Amazon Macie
S3 バケット内の機密データ (個人情報、クレジットカード番号など) を機械学習で自動検出し、データセキュリティリスクを可視化するサービス
概要
Amazon Macie は、S3 バケットに保存されたデータを自動的にスキャンし、個人識別情報 (PII)、クレジットカード番号、API キー、パスワードなどの機密データを検出するデータセキュリティサービスです。機械学習と正規表現パターンマッチングを組み合わせて多くの国と地域の機密データタイプを識別でき、カスタムデータ識別子で独自のパターン (社員番号、顧客 ID など) も定義できます。S3 バケットのアクセス設定 (パブリックアクセス、暗号化状態、共有設定) も自動的に評価し、バケットのデータセキュリティのリスクを可視化します。
2 段階の検出プロセスとカスタム識別子
Macie の機密データ検出は 2 段階で動作します。まず、S3 バケットのインベントリを自動的に作成し、バケットごとのオブジェクト数、サイズ、暗号化状態、パブリックアクセス設定を一覧化します。このバケットの評価と監視にも、機密データの検出とは別に、バケット数に応じた料金があると公式の料金ページに記載されています (2026 年 10 月時点)。次に、機密データ検出ジョブを実行すると、指定したバケット内のオブジェクトをサンプリングまたは全件スキャンし、機密データの種類、出現箇所、件数を検出結果 (Finding) として出力します。多くの国と地域の機密データの種類を検出する組み込みの識別子に加え、カスタムデータ識別子で正規表現と近接キーワード (例: 8 桁の数字を検出し、近接 50 文字以内に「社員番号」があればヒット) を定義することで、誤検知を抑えつつ組織固有の機密データを検出できます。
コンプライアンス監査のためのデータ棚卸し
Macie の活用の 1 つに、GDPR や PCI DSS の監査に備えたデータ棚卸しがあります。どの S3 バケットにどのような機密データが保存されているかを定期的にスキャンし、検出結果を Security Hub に集約して一元管理します。Microsoft Purview の文書は Amazon S3 や Azure のストレージなどをデータソースに挙げており、Macie は S3 のデータを対象とするサービスです。
自動修復パイプラインとコスト管理
Macie の検出結果を EventBridge 経由で Lambda に連携し、機密データが検出されたオブジェクトに自動的に S3 Object Lock を適用したり、バケットのパブリックアクセスを自動的にブロックしたりする自動修復パイプラインを構築できます。コスト管理の注意点として、機密データの検出は分析したデータ量などに応じて課金されると公式の料金ページに記載されています (2026 年 10 月時点)。全件スキャンの代わりにサンプリングの割合を指定するか、新規オブジェクトのみを対象とする増分スキャンを使うと、コストと検出の範囲を調整できます。スキャン対象を機密データが存在する可能性の高いバケットに絞り込み、ログバケットや一時ファイルのバケットは除外する方法もあります。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。