Sensitive Data Protection (旧 Cloud DLP) 完全ガイド｜PII 検知・マスキング

Sensitive Data Protection (旧 Cloud DLP) は GCP の PII (Personally Identifiable Information) 検知・マスキングサービスで、200+ の組み込み infoType と Discovery 機能で大規模データから機密情報を自動検出します。 2024 にリブランドされ、Discovery 機能 + De-identification の統合プラットフォームに進化しました。

主要機能

• Inspection: テキスト / 画像 / 構造化データから PII 検知
• Discovery: BigQuery / Cloud SQL / GCS の自動 PII カタログ化
• De-identification: Masking / Tokenization / FPE
• Risk Analysis: k-anonymity / l-diversity 評価
• Custom InfoTypes: 正規表現 / 辞書ベース カスタム検知
• Pub/Sub 統合: リアルタイムマスキング

InfoType 例 (一部)

Discovery: BigQuery 自動 PII 探索

# Discovery Scan Config 作成
gcloud dlp discovery-configs create \
  --location=global \
  --project=my-project \
  --discovery-config-from-file=config.yaml

# config.yaml
displayName: "BQ PII Discovery"
status: RUNNING
targets:
  - bigQueryTarget:
      filter:
        otherTables: {}
      cadence:
        updateFrequency: UPDATE_FREQUENCY_DAILY
inspectTemplates:
  - "projects/my-project/inspectTemplates/pii-template"

Inspection 例 (Python)

from google.cloud import dlp_v2

client = dlp_v2.DlpServiceClient()
parent = f"projects/my-project/locations/global"

inspect_config = {
    "info_types": [
        {"name": "EMAIL_ADDRESS"},
        {"name": "PHONE_NUMBER"},
        {"name": "JAPAN_INDIVIDUAL_NUMBER"},
    ],
    "min_likelihood": dlp_v2.Likelihood.POSSIBLE,
    "include_quote": True,
}

item = {"value": "山田太郎、メール: [email protected]、電話: 03-1234-5678、マイナンバー: 123456789012"}
response = client.inspect_content(
    request={"parent": parent, "inspect_config": inspect_config, "item": item}
)

for finding in response.result.findings:
    print(f"{finding.info_type.name}: {finding.quote} ({finding.likelihood.name})")
# 出力:
# EMAIL_ADDRESS: [email protected] (LIKELY)
# PHONE_NUMBER: 03-1234-5678 (LIKELY)
# JAPAN_INDIVIDUAL_NUMBER: 123456789012 (VERY_LIKELY)

De-identification 種別

Pub/Sub リアルタイム匿名化パイプライン

# Cloud Function でメッセージ受信時にマスキング
def deidentify_message(event, context):
    from google.cloud import dlp_v2
    import base64, json

    message = base64.b64decode(event['data']).decode('utf-8')
    data = json.loads(message)

    client = dlp_v2.DlpServiceClient()
    response = client.deidentify_content(
        request={
            "parent": "projects/my-project/locations/global",
            "deidentify_config": {
                "info_type_transformations": {
                    "transformations": [{
                        "primitive_transformation": {
                            "character_mask_config": {
                                "masking_character": "*",
                                "number_to_mask": 0,
                            }
                        }
                    }]
                }
            },
            "inspect_config": {
                "info_types": [{"name": "EMAIL_ADDRESS"}, {"name": "PHONE_NUMBER"}],
            },
            "item": {"value": data.get('text', '')},
        }
    )
    # マスク済みデータを別 Topic に転送
    publish_to_clean_topic(response.item.value)

料金例

典型的なユースケース

• 金融: 顧客 PII の自動マスキング (Looker / 分析用)
• 医療: 診療データの De-identification (研究用)
• カスタマーサポート: 通話録音の PII マスキング
• SaaS: テナント データ漏洩リスク監視
• GDPR: EU 個人データの定期スキャン
• セキュリティ監査: 全 BQ テーブルの PII カタログ化

※ Google Cloud は Google LLC の商標です。最新は Sensitive Data Protection 公式 をご確認ください。