動的データマスキング機微カラムを、クエリ時にマスクする。

動的データマスキングガイド

順番に読む。

• 01

  クエリ時マスキングとは

  実用的なプリミティブとしての DDM — クエリ時マスキングが何を変換し、静的マスキングとどう違い、誰が何を見るかを律するポリシーパターン。

• 02

  静的 vs 動的 — どちらをいつ使うか

  静的マスキングはマスク済みコピーを書き出し、動的マスキングはクエリ時に変換する。それぞれが合う場面 — 非本番データセット対 本番のライブ読み取り — と、なぜ二者択一ではないか。

• 03

  アクセス経路ごとに実装する

  DDM を実装する 5 つの方法 — エンジンネイティブ、データベース内、アプリケーション、BI、ワークフロー型ゲートウェイ — と、それぞれがどの呼び出し元をマスクするか。アプリの経路にはネイティブ、人間にはゲートウェイ。

動的データマスキングに関する質問

よくある質問。

動的データマスキングとは？

動的データマスキング (DDM) は、誰が尋ねているかに基づいて、クエリの応答時に機微なカラム値を変換します。保存データは決して変更されません — 同じ SELECT が、あるロールには実値を、別のロールにはマスク済みの値 (ハッシュ、墨消し、末尾 4 桁) を返します。これは結果集合の制御層です: 誰が接続できるかはアクセス制御、接続できた人が実際に何を見るかがマスキングです。

静的データマスキングとは何が違うか？

静的マスキングはマスク済みの値をデータの別コピーに書き込みます — 非本番データセットには有用ですが、リフレッシュして同期を保つ必要のある第 2 の正本になります。動的マスキングは本番データを手つかずのままクエリ時に値を変換するため、維持すべきコピーがなく、同じ行が呼び出し元ごとに異なる値を返せます。

行レベルセキュリティ (RLS) とは何が違うか？

RLS はポリシーに基づいて行全体を隠します。マスキングは行を隠さずに特定のカラム値を変換します。Postgres、SQL Server、Oracle は RLS をネイティブに備えますが、エンジンネイティブの RLS は性能の地雷とバイパスのリスクを伴います。ワークフロー型ゲートウェイは DB の前段に立ち、エンジン横断で同じように動くマスキングのポリシーを、中央集約の監査証跡とともに適用します。