このドキュメントでは、 Google Cloudで個人情報（PII）などの機密データを含む大規模なデータセットを保護するためのアーキテクチャの概要について説明します。このアーキテクチャは、偶発的な公開や悪意のある引き出しから機密データを保護するように設計されています。このドキュメントは、クラウド ネットワーキングと ID の基本コンセプトに精通しているデータ コンプライアンス担当者と Cloud Security Engineer を対象としています。このアーキテクチャでは、リソースが誤って構成されている場合でも、許可された Identity and Access Management（IAM）設定を明示的にオーバーライドするネットワーク境界を使用して、不正な一般公開アクセスを防止します。
このドキュメントのデプロイ セクションでは、この境界をセルフデプロイして公開アクセス ブロックをシミュレートする Terraform コードサンプルを示します。
アーキテクチャ
次のアーキテクチャ図は、 Google Cloudの堅牢な多層データ保護戦略を示しています。この図は、データが非構造化状態から安全で管理された環境にどのように移動するかを効果的に示しています。
上の図は、各 Google サービスが、最初のデータ アップロードからデータアクセスまで、データのセキュリティをどのように提供しているかを示しています。
- 適切な IAM 権限を持つユーザーが、BigQuery または Cloud Storage のデータ ストレージ サービスにデータをアップロードします。ストレージ サービスは、顧客管理の暗号鍵（CMEK）と Cloud KMS Autokey を使用するように構成されています。
- サービスは、Cloud KMS Autokey から取得した CMEK を使用してデータを暗号化します。
- Sensitive Data Protection は、リポジトリ内の機密データを継続的に検査、分類、匿名化します。機密データを匿名化するために、Sensitive Data Protection は、構成したテンプレートとオプションを使用してデータをマスキングします。
- ストレージ サービスは VPC Service Controls の境界内にあり、境界外からのデータアクセスをブロックします。指定されたユーザーとシステム（IAM プリンシパル）にアクセス権を付与するには、Access Context Manager のアクセスレベル テンプレートを使用します。指定されたプリンシパルは、境界内のデータにアクセスできます。
- VPC Service Controls は、アクセスレベル テンプレートで指定されていないユーザーへのアクセスを拒否します。
使用するプロダクト
- VPC Service Controls: Google Cloud リソースのデータ引き出しのリスクを最小限に抑えるマネージド ネットワーキング機能。
- Sensitive Data Protection: 個人情報（PII）などの貴重なデータアセットを検出、分類、保護できるようにするためのフルマネージド サービスです。
- Cloud Key Management Service（Cloud KMS）: 単一の一元化されたクラウド サービスで、暗号鍵を作成、インポート、管理し、暗号オペレーションを実行できるサービス。
- Access Context Manager: Google Cloudのプロジェクトとリソースに対してきめ細かい属性ベースのアクセス制御ポリシーを定義できるサービス。
- BigQuery: ML、地理空間分析、ビジネス インテリジェンスなどの組み込み機能を使用してデータの管理と分析を支援する、Google Cloud のフルマネージド エンタープライズ データ ウェアハウス。
- Cloud Storage: 低コストで無制限のオブジェクト ストア。さまざまなデータ型に対応しています。データには Google Cloudの内部および外部からアクセスでき、冗長性を確保するために複数のロケーションに複製されます。
ユースケース
このアーキテクチャは、 Google Cloudで機密データを処理するための堅牢なセキュリティ フレームワークを提供します。データ保護、アクセス制御、データ引き出しの防止に重点を置いています。このアーキテクチャは、強力な暗号化と自動化されたデータの匿名化、ネットワーク境界制御を組み合わせることで、機密データ用の安全な環境を構築するのに役立ちます。この実装により、データが顧客管理の暗号鍵（CMEK）で暗号化され、機密情報が自動的に検出されてマスキングされ、アクセスが厳密に制限され、コンテキストに応じて管理されます。これらの対策は、データ引き出しのリスクを大幅に軽減するのに役立ちます。
このドキュメントで説明するアーキテクチャのユースケースの例を次に示します。
- 規制対象の業界（金融、医療、公共部門）: 規制が厳しい業界では、コンプライアンスとデータ セキュリティの実現に役立つセキュリティ フレームワークが必要です。コンプライアンスを達成し、機密性の高い顧客データを保護するには、保存データの保護、機密データの検出、アクセス制御の実施が不可欠です。規制対象の業界では、データ コンプライアンスを達成するために、この設計を実装することをおすすめします。
- 規制対象外の業界: データの規制対象外の業界でも、堅牢なセキュリティ フレームワークを実装することでメリットを得られます。機密データの漏洩を防ぎ、データを安全に保存し、データへのアクセスを制御するポリシーを導入することが重要です。このドキュメントのアーキテクチャは、規制が厳しい業界と同じレベルのセキュリティを規制のない業界で実現するのに役立ちます。規制対象外の業界でも、ベスト プラクティスとしてこの設計を実装することをおすすめします。
設計上の考慮事項
- ログ違反を分析し、本番環境のワークロードが誤ってロックアウトされないようにするには、まず ドライラン モードで VPC Service Controls を実装します。
- 信頼できる企業ネットワークと管理デバイスが保護されたリソースとやり取りできるように、正確な Access Context Manager のポリシーとレベルを定義します。
機密データが存在する可能性のある場所を迅速かつ費用対効果の高い方法で特定するには、大規模なデータセットでサンプリングを有効にして Sensitive Data Protection を実行します。詳しくは、次のリソースをご覧ください。
これらのデータセットを包括的に保護するには、サンプリングでデータを検査した後に包括的なスキャンを実行します。詳細については、機密データの検出の概要をご覧ください。
暗号化が自動的に適用されるようにするには、リソースを作成する前に、フォルダレベルまたはプロジェクト レベルで Cloud KMS Autokey を有効にします。
デプロイ
このアーキテクチャのサンプル実装をデプロイするには、GitHub で入手できるデータ セキュリティのコードサンプルを使用します。
次のステップ
- Cloud KMS Autokey の使用方法については、Cloud KMS Autokey を使用してリソースを簡単に暗号化する Codelab をご覧ください。
- Access Context Manager で VPC Service Controls を使用する方法を確認する。
- Cloud アーキテクチャ センターで、リファレンス アーキテクチャ、図、ベスト プラクティスを確認する。
寄稿者
著者:
- Manish Gaur | セキュリティ アーキテクト
- James Meyer | セキュリティ アーキテクト
その他の寄稿者:
- Osvaldo Costa | ネットワーキング スペシャリスト カスタマー エンジニア
- Susan Wu | アウトバウンド プロダクト マネージャー
- Mark Schlagenhauf | テクニカル ライター、ネットワーキング
- Biodun Awojobi | セキュリティおよびコンプライアンス担当カスタマー エンジニアリング責任者