DEAデータのセキュリティとガバナンス
ある決済企業は、Amazon Redshift の transactions テーブルにクレジットカード番号を平文列で保持しています。データアナリスト（role_analyst）にはカード番号の末尾4桁のみ、コンプライアンス担当（role_admin）には全桁を表示する必要があります。データの複製を作らず、同一クエリでロールに応じてクエリ時に表示を切り替え、最小の運用負荷で実現する方法はどれですか。
A動的データマスキング（DDM）ポリシーを作成し、列に対しロールごとに異なるマスキング表現を関連付ける
✓ 正解
DDM はマスキングポリシーを列に付与し、ロールごとに表示形式を変えられる Redshift 標準機能。role_admin に全桁、role_analyst に末尾4桁を割り当てれば、同一クエリ・単一テーブルでクエリ時に動的に表示が切り替わり、複製不要で運用負荷も最小になる。
B列レベルの GRANT/REVOKE で role_analyst からカード番号列へのアクセス権を剥奪する
列レベルの GRANT/REVOKE はアクセスを許可または完全に剥奪する二択であり、末尾4桁だけ見せるといった部分表示はできない。role_analyst が列を全く参照できなくなるため、末尾4桁表示という要件を満たせない。
Cマスク済みの値を保持する別テーブルを ETL で作成し、role_analyst にはそのテーブルのみ参照させる
マスク済み値を別テーブルに ETL で複製すると、機密データの重複コピーと同期処理が発生する。「データの複製を作らない」という明示要件に反し、ETL の維持で運用負荷も増えるため不適切。
Dロールごとにマスクの有無を変えたビューを2種類作成し、各ロールに対応するビューのみ参照を許可する
ロール別に2ビューを作る方式は機能的には可能だが、ビューと付与権限を二重に管理する必要があり保守が煩雑。同一クエリでロールに応じて動的に切り替わるわけでもなく、最小運用負荷の条件に反する。
解説
Amazon Redshift の動的データマスキング（DDM）は、列にマスキングポリシーを定義し、ロールごとに異なるマスキング表現（全桁・末尾4桁・完全マスクなど）を関連付けられます。
クエリ時にユーザーのロールに応じて結果が動的に変わるため、データを複製せず単一テーブル・単一クエリで要件を満たし、運用負荷も最小です。
選択肢の列レベル GRANT/REVOKE は、アクセスを全て剥奪するため末尾4桁の表示ができない。
選択肢の別テーブル複製は、データの重複コピーが発生し「複製を作らない」要件に反する。
選択肢の2種類のビューは、オブジェクトと権限を二重管理する必要があり運用負荷が高く、同一クエリでの切替にもならない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →