データ分類：それは何か、どのように実装するか

データ分類とは何ですか？

簡単に言うと data classification とは、ファイル、データベース、その他のコンテンツを、その内容に応じて論理的なグループに分類するプロセスです。たとえば、data classification のプロセスでは、公開情報とさまざまな種類の機密データを区別したり、 GDPR、 HIPAA、または California Privacy Rights Act（CPRA）のような規制上の義務の対象となる情報を特定したりすることができます。

そのため、data classification は data security と compliance の両方にとって非常に重要です。特に、機密データまたは保護対象データを大量に保管している組織では重要性が高まります。データを分類することで、ユーザーの生産性や意思決定も改善されます。さらに、不要なデータを削除できるようにすることで、ストレージおよび保守コストも削減できます。

この記事では、data classification の目的とメリット、データ保護プロセスの手順、ベストプラクティス、そしてプログラムの承認を得るためのヒントについて詳しく学びます。最後に、組織にとって最適なソリューションを判断するのに役立つガイドを提供します。

Data classification の種類

大まかに言うと、ほとんどの組織はデータを分類するために基本的な戦略を使っています。つまり、データの内容に基づいてフォルダーやサブフォルダーに手動で整理するのです。たとえば、住宅ローンの申請書は Finance カテゴリに分類されるかもしれませんが、オファーレターは Human Resources に分類されることがあります。Windows などの OS には、Music、Videos、Documents のような基本カテゴリも用意されています。

しかし、これは data security の世界で「data classification（データ分類）」という言葉が指すものとは異なります。むしろ、データ分類とは、データの機密性（sensitivity）に基づいてデータをカテゴリ分けすることです。機密性は、「誰がそのデータにアクセスし、使用することを許可されるべきか」によって示されます。たとえば、特定の相手に対してのみ制限する必要があるデータには Top Secret や Confidential といったカテゴリが含まれ、自由に共有できる情報には Public が用いられることがあります。

機密性（sensitivity）に基づく分類スキーマの例をいくつか示します。

例：商業分類（Commercial Classification）

民間組織が使うデータ分類スキームは、通常 3 段階または 4 段階で構成されています。たとえば次のようなものです。

• Public: 隠す必要がないため自由に開示できるデータ（例：会社の連絡先情報やブラウザーのCookieポリシー）
• Proprietary: 組織のプロセスのように、非公開だが機微性（センシティビティ）が低い情報
• Confidential: 競合他社の調査、ベンダーの契約、従業員の評価など、より高いセキュリティ要件を必要とするデータ
• Sensitive: 知的財産、オーダーメイドのアプリケーション、医療記録など、開示されると業務を混乱させたり、組織に財務的または法的リスクをもたらしたりしうる非常に機微性の高いデータ。

Example Government Classification

政府機関は、データを分類する際に、次のレベルをよく使用します：

• Top Secret：暗号学および通信に関する情報
• Secret：選定された軍事計画
• Confidential: 地上部隊の戦力を示すデータ
• Sensitive unclassified（または「CUI」）：「For Official Use Only」とタグ付けされたデータ
• 未分類: 承認により公開してよいデータ

データ分類プロセス

データ分類プロセスは、次の手順で構成されます。

ステップ1. データを分類する

データ分類プロセスの最初のステップは、あるデータがどの種類の情報に該当するかを判断することです。 このプロセスを自動化するために、組織は探すべき特定の単語やフレーズを指定し、さらに 正規表現を定義して、クレジットカード番号や医療行為コードなど、特定のパターンに従うデータを見つけることができます。

ステップ 2. データにラベルを付ける

データを分類したら、将来の用途に備えてその判断を記録しておくことが重要です。方法はいくつかあります。

• タグ付け（Tagging） — 別の方法として、Microsoft Office が提供しているタグのように、各ファイルにデジタルタグを付けることもできます。ユーザーはこれらのタグに基づいてコンテンツを検索でき、さらにデータ損失防止（DLP）ソリューションなどのセキュリティツールでも利用できます。
• 拡張ファイルメタデータ — 多くの最新のコラボレーション プラットフォームでは、ファイル自体を変更することなくコンテンツにメタデータを追加できます。たとえば SharePoint、Box、Dropbox、Google Drive は、検索性と分類を向上させるためにファイルにメタデータを追加できます。

ステップ 3. 繰り返す

データ分類は、一度行って終わりのプロセスではないことを忘れないことが重要です。新しいデータは絶えず作成・収集されるだけでなく、契約上の新たな義務や、社内ポリシー、または法的な要件の変更によって、既存データの分類が変わることもあります。

データ分類のメリット

どのような種類のデータを保存しているのか、またそれがどこにあるのかを理解することで、データセキュリティの向上 だけでなく 規制への準拠 など、多くのメリットがあります。

データセキュリティ

データを分類すると、次のことが可能になるためデータセキュリティが向上します。

• セキュリティの取り組みに優先順位をつけて データの機密度に基づき 適切なセキュリティ対策を適用してください。
• 誰が 特定の種類のデータにアクセス、変更、または削除できるのかを、より分かりやすく把握できます。
• 侵害やランサムウェア攻撃がもたらす可能性のあるビジネスへの影響などのインサイトを提供することで リスク管理プロセスを改善します。

規制対応（コンプライアンス）

データ分類により、さまざまな コンプライアンス規制 の対象となるデータを特定できます。必要な保護を行い、監査も通過できます。データ分類が 一般的なコンプライアンス基準 を満たすのに役立つ方法は次のとおりです：

• GDPR: データ分類は、特定の個人のデータを含む文書をすばやく取得することで、data subject access request を含むデータ主体の権利を確実に履行するのに役立ちます。
• HIPAA: 健康記録を正確に保管することで、適切なデータ保護のためのセキュリティ対策を実装できます。
• ISO 27001: 情報を分類すること 価値や機密性に応じて行うことで、不正な開示または改ざんの防止に関する要件を満たすのに役立ちます。
• NIST SP 800-53: データを分類することで、連邦政府機関が IT システムを適切に構成し、管理できるようになります。
• PCI DSS: 機密度（センシティビティ）に基づくデータ分類は、支払いカード情報を特定し保護するのに役立ちます。
• CMMC: 米国政府の請負業者は、個人の機微なデータと CUI の両方について管理を確立できます。

その他のメリット

加えて、堅牢なデータ発見およびデータ分類システムにより、次のことが可能になります：

• より迅速で、より正確な法的ディスカバリー（証拠開示）を可能にします。
• より効果的な検索によって、ユーザーの生産性と意思決定を向上させます。
• 重複データや古くなったデータを特定することで、データの保守およびストレージコストを削減します。

データ分類ポリシーを正当化するためのヒント

データ分類の data security やコンプライアンス、その他の利点を整理することに加えて、プログラムを実装するための支援を得るコツをいくつか紹介します。

現在のリスクを示す

データ分類プログラムのための資金を確保する最も説得力のある方法は、デモです。SharePoint のようなデータリポジトリを1つ選び、データ分類ツールでスキャンしてください。おそらく、タグ付けが必要で、適切に保護されるべき機微（センシティブ）なデータが大量に特定されます。さらに、データにアクセスできる個人が何人いるのか——そしてそのうち、本来アクセスできるべきではない人が何人いるのかを必ず示してください。

潜在的な被害を定量化する

攻撃者が侵害されたアカウントを使って、アクセスできるはずのないデータを盗み出したり、ランサムウェアを展開して暗号化したりした場合に、組織が被り得る損害を定量化してみてください。

あわせて、現状が違反している可能性のあるコンプライアンス規制と、科され得る罰則も列挙してください。

追加のメリットを示す

データを分類することで、保護すべき最も重要なファイルを特定できるため、データ損失防止やユーザーおよびエンティティの行動分析（UEBA）ツールなどの既存投資の価値を高められます。

データ分類は、クラウド移行のような注目度の高い取り組みも加速させます。実際、クラウド導入を妨げる大きな要因の1つが、機密データのコントロールを失うのではないかという不安です。しかし、ファイルが分類されていれば、重要なコンテンツを安全な場所に保ったままにすることは簡単になります。

包括的なデータ分類ポリシーを提示する

詳細な データ分類ポリシー は、このプロジェクトが単に価値があるだけでなく、明確に検討されており、実装に向けて準備ができていることを示すのに役立ちます。効果的な分類ポリシーには、次のような要件があります：

• 明確でシンプルな言葉と書式を使用する。
• データ分類プロセスの目的と範囲を説明してください。
• 分類レベルの適切な数（多くの場合 3〜5）を具体的に示し、さまざまなデータセットに適用できるほど汎用的で、かつ誤解のない基準を提示してください。
• 釈明・確認のための連絡先を含め、役割と責任を特定してください。
• 改訂履歴を含めてください。

データ分類ソリューションの選び方

組織に最適なデータ分類ソリューションを見つけるために、次の機能を必ず確認してください。

• 自動化: データの作成時点で分類作業を自動化できるだけでなく、組織がすでに蓄積している（テラバイト規模のこともあります）すべてのデータを分類できるソリューションを選ぶことが不可欠です。
• 複合語検索: この機能により、特定のファイルがどのカテゴリに該当するかを判断する精度が向上し、誤検出（ファルスポジティブ）と見逃し（ファルスネガティブ）の両方を最小限に抑えます。
• インデックス：データを再クロールせずに機密性の高い用語を特定できることが重要です。
• 柔軟な分類体系マネージャー：組織は既製の分類体系から始められますが、すぐに用語やルールを追加・変更したくなるはずです。そのため、作業を簡単にしてくれるソリューションを探してください。
• ワークフロー：文書の分類に基づいて特定のアクションを自動で実行できるソリューションがあると、非常に役立ちます。たとえば、公開共有で機密データが見つかった場合、そのソリューションは直ちに安全な隔離領域へ移動できます。
• カバー範囲の広さ：クラウドおよびオンプレミスにある構造化データと非構造化データを含め、すべてのデータソースをサポートしていることを確認してください。

結論：データ分類は手間をかける価値がありますか？

2023年に推定 330億件のデータ記録 が盗まれることを考えると、組織はデータセキュリティの強化に前向きです。さらに、データプライバシー に関する規制には厳しい罰則が伴うため、コンプライアンスを軽視するわけにはいきません。

しかし、最も機密性の高いデータがどこにあるのか分からなければ、どうやってそもそも保護を始められるのでしょうか？ また、現在お使いのセキュリティツールがファイルの中身に何が入っているのかを判別できないのであれば、どうすれば最大限の価値を得られるのでしょうか。

データ分類は、セキュリティとコンプライアンスの両方を強化するのに役立つ基盤技術です。さらに、ユーザーの生産性と有効性を向上させ、クラウド移行のような取り組みを加速し、データ管理やストレージのコストを削減することができます。適切なデータ分類ソリューションを選ぶことで、業務を中断することなく多くのメリットを得られます。

Netwrix はどのように支援できますか？

Netwrix Data classification software は、重要なデータを確実に保護するのに役立ちます。とはいえ、それだけではありません。さらに、次のことを可能にします：

• 本当に機密性の高いデータにセキュリティ施策を集中させましょう。
• 独自の複合語処理と統計解析技術により、高精度な分類結果を実現します。
• 機密ファイルを自動的に安全な領域へ移動し、全体アクセスグループから権限を削除することで保護します。
• 分類情報をファイルに直接埋め込むことで、DLP または IRM 製品の精度を向上させ、データ管理タスクを効率化します。
• DSAR リクエストの処理フローに伴うコストと手間を削減します。

すべての利点を体験するには Netwrix Data classification software を このページでご確認ください。

FAQ

データ分類の目的は何ですか？

データ分類は、データの価値と機密性に基づいてデータをカテゴリに整理します。

データ分類が重要なのはなぜですか。また、どのようなメリットがありますか？

データ分類は、データのセキュリティと規制対応（コンプライアンス）の強化に役立ちます。防御の取り組みに優先順位を付け、ユーザーの生産性や意思決定を改善し、不要なデータを削除してストレージを確保することでコストも削減できます。

一般的なデータ分類レベルにはどのようなものがありますか？

データは、多くの場合 Public、Proprietary、Confidential、または Sensitive に分類されます。

データ分類にはどのソフトウェアを使うべきですか？

次の条件を満たすデータ分類ソフトウェアを探してください：

• 複合語検索を使用して、正確な分類を実現します
• インデックスを備えており、データ ストアを再クロールすることなく機密語を見つけられます
• 分類パラメータをカスタマイズできる柔軟なタクソノミー管理機能を搭載しています
• 公開共有から機密データを移動するなどのプロセスを自動化するためのワークフローを提供します
• 構造化データおよび非構造化データを含む、オンプレミスとクラウドの両方のコンテンツ ソースをサポートします

組織内でデータ分類の責任を負うのは誰ですか？

組織では通常、セキュリティおよびリスク管理者、データ保護管理者、コンプライアンス委員会、またはそれに類する組織を担当者として指定します。