合にのみデータが分類されるように、分類プロファイルを構成します。他のすべてのタイプのデータは分類されません。

CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
  my_classification_profile(
    {
      'minimum_object_age_for_classification_days': 0,
      'snowflake_semantic_categories':
        [
          {'category': 'NAME'},
          {'category': 'NATIONAL_IDENTIFIER'}
        ]
    });

例2：特定の国コードでカテゴリを分類する¶

国固有のサブカテゴリを持つセマンティックカテゴリについては、 country_codes キーを使用して分類を特定の国に制限できます。country_codes 値は2文字の国コードです。

この例では、Snowflakeがイタリア（IT）またはフランス（FR）の税識別子であることを識別する場合にのみ、データを分類します。

CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
  my_classification_profile(
    {
      'minimum_object_age_for_classification_days': 0,
      'snowflake_semantic_categories':
        [
          {
            'category': 'TAX_IDENTIFIER',
            'country_codes': ['IT', 'FR']
          }
        ]
    });

例3：グローバルカテゴリと国固有のカテゴリを組み合わせる¶

国固有のサブカテゴリを持たないセマンティックカテゴリと、国固有のサブカテゴリを持つカテゴリを組み合わせることができます。この例では、Snowflakeが常に NAME カテゴリに属するデータを分類し、データが米国のパスポートに関係する場合は PASSPORT カテゴリを分類するように指定します。

CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
  my_classification_profile(
    {
      'minimum_object_age_for_classification_days': 0,
      'snowflake_semantic_categories':
        [
          {
            'category': 'NAME'
          },
          {
            'category': 'PASSPORT',
            'country_codes': ['US']
          }
        ]
    });

基本的な例: データベース内のテーブルの自動分類¶

データベース内のテーブルを自動的に分類するには、以下の手順を実行します。

1. 管理者として、データエンジニアに、データベース内のテーブルを自動的に分類するために必要な ロールと権限 を与えます。

   USE ROLE ACCOUNTADMIN;
   
   GRANT USAGE ON DATABASE mydb TO ROLE data_engineer;
   GRANT EXECUTE AUTO CLASSIFICATION ON DATABASE mydb TO ROLE data_engineer;
   
   GRANT DATABASE ROLE SNOWFLAKE.CLASSIFICATION_ADMIN TO ROLE data_engineer;
   GRANT CREATE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE ON SCHEMA mydb.sch TO ROLE data_engineer;
   
   GRANT APPLY TAG ON ACCOUNT TO ROLE data_engineer;
   

   Copy

2. データエンジニアのロールに切り替えます。

   USE ROLE data_engineer;
   

   Copy

3. CLASSIFICATION_PROFILE クラスのインスタンスとして、 分類プロファイルを作成 します。

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
     my_classification_profile(
       {
         'minimum_object_age_for_classification_days': 0,
         'maximum_classification_validity_days': 30,
         'auto_tag': true,
         'classify_views': true
       });
   

   Copy

4. インスタンスに対して DESCRIBE メソッドを呼び出し、そのプロパティを確認します。

   SELECT my_classification_profile!DESCRIBE();
   

   Copy

5. スキーマに分類プロファイルインスタンスをセットすると、スキーマ内のテーブルを監視し、機密データかどうかを自動的に分類するバックグラウンドプロセスが開始されます。

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy

   注釈

   スキーマに分類プロファイルをセットしてから、Snowflakeがスキーマの分類を開始するまで、1時間の遅延があります。

6. 1時間待ってから、 SYSTEM$GET_CLASSIFICATION_RESULT ストアドプロシージャを呼び出し、自動分類の結果を取得してください。

   CALL SYSTEM$GET_CLASSIFICATION_RESULT('mydb.sch.t1');
   

   Copy

例: タグマップとカスタム分類子の使用¶

1. 管理者として、データエンジニアに、データベース内のテーブルを自動的に分類し、列にタグをセットするために必要な ロールと権限 を与えます。

2. 分類プロファイルを作成します。

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
     my_classification_profile(
       {
         'minimum_object_age_for_classification_days': 0,
         'maximum_classification_validity_days': 30,
         'auto_tag': true,
         'classify_views': true
       });
   

   Copy

3. インスタンスの SET_TAG_MAP メソッドを呼び出して、 タグマップ を分類プロファイルに追加します。これにより、機密データを含む列にカスタムタグを自動的に適用することができます。

   CALL my_classification_profile!SET_TAG_MAP(
     {'column_tag_map':[
       {
         'tag_name':'my_db.sch1.pii',
         'tag_value':'sensitive',
         'semantic_categories':['NAME']
       }]});
   

   Copy

   あるいは、分類プロファイルを作成するときに、このタグマップを追加することもできます。

4. SET_CUSTOM_CLASSIFIERS メソッドを呼び出して、 カスタム分類子 を分類プロファイルに追加します。これにより、機密データをユーザー定義のセマンティックカテゴリとプライバシーカテゴリで自動的に分類することができます。

   CALL my_classification_profile!set_custom_classifiers(
     {
       'medical_codes': medical_codes!list(),
       'finance_codes': finance_codes!list()
     });
   

   Copy

   または、分類プロファイルの作成時にカスタム分類子を追加することもできます。

5. インスタンスの DESCRIBE メソッドを呼び出して、タグマップとカスタム分類子が分類プロファイルに追加されたことを確認します。

   SELECT my_classification_profile!DESCRIBE();
   

   Copy

6. データベースに分類プロファイルインスタンスをセットします。

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy

7. tag_db.sch.pii タグにマスキングポリシーをアタッチして、タグベースのマスキングを有効にします。

   ALTER TAG tag_db.sch.pii SET MASKING POLICY pii_mask;
   

   Copy

例: 自動分類を有効にする前の分類プロファイルのテスト¶

1. 管理者として、データエンジニアに、スキーマ内のテーブルを自動的に分類し、列にタグをセットするために必要な ロールと権限 を与えます。

2. タグマップとカスタム分類子を使用して分類プロファイルを作成します。

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE my_classification_profile(
     {
       'minimum_object_age_for_classification_days':0,
       'auto_tag':true,
       'tag_map': {
         'column_tag_map':[
           {
             'tag_name':'tag_db.sch.pii',
             'tag_value':'highly sensitive',
             'semantic_categories':['NAME','NATIONAL_IDENTIFIER']
           },
           {
             'tag_name':'tag_db.sch.pii',
             'tag_value':'sensitive',
             'semantic_categories':['EMAIL','MEDICAL_CODE']
           }
         ]
       },
       'classify_views': true
       'custom_classifiers': {
         'medical_codes': medical_codes!list(),
         'finance_codes': finance_codes!list()
       }
     }
   );
   

   Copy

3. 自動分類を有効にする前に、 SYSTEM$CLASSIFY ストアドプロシージャを呼び出して、 table1 テーブルのタグマッピングをテストします。

   CALL SYSTEM$CLASSIFY(
    'db.sch.table1',
    'db.sch.my_classification_profile'
   );
   

   Copy

   出力の tags キーには、タグがセットされたかどうかの詳細（セットされていれば true、そうでなければ false）、セットされたタグの名前、タグの値が含まれます。

   {
     "classification_profile_config": {
       "classification_profile_name": "db.schema.my_classification_profile"
     },
     "classification_result": {
       "EMAIL": {
         "alternates": [],
         "recommendation": {
           "confidence": "HIGH",
           "coverage": 1,
           "details": [],
           "privacy_category": "IDENTIFIER",
           "semantic_category": "EMAIL",
           "tags": [
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.semantic_category",
               "tag_value": "EMAIL"
             },
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.privacy_category",
               "tag_value": "IDENTIFIER"
             },
             {
               "tag_applied": true,
               "tag_name": "tag_db.sch.pii",
               "tag_value": "sensitive"
             }
           ]
         },
         "valid_value_ratio": 1
       },
       "FIRST_NAME": {
         "alternates": [],
         "recommendation": {
           "confidence": "HIGH",
           "coverage": 1,
           "details": [],
           "privacy_category": "IDENTIFIER",
           "semantic_category": "NAME",
           "tags": [
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.semantic_category",
               "tag_value": "NAME"
             },
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.privacy_category",
               "tag_value": "IDENTIFIER"
             },
             {
               "tag_applied": true,
               "tag_name": "tag_db.sch.pii",
               "tag_value": "highly sensitive"
             }
           ]
         },
         "valid_value_ratio": 1
       }
     }
   }
   

4. 分類プロファイルに基づく自動分類が望ましい結果をもたらすことを確認したら、データベースに分類プロファイルインスタンスをセットします。

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy