機密データを自動的に分類¶

始めましょう¶

機密データを自動的に分類する基本的なワークフローは以下のとおりです。

1. システムタグ を分類後に自動的に適用するかどうかを含め、データベース内の機密データを自動的に分類する頻度を制御する 分類プロファイル を作成します。

2. オプションとして、分類プロファイルを使用してユーザー定義タグをシステムタグにマッピングし、機密データを含む列をその分類に基づいてユーザー定義タグに関連付けることができます。

3. オプションとして、 カスタム分類子 を分類プロファイルに追加することで、機密データをユーザー定義のセマンティックカテゴリとプライバシーカテゴリで自動的に分類することができます。

4. データベースに分類プロファイルをセットして、データベース内のテーブルが自動的に分類されるようにします。

このワークフローのエンドツーエンドの例については、 例 を参照してください。

分類プロファイルについて¶

データエンジニアは、 CLASSIFICATION_PROFILE クラス のインスタンスを作成して分類プロファイルを作成し、データベース内のテーブルを自動的に分類するために使用する基準を定義します。この基準には以下が含まれます。

• テーブルが自動的に分類されるまでに存在すべき期間。

• 過去に分類されたテーブルが再分類されるまでの期間。

• システムタグとカスタムタグを分類後の列に自動的にセットするかどうか。提案されたタグをSnowflakeで自動的に適用させるか、提案されたタグの割り当てを確認してから自分で適用するかを決めることができます。

• システム分類タグとユーザー定義オブジェクトタグ間の マッピング によりユーザー定義タグを自動的に適用できるようにします。

データエンジニアがデータベースに分類プロファイルを割り当てると、そのデータベースに属するテーブル内の機密データは、プロファイルで定義されたスケジュールで自動的に分類されます。データエンジニアは、複数のデータベースに同じ分類プロファイルを割り当てることができます。また、データベースごとに異なる分類基準をセットする必要がある場合は、複数の分類プロファイルを作成します。

データを自動的に分類するプロセスでは、テーブル内の生データにアクセスする必要があります。生データには、列にマスキングポリシーが割り当てられているテーブルが含まれます。しかし、Snowflakeは内部ロールを使用してデータを自動的に分類することで、保護されたデータへのアクセスを規制するという意図を維持しています。内部ロールはマスキングポリシーで保護されたデータにアクセスできますが、このロールはユーザーからはアクセスできません。

CREATE CLASSIFICATION_PROFILE コマンドを使用して分類プロファイルを作成する例については、 例 を参照してください。

機密データの自動分類からのオブジェクトの除外¶

デフォルトでは、Snowflakeは、分類プロファイルが設定されているデータベース内のすべての機密データを自動的に分類します。スキーマ、テーブル、または列を自動分類から除外するようにSnowflakeを構成すると、分類プロセス中にスキップされます。

詳細については、 機密データの自動分類からのデータの除外 をご参照ください。

タグマッピングについて¶

分類プロファイルを使用して、 SEMANTIC_CATEGORY システムタグ を、1つまたは複数の オブジェクトタグ にマッピングすることができます。このタグマッピングにより、機密データを含む列には、その分類に基づいてユーザー定義タグが自動的に割り当てられます。タグマップは、分類プロファイルの作成時に追加することも、後で <分類プロファイル名>!SET_TAG_MAP メソッドを呼び出すことによって追加することもできます。

ユーザー定義のオブジェクトタグにはマスキングポリシーを関連付けることができるため、タグマップを使用して、自動の タグを使用したマスキング を有効にすることができます。分類後にタグの自動適用を選択すると、データの分類に基づいてマスキングポリシーで列を保護するプロセス全体を自動化できます。新しいデータがスキーマに追加されると、タグを使用したマスキングポリシーが機密データを含む列に自動的に割り当てられます。

分類プロファイルの作成時にタグマップを定義する場合でも、作成後にタグマップを定義する場合でも、マップの内容は JSON オブジェクトとして指定されます。この JSON オブジェクトには、 'column_tag_map' キーが含まれます。このキーは、ユーザー定義タグ、そのタグの文字列値、およびタグがマッピングされるセマンティックカテゴリを指定するオブジェクトの配列です。タグマップが分類プロファイルに関連付けられ、データベース内のテーブルを自動的に分類した後、タグはセマンティックカテゴリに対応する列に割り当てられます。

以下はタグマップの例です。

'tag_map': {
  'column_tag_map': [
    {
      'tag_name':'tag_db.sch.pii',
      'tag_value':'Highly Confidential',
      'semantic_categories':[
        'NAME',
        'NATIONAL_IDENTIFIER'
      ]
    },
    {
      'tag_name': 'tag_db.sch.pii',
      'tag_value':'Confidential',
      'semantic_categories': [
        'EMAIL'
      ]
    }
  ]
}

このマッピングに基づき、メールアドレスの列があり、分類プロセスでその列にこれらのアドレスが含まれていると判断された場合、 tag_db.sch.pii = 'Confidential' タグがメールアドレスを含む列にセットされます。

タグマップが、タグ、タグ値、およびカテゴリ値をマップする複数の JSON オブジェクトを含む場合、 JSON オブジェクトの順序は、競合がある場合に列にセットされるタグと値を決定します。JSON オブジェクトを、左から右へ、または JSON を形式化する場合は上から下へ、希望する割り当て順で指定します。

手動で割り当てられたタグと自動分類で適用されたタグが競合すると、エラーが発生します。これらのエラーのトラッキングについては、 トラブルシューティング をご覧ください。

カスタム分類の実装¶

Snowflakeでは、カスタムのロジックを使用して機密データの特定と分類を行う カスタムの分類機能 を定義できます。例えば、正規表現を使用してICD-10コードを特定し、セマンティックカテゴリの ICD_10_CODES に属するものとして分類するカスタムの分類機能を作成できます。

カスタムの分類機能を作成したら、分類プロファイルに追加することで、Snowflakeでそのロジックに基づいてデータを自動的に分類できるようになります。カスタムの分類機能は、分類プロファイルを作成するときに追加できます。また、 <分類プロファイル名>!SET_CUSTOM_CLASSIFIERS メソッドを呼び出して追加することもできます。

カスタム分類子とタグマップの両方を分類プロファイルに追加すると、強力なガバナンスソリューションが提供されます。何が機密かに関する知識に基づいてデータを自動的に分類することや、追跡できるユーザー定義タグを適用することができます。このユーザー定義タグを使用して タグベースのマスキング を実装する場合、データがデータベースに追加されるときに、ドメイン固有の機密データはマスキングポリシーによって自動的に保護されます。

データベースへの分類プロファイルのセット¶

データベースに分類プロファイルをセットすることで、機密データの自動分類を実装します。データベースに分類プロファイルをセットすると、そのデータベース内のすべてのテーブルとビューは、機密データ分類によって自動的に監視されます。

スキーマに分類を設定することもできます。分類プロファイルにも関連付けられているデータベース内に存在するスキーマに分類プロファイルを設定すると、スキーマに設定されたプロファイルがデータベースに設定されたプロファイルを上書きします。

分類プロファイルをセットするには、ALTER DATABASE または /sql-reference/sql/alter-schema`コマンドを使用してCLASSIFICATION_PROFILE パラメーターをセットします。たとえば、分類プロファイル ``my_profile` を my_db データベースのすべてのテーブルとビューが自動機密データ分類によって監視されるようにセットするには、次のコマンドを実行します。

ALTER DATABASE my_db
  SET CLASSIFICATION_PROFILE = 'governance_db.classify_sch.my_profile';

ビューの分類¶

デフォルトでは、機密データの分類でビュー内のデータは分類されません。デフォルトを変更しない場合は、テーブルのみが分類されます。

ビューを分類すると、テーブルを分類するよりもコストが高くなる可能性があります。追加コストは、ビューを作成したクエリの複雑さによって異なります。マテリアライズドビューでは、他のビューのような追加コストが発生しません。

分類プロファイルの構成オブジェクトの classify_views キーによって、ビューが分類されるかどうかが決定します。次の分類プロファイルは、デフォルトを変更して、ビューが分類されるようにします。

CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
  my_classification_profile(
    {
      'minimum_object_age_for_classification_days': 0,
      'maximum_classification_validity_days': 30,
      'classify_views': true
    });

SET_CLASSIFY_VIEWS メソッドを使用して、ビューの分類を有効化または無効化することもできます。

自動分類で監視するオブジェクトの決定¶

分類プロファイルに関連付けられているデータベースとスキーマを一覧表示することで、どのデータを機密データの自動分類が監視するのかを判断できます。データベースまたはスキーマが分類プロファイルに関連付けられている場合、そのエンティティ内のすべてのテーブルとビューは、プロファイルで定義された基準に従って自動的に分類されます。

分類プロファイルに関連付けられたデータベースとスキーマを一覧表示するには、:doc:`/sql-reference/functions/system_show_sensitive_data_monitored_entities`関数を使用します。データベースのみ、スキーマのみ、またはすべてのデータベースとスキーマを一覧表示できます。たとえば、分類プロファイルに関連付けられているすべてのデータベースとスキーマを一覧表示するには、次のコマンドを実行します。

SELECT SYSTEM$SHOW_SENSITIVE_DATA_MONITORED_ENTITIES();

データベースまたはスキーマの名前、そのタイプ、および分類プロファイルが一覧表示で出力されます。以下は出力の例です。

[
{"name":"HR_DB","type":"DATABASE","profile_name":"GOV_DB.CLASSIFY_SCH.MY_CLASSIFICATION_PROFILE"},
{"name":"SALES_DB.SCH1","type":"SCHEMA","profile_name":"GOV_DB.CLASSIFY_SCH.TEST_PROFILE"}
]

自動分類結果の表示¶

自動分類の結果は、以下の方法で表示できます。

• SYSTEM$GET_CLASSIFICATION_RESULT ストアドプロシージャを呼び出します。例:

  CALL SYSTEM$GET_CLASSIFICATION_RESULT('mydb.sch.t1');
  

  Copy

  分類プロセスが完了するまで結果を返すことはできません。自動分類プロセスは、データベースに分類プロファイルを設定してから1時間後まで開始されません。

• DATA_CLASSIFICATION_LATEST ビューをクエリするには、 SNOWFLAKE.GOVERNANCE_VIEWER データベースロールが付与されたロールを使用します。例:

  SELECT * FROM snowflake.account_usage.data_classification_latest;
  

  Copy

  結果が表示されるのは、分類が完了してから3時間後になる場合があります。

制限事項¶

• リーダーアカウントに分類プロファイルをセットすることはできません。

• データベースまたはスキーマにセットできる分類プロファイルは1つだけです。

• 分類プロファイルを1,000件以上のデータベースにセットすることはできません。

• 分類プロファイルを10,000件以上のスキーマに 直接 セットすることはできません。

• スキーマでは最大1億のテーブルを分類できます。

• テーブルに次のような特性がある場合、自動的には分類できません。

  • 10,000列を超える。

  • 255文字を超えるの名前の列。

  • $ 文字を含む名前の列。

  • 共有によるテーブル。

アクセス制御¶

このセクションでは、分類プロファイルを操作し、機密データの自動分類を有効にする権限とロールについて説明します。

データエンジニアのロールにこれらの権限とデータベースロールを付与する例については、 基本的な例: データベース内のテーブルの自動分類 を参照してください。

機密データを自動的に分類するコスト¶

機密データの自動分類では、 サーバーレスのコンピューティングリソース を使用してデータベース内のテーブルを分類するため、クレジットが消費されます。この消費の価格については、 Snowflakeサービス利用テーブル のテーブル5を参照してください。

ACCOUNT_USAGE および ORGANIZATION_USAGE スキーマのビューをクエリすることで、機密データの自動分類に費やされた量を確認できます。クレジット消費を監視するには、以下のビューをクエリします。

METERING_HISTORY ビュー（ACCOUNT_USAGE）

SERVICE_TYPE 列の SENSITIVE_DATA_CLASSIFICATION に注目し、自動分類の時間当たりのコストを取得できます。例:

SELECT
  service_type,
  start_time,
  end_time,
  entity_id,
  name,
  credits_used_compute,
  credits_used_cloud_services,
  credits_used,
  budget_id
  FROM snowflake.account_usage.metering_history
  WHERE service_type = 'SENSITIVE_DATA_CLASSIFICATION';

Copy

METERING_DAILY_HISTORY ビュー（ACCOUNT_USAGE と ORGANIZATION_USAGE）

SERVICE_TYPE 列の SENSITIVE_DATA_CLASSIFICATION に注目し、自動分類の日次コストを取得できます。例:

SELECT
  service_type,
  usage_date,
  credits_used_compute,
  credits_used_cloud_services,
  credits_used
  FROM snowflake.account_usage.metering_daily_history
  WHERE service_type = 'SENSITIVE_DATA_CLASSIFICATION';

Copy

USAGE_IN_CURRENCY_DAILY (ORGANIZATION_USAGE)

SERVICE_TYPE 列の SENSITIVE_DATA_CLASSIFICATION に注目し、自動分類の日次コストを取得できます。クレジットではなく、通貨でコストを決定するには、このビューを使用します。

例¶

• 基本的な例: データベース内のテーブルの自動分類

• 例: タグマップとカスタム分類子の使用

• 例: 自動分類を有効にする前の分類プロファイルのテスト

トラブルシューティング¶

分類されていないテーブルのトラブルシューティングを開始する最も簡単な方法は、テーブルを直接クエリすることです（例: SELECT * FROM my_table）。テーブルをクエリできない場合、自動分類できません。

オブジェクトを自動的に分類できない場合、Snowflakeはイベントを イベントテーブル にログ記録します。デフォルトでは、イベントはアカウントレベルのイベントテーブルにログ記録されます。失敗したオブジェクトのデータベース用にイベントテーブルが定義されている場合は、イベントがそこに代わりにログ記録されます。

一般に、Snowflakeがオブジェクトの分類を再度試みるまでには遅延があります。その後の試行が失敗すると、すべてイベントテーブルにログ記録されます。この遅延と再試行のプロセスは、オブジェクトが修正されるか、自動分類から削除されるまで続きます。

分類イベントがログに記録されるのを防ぐ場合は、ENABLE_AUTOMATIC_SENSITIVE_DATA_CLASSIFICATION_LOG アカウントパラメーターを FALSE に設定します。

SELECT
  record_type,
  record:severity_text::string log_level,
  parse_json(value) error_message
  FROM <event_db>.<event_schema>.<event_table>
  WHERE record_type='LOG' and scope:name ='snow.automatic_sensitive_data_classification'
  ORDER BY log_level;

SELECT
  RECORD_ATTRIBUTES:"object_name"::string AS object_name,
  parse_json(value):"error_message" error_message,
  PARSE_JSON(VALUE):"profile_name" classification_profile_name,
  timestamp,
  FROM <event_db>.<event_schema>.<event_table>
  WHERE record_type='LOG'
    AND scope:name ='snow.automatic_sensitive_data_classification'
    AND RECORD_ATTRIBUTES:"event_type" = 'CLASSIFICATION_ERROR'
  ORDER BY TIMESTAMP DESC;

"failure_reason":"NO_TAGGING_PRIVILEGE"

"failure_reason":"MANUALLY_APPLIED_VALUE_PRESENT"

"failure_reason":"TAG_NOT_ACCESSIBLE_OR_AUTHORIZED"