いかなるデータも封印されていては意味がありません。セキュリティを確保しつつ、すべてのデータから価値を引き出す方法を紹介します。

コンピューター社会の黎明期から、オープン性とセキュリティは対峙を繰り返してきました。機密データがビジネスにインサイトがもたらす可能性があるにも関わらず、情報管理者は機密データの扱いを巡って論争を続けています。最高情報セキュリティ責任者（CISO）は、最高財務責任者の支援を得て、機密データが悪意のある人々の手にわたらないように封印しておくべきだと主張しています。しかし、最高経営責任者、最高マーケティング責任者、営業管理者は、ビジネスの成長、ユーザー体験の差別化、業務の合理化を実現するために、機密データからできる限り多くの価値を引き出したいと考えています。どうすれば、漏洩リスクを負うことなく、機密データから価値を引き出すことができるのでしょうか？

「機密と見なされるデータを『封印する』という考え方は、企業全体のイノベーションと改善の妨げとなります。機密情報については、手を出さない方がいいという心理が蔓延していますが、コンプライアンスから逸脱せず、機密情報を漏洩することもなく、プロジェクトを成功に導くことができるツールは存在するのです」と、Informaticaの製品マーケティング担当副社長でPotential at Workアプリケーション管理者コミュニティの共同執筆者を務めるJulie Locknerは述べています。

ご承知のように、データマスキングは、元のデータ特性を維持しながら値を変えることで、不正アクセスから機密データを保護します。データの意味を保持しながら、データのセキュリティを確保し、データのプライバシー規制を遵守することができます。機密情報は、引き続きビジネスのために活用され、ビジネスとの関連性が保持されます。また、コンプライアンスが維持され、データ侵害も回避されます。

異なるユースケース

データマスキングには、以下のような2つの方法があります。

1. Dynamic Data Masking（動的データマスキング）：データがアプリケーション内部で動的にマスキングされます。
2. Persistent Data Masking（永続的データマスキング）：データがソースで永続的に変更されます。

Dynamic Data Maskingは、Lightweight Directory Access Protocol（LDAP）などの標準アクセスコントロール、Active Directory、IDアクセス管理ソフトウェアを統合したものです。コーディングなしに、運用アプリケーション内部でデータをマスキングします。

「Dynamic Data Maskingは、その場で機密フィールドのマスキングができるようにします。情報管理者は、本来の値にアクセスできるユーザーを限定しながら、データを共有、移動することができます。また、データのプライバシー規則に違反することなく、データを分析やリサーチに使用できます」と、Locknerは説明しています。

一方、Persistent Data Maskingは、非運用環境の機密情報を保護するものです。多くの場合、運用アプリケーションは、開発、ユーザーによるテスト、トレーニングを目的としたクローンが作成されます。データ侵害や漏洩リスクを回避するために、クローンプロセスの間は、データを自動的かつ永続的に変更します。ほとんどの企業は、テストや開発の作業をアウトソースしているため、セキュリティ確保は最重要課題となっています。

社内のサイロを乗り越える

データマスキングを運用環境と非運用環境に実装する上で障害となるのが、社内の業務サイロです。考え方や目標の違いにより、共同で作業することが困難です。複数の業務部門にわたって連絡調整役となるのは、情報管理者の責任です。

Locknerは、次のように明言しています。「ほとんどの人々は、データガバナンスとデータセキュリティを全く別のものとして考えていますが、そうではありません。この2つは、高度に補完的なイニシアチブとして管理、調整されるべきです。データガバナンスとデータセキュリティの連携により、大幅なスケールメリットとより高いビジネス価値がもたらされるのです。」

Garnerのレポート「2012 Magic Quadrant for Data Masking Technology」では、データマスキングが貴社にもたらす利点や、同社がある特定の企業にとってデータマスキングが「必須」だと主張する理由について解説されていますので、是非ご一読ください。