本記事はこちらのブログを参考にしています。
翻訳にはアリババクラウドのModelStudio(Qwen)を使用しております。
データベースの機密データを保護するためのData MaskingとTransparent Data Encryption (TDE)
written by Andre Kramadibrata, Solution Architect Alibaba Cloud Indonesia
データベース内の機密データを保護する際に、Data Masking（データマスキング）とTransparent Data Encryption（TDE）は、Alibaba Cloud Apsara RDSで利用可能な強力なツールです。これらはどちらもセキュリティを向上させますが、異なる目的を持ち、データ保護スタックの異なるレイヤーで動作します。
Data Maskingとは？
Data Maskingは、不正なユーザーから機密情報を隠すために使用される技術です。これにより、許可された人員のみが実際のデータを表示でき、他のユーザーにはマスクされたデータまたは部分的なデータが表示されます。
- 仕組み: Alibaba Cloud Apsara RDSでは、Data Maskingはデータベース内の基盤となるデータを変更することなく、非特権ユーザーに対して機密データの外観を動的に変更します。
- ユースケース: 開発者、テスター、またはアナリストが本番環境に似たデータにアクセスする必要があるが、クレジットカード番号、個人識別番号、健康情報などの機密情報を見ることができない環境に最適です。
- 例: ソーシャルセキュリティ番号（SSN）「123-45-6789」が、不正なユーザーに対して「XXX-XX-6789」として表示される場合があります。
Transparent Data Encryption（TDE）とは？
Transparent Data Encryption（TDE）は、ディスク上に保存されているデータを暗号化し、誰かがストレージメディアへの物理的アクセスを得たとしても、復号化キーなしではデータを読むことができないようにします。
- 仕組み: TDEは、データをディスクに書き込む前に自動的に暗号化し、ディスクから読み取る際に復号化します。このプロセスは、データベースにアクセスするアプリケーションに対して透過的です。
- ユースケース: 特にGDPRやHIPAAなどのコンプライアンス規制で機密データの暗号化が求められる場合など、保存データの保護に最適です。
- 例: 攻撃者が暗号化されたデータを含むバックアップテープやハードドライブを盗んだとしても、暗号化キーなしでは内容を解読できません。
Data MaskingとTDEの主な違い
| 機能 | Data Masking | Transparent Data Encryption (TDE) |
|---|---|---|
| 目的 | アプリケーション層内で不正なユーザーによる機密データの閲覧を防ぎます。 | ストレージメディアへの不正アクセスからデータを保護するために保存データを暗号化します。 |
| 範囲 | アプリケーション/クエリレベルで動作し、特定の列やフィールドに適用されます。 | ストレージレベルで動作し、データベース全体、バックアップ、ログを暗号化します。 |
| データへの影響 | 特定のユーザーに対してデータの見え方を変更しますが、データベース内の実際のデータは変更しません。 | ディスク上に保存されている実際のデータを暗号化し、使用時には復号化が必要です。 |
| コンプライアンス | 役割ベースのアクセス制御に関する内部ポリシーに役立ちます。 | 保存データのセキュリティに関連する規制コンプライアンスに必要な場合があります。 |
Data MaskingとTDEは、Alibaba Cloud Apsara RDSにおける機密情報の保護において重要な役割を果たしますが、それぞれがデータセキュリティの異なる側面に対応しています。Data Maskingを使用して組織内の誰が何を見ることができるかを制御し、TDEを実装して物理メディアが誤った手に渡った場合でもデータが安全であることを確保してください。これらの機能を組み合わせることで、貴重なデータ資産を保護するための堅牢な防御戦略を提供します。