Databricksにおけるデータ流出防止の包括的アプローチ

概要

データの流出は、現在の組織が直面する最も深刻なセキュリティリスクの一つです。これにより、顧客情報や機密ビジネス情報が漏洩し、GDPRなどの法規制による企業評判の失墜や制裁措置を受ける可能性があります。問題は、外部攻撃者、内部関係者のミス、または悪意のある内部犯行など、さまざまな経路でデータ流出が発生し、実際に被害が生じるまで検出が困難なことです。

セキュリティチームとクラウドチームは、従業員がSaaSツールやクラウドサービスを使用して仕事をすることを可能にしつつ、これらのリスクから保護する必要があります。数百のサービスが稼働する環境において、すべての潜在的な流出経路を分析することは非常に困難な作業となります。

このブログでは、AWS、Azure、GCP環境でのDatabricksにおけるデータ流出防止の統合アプローチを紹介します。私たちは、リスクを評価するためのフレームワークを形成する3つのコアセキュリティ要件から始めます。これらの要件を、初めてDatabricksのセキュリティ戦略を構築する場合でも、既存のものを強化する場合でも適用できる、優先度によって整理された19の実用的なコントロールにマッピングします。

データ流出保護コントロールの分類フレームワーク：

まず、関連するデータ流出防止対策を体系化するための包括的フレームワークを構成する、3つの主要な企業要件を定義します。

1. すべてのユーザー/クライアントのアクセスは信頼できる場所からであり、強力に認証されています：
   • すべてのアクセスは認証済みで信頼できる場所からのものでなければならず、ユーザーとクライアントが承認されたネットワークを通じてのみシステムにアクセスできるよう、アイデンティティ制御を確実に実施します。
2. 信頼できないストレージロケーション・パブリックエンドポイント・プライベートエンドポイントへのアクセスはありません：
   • コンピューティングエンジンは、管理者が承認したストレージとエンドポイントのみにアクセスし、不正な宛先へのデータ流出を防止するとともに、悪意のあるサービスからの保護を実現します。
3. すべてのデータアクセスは信頼できるワークロードからに限定されます：
   • ストレージシステムは、承認されたコンピューティングリソースからのアクセスのみを受け入れることで、信頼できないシステムで認証情報が侵害された場合でも最終的な検証層を提供します。

全体として、これら3つの要件は、組織のセキュリティ境界外への不正なデータ移動を助長する可能性のあるユーザー行動に対処します。さらに、これら3つの要件を一体として考えることが重要です。いずれかの要件に対策の不備があると、アーキテクチャ全体のセキュリティ態勢が損なわれます。

次のセクションでは、各個別の要件にマッピングされた特定のコントロールについて詳しく見ていきます。

Databricksのデータ漏洩保護戦略：

可読性と簡潔性を重視し、各対策は以下の要素で整理されています：アーキテクチャコンポーネント、リスクシナリオ、対応する緩和策、実装の優先度、クラウド固有のドキュメント。

実装の優先順位を示すための凡例は次のとおりです：

• 高 - 直ちに実装してください。これらのコントロールは、環境やユースケースに関係なく、すべてのDatabricksデプロイメントにとって必須です。
• 中 - 組織のリスク許容度と特定のDatabricksの使用パターンに基づいて評価してください。
• 低 - ワークスペース環境（開発、QA、本番）と組織のセキュリティ要件に基づいて評価してください。

注意：コントロールを実装する前に、該当機能に必要なプラットフォーム層（PremiumやEnterpriseなど）を利用していることを確認してください。必要な層は、関連するドキュメントのリンクで注記されています。

すべてのユーザーとクライアントのアクセスは信頼できる場所からであり、強力に認証されている：

サマリー

ユーザーは承認された方法で認証を行い、承認されたネットワークからのみDatabricksにアクセスする必要があります。これは、不正アクセスを防止するための基盤を確立します。

このセクションで取り上げるアーキテクチャコンポーネントには、アイデンティティプロバイダー（IdP）、アカウントコンソール、およびワークスペースが含まれます。

この要件がなぜ重要なのか？

すべてのユーザーとクライアントが信頼できる場所から接続し、強力に認証されることを確認することが、データ流出を軽減するための最初の防衛ラインです。データプラットフォームが、アクセス要求が承認されたネットワークから来ていること、またはユーザーが複数の認証レイヤー（MFAなど）を通じて検証されていることを確認できない場合、その後のすべてのコントロールが弱まり、環境が脆弱になります。

信頼できないストレージロケーション・パブリックエンドポイント・プライベートエンドポイントへのアクセスがない：

サマリー

コンピューティングリソースは、事前に承認されたストレージロケーションとエンドポイントにのみアクセスする必要があります。これにより、不正な宛先へのデータの流出が防止され、悪意のある外部サービスに対する保護が提供されます。

このセクションでカバーされるアーキテクチャコンポーネントには、クラシックコンピュート、サーバーレスコンピュート、Unity Catalogが含まれます。

この要件がなぜ重要なのか？

コンピュートが信頼できるストレージロケーションとエンドポイントのみにアクセスする必要性は、組織のセキュリティ境界を維持するための基礎です。伝統的には、ファイアウォールがデータの外部流出に対する主要な防護手段でしたが、クラウドサービスやSaaS統合ポイントが拡大するにつれて、データを信頼できない目的地に移動させるために悪用される可能性のあるすべてのベクトルを組織は考慮しなければなりません。

すべてのデータアクセスは信頼できるワークロードからに限定する：

サマリー

データストレージは、承認されたDatabricksのワークロードと信頼できるコンピューティングリソースからのみアクセスを受け入れる必要があります。これにより、顧客データとワークスペースの成果物（ノートブックやクエリ結果など）への不正なアクセスが防止されます。このセクションで取り上げるアーキテクチャコンポーネントには、ストレージアカウント、サーバーレスコンピュート、Unity Catalog、ワークスペースの設定が含まれます。

この要件がなぜ重要なのか？

組織がさらに多くのSaaSツールを採用するにつれて、データリクエストは従来のクラウドネットワーク外から増えてきます。これらの要求には、クラウドオブジェクトストア、データベース、またはストリーミングプラットフォームが関与する可能性があり、それぞれが流出の可能性を持つ経路を作ります。このリスクを軽減するためには、アクセスは承認されたガバナンスレイヤーを通じて一貫して強制され、制御された環境内でのみデータが使用されるように、承認されたデータツールへのアクセスを制限する必要があります。

プロアクティブなデータ流出監視：

これら3つの主要なエンタープライズ要件により、Databricksデータインテリジェンスプラットフォームを保護するための予防的なコントロールを確立することができますが、これらのコントロールが意図した通りに機能していることを確認するためには、監視が必要です。強固な認証、制限されたコンピューティングアクセス、保護されたストレージがあっても、確立したコントロールを回避しようとするユーザーの行動を把握するためには可視性が必要です。

Databricksは、アクセス制御監視のための包括的なシステムテーブルを提供しています[AWS、Azure、GCP]。これらのシステムテーブルを使用して、顧客は潜在的に疑わしい活動に基づいてアラートを設定し、ワークスペース上の既存のコントロールを補完することができます。

実行可能な洞察を引き出すための既製のクエリについては、このブログ投稿をご覧ください：Databricks Unity Catalogのシステムテーブルを使用してLakehouseのセキュリティ監視を改善する。クラウド固有のログ[AWS、Azure、GCP]を取り込んで分析することで、Databricksシステムテーブルからのデータを補完することができます。

まとめ

これで、このフレームワークを構成する各セキュリティ要件に関連するリスクとコントロールをカバーしましたので、Databricksのデプロイメントでデータ流出を軽減するための統一されたアプローチができました。

データの不正な移動を防ぐことは日々の仕事であり、これによりユーザーは、企業の最も重要な資産であるデータを保護しながら開発と革新を進める基盤を得ることができます。

データインテリジェンスプラットフォームのセキュリティを続けるために、セキュリティ & トラストセンターを訪れて、Databricksのセキュリティベストプラクティスの全体的な確認を強くお勧めします。

• ベストプラクティスガイドは、一般的で高度にセキュアな環境に推奨する主要なセキュリティコントロールの詳細な概要を提供します。
• セキュリティリファレンスアーキテクチャ - Terraformテンプレートを使用すると、このブログで説明されているベストプラクティスに従ったDatabricks環境を自動的に作成することが簡単になります。
• セキュリティ分析ツールは、ベストプラクティスに従って、あなたのDatabricksデータインテリジェンスプラットフォームのセキュリティ状態を継続的に監視します。