機微なカラムを、クエリ時に、すべてのエンジンでマスキングする

ダイナミックデータマスキング（DDM）は、クエリが応答される際に、誰が尋ねているかに基づいて機微なカラムの値を変換します。保存されたデータは決して変更されません。同じ SELECT が、あるロールには本当の値を、別のロールにはマスクされた値（ハッシュ、伏字、下 4 桁）を返します。これは結果セットの制御層です。誰が接続できるかはアクセス制御、実際に何が見えるかはマスキングです。

静的マスキングは、マスクされた値をデータの別のコピーに書き込みます。非本番データセットには有用ですが、更新して同期し続けなければならない 2 つ目の信頼できる情報源です。動的マスキングは本番データをそのままにし、クエリ時に値を変換するため、維持すべきコピーがなく、同じ行が呼び出し元ごとに異なる値を返せます。

RLS はポリシーに基づいて行全体を隠します。マスキングは行を隠さずに特定のカラムの値を変換します。Postgres、SQL Server、Oracle は RLS をネイティブにサポートしますが、エンジンネイティブの RLS はパフォーマンスの落とし穴とバイパスのリスクを伴います。ワークフローゲートウェイはデータベースの前に立ち、エンジンをまたいで同じように機能するマスキングポリシーを、中央集約された監査証跡とともに適用します。

いいえ。Bytebase は Bytebase を経由する読み取り — SQL Editor、クエリ結果、チームが触れるエクスポート — をマスキングします。独自の認証情報でデータベースに直接接続するアプリケーションは傍受されず、その必要もありません。アプリは付与されたアクセスをすでに持っています。動的マスキングは、さもなければ生の PII が誰かの結果グリッドに届く、人間のクエリパスを統制します。

Bytebase は PostgreSQL、MySQL、SQL Server、Oracle、BigQuery、Snowflake など 20 以上のエンジンにわたって 1 つのマスキングポリシーを適用し、同じルール・マスクの種類・監査証跡をどこでも適用します。データベースごとに異なるエンジンネイティブな方言を使う代わりに。

はい。Bytebase は 1 つの Docker イメージとして自社インフラで実行され、データとデータベース認証情報がネットワークの外に出ることはありません。オープンソースです。