翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# 機密データの自動検出の仕組み
<a name="discovery-asdd-how-it-works"></a>

で Amazon Macie を有効にすると AWS アカウント、Macie は現在の でアカウントの AWS Identity and Access Management (IAM) [サービスにリンクされたロール](service-linked-roles.md)を作成します AWS リージョン。このロールのアクセス許可ポリシーにより、Macie はユーザーに代わって他の を呼び出し AWS のサービス 、 AWS リソースをモニタリングできます。このロールを使用することで、Macie は リージョンで Amazon Simple Storage Service (Amazon S3) 汎用バケットのインベントリを生成および維持します。インベントリには、各 S3 バケットとバケット内のオブジェクトに関する情報が含まれます。お客様が組織の Macie 管理者である場合、インベントリには、メンバーアカウントが所有するバケットに関する情報が含まれます。詳細については、「[複数のアカウントの管理](macie-accounts.md)」を参照してください。

機密データ自動検出が有効になっている場合、Macie はインベントリデータを毎日評価して、自動検出に適する S3 オブジェクトを識別します。評価の一環として、Macie は代表的なオブジェクトのサンプルを選択して分析します。次に、Macie は、選択した各オブジェクトの最新バージョンを取得して分析し、各オブジェクトに機密データがないか検査します。

分析が毎日進むにつれて、Macie は Amazon S3 データについて提供する統計、インベントリデータ、およびその他の情報を更新します。Macie は、検出した機密データや実行した分析の記録も作成します。結果のデータは、Macie が Amazon S3 データ資産内の機密データを検出した場所に関するインサイトを提供します。これは、アカウントのすべての S3 汎用バケットにまたがる可能性があります。このデータは、Amazon S3 データのセキュリティとプライバシーの評価、より詳細な調査の実施の決定、および修復が必要なケースの特定に役立ちます。

機密データの自動検出の仕組みについては、以下の動画をご覧ください。




機密データ自動検出を設定して管理するには、アカウントがスタンドアロンの Macie アカウントまたは組織の Macie 管理者アカウントである必要があります。お客様のアカウントが組織に属している場合、組織内のアカウントの自動検出を有効または無効にできるのはその組織の Macie 管理者のみです。また、そのアカウントの自動検出設定を行い、管理できるのも Macie 管理者のみです。これには、Macie が実行する分析の範囲と性質を定義する設定が含まれます。組織のメンバーアカウントをお持ちの場合は、Macie 管理者に連絡して、アカウントと組織の設定を確認してください。

**Topics**
+ [主要コンポーネント](#discovery-asdd-how-it-works-components)
+ [考慮事項](#discovery-asdd-how-it-works-considerations)

## 主要コンポーネント
<a name="discovery-asdd-how-it-works-components"></a>

Amazon Macie は、さまざまな機能と技術を組み合わせて、機密データ自動検出を実行します。これらは、[セキュリティとアクセスコントロールのために Amazon S3 データを監視する](monitoring-s3-how-it-works.md)のに役立つ Macie 提供の機能と連動します。

**分析する S3 オブジェクトの選択**  
Macie は毎日 Amazon S3 インベントリデータを評価して、機密データ自動検出による分析の対象となる S3 オブジェクトを識別します。ユーザーが組織の Macie 管理者である場合、評価にはデフォルトで、メンバーアカウントが所有する S3 バケットのデータが含まれます。  
評価の一環として、Macie はサンプリング技術を使用して代表的な S3 オブジェクトを選択し、分析します。この手法は、メタデータが類似していて内容が類似している可能性が高いオブジェクトのグループを定義します。グループは、バケット名、プレフィックス、ストレージクラス、ファイル名拡張子、最終更新日などのディメンションに基づいています。次に、Macie は各グループから代表的なサンプルセットを選択し、選択した各オブジェクトの最新バージョンを Amazon S3 から取得し、選択した各オブジェクトを分析して、オブジェクトに機密データが含まれているかどうかを判断します。分析が完了すると、Macie はオブジェクトのコピーを破棄します。  
サンプリング戦略では、分散分析が優先されます。一般的に、Amazon S3 のデータエステートは幅優先のアプローチを採用しています。毎日、Amazon S3 データエステート内の分類可能なすべてのオブジェクトの合計ストレージサイズに基づいて、できるだけ多くのバケットから代表的な汎用 S3 オブジェクトセットが選択されます。例えば、Macie が、あるバケットのオブジェクト内の機密データをすでに分析して発見していて、別のバケットのオブジェクトをまだ分析していない場合、分析の優先順位は後者のバケットの方が高くなります。このアプローチにより、Amazon S3 データの機密性に関する幅広い洞察をより迅速に得ることができます。データエステートの規模にもよりますが、48 時間以内に分析結果が表示されるようになります。  
また、サンプリング戦略では、さまざまなタイプの S3 オブジェクトや、最近作成または変更されたオブジェクトの分析も優先されます。単一のオブジェクトサンプルが決定的であるとは限りません。したがって、さまざまなオブジェクトのセットを分析することで、S3 バケットに含まれる機密データのタイプと量をよりよく理解できます。さらに、新しいオブジェクトまたは最近変更されたオブジェクトに優先順位を付けると、バケットインベントリへの変更に分析を適応させるのに役立ちます。例えば、前回の分析の後にオブジェクトが作成または変更された場合、それらのオブジェクトはその後の分析で優先度が高くなります。逆に、オブジェクトが以前に分析され、その分析以降に変更されていない場合、Macie はそのオブジェクトを再度分析しません。このアプローチは、個々の S3 バケットの感度ベースラインを確立するのに役立ちます。その後、アカウントの継続的な段階的な分析が進むにつれて、個々のバケットの感度評価が予測可能な速度でますます深く、詳細になります。

**分析範囲の定義**  
デフォルトでは、Macie はインベントリデータを評価し、分析する S3 オブジェクトを選択するときに、アカウントのすべての S3 汎用バケットを含めます。お客様が組織の Macie 管理者である場合、これには、お客さまのメンバーアカウントが所有するバケットが含まれます。  
特定の S3 バケットを機密データ自動検出から除外して、分析の範囲を調整できます。例えば、 AWS CloudTrail イベントログなどの AWS ログ記録データを保存するバケットを除外できます。バケットを除外するには、アカウントまたはバケットの自動検出設定を変更できます。これを行うと、Macie は次の日次評価および分析サイクルが始まるときにバケットの除外を開始します。分析から除外できるバケットは 1,000 個までです。S3 バケットを除外する場合、そのバケットは後で再び含めることができます。そのためには、アカウントまたはバケットの設定を再度変更してください。Macie は、次の日次評価と分析のサイクルが始まるとバケットの検出を開始します。  
お客様が組織の Macie 管理者である場合は、組織内の個々のアカウントの機密データ自動検出を有効または無効にすることもできます。アカウントの自動検出を無効にすると、Macie は、アカウントが所有するすべての S3 バケットを除外します。その後、アカウントの自動検出を再度有効にすると、Macie では、バケットが再度含まれるようになります。

**検出して報告する機密データのタイプを決定する**  
デフォルトでは、Macie は機密データの自動検出に推奨されるマネージドデータ識別子のセットを使用して S3 オブジェクトを検査します。これらのマネージドデータ識別子のリストについては、[機密データの自動検出のデフォルト設定](discovery-asdd-settings-defaults.md) を参照してください。  
特定の種類の機密データに焦点を当てるように分析を調整できます。そのためには、自動検出設定を次のいずれかの方法で変更します。  
+ **マネージドデータ識別子の追加または削除** – *マネージドデータ識別子*は、クレジットカード番号、 AWS シークレットアクセスキー、特定の国または地域のパスポート番号など、特定のタイプの機密データを検出するように設計された一連の組み込み基準と手法です。詳細については、「[マネージドデータ識別子の使用](managed-data-identifiers.md)」を参照してください。
+ **カスタムデータ識別子を追加またはその後削除する** - *カスタムデータ識別子*は、機密データを検出するために定義する基準のセットです。カスタムデータ識別子を使用すれば、お客様の組織の特定のシナリオ、知的財産、または専有データを反映する機密データを検出できます。例えば、従業員 ID、顧客アカウント番号、内部データの分類などを検出できます。詳細については、「[カスタムデータ識別子の構築](custom-data-identifiers.md)」を参照してください。
+ **許可リストを追加または削除する** – Macie では、許可リストにより、Macie が S3 オブジェクトで無視するテキストまたはテキストパターンを指定します。これらは通常、特定のシナリオや環境における機密データの例外です。例えば、組織の公表名称または電話番号、組織がテストに使用するサンプルデータなどです。詳細については、「[許可リストでの機密データの例外の定義](allow-lists.md)」を参照してください。
設定を変更した場合、Macie は次の日次分析サイクルの開始時に変更を適用します。お客様が組織の Macie 管理者である場合、Macie は、組織内の他のアカウントの S3 オブジェクトを分析するとき、このアカウントの設定を使用します。  
バケットレベルの設定を行い、特定のタイプの機密データをバケットの機密性の評価に含めるかどうかを決定することもできます。この方法の詳細は、[S3 バケットの機密スコアを調整する](discovery-asdd-s3bucket-manage.md)を参照してください。

**機密スコアの計算**  
デフォルトでは、Macie はアカウントの S3 汎用バケットごとに機密スコアを自動的に計算します。お客様が組織の Macie 管理者である場合、これには、お客さまのメンバーアカウントが所有するバケットが含まれます。  
Macie では、機密スコアは、Macie がバケット内で検出した機密データの量と Macie がバケット内で分析したデータの量という 2 つの主要なディメンションの共通集合を定量的に測定したものです。バケットの機密スコアによって、Macie がバケットに割り当てる機密ラベルが決まります。機密ラベルは、バケットの機密スコアを定性的に表したものです。例えば、機密、非機密、分析が未完了などです。Macie が定義する機密性スコアとラベルの範囲の詳細については、[S3 バケットの機密スコア](discovery-scoring-s3.md) を参照してください。  
S3 バケットの機密スコアとラベルは、バケットまたはバケットのオブジェクトがお客様またはお客様が属する組織に対して緊急性または重要性を意味したり、示したりするものではありません。代わりに、潜在的なセキュリティリスクの特定とモニタリングに役立つ参照ポイントを提供することを目的としています。
機密データ自動検出を最初に有効にすると、Macie は自動的に 50 の機密スコアと [分析が未完了] ラベルを各 S3 バケットに割り当てます。****ただし、空のバケットは例外です。空のバケット**とは、オブジェクトを一切保存していないバケット、またはバケットのすべてのオブジェクトにゼロ (0) バイトのデータが含まれているバケットです。バケットの場合、Macie はバケットに1のスコアを割り当て、バケットには非機密ラベルを割り当てます。  
機密データ自動検出が進むと、Macie は、分析の結果を反映するように機密スコアとラベルを更新します。以下に例を示します。  
+ Macie がオブジェクト内の機密データを検出しない場合、必要に応じてMacie はバケットの機密スコアを下げ、バケットの機密ラベルを更新します。
+ Macie がオブジェクト内の機密データを検出すると、必要に応じて Macie はバケットの機密スコアを上げ、バケットの機密ラベルを更新します。
+ その後変更されたオブジェクト内で機密データが検出された場合、Macie は必要に応じてそのオブジェクトの機密データ検出をバケットの機密スコアから削除し、バケットの機密ラベルを更新します。
+ その後削除されたオブジェクト内で機密データが検出された場合、Macie は必要に応じてそのオブジェクトの機密データをバケットの機密スコアから削除し、バケットの機密ラベルを更新します。
特定のタイプの機密データをバケットのスコアに含めたり除外したりすることで、個々の S3 バケットの感度スコアリング設定を調整できます。最大スコア(100) をバケットに手動で割り当てることで、バケットの計算スコアを上書きすることもできます。最大スコアを割り当てると、バケットのラベルは *[機密]* になります。詳細については、「[S3 バケットの機密スコアを調整する](discovery-asdd-s3bucket-manage.md)」を参照してください。

**メタデータ、統計、その他のタイプ結果の生成**  
機密データ自動検出を有効にすると、Macie は追加のインベントリデータ、統計、およびアカウントの S3 汎用バケットに関するその他の情報を生成して維持し始めます。お客様が組織の Macie 管理者である場合、これにはデフォルトで、お客さまのメンバーアカウントが所有するバケットが含まれます。  
追加情報には、Macie がこれまでに実行した機密データ自動検出アクティビティの結果がキャプチャされます。また、個々のバケットのパブリックアクセスや共有アクセス設定など、Macie が提供する Amazon S3 データに関するその他の情報を補足するものでもあります。追加情報には以下が含まれます。  
+ Amazon S3 データエステート全体のデータ機密性をインタラクティブかつ視覚的に表現します。
+ Macie が機密データを検出したバケットの総数や、それらのバケットのうちパブリックにアクセスできるバケットの数など、集約されたデータ機密性統計。
+ 分析の現在のステータスを示すバケットレベルの詳細情報。Macie がバケット内で分析したオブジェクトのリスト、Macie がバケット内で見つけた機密データのタイプ、Macie が見つけた機密データごとの出現回数などです。
この情報には、Amazon S3 データのカバレッジの評価とモニタリングに役立つ統計と詳細も含まれています。データエステート全体と個々の S3 バケットの分析ステータスを確認できます。Macie が特定バケット内のオブジェクトを分析できなかった問題を特定することもできます。問題を修正すれば、その後の分析サイクルで Amazon S3 データのカバレッジを拡大できます。詳細については、「[機密データ自動検出カバレッジの評価](discovery-coverage.md)」を参照してください。  
Macie は、機密データ自動検出を実行しながら、この情報を自動的に再計算して更新します。例えば、Macie が S3 オブジェクト内の機密データを検出し、その後変更または削除された場合、Macie は該当するバケットのメタデータを更新します。つまり、分析対象オブジェクトのリストからそのオブジェクトを削除し、Macie がオブジェクト内で検出した機密データを削除して、スコアが自動的に計算された場合は機密スコアを再計算し、必要に応じて新しいスコアを反映するように機密ラベルを更新します。  
メタデータと統計に加えて、Macie は検出した機密データおよび実行した分析のレコードを作成します。機密データ調査結果は、Macie が個々の S3 オブジェクト内で検出した機密データを報告し、機密データ検出結果は、個々の S3 オブジェクトの分析に関する詳細を記録します。****  
詳細については、「[機密データ自動検出の結果を確認する](discovery-asdd-results-s3.md)」を参照してください。

## 考慮事項
<a name="discovery-asdd-how-it-works-considerations"></a>

Amazon Macie を設定して使用し、Amazon S3 データの機密データの自動検出を実行する場合、次の点に注意してください。
+ 自動検出設定は、現在の にのみ適用されます AWS リージョン。したがって、結果の分析とデータは、現在のリージョンの S3 汎用バケットとオブジェクトにのみ適用されます。追加のリージョンの自動検出を実行し、結果データにアクセスするには、追加の各リージョンで自動検出を有効化して設定します。
+ ユーザーが組織の Macie 管理者である場合:
  + 現在のリージョンのアカウントで Macie が有効になっている場合にのみ、メンバーアカウントの自動検出を実行できます。さらに、そのリージョン内のアカウントに対して自動検出を有効にする必要があります。メンバーは、自分のアカウントの自動検出を有効または無効にすることはできません。
  + メンバーアカウントの自動検出を有効にすると、Macie は、メンバーアカウントのデータを分析する際、管理者アカウントの自動検出設定を使用します。適用可能な設定は、分析から除外する S3 バケットのリスト、マネージドデータ識別子、カスタムデータ識別子、および S3 オブジェクトの分析時に使用できるリストです。メンバーはこれらの設定を確認または変更できません。
  + メンバーは、自らが所有する個々の S3 バケットの自動検出設定にアクセスできません。例えば、メンバーは、いずれかのバケットの機密スコア設定を確認または調整することはできません。Macie 管理者だけがこれらの設定にアクセスできます。
  + メンバーは、Macie が自分の S3 バケットに直接提供する機密データ検出統計やその他の結果への読み取りアクセスは許可されていません。例えば、メンバーは、Macie を使用して、S3 バケットの機密性スコアとカバレッジデータを確認できます。例外は機密データの検出結果です。自動検出によって生成される検出結果に直接アクセスできるのは Macie 管理者のみです。
+ S3 バケットのアクセス許可設定により、Macie によるバケットまたはバケットのオブジェクトに関する情報のアクセスまたは取得が妨げられている場合、Macie はバケットの自動検出を実行できません。Macie は、バケットを所有 AWS アカウント する のアカウント ID、バケットの名前、Macie が[毎日の更新サイクル](monitoring-s3-how-it-works.md#monitoring-s3-how-it-works-data-refresh)の一部としてバケットとオブジェクトメタデータを最後に取得した日時など、バケットに関する情報のサブセットのみを提供できます。バケットインベントリでは、これらのバケットの機密スコアは50で、その機密ラベルの分析が未完了です。このような状況にある S3 バケットを特定するには、カバレッジデータを参照します。詳細については、「[機密データ自動検出カバレッジの評価](discovery-coverage.md)」を参照してください。
+ 選択と分析の対象となるには、S3 オブジェクトが汎用バケットに保存され、**分類可能である必要があります。分類可能なオブジェクトは、サポートされているAmazon S3ストレージクラスを使用し、サポートされているファイルまたはストレージフォーマットのファイル名拡張子を持っています。詳細については、[サポートされているストレージクラスとフォーマット](discovery-supported-storage.md)を参照してください。
+ S3 オブジェクトが暗号化されている場合、Macie がそれを分析できるのは Macie がアクセス可能で使用を許可されているキーを用いて暗号化されている場合のみです。詳細については、「[暗号化された S3 オブジェクトの分析](discovery-supported-encryption-types.md)」を参照してください。暗号化設定により Macie がバケット内の 1 つ以上のオブジェクトを分析できなかったケースを特定するには、カバレッジデータを参照します。詳細については、「[機密データ自動検出カバレッジの評価](discovery-coverage.md)」を参照してください。