Microsoft は、ユーザーが最初に目視することなく機密情報の存在を検証することで、顧客のデータコンプライアンスとガバナンスの要件に対応するために構築されたテクノロジである Azure Purview を初公開しました。
Purview Preview (Azure AI を注入したウイスキーを数杯飲んだ後には口に出さないでください) は、Microsoft が社内のプライバシーとコンプライアンスの取り組みの一環として開発した社内テクノロジから生まれました。
このプラットフォームは、同社独自の膨大な量のデータを管理するために設計されており、データ ウェアハウス ラングラーの Azure Synapse Analytics の新しい一般提供バージョンとともにリリースされました。
「フィードバックは聞いています…」プライバシーへの反発を受け、Microsoft 365はユーザーごとの生産性監視を廃止
続きを読む
Purviewは、組織内に漂う膨大なデータを把握するための支援を目的としたMicrosoftのツール群の最新版です。今回の場合、その支援はAzureサービスが機密情報をスニッフィングするという形で提供されます。
このクラウド サービスは既存の検索機能に基づいて構築されており、コネクタを使用して、Microsoft 独自の Azure SQL、Cosmos DB、Azure Blobs から、SAP、Teradata、Amazon AWS S3 などの外部のさまざまなソースに接続します。
定期的または 1 回限りのサーバーレス スキャンにより、これらのソースからメタデータが収集され、データ マップが Apache Atlas オープン API として公開されます (これにより、プログラムによってさらに多くのデータをプッシュして、さらに拡張できるようになります)。
スキャン中は、列名に基づいて分類を適用したり、「システムは列の内容をスキャンして機密情報の存在を確認することもできます」とエンジニアリング リーダーの Mike Flasko 氏は説明します。
後者の点は眉をひそめる人もいるかもしれないが、Flasko 氏はデータそのものは実際には移動されていないことを強調した。
チェックの仕組みについては、Microsoft 365 コンプライアンスセンターでルールを設定し、定義された機密ラベルを使用することができます。Purview は Microsoft Information Protection とも統合されており、当然ながら Microsoft 365 E5 コンプライアンスプランにも含まれています。
同社の生産性スコアをめぐるプライバシー騒動の直後というタイミングは興味深い。マイクロソフトはPurviewを通じて、企業におけるデータガバナンスへの関心の高まりを強調しようとしており、その主張をGDPR（一般データ保護規則）に訴えている。
「これは非常に歓迎すべき一歩です」と、サリー大学サイバーセキュリティセンターのアラン・ウッドワード教授はThe Register紙に語った。「小規模な組織であっても、データ資産は非常に多くの異なるシステムに分散しているため、適切に保護されているかどうかはおろか、どこにあるのかさえ把握するのが非常に困難です。Purviewのような取り組みの目的はまさにこれです。」
ウッドワード氏は、データが多くの環境や物理的な場所に分散していることで事態が複雑化し、Purview などのツールが「ほぼ必須」になっていると指摘し、プロセスの発見部分が困難になる可能性があると付け加え、個人データに関連する用語を検索するという単純な行為によって、偶発的な非準拠が発生する可能性があると警告した。
「だからこそ、それを考慮したこのようなツールを構築する必要がある」と彼は語った。
「こうしたツールのいいところは、人間が作業する必要がないことです」と彼は続けた。「発見プロセスを効果的に自動化すれば、機密データが本来あるべきでない場所に保管されているのが見つかったとしても、テクノロジーがフラグを立てるので、必ずしも全内容を明らかにする必要はありません。」
情報プライバシーとセキュリティの専門家であるジョン・ワンダーリッヒ氏は、エル・レグ紙に対し、警告を発し、次のように語った。「状況によって大きく左右され、機密データをテキストかデータか区別して分類するのは非常に困難です。機械はWord文書やメールから機密テキストをそれほど正確に解析できません。」
「大きなリスクの一つは虚偽申告だ」と彼は付け加えた。「企業の包括的なデータインベントリの作成には費用と時間がかかる。だから、『簡単な』作業だけやって終わりにしてしまう誘惑に駆られるのだ」
Purview チームは今後もデータ ソースを追加していく予定で、Flasko 氏は「データを理解することは、効率的なデータ ガバナンスにおいて最も重要なステップの 1 つです」と述べています。
確かにそうです。®
