Oracle Data Redactionと他のOracle製品

透過的データ暗号化をすでに使用している場合にOracle Data Redactionが必要になるのはなぜですか?

Oracle Transparent Data Encryptionでは、データファイル、RMANバックアップおよびデータ・ポンプ・エクスポートのデータが透過的に暗号化されます。ユーザーまたはアプリケーションがデータを問い合せたときに、そのデータが透過的に復号化されます。Oracle Data Redactionでは、問合せの結果がユーザーまたはアプリケーションに返される前にデータ・リダクション・ポリシーに従って列値をリダクションすることで、機密データの公開が制限されます。

Oracle Data Redactionは従来のデータ・マスキングとどのように異なりますか?

従来のデータ・マスキングでは、通常、データベースに格納されているデータの変更が必要になります。一方、Oracle Data Redactionでは、データベースに格納されている実際のデータが変更されることはなく、実行時に動的にデータがマスクされます。通常、Oracle Data Redactionは、実際の顧客データまたは企業データが存在する、本番データベースで使用されます。Oracle Data Masking and Subsettingは、データを"本番のような"データに物理的に変更するため、本番ではないデータベースで使用されます。Oracle Data Redactionは透過的データ暗号化とともに拡張セキュリティ・オプションに含まれています。データ・マスキングは、Oracle Enterprise Manager Pack、Data Masking and Subsetting、またはクラウド・オプションのOracle Data Safeに含まれています。

Oracle Data Redactionとトークン化の違いは何ですか?

トークン化とは、機密データをトークンと呼ばれる一意の機密でない識別子に置き換えるデータ・セキュリティ技術です。トークンは元のデータのかわりに使用され、別のシステムに安全に格納されます。トークン化では、通常は、別のシステムへの元のデータの格納に対応するために、アプリケーション・コードとアプリケーション・アーキテクチャを変更する必要があります。これにより、アーキテクチャに複雑さと待機時間が生じる可能性があります。

Oracle Data Redactionでは、実際の格納されているデータが変更されることはなく、機密データが表示時にリアルタイムで動的にリダクションされます。その際には、実際のデータを表示可能なユーザーやリダクションされた結果のみを表示可能なユーザーを制御するポリシーが使用されます。既存のアプリケーションの変更が不要であり、データ整合性への影響なしでデータ保護が実現されます。Oracle Data RedactionはOracle AI Databaseのカーネルに組み込まれており、アプリケーションを変更する必要がなく、外部のソフトウェアやハードウェアも必要ありません。通常、お客様は、読取り専用のアプリケーション画面やWebページ、ビジネス・インテリジェンスや分析のレポート、またはレポートに表示する結果をリダクションする必要があるアプリケーションに対してデータ・リダクションを使用しますが、Oracle AI Databaseには結果を書き戻しません。

Oracle Data Redactionを他の同様のOracle製品と比較するとどのようになりますか。

Oracle Data Redaction - 機密情報がSQL問合せ結果に返される前に選択的に削除されます。オーバーヘッドが低く、ポリシーに設定された条件に従って、実行時にリダクションを適用します。完全、部分、ランダムおよび正規表現を使用して列内のデータをリダクションできますが、問合せで返される行数は制限されません。
Oracle Data Masking and Subsetting - テストや開発データベースなどの非本番環境で使用するための、本番データをマスキングおよびサブセット化したコピーが作成されます。
Oracle Data Safe (Data Discovery and Data Masking) - Oracle Cloud、オンプレミス、サードパーティのクラウドなどあらゆる場所で、Oracle AI Databaseをサポートするクラウド・サービスで、機密データが検出されてマスキングされます。
Oracle Label Security - マルチレベル・セキュリティ(MLS)が実装されて、機密性が異なる行を同じ表に配置できるようになります。グループ、コンパートメントおよび機密レベルが設定された行が明示的にラベル付けされて、ユーザー・ラベルと照合されます。列データはリダクションされませんが、ユーザーに返される行数は制限されます。
Oracle Virtual Private Database (VPD)およびReal Application Security (RAS) - 返される列データや返される行を制限できますが、null列データしか返すことができません。Oracle VPDおよびRASでは、列データに対する部分リダクションや正規表現リダクションはできません。

データ・リダクションは、VPD/RLS、OLSおよびDatabase Vaultとどのように相互作用しますか。評価の順序に微妙な違いがありますか。

Oracle Data Redactionは、他のOracleセキュリティ機能と連携して動作します。

評価順序:

Database Vault (DV): 最初にコマンドおよびレルム・ベースの制限が適用されるので、データをアクセスする前に操作がブロックされる可能性があります。
仮想プライベート・データベース(VPD)/行レベル・セキュリティ(RLS): 行フィルタが適用されて、ユーザーに表示される行が制御されます。
Oracle Label Security (OLS): 残りの行にラベル・ベースのアクセス制御が適用されます。
データ・リダクション: 最後に、結果セットの機密列値がリダクションされて、ユーザーに返されます。

つまり、リダクションによってアクセス制御がオーバーライドされることはありません。行レベルおよびラベルのチェックをすでにパスした問合せから返されたデータが変更されるだけです。

ベスト・プラクティス: VPD/OLS/Database Vaultを使用して、データにアクセスできるユーザーを制御し、データ・リダクションを使用して、ユーザーが表示できる内容を制御します。

本番以外のコピーでData Safeのマスキングも使用する場合は、競合を回避するためにマスキングとリダクション・ポリシーをどのような順序で使用すればよいですか。

最初にData Safeのマスキングを使用し、必要に応じてマスキングされた環境でデータ・リダクションを構成してください。

マスキングはデータ・アット・レストの変換なので、本番以外で使用する前に機密データが永続的に置き換えられます。

リダクションはデータ・イン・ユースのデータ保護なので、問合せ時にデータが動的に非表示になります。

推奨順序:

Data Safeのマスキングを適用して、サニタイズされた非本番コピーを作成します。
追加のランタイム保護が必要な場合(たとえば、ロール別の表示を制限する場合)にのみ、そのコピーにデータ・リダクションを有効にしてください。

ベース表のデータに対するマスキングは、リダクションから除外されている特権アカウントを使用して実行されるため、通常はデータ・マスキングの前にリダクションを実行しても、マスキングの結果は変わりません。ただし、除外されていないアカウントがCTASやSELECTを使用した場合のように、リダクションで保護された問合せで取得されたデータをマスキング・ジョブが読み取ると、元のデータではなくリダクションされた値に基づいた値がマスキングされます。この方法はお薦めしません。

クローン、リフレッシュ可能クローン、Data Guardスイッチオーバー/フェイルオーバーまたはGoldenGateの期間、データ・リダクション・ポリシーはどうなりますか。

クローンおよびリフレッシュ可能クローン: データベース・メタデータとともにデータ・リダクション・ポリシーがコピーされます。明示的に変更しないかぎり、ポリシーは変更されず、クローニングされた環境でもアクティブのままになります。

Data Guardスイッチオーバー/フェイルオーバー: リダクション・ポリシーはスタンバイ・データベースにレプリケートされ、ロール・トランジションの後も自動的に適用されます。

GoldenGateレプリケーション: レプリケートされるデータにはリダクション・ポリシーが適用されません。ソース・データベースまたはターゲット・データベースの問合せ結果にのみリダクション・ポリシーが影響します。そこで実行時にリダクションが必要な場合は、ターゲットにポリシーを手動で作成する必要があります。

ベスト・プラクティス: クローン後やレプリケーション後にリダクション・ポリシーの状態を常に確認し、意図した適用設定が新しい環境で有効になっていることを確認してください。

Oracle EBS、PeopleSoft、Siebelまたはその他のパッケージ・アプリケーションとともにOracle Data Redactionを使用できますか?

はい。Oracle Data Redactionは、データベース内で適用され、保護された列を問い合せるすべてのアプリケーションに適用されます。リダクションされていない元の値がコア機能に表示されることにそれらのアプリケーションが依存していないかぎり、パッケージ化されたアプリケーションもその対象に含まれます。ほとんどのパッケージ・アプリケーションでは、なんらかのタイプの組込みリダクション機能が提供されます。アプリケーション内のデータのリダクションの詳細は、ご使用のパッケージ・アプリケーションのドキュメントを参照してください。

Oracle Data RedactionをOracle Enterprise Managerによって管理できますか?

はい。Oracle Enterprise Manger Cloud Controlでは、Oracle Data Redactionのほとんどの機能(ポリシーの作成、変更または無効化、および表やビューの列に対するポリシーの適用や削除など)について管理インタフェースが提供されます。

7.4 Oracle Data Redactionと他のOracle製品