実データでの精度の高いアプリケーションの開発やテストを実施する際には、本番環境からデータをコピーして非本番環境へ移さなくてはなりません。しかし、この段階で懸念されるのが機密情報の漏えいです。データマスキングは、情報漏えいのリスク低減に効果の高い手法です。本記事では、データマスキングの概要とメリット、有用なツールを紹介します。
データマスキングとはデータを匿名化すること
データマスキングはデータの匿名化とも呼ばれており、本番環境から非本番環境へ機密情報をコピーする際に、特定のルールに基づいて書き換えたデータに置き換えるプロセスを指します。分かりやすく例えると、本番データベースから顧客のクレジットカード情報を非本番データベースにコピーする際、別データに置き換えて外部から解読できない状態にする手法がデータマスキングです。データマスキングを用いると、元の機密情報と同様にテストに利用出来るできるダミーデータが生成されます。
なお、暗号化やVPD(仮想プライベートデータベース)は、データを隠す仕組みになっているため、アクセス権限さえあればオリジナルのデータを取得できます。一方、データマスキングを行った場合、オリジナルデータへのアクセスや取得は不可能な状態となります。つまり、元のデータに類似する利用可能なデータでありながら、機密情報や個人情報の含まれないダミーデータが生成されるということです。
データマスキングは、システムやアプリケーションの開発だけでなく、顧客情報の照会における重要なデータの保護にも活用されます。従来のデータマスキングは、情報の一部を油性マーカーで塗りつぶしたり、はさみでカットしたりするなど、オフラインでの実施が一般的でした。しかし、ペーパーレス化の推進やデジタルデータが一般的となった昨今、膨大かつ複雑化したデータを手動で処理していくには限界があります。時代の流れに伴い、データ上で匿名化を行うデータマスキングのニーズが高まっているのです。
データマスキングでは「顧客住所の2〜7桁目をマスキングする」「クレジットカード番号の下4桁以外をマスキングする」といったように、何らかのルールに基づいてデータの匿名化が行われます。ただし、見た目は実データに類似した特性を保持しているため、データの使用やアプリケーションの運用に支障が出ることはありません。このような特性から、重要なデータのやり取りや、システム構築におけるテスト環境での利用に適していることが分かります。
データマスキングツールの機能
クラウドをベースとしたアプリケーションの利用、データ分析によるインサイトを抽出するニーズは今後も高まると考えられています。そのため、将来的にデータマスキング市場はさらに拡大していくでしょう。ITインフラの普及が加速した現在では、ネットワークの境界で防御するこれまでのやり方が通用しなくなっています。
世界各国でセキュリティに対する懸念の声が上がる昨今、サイバー攻撃に対抗する取り組みを始める企業が増えました。ここでは、多様化・複雑化するデータを、素早く安全な形式に処理するデータマスキングツールの主な機能を紹介します。
トランザクション/マスタデータコピー
業務に伴って発生し蓄積されるトランザクションデータと、データ処理を実行する際の基礎となるマスタデータの範囲を指定できる機能です。例えばデータのコピーを行う際、すべてのデータをコピーの対象とするのではなく、商品のやり取りに関するトランザクションデータのみや、マスタデータである顧客情報のみといったように、コピーの対象とするデータを選択できます。また、データの期間を指定して不要なデータの移動を避けることも可能です。
特定モジュールコピー
コピーするデータをより詳しく指定できる機能です。例えば、特定した種類の伝票データのコピー、価格や仕入先を絞って情報をコピーする機能も備わっています。業務に基づいた必要なデータを指定できるようになっています。
シャッフリングコピー
シャッフリングコピーとは、元のデータを利用して入れ替えることにより、現実には存在しないマスタデータを生成する機能です。
データマスキングの利用
本番環境と同様に、テスト環境では顧客情報や機密情報などの重要データが格納されます。情報セキュリティインシデントの発生を防ぐためにも、企業は十分な対策を講じなければなりません。機密情報が流出してしまえば、取引先や企業にも大きな被害を及ぼす恐れがあります。企業の保有するデータは、今後さらに複雑化すると想定されています。膨大なデータを書き換えるマスキング作業の効率化には、専用ツールの導入が有効です。
データマスキングの利用方法
データマスキングの実施に向けて、自社に適したツールを選定しましょう。導入を検討しているツールがフリー版を提供しているのなら、実際に使ってから購入を判断するのがおすすめです。データマスキングの一般的なワークフローでは、まず「データの準備」を行います。これは、マスキング範囲、対象データ、マスキングするテーブルなどを決定します。
次に「マスキングルール」を設定するステップへと進みます。ここでは「氏名の最初と最後を“*”にする」「郵便番号の下4桁を“*”にする」など、匿名化する情報の対象を設定します。その後「マスキングを実行」して作業は終了です。
なお、顧客情報の量によっては、Excelの機能を使ってマスキングする方法もあります。また、SQLやpythonなどのプログラミング言語を用いた記述により、手動で①機密情報を抽出し、マスキングすることも可能ですが、②マスキングとマスキングデータの投入に要する工数を削減してコア業務へリソースを投じたいのであれば、簡単な操作でマスキングデータを生成する専用ツールの導入を検討した方が望ましいでしょう。
データマスキングの利用シーン
データマスキングの目的は、テスト環境における第三者への開示を防ぎ、重要なプライベートデータの機密性を保持することです。クレジット会社や保険会社が提携企業へデータ提供を行う際にも、データに個人情報を含めない加工をするためにデータマスキングが活用されています。データマスキングを行わずに企業間またはシステム間で個人情報を取り扱った場合、悪意のある第三者に情報が発見されるリスクは高くなります。情報漏えいは、企業の存続にもかかわる重大な問題です。企業の信頼低下を招かないためにも、安全性に配慮する義務を忘れないようにしましょう。
またマスキングは、データガバナンスを強化することにも有効です。情報漏えいの大半は、社内での誤った取り扱いが原因であるというデータもあります。不可逆な形式で置換・変換するデータマスキングを採用すれば、それらのリスクを低減できます。さらに、複雑なデータや誤ったデータを除外して、取り扱うデータを簡素化させるという役割も担うため、テスト環境において質の高いデータが利用できるのもメリットです。
まとめ
巧妙化するサイバー攻撃に対抗するために、今後データマスキングの必要性はますます高まってくるものと考えられます。マスキングをより簡単に実行するためには、データマスキングツールの導入が欠かせません。
REALTECHジャパンでは、「Data Sync Manager」の導入支援を提供しています。すでにSAPを利用しているのであれば、ぜひ導入を検討してみてはいかがでしょうか。Data Sync Managerは、本番データをテストデータとして利用する際のさまざまな課題を解決に導いてくれるでしょう。
