Amazon Macie で S3 の機密データを自動検出 - PII 検出とデータセキュリティ態勢の管理
Macie による S3 バケットの機密データ検出、カスタムデータ識別子、Security Hub 統合を解説します。
Macie の概要
Macie は S3 バケット内の機密データを自動検出・分類するデータセキュリティサービスです。「どの S3 バケットに機密データが保存されているか」「そのバケットのセキュリティ設定は適切か」を自動的に評価します。100 種類以上のマネージドデータ識別子で PII やクレジットカード番号を検出し、カスタム識別子で組織固有の機密データにも対応します。
データ検出とセキュリティ態勢
機密データ検出ジョブは S3 バケットのオブジェクトをサンプリングまたは全件スキャンし、マネージドデータ識別子で PII を検出します。日本語の氏名、住所、電話番号、マイナンバーにも対応しています。カスタムデータ識別子は正規表現 (例: 社員番号のパターン) とキーワード (例: 「社外秘」) を組み合わせて定義します。S3 バケットインベントリは全バケットの暗号化設定、パブリックアクセスブロック、共有設定を一覧表示し、セキュリティリスクの高いバケットを特定します。
自動検出と分類
Macie の自動機密データ検出は、アカウント内の全 S3 バケットを継続的にサンプリングスキャンし、機密データの存在を推定します。フルスキャンジョブと比較してコストが低く、組織全体の機密データの分布を把握するのに適しています。マネージドデータ識別子は 100 種類以上の機密データパターン (クレジットカード番号、社会保障番号、パスポート番号、 API キー) を検出します。カスタムデータ識別子で正規表現とキーワードを定義し、組織固有の機密データ (社員番号、顧客コード) を検出します。許可リストで誤検出を抑制し、テストデータや公開情報を除外します。 データセキュリティの理解をさらに深めたい場合はAmazon の専門書も活用できます。
Macie の料金
Macie の料金はバケット評価 (1 バケットあたり月額約 0.10 ドル) と機密データ検出 (スキャンしたデータ量、1 GB あたり約 1 ドル) で構成されます。自動機密データ検出はサンプリングベースで、フルスキャンより大幅に低コストです。30 日間の無料トライアルで実際のコストを確認できます。スキャン対象のバケットを機密データが含まれる可能性の高いバケットに限定し、ログバケットやバックアップバケットを除外することでコストを管理します。検出結果は Security Hub に集約され、追加料金なしで一元管理できます。
まとめ
Macie の導入は、まず自動機密データ検出を有効化してアカウント全体の S3 バケットをサンプリングスキャンし、機密データの分布を把握することから始めます。リスクの高いバケット (パブリックアクセス可能、暗号化なし) を優先的にフルスキャンし、EventBridge 連携で検出結果に対する自動対応 (パブリックアクセスのブロック、セキュリティチームへの通知) を構築します。GDPR や個人情報保護法への対応で、組織内のどこに個人データが存在するかを把握する必要がある場合に特に有効です。