データ分類

データ分類とは、機密度、ビジネス上の重要性、規制要件、および不正な開示や損失による潜在的影響に基づいて組織の情報を体系的に分類するプロセスです。明確な分類がない場合、組織はすべてのデータを同等に扱い（些末なデータに最大限の管理策を適用してリソースを浪費したり、機密度の高いデータを適切に保護できなかったり）、セキュリティ投資の優先順位付けに苦労し、個人データおよび機密データの識別と差別化された保護を求める LGPD、GDPR、PCI-DSS などの規制への準拠に苦慮します。一般的な分類フレームワークは、4～5 段階の階層レベルを使用します：公開（すでに公に開示されている、または開示が承認された情報で、漏洩しても影響がないもの。例としてプレスリリース、マーケティング資料、ウェブサイトの公開コンテンツが挙げられます）、社内/社内利用（組織内での利用を目的とし、外部の対象者を想定していないが、限定的な開示では重大な損害を生じない情報。社内ポリシー、組織図、業務手順など）、機密（不正な開示により組織に中程度の財務的または評判上の損害を生じうる機密性の高い情報で、アクセス制御および保存時の暗号化による保護を必要とするもの。例として戦略計画、公表前の財務データ、非公開の顧客情報、独自のソースコードが挙げられます）、制限/最高機密（露出すれば深刻な損害を生じる極めて機密性の高い情報で、保存時および転送時の暗号化、アクセスへの MFA、完全な監査ログ記録による最高レベルの保護を必要とするもの。例として重要な知的財産、LGPD 下の機密個人データ、PCI-DSS 下のクレジットカード情報、HIPAA 下の健康データ、企業秘密、暗号鍵、特権資格情報が挙げられます）。各分類レベルには、データの保存方法（ストレージ要件）、転送方法（暗号化標準）、アクセス方法（認証および認可の要件）、保持方法（保持期間）、および使用寿命終了時の廃棄方法（安全な削除方法）を定義する、関連付けられた必須の管理策があります。

分類とオーナーシップのプロセス

効果的な分類には、明確なデータオーナーシップの確立が必要です。データオーナー（通常は事業部門マネージャーまたはプロセスオーナー）が、ビジネスの文脈、開示の潜在的影響、および適用される規制要件に基づいて適切な分類を決定する責任を負います。IT は指針やツールを提供できますが、最終的な決定は、データのビジネス価値と機密度を理解しているオーナーに委ねられます。プロセスは、データがどこに存在するか（ファイル共有、データベース、SharePoint、クラウドストレージ、従業員のノートパソコン）、どのような種類のデータが存在するか（PII、財務、健康、IP）、誰がそれを作成し利用するか、およびシステム間のデータフローを特定するデータディスカバリーとインベントリから始まります。次にデータオーナーは、組織の分類スキーマに基づいて分類を行い、メタデータタグ（自動化）、視覚的なマーキング（文書のヘッダー/フッター）、またはファイルシステム属性となりうるラベル/タグを適用します。分類では次の点を考慮する必要があります：集約リスク。複数の低機密度データの組み合わせが高機密度のデータセットを生み出す場合があります（氏名のリストは公開ですが、氏名 + 納税者番号 + 住所 + 収入は機密です）。規制要件。最低限の分類を強制する場合があります（LGPD 下のデータは、企業が低リスクとみなしても自動的に最低でも機密となります）。契約上の義務。秘密保持契約（NDA）など、第三者データの分類を引き上げうるもの。そして時間的側面。分類は時間とともに変化しうるものです（財務データは決算発表前は制限であり、開示後は公開になります）。ビジネス状況が変化した場合には再分類を許可すべきですが、分類レベルの引き下げには、監査証跡のための承認と正当性の文書化が必要です。

分類レベル別の技術的管理策

各分類レベルには、ポリシーとテクノロジーを通じて適用される、明確に定義された必須の技術的管理策が必要です。公開データの場合：特別なセキュリティ要件はなく、任意の場所に保存でき、暗号化されていない電子メールで転送でき、認証なしでアクセスできます。社内データの場合：ネットワークアクセス制御を介して従業員および認可された請負業者にアクセスを制限し、アクセスログ記録を伴う企業ファイル共有または承認されたクラウドストレージに保存し、企業電子メール（転送時の TLS）で転送します。保存時の暗号化は不要ですが、定期的なバックアップが必須です。機密データの場合：IAM システムを介したロールおよび知る必要性に基づくアクセス制御、データベースおよびファイルストレージに対する AES-256 を用いた保存時の暗号化、外部転送に対する TLS 1.2 以上を介した転送時の暗号化、リモートアクセスへの MFA、すべてのアクセスと変更の監査ログ記録（ログは最低 1 年間保持）、不正な電子メールやアップロードを防止する DLP（データ損失防止）ポリシー、暗号化とパスワード保護を必要とする外部共有、定期的な復元テストを伴う暗号化バックアップ、および特定の保持期間とそれに続く安全な削除。制限データの場合：機密と同じ管理策に加えて、鍵管理のためのハードウェアセキュリティモジュール（HSM）、制限データを持つシステムを隔離するネットワークセグメンテーション、内部を含むすべてのアクセスへの必須 MFA、異常のリアルタイムアラートを伴う強化された監視、法務承認のもとで禁止または極めて限定される外部共有、暗号化データとは別に管理される暗号鍵、アクセス権を持つ要員に対する身元調査、およびデータを保存するハードウェアに対する物理的セキュリティ管理策。管理策の適用には、テクノロジー（自動暗号化、DLP、アクセス制御）、ポリシー（許容利用ポリシー、分類ガイドライン）、および研修（適切な取り扱いに関する従業員の意識）の組み合わせを用います。

ラベル付け、タグ付け、および自動化された適用

ユーザーが文書ごとに分類ラベルを選択する手動分類は、誤りが生じやすく、一貫性がなく、拡張性がありません。毎日テラバイト規模のデータが作成される現代の組織において、効果的なデータ分類には自動化が不可欠です。コンテンツベースの分類は、パターンマッチング、正規表現、機械学習を用いてコンテンツに基づきデータを自動的に分類します：クレジットカード番号（Luhn アルゴリズムで検証）、納税者番号のパターン、電子メールアドレス、医療記録番号、および機密情報を示すキーワードを検出し、これらのパターンを含む文書を機密以上として分類します。コンテキストベースの分類は、作成者（CFO が作成した文書は自動的に機密）、場所（「Board Materials」フォルダ内のすべては機密）、アプリケーション（人事データベース内のレコードは PII を含むため機密）などのメタデータを考慮します。ユーザーベースの分類は、文書の保存時や電子メールの送信時にユーザーへ分類の選択を促し、コンテキストに基づくインテリジェントなデフォルト値と、引き下げ前の必須レビューを備えます。テクノロジー：Microsoft Information Protection（MIP）は Office 365 と統合し、文書とともに保持されるラベル（埋め込みメタデータ）を適用します。Azure Information Protection はオンプレミスのファイル共有およびクラウドストレージへと拡張されます。Symantec DLP と Forcepoint DLP はコンテンツ検査と分類を行います。Google Cloud DLP API は GCP 内の機密データを自動的に検出・分類します。Varonis と Netwrix はスキャンを介してレガシーのファイル共有を分類します。ラベルは自動化された管理策をトリガーする必要があります：機密とラベル付けされた文書は保存時に自動的に暗号化され、機密の添付ファイルを含む電子メールは外部送信前に確認を要し、制限データを未承認のクラウドストレージへアップロードすることはブロックされます。メタデータのタグ付けにより分類別のデータ検索と発見が可能になり、コンプライアンス報告（機密文書がいくつあり、どこにあるか）、データ最小化（保持期間後に機密を削除）、およびインシデント対応（S3 バケットが漏洩した場合、データの分類に基づき影響を迅速に特定）が容易になります。

データライフサイクルと保持

データには作成から最終的な廃棄に至るライフサイクルがあり、分類はそのライフサイクルの各段階における適切な管理策の指針となります。作成：分類は作成時点で決定され（ユーザープロンプト、自動検出、またはテンプレート/ソースからの継承を介して）、管理策が直ちに適用される必要があります。保存：データは分類に基づき承認されたストレージの場所に存在する必要があります（制限は物理的セキュリティを備えたオンプレミスのデータセンターのみ、機密は暗号化を伴う承認されたクラウドプロバイダーを許可、社内は任意の企業ストレージを使用可能）。分類レベルに見合った暗号化、バックアップ、アクセス制御を伴います。利用/処理：利用時のアクセスには適切な認証/認可、誰がいつアクセスしたかのログ記録、および不正な共有や持ち出しに対する DLP による防止が必要です。共有：分類に基づく外部共有ポリシー（公開は自由に共有可能、社内は NDA を伴う安全な方法のみ、機密は法務承認を伴い極めて制限的、制限は決して共有しないか安全なデータルームを介してのみ）、および知る必要性の原則による社内共有。アーカイブ：積極的に利用されていないがコンプライアンスやビジネス上の必要性から保持されるデータは、同じセキュリティ管理策を維持したまま低コストのアーカイブストレージへ移され、分類および規制要件（LGPD、SOX、税法）によって定義される保持スケジュールを伴います。廃棄：保持期間の終了時、またはビジネス上の必要性が終了したとき、分類に基づく安全な削除方法を用います（公開は単純な削除、機密はランダムデータでの上書きまたは鍵の破棄による暗号消去、制限は破棄証明書を伴う認定シュレッダーによる媒体の物理的破壊）。SharePoint、Google Drive、ファイル共有において、保持期間の満了後にデータを自動的に削除またはアーカイブする自動保持ポリシーを実装し、訴訟中の削除を一時停止するリーガルホールド機能を備えます。