データセキュリティ
現在の高度に接続された世界では、サイバーセキュリティの脅威やインサイダーリスクは常に懸念されています。組織は、保有するデータの種類を可視化し、データの不正使用を防止し、データにまつわるリスクを特定して軽減する必要があります。以下のセクションでは、データセキュリティが不可欠な理由、一般的なデータセキュリティリスク、不正アクセス・盗難・破損・ポイズニング・偶発的な紛失から組織を守るためのデータセキュリティのベストプラクティスについて解説します。
データセキュリティと は
データセキュリティとは、データのプライバシー、機密性、完全性、可用性を維持するために、不正アクセス、盗難、破損、ポイズニング、偶発的な損失からデータを保護するために設計された一連の慣行と手順のことです。データセキュリティは、データの作成から破棄に至るまで、データのライフサイクル全体を通じて機密データ（個人を特定できる情報、財務情報、健康情報、知的財産）を保護するのに役立つものでなければなりません。ハードウェアやストレージデバイスの物理的なセキュリティから、管理・アクセス制御、ソフトウェアアプリケーションのセキュリティ、データガバナンスポリシーに至るまで、全てを網羅する必要があります。
Databricks についてさらに詳しく
データセキュリティが重要な理由
データは、今日のあらゆる組織にとって最も重要な資産の 1 つであり、データセキュリティの重要性はどんなに強調してもし過ぎることはありません。データの保護は、あらゆる業界のあらゆる企業にとって優先事項であるべきです。データセキュリティの侵害が増加の一途をたどる中、その重要性はますます高まっています。Check Point Research によると、2022 年の世界のサイバー攻撃は、2021 年と比較して 38% 増加しました。
データの損失や悪用は、風評被害、ML モデルの不正確さ、ビジネスの損失、ブランドエクイティの喪失など、組織にとって深刻な結果をもたらす可能性があるため、データの保護は極めて重要です。さらに、組織の知的財産が侵害された場合、その組織の競争力は永久に影響を受ける可能性があります。IBM の「データ侵害のコストに関する調査 2023 年」によると、2023 年のデータセキュリティ侵害の平均コストは 445 万ドルで、2020 年よりも 15% 増加しています。
風評被害に関連するコストに加え、規制要件を遵守しなかった場合、コンプライアンス違反による罰金が科される可能性があります。EU 一般データ保護規則（GDPR）とカリフォルニア州消費者プライバシー法（CCPA）はいずれも、データを適切に保護しなかった組織に罰金を課すものです。GDPR では、データ侵害は、組織の年間収益の最大 4％ の罰則につながる可能性があります。
データセキュリティリスク
データセキュリティにおけるリスクには、いくつかの種類があります。最も一般的なものは、次のとおりです。
マルウェア
マルウェアにはワーム、ウイルス、スパイウェアなどがあり、権限のないユーザーが組織の IT 環境にアクセスできるようになります。内部に侵入した場合、IT ネットワークやエンドポイントデバイスを混乱させたり、認証情報を盗んだりする可能性があります。
ランサムウェア
ランサムウェアは、組織のデバイスに感染し、データを暗号化して身代金が支払われるまでアクセスできないようにします。身代金を支払ってもデータが失われることもあります。
フィッシング
フィッシングは、個人や組織を騙して、クレジットカード番号やパスワードなどの情報や特権アカウントへのアクセスを提供させる行為です。被害者がよく知っている信頼できる企業のふりをして、機密データを盗んだり、損害を与えたりすることが目的です。また、外部の攻撃者が正当なユーザーを装ってデータにアクセスしたり、盗んだり、汚染させたり、破損させたりすることもあります。
分散型サービス拒否（DDoS）攻撃
DDoS 攻撃は、ネットワークサービスを妨害してアプリケーションのリソースをオーバーランさせることで、ウェブサイトやサーバーを標的とします。攻撃者は、サイトにトラフィックを殺到させてウェブサイトの機能を低下させたり、完全な機能停止を引き起こさせたりします。
ヒューマンエラー
従業員がデータにアクセスしたり、同僚と共有したりすることで、意図しない対象者に誤ってデータを公開してしまうことがあります。あるいは、従業員が安全でないワイヤレス接続を介して会社のリソースにサインインすることもあります。
インサイダー脅威
不満を持つ従業員が故意にデータを漏洩したり、データを盗んで利益を得ようとする可能性があります。
データセキュリティツールと戦略
データセキュリティツールと戦略は、組織の重要なデータがどこに存在し、どのように使用されているかを可視化します。堅牢なデータセキュリティ戦略が適切に実施されれば、サイバー犯罪行為から組織の情報資産を保護するだけでな く、今日のデータ侵害の主な原因であるヒューマンエラーやインサイダー脅威から保護することで、データ損失の防止も促進されます。一般的なデータセキュリティツールには、次のようなものがあります。
- データの暗号化：通常のテキスト文字を読めない形式にスクランブルするアルゴリズムを使用します。暗号化キーによって、許可されたユーザーだけがデータを読むことができます。
- データマスキング：機密データをマスキングし、コンプライアンスに準拠した環境で開発を行えます。データをマスキングすることで、チームは実際のデータを使用してアプリケーションの開発をしたり、トレーニングを行えます。
- データ消去：ソフトウェアを使用して、ストレージデバイス上のデータを完全に上書きします。次に、データが復元不可能であることを検証します。
- アクセス管理：適切なユーザーだけがテクノロジーリソースにアクセスできるようにするためのポリシー、監査、テクノロジーを含みます。
- ロールベースのアクセス管理：リソースに対して許可されたアクションが、個々のサブジェクト ID ではなくロールで識別されるようにリソースへのアクセスを制御します。
データセキュリティのベストプラクティス
データセキュリティのベストプラクティスには、上記で概説したデータ保護ツールのほか、監査やモニタリングが含まれます。データセキュリティのベストプラクティスは、オンプレミスとクラウドの両方で活用することで、データ侵害の脅威を軽減し、規制遵守の達成に役立ち ます。具体的な推奨事項はさまざまです。一般的には、多様な脅威ベクトルを軽減するために深層防御アプローチを適用して設計された多層データセキュリティ戦略が求められています。
データガバナンスは、セキュリティのベストプラクティスに不可欠です。データガバナンスには、データをどのように利用可能にし、使用し、保護するかを管理する方針と手順が含まれます。ガバナンスは、組織全体で実施されるプロセスを確立し、コンプライアンスとデータセキュリティを確保すると同時に、ユーザーが業務に必要なデータにアクセスできるようにします。
Databricks データインテリジェンスプラットフォームにおけるデータの保護
Databricks データインテリジェンスプラットフォームは、エンドツーエンドのセキュリティを提供し、許可された個人による適切なデータアクセスを保証し、組織のコンプライアンス要件を満たすよう支援します。Databricks は、暗号化、ネットワーク制御、データガバナンス、監査など、お客さまのデータとワークロードを保護するための包括的なセキュリティ機能を提供しています。また、ベストプラクティスのホワイトペーパー、セキュリティ分析ツール、および Terraform テンプレートをセキュリティ＆トラ ストセンターで提供しています。
Databricks のデータガバナンスソリューションである Unity Catalog は、きめ細かなデータガバナンス、メタデータとユーザーの一元管理、一元化されたデータアクセス制御、データリネージ、データアクセス監査を提供し、あらゆるクラウドやプラットフォーム上の構造化・非構造化データ、機械学習モデル、ノートブック、ダッシュボード、ファイルをシームレスに管理します。
