メソッドタイプ

Sensitive Data Protection には、データの検査、変換（匿名化）、検出、分類に使用できるさまざまなタイプのメソッドが含まれています。これらのメソッドを使用すると、オンとオフの両方でデータをスキャンし、さまざまなタイプのワークロードに対して Sensitive Data Protection の動作を最適化できます。 Google Cloud

機密データの保護には次のメソッドタイプがあります。

検査と匿名化の方法

このセクションでは、検査構成にリストされている情報の種類に一致する各データを特定し、必要に応じて匿名化する方法について説明します。

コンテンツ メソッド

コンテンツ メソッドは同期型のステートレス メソッドです。検査または変換されるデータは、リクエストで直接 DLP API に送信されます。機密データの保護の検査結果や変換されたデータは、API レスポンスで返されます。リクエスト データは暗号化されて転送され、保存されません。

コンテンツ メソッドのデータフローの図。クライアントが API リクエストを介して機密データの保護にデータを送信し、データを検査および分類または匿名化して変換し、同期 API レスポンスをクライアントに送信することを示しています。

詳細については、コンテンツ メソッドの REST API リファレンスをご覧ください。

ストレージ メソッド

ストレージ メソッドは、Cloud Storage、BigQuery、Datastore モードの Firestore（Datastore）などのシステムで Google Cloud に保存されたデータを検査するように設計されています。 Google Cloud ストレージ検査を有効にするには、dlpJobs リソースを使用して機密データの保護ジョブを作成します。各ジョブはマネージド サービスとして実行され、データを検査してから、結果の保存や公開などの機密データの保護アクションを実行します。これらのオプションのアクションに加えて、機密データの保護は、ジョブのステータス、スキャンしたバイト数、infoType ごとの検出結果の概要など、ジョブの詳細を作成して保存します。Google Cloud コンソールの DLP API または機密データの保護を使用してジョブを管理できます。

ストレージ メソッドのデータフローの図。機密データの保護が Google Cloud ストレージ リポジトリ上のデータを検査し、検出結果を保存または公開していることを示しています。

詳細については、projects.dlpJobs リソースの REST API リファレンスをご覧ください。ストレージの詳細は StorageConfig オブジェクトで指定します。

ハイブリッド メソッド

ハイブリッド メソッドは、実質すべてのソースから送信されたデータのペイロードをスキャンし、その結果を Google Cloudに保存できるようにする一連の非同期 API メソッドです。ハイブリッド メソッドは、コンテンツ メソッドと似ていますが、検査対象のデータが 1 つ以上の検査リクエストに含まれている点が異なります。ただし、コンテンツ メソッドと異なり、ハイブリッド メソッドは API レスポンスで検査結果を返しません。代わりに、検査結果はサーバー側で処理され、結果が表にまとめられ、ストレージ メソッドに似た方法で保存されます。

ハイブリッド検査を有効にするには、dlpJobs リソースを使用して機密データの保護ジョブを作成します。各ハイブリッド ジョブは、検査リクエストをリッスンし、検出結果の保存や公開などの機密データの保護アクションを実行するマネージド サービスとして実行されます。これらのオプションのアクションに加えて、機密データの保護は、ジョブのステータス、スキャンしたバイト数、infoType ごとの検出結果の概要など、ジョブの詳細を作成して保存します。Google Cloud コンソールの DLP API または機密データの保護を使用してジョブを管理できます。

ハイブリッド ジョブのデータフローの図。アプリケーションが外部ソースから機密データの保護へデータを送信し、機密データの保護がデータを検査し、検出結果を保存または公開していることを示しています。

詳細については、projects.dlpJobs リソースの REST API リファレンスをご覧ください。データソースは、StorageConfig オブジェクトの hybridOptions フィールドで指定します。

検出方法

検出方法を使用すると、機密データの検出を構成してデータ プロファイルを生成できます。データ プロファイルは、組織内の機密データの場所、保存されている機密データの種類、そのデータにアクセス制御が適用されているかどうかを判断するのに役立つ分析情報を提供します。

BigQuery、Cloud SQL、Cloud Storage、Vertex AI などのシステムに保存されているデータをスキャンするように検出を構成できます。 Google Cloud Security Command Center Enterprise が有効になっている場合は、Sensitive Data Protection を使用して他のクラウド プロバイダのデータをスキャンすることもできます。

各検出スキャンの後に機密データの保護で実行するアクションを指定できます。たとえば、スキャン結果を他のGoogle Cloud サービス（Security Command Center や Google Security Operations など）に送信して、組織のデータ セキュリティ対策の可視性を高めることができます。プロファイリングされたリソースにタグを付け、それらのリソースへの IAM アクセスを自動的に許可または拒否するように検出サービスを構成できます。データ プロファイルを BigQuery にエクスポートすることもできます。エクスポートしたプロファイルを Looker に接続して、事前作成されたレポートを表示できます。独自のカスタムクエリとレポートを作成することもできます。

検出を有効にするには、DiscoveryConfig リソースを作成します。検出は、検出構成で設定したスコープと頻度に基づいて実行されます。Sensitive Data Protection が生成されたプロファイルを保存する場所については、データ所在地に関する検討事項をご覧ください。

検出構成、データ プロファイル、Cloud SQL 接続は、DLP API または Google Cloud コンソールを使用して管理できます。

詳細については、次の REST API リファレンスをご覧ください。

次のステップ