ベストプラクティス

Sensitive Data Scanner（SDS）は、Foundry の強力な機能（マーキングなど）を組み合わせた、設定可能な統合を自動化するため、Foundry の基本的な操作に習熟しているユーザーが使用する必要があります。以下に、このツールを使用する際に留意すべきベストプラクティスとガイドラインを示します。

計算リソースの使用を最適化する

SDS はスペース全体をスキャンするように設定できるため、単発または定期的なスキャンごとの計算コストや処理時間が懸念される場合があります。計算時間を検討する際に考慮すべき要素は、データセットの数と一致条件の種類の2つです。 以下に、これら2つの要素についてスキャンを最適化するためのガイドラインを示します。

(A) スキャンするデータセットの数を最適化する：

• データがプラットフォームに取り込まれる場所（「境界」データセットとも呼ばれます）のみをスキャンします。
• コンテンツの機密性がすでに判明している場合は、サブフォルダー全体をスキャン対象から除外します。
• たとえば、機密データの存在を示す PII または PHI マーキングが付いている場合は、特定のマーキングが付いたデータセットをスキャン対象から除外します。

(B) 各スキャンに適用する一致条件を最適化する

データセット全体に対してコンテンツベースの正規表現検索を実行すると、すべてのデータを調べるため、多くの場合、大量のリソースを消費します。SDS は、コンテンツベースの正規表現検索を実行する前に、スキーマ内の列名の確認を優先することで、計算リソースの使用を最適化します。実際には、次のいずれかの正規表現一致条件を使用する場合、列に基づく一致の可能性がなければ、SDS はビルドを実行しません。

• 列名のみを照合
• 列名とコンテンツの両方を照合

言語モデルの一致条件を使用するスキャンでは、プロンプトの調整中や網羅的なスキャンが不要な場合に、行のサブセットの使用を検討してください。一致時のアクションを適用する前に完全な検出が必要な場合は、すべての行をスキャンを使用します。

マーキング

マーキングに対するアクセスの付与は、許可するかしないかの二者択一です。ロールにかかわらず、ユーザーはすべてのマーキング要件を満たさない限り、リソースにアクセスできません。マーキングについて詳しくはこちら。 スキャンで一致するデータセットが見つかると、マーキングが自動的に適用されます。制限の厳しいマーキングを誤って使用すると、ユーザーが重要なワークフローを利用できなくなり、修正が困難になる場合があります。ユーザーは慎重に操作し、一致時のアクションの適用範囲を特定のサブセットに限定する必要があります。

Sensitive Data Scanner の権限モデル

Sensitive Data Scanner は、Foundry 内の機密データを検出して保護します。権限は慎重に設定されており、ユーザーはリソースに対する自身の権限を超えることなく、SDS で許可された操作のみを実行できます。データガバナンス責任者は、すべてのリソースに対してリスクを伴う所有者権限を持つことなく、組織全体のデータを監視できます。

以下のセクションでは、SDS を使用して Foundry リソースを操作する2つの方法を説明します。

1. 特定のスペースのロールを通じて操作する
2. 組織のデータガバナンス責任者に指定され、スペースの閲覧者ロールを持つことで操作する

リソースの所有者は、SDS のスキャンを完全に制御でき、設定やスキャンのキャンセルなど、リソースに対する操作を管理できます。編集者は、事前に設定された一致条件でスキャンを実行するなど、所有者の設定に基づいて SDS の操作を要求することしかできません。一方、閲覧者は SDS の結果を閲覧することしかできません。ただし、「データガバナンス責任者」ロールには、スペース所有者と同様のスキャン権限が付与されます。