データ分類レベル：完全版2026ガイド

今日のデータ駆動型の環境では、組織はオンプレミス、クラウド、ハイブリッド環境全体で膨大な情報を管理しています。しかし、そのデータを保護するための構造化されたアプローチがなければ、機密情報は侵害、コンプライアンスの失敗、運用の中断に対して脆弱なままです。ここで、堅牢なデータ分類プロセスが不可欠になります。

このホワイトペーパーでは、公開、内部、機密、制限のデータ分類レベルの基本を深く掘り下げ、企業がこれらのデータ分類レベルを使用してセキュリティ投資をリスク露出と整合させる方法を説明します。コンテンツベース、コンテキストベース、ユーザー主導の方法を含む一般的なデータ分類タイプを探求し、組織の規制、ビジネス、運用ニーズを反映したデータ分類スキームを調整する方法を学びます。

さらに、この文書では、階層型、リスクベース、規制主導のフレームワークなど、広く採用されているデータ分類モデルを紹介し、これらが業界全体のさまざまなデータ分類カテゴリにどのようにマッピングされるかを説明します。また、初期データ発見から分類ラベリング、ガバナンス、ライフサイクル管理に至るまでの全データ分類プロセスを説明します。

分類戦略を構築するにせよ、ポリシーを洗練するにせよ、このホワイトペーパーは、GDPR、HIPAA、PCI DSSなどの基準に準拠する際のデータセキュリティ分類の役割を強調し、データの感度分類が最も重要な資産を保護するための鍵である理由を説明します。

今すぐダウンロードして、コンプライアンスを簡素化し、リスクを軽減し、今日のセキュリティ要件と明日の課題に対応するスマートでスケーラブルな分類システムを実装する方法を学びましょう。

IBM Cost of a Data Breach Report 2025 によると、侵害の40%は複数の環境にまたがって保存されたデータが関係しており、3分の1以上は管理されていないソースに存在するシャドーデータが関係していました。

それらの侵害は平均で500万ドルを超えるコストがかかり、特定して封じ込めるまでに283日を要しました。共通する本質はシンプルです。組織は見えていないものは守れず、分類していないものはそもそも見えません。

強固なデータ分類レベルは、そのギャップを埋めるための仕組みです。組織全体のデータを対象に、無許可アクセスが与えるダメージの大きさに基づいて階層化して分類し、各レベルごとに異なる統制を定めます。

商用分野では、主流のフレームワークが4階層モデルを採用しています。これは多くの企業における運用上の標準であり、GDPR、HIPAA、そして PCI DSS のような規制によって義務化されている、または暗黙に前提とされているものです。

このガイドでは、各レベルの意味、なぜ分類レベルが現代の data securityの土台となるのか、レベルが具体的なコンプライアンス要件にどのように対応するのか、そして manual taggingに溺れずにそれらを実装する方法を説明します。

データ分類レベルとは？

データ分類レベルは data classification の scheme や分類 model とは同じものではありません。モデルは土台となるフレームワーク（階層型、リスクベース、規制ベース）、scheme は組織が選ぶ完全なポリシーとラベルのセット、そしてレベルはその scheme の内部にある個々の階層です。

組織は、5つの基準に基づいて各データ種別をレベルに割り当てます。

1. Confidentiality とは、データを見てよい人／見てはいけない人を指します
2. 完全性 とは、データが正確で変更されない状態を保つことがどれほど重要かを指します
3. 可用性 とは、業務を行ううえでデータへのタイムリーなアクセスがどれほど重要かを指します
4. コンプライアンス とは、規制や契約によってデータの取り扱い方法が定められているかどうかを指します
5. ビジネス価値 とは、データが知的財産、戦略、または財務面の成果の中心にあるかどうかを指します

これらの基準は、それぞれが独立して機能するものではありません。機密性要件が高いデータセットは、ほぼ例外なく合規上のリスク暴露も高くなります。また、すべてのデータ種別を5つの基準すべてに通すのは、一貫した取り扱いを指示する「単一のレベル付与」を導くためです。

分類はデータセキュリティのフロントエンドであり、単独で完結する作業ではありません。ラベルは、暗号化、アクセス制限、保管（保持）ルール、そしてデータの機密度に合わせた削除手順などの下流の統制を実際に動かす場合にのみ価値をもたらします。

データ分類レベルが重要な理由

ファイル共有を強化したり DLP を分類なしで導入するのは、金庫を買って、持っているものをすべてその中に入れるようなものです。分類レベルが、利用可能な中でも投資対効果が非常に高いセキュリティ投資の一つである理由には、4つの具体的な現実があります。

1. コンプライアンス上の義務がそれを求めている

GDPR, HIPAA, PCI DSS, NIST 800-53, ISO 27001, SOX、そして CCPA はすべて、組織に対して、機密データを特定し、適切な統制を適用することを求めています。これらのいずれのフレームワークも、何らかの分類がなければ満たすことはできません。監査では一貫して、次の2つが必ず問われます。規制対象のデータはどこにあるのか、そしてそれにアクセスできるのは誰なのか。分類レベルは、組織がこの2点の両方に回答できるようにする仕組みです。

2. 重要な部分にセキュリティ投資を集中させます

組織には無限のセキュリティリソースはありません。分類レベルは、公開されるマーケティング資産から営業秘密まで一様にコントロールを広げるのではなく、万一露出した場合に最も大きな被害につながるデータに対する保護を集中させます。この優先順位付けにより、コストと運用上の摩擦の両方が軽減されます。

3. インシデント対応と監査準備を加速します

インシデントの際、最初に必ず確認するのは「どのデータに触れられた（アクセスされた／影響が及んだ）のか」です。データが分類されていれば、対応者は直ちに、影響を受けたアセットが公開されているマーケティングファイルなのか、あるいは規制上の報告義務を伴う制限された顧客記録なのかを判断できます。同じ仕組みが、監査対応、法的ディスカバリー、そして GDPR に基づくデータ主体のアクセス要求にも役立ちます。

4. ストレージコストと攻撃対象領域（attack surface）を削減します

分類によって、チームがアーカイブまたは削除できる冗長・古くなった・些細なデータが明確になります。これにより、ストレージとバックアップのコストが下がります。さらに、管理されていない場所に存在する機密データの量を最小化することで、攻撃対象領域も縮小します。

4つのデータ分類レベルを解説

4段階モデル（Public、Internal、Confidential、Restricted）は、当然の理由から商用の標準になっています。各レベルで意味のある形で異なる統制を適用できるだけの粒度を提供しつつ、ラベルが多すぎてユーザーが「どれを適用すべきか」を見失ってしまうこともありません。

ほとんどのコンプライアンス・フレームワーク、ほとんどの DLP 製品、そしてほとんどのセキュリティチームは、この分類体系の何らかのバリエーションを前提にしています。

1. パブリックデータ

パブリックデータとは、オープン配布が承認された情報です。データは常に共有することを目的としていたため、開示しても組織に害はありません。例には、マーケティング資料、企業のWebサイト、公開されたプレスリリース、求人広告、公開されている調査・研究などがあります。

取り扱いルールは軽いです。パブリックデータは、未授权の閲覧ではなく未授权の改ざんが懸念事項であるため、保存時の暗号化は不要であり、基本的な完全性保護を超えるアクセス制御も不要です。保管期間は、内容自体が古くなったり不正確になったりしない限り、通常は無期限です。

2. インターナルデータ

インターナルデータとは、組織内で使用することを目的としているものの、機密性が高いわけでも規制対象でもない情報です。開示すると、当事者としては気まずくなったり運用上の不都合が生じたりする可能性はありますが、コンプライアンス上の露出（リスク）や重大な経済的損害にはつながりません。例には、組織図、社内メール、会社の方針、研修資料、機密性の低いプロジェクト文書などがあります。

認証済みユーザーのみが内部データにアクセスできるようにし、匿名および外部からのアクセスをブロックします。外部ネットワーク経由の転送では暗号化を必須とし、可能な場合は保存時（at rest）にも暗号化を適用します。保持は社内ポリシーに従い、削除は通常のファイル削除ではなく、secure-delete 方式を使用してください。

3. 橩秘データ

機密データ（Confidential data）とは、機密情報が不正に開示された場合に、組織または個人に対して重大な損害を与え得る情報のことです。これは、高度にセンシティブな業界を除く多くの組織において、規制対象データの大部分が存在するティアです。例として、従業員記録、顧客の連絡先情報、契約の詳細、非公開の財務データ、ならびに GDPR の下での一般的な個人データなどが挙げられます。

ロールベースかつ、need-to-know の原則に基づいてアクセスを付与します。保存時（at rest）および転送中（in transit）の暗号化を必須とします（TLS 1.2 以上）。アクセスイベントをログに記録し、定期的に確認します。データ種別ごとに保持（retention）期間を定義し、適用される規制に合わせて調整し、削除時はクラウドストレージでは cryptographic erasure を使用し、オンプレミスのストレージでは認定された secure-delete ツールを使用してください。

4. 制限データ

制限データは最も機微な区分です。無許可の開示は、壊滅的な被害、規制上の罰則、またはその両方につながります。例として、HIPAA における Protected Health Information (PHI)、PCI DSS におけるカード会員データ、営業秘密、M&A（企業の合併・買収）情報、ソースコード、管理者資格情報、および GDPR Article 9 における特別カテゴリーの個人データが挙げられます。GDPR Article 9。

アクセスには、明示的な承認、多要素認証（MFA）、そして包括的なログ記録が必要です。保存データの暗号化には AES-256 を使用し、転送中の暗号化は、環境が対応している場合は TLS 1.3 を使用してください。規制では通常、組織の判断に任せるのではなく保管（保持）を定めており、削除には、監査を満たすのに十分な文書を添えた認定済みの破棄（certified destruction）が必要です。

データ分類レベルとコンプライアンス

主要なデータ保護に関する規制はすべて、組織が規制対象データを特定し、データの機微度に応じて適切な対策（controls）を適用できることを前提としています。分類レベル（classification levels）は、それを可能にする仕組みです。データの種類、分類ティア、求められる対策の間の具体的な対応付けこそが、コンプライアンスの実務が行われる場所です。

GDPR

GDPR において、個人データは大きく2つのカテゴリに分けられます。氏名、連絡先情報、IPアドレス、顧客識別子などの一般的な個人データは通常、Confidential（機密）ティアにマッピングされ、処理のための適法な根拠、データ主体の権利の履行、および72時間以内の侵害（ブリーチ）通知が必要です。第9条で定義される特別カテゴリの個人データ（健康データ、生体データ、政治的または宗教的な見解を明らかにするデータ）は Restricted（制限）ティアにマッピングされ、加えて多くの場合、明示的な同意または第9条の別の免除、アクセス制御の強化、ならびにデータ保護責任者（Data Protection Officer）の監督が必要となります。

HIPAA

HIPAA は Protected Health Information（保護対象の健康情報）を、 §164.514 に記載されている18の識別子のうち1つ以上を含むあらゆる健康データ と定義しています。すべての PHI は Restricted（制限）ティアにマッピングされます。必要な統制には、保存時および転送時の暗号化、監査ログを伴うアクセス制御、従業員向けトレーニング、PHI を取り扱う第三者との Business Associate Agreements、ならびに影響を受ける個人の数に応じて拡張できる正式な侵害通知手順が含まれます。

PCI DSS

PCI DSS は、カード会員データを保存、処理、または送信するあらゆる組織に適用されます。Primary Account Number（PAN）、機密性の高い認証データ、完全なトラックデータはいずれも Restricted（制限）ティアにマッピングされます。必要な統制には、トークナイゼーションまたは AES 暗号化、カード会員データ環境を隔離するネットワーク分割（セグメンテーション）、強固なアクセス制御、四半期ごとの脆弱性スキャン、年1回のペネトレーションテストが含まれます。認可（承認）後の機密性の高い認証データの保存は禁止されており、分類に関係なく適用されます。

SOX、CCPA、および業界規制

SOX規制対象 財務報告データは、開示される財務情報における役割に応じて、通常は Confidential または Restricted にマッピングされます。必要な統制には、職務分掌の分離（segregation of duties）、変更管理（change management）、および7年間の保存（seven-year retention）が含まれます。

CCPA および関連する州のプライバシー法は、通常は Confidential にマッピングされる消費者の個人情報を対象としており、必要な統制は知る権利（the right to know）、削除する権利（the right to delete）、および販売からのオプトアウト（opt-out of sale）などの消費者の権利に重点が置かれます。

教育分野の Family Educational Rights and Privacy Act (FERPA) や金融サービス分野の Gramm-Leach-Bliley Act (GLBA) のような業界規制は、基本となる分類ティア（base classification tier）の上に、それぞれ独自の上乗せ要件（overlay requirements）を追加します。

規制ごとの要件を分類ティア（classification tiers）に逆向きにマッピングすることが、分類をラベリング作業からセキュリティおよび監査の統制へと変える要点です。さらに、分類ポリシーは紙の上では存在するものの、ポリシーが特定の規制統制にマッピングされていないために監査に失敗してしまう組織で、最もよく見られる単一のギャップでもあります。

データ分類のアプローチ

ほとんどの分類プログラムは3つのアプローチを組み合わせます。単一の方法では、すべてのデータ種別や状況をカバーできないためです。

コンテンツベースの分類

この分類アプローチでは、キーワード、パターン、フィンガープリント（指紋）をもとに、ファイルの実際の内容を分析します。パターンマッチングにより、クレジットカード番号などの構造化データを高い精度で検出でき、 社会保障番号 およびパスポート番号も同様に高い精度で見つけられます。キーワードおよび辞書マッチングでは、「salary」や「patient」のような機密性の高い用語を検出します。ファイルのフィンガープリント（ファイル指紋付け）では、ハッシュ署名を使って文書を既知の機密テンプレートと照合します。

コンテキストに基づく分類

データがどこから来たのか、またはどこに存在しているのかに基づいてレベルを割り当てます。人事システムで生成されたファイル、法務チームが所有するフォルダーに保存された文書、あるいは規制対象データベースから流れてくるデータなどはすべて、出所から分類を自動的に継承できます。

ユーザー主導の分類

このアプローチは、データ所有者が組織のポリシーに従って文書に手動でタグ付けすることに依存しています。ユーザーが作成しているものについて深いコンテキストを持っている場合、最も高品質なラベルを作成できますが、大量のデータにはスケールしません。また、摩擦を生み、時間の経過とともにコンプライアンスを低下させてしまいます。

コンテンツとコンテキストの方法により、分類作業の大部分が自動化されます。一方、ユーザー主導の分類は、自動化ルールでは見落としがちな文脈上の判断を補います。最も効果的なプログラムでは、データ全体にわたって自動化を適用し、曖昧なファイルはどちらか一方の方法に頼るのではなく、人のレビュアーに回します。

データ分類レベルを実装する方法

実装は、分類プログラムが実際の現場で成功する方法に対応した5段階のプロセスに従います。

スコープと目的を定義する

IT、セキュリティ、コンプライアンス、法務、およびビジネス部門の関係者を集めます。対象範囲に含めるデータソース（ファイルサーバー、SharePoint、データベース、クラウドストレージ、SaaS アプリケーション）と、成功の状態を決めましょう。範囲を明確にすることで、データの一部だけを分類して勝ったことにしてしまうというよくある失敗を防げます。

正式な分類ポリシーを作成する

ポリシーでは、各分類レベル、各レベルの適格基準、各レベルに対する取り扱いルール（暗号化、アクセス、保管期間、廃棄）、およびデータを分類しレビューする責任者（ロール）を定義する必要があります。また、レビューの頻度（見直しサイクル）も明記してください。

データを棚卸しし、発見する

自動発見ツールは、オンプレミス、クラウド、SaaS の各ロケーションにある構造化データと非構造化データの両方をスキャンします。出力は、データストア、ファイル種類、ボリューム、および初期の機密性（センシティビティ）指標の完全なカタログです。手作業による棚卸しは、小規模な環境を超えるとスケールしません。

分類ラベルを適用する

大部分のデータには自動化されたコンテンツおよびコンテキストのルールを組み合わせ、例外ケースや新しいコンテンツにはユーザー主導の分類を行い、時間の経過とともに機密性（センシティビティ）が変化するデータには定期的な再分類をスケジュールしてください。ラベルは、データがシステム間を移動するときもデータに付随したままであるべきです。

リスクを評価し、継続的に統制する

ガバナンスのない分類は劣化します。分類ラベルをアクセス制御に結び付け、ポリシー違反や誤ラベル付けを監視し、合併、新しい規制、製品のローンチ、あるいはデータが新しい環境へ移動するといった出来事でビジネス文脈が変わるたびに再分類してください。分類済みデータに対してデータリスクアセスメントを実行すると、次に投資する価値が最も高い具体的なコントロールを特定できます。

データ分類レベルのベストプラクティス

いくつかの実践により、セキュリティ成果をもたらす分類プログラムと、文書として存在するだけの分類プログラムを分けることができます。

• 発見と分類を自動化する： 手作業でのタグ付けは少量のデータを超えるとスケールせず、さらに不整合を招きます。自動パターンマッチングにコンテキスト（文脈）ルールを組み合わせることが基本です。ユーザー主導の分類は判断を加えられますが、自動化の代わりではなく補完として活用すべきです。
• まずはパイロットから始める： まずは1つの部門、または1つのデータ種別から始め、そこで得た学びをもとにプロセスとポリシーを改善してから、企業全体へ展開します。初日からすべてのデータストアを分類しようとすると、カバー範囲が不完全になり、ユーザーが疲弊してしまいます。
• 仕組みはシンプルに保つ： 段階を増やすほどより安全に見えますが、摩擦（手間・抵抗）が生じます。どのラベルが適用されるかをすぐに判断できないユーザーは、デフォルトで最も低いレベル（セキュリティを損なう）か最も高いレベル（使いやすさを損なう）のどちらかに寄ってしまいます。4つのレベルで、ほとんどの商用組織には十分です。
• 分類を Identity とアクセスに結び付ける： 強制（enforcement）されない分類ラベルは、単なるドキュメントです。分類はアクセス制御、DLP ポリシー、監視に直接反映されるべきで、データがどこに置かれていても、明示的な承認を持たない人物が Restricted データを開けないようにします。
• 定期的に再分類する： データの機密性は変化します。製品ローンチ時に Confidential と分類された情報は、発表後に Public に変わる可能性があります。Restricted の M&A データは、取引成立後に格下げされることもあります。年次レビューに加えて、イベント駆動のトリガーを用いることで、ラベルの正確性を維持できます。
• 取り扱いルールについてスタッフを教育しましょう：ポリシーの強度は、それを適用する人のレベルに等しいものです。機密データを作成、アクセス、または取り扱うすべての人は、自分の権限レベルに応じたルールを理解している必要があり、研修は少なくとも年1回は繰り返してください。

Netwrixで機密性の高いデータを発見・分類し、保護します

分類は最初のステップです。誰が機密データにアクセスできるのか、そしてそのアクセスが適切かどうかを把握することこそが、分類をセキュリティの成果へと変えるポイントです。

Netwrix Access Analyzer ファイルサーバー、SharePoint、データベース、クラウドリポジトリ全体で、エンタープライズ規模のデータ発見と自動分類を提供します。

パターンマッチング、コンテキスト分析、および40以上のデータ収集モジュールを用いて、個人を特定できる情報（PII）、PHI、カード会員データ、ならびにカスタムデータ種別を識別します。

自動化されたコンプライアンスのマッピングにより、GDPR、HIPAA、および PCI DSS をカバーし、組織固有のデータタイプに合わせたカスタム分類ルールを提供します。

Access Analyzer は、Active Directory と Entra ID の統合を通じて分類済みデータに誰がアクセスできるかも表示し、アイデンティティとデータの相関関係を、別個のワークフローではなく分類出力の本来の一部にします。

その Netwrix 1Secure platform は分類を Data Security Posture Management (DSPM)、データアクセスのガバナンス、そしてアイデンティティのコンテキストと統合します。

このプラットフォームのリスク評価ダッシュボードには、データのリスク、アイデンティティのリスク、インフラストラクチャのリスクにまたがる200件以上のセキュリティチェックが含まれており、AIベースの是正（リメディエーション）推奨が提供されます。

ハイブリッドの対象範囲は、ファイルサーバー、Microsoft 365、AWS S3、Azure Blob Storage、そして Dell、NetApp、Qumulo を含む認定済み NAS プラットフォームまで広がります。導入オプションには、SaaS、オンプレミス、ハイブリッドが含まれます。

Fortune 500の約25%を含む13,500社以上の組織が、データとアイデンティティを保護するために Netwrix を信頼しています。

デモを依頼する Netwrix Access Analyzer の動作をご覧ください。