データ激増時代に変化するIT部門の役割 データガバナンス実装の現実解

データ活用の拡大によってデータ基盤のサイロ化も進んでいる。複雑なデータ基盤を管理する企業のIT担当者に求められている新たな役割とは何か。そして、事業の信頼を支えるデータガバナンスの実現に必要な思想とは。

[吉田栄信, 編集：村田知己，ITmedia]

　近年、企業が保有するデータ量は加速度的に増え、活用の範囲も拡大しています。こうした変化の中で、IT担当者にはセキュリティ対策やインフラ運用だけでなく、「データをどのように扱い、どのように説明できる状態に保つか」という取り組みも求められるようになっています。

　複雑化するデータ基盤を安全かつ透明に保つことは、単なる技術的課題ではなく、事業継続性や信頼性を支える経営アジェンダとなっています。本稿では、このような時代にIT担当者が担うべき新たな責務と、その基盤となる可視性・ガバナンスの在り方を考えます。

著者プロフィール

吉田 栄信

Cloudera株式会社 ソリューション・エンジニアリング・マネジャー

クラウド、ビッグデータ、データガバナンス、PaaS、Webアプリケーションなどのアーキテクトとしての設計や実装の経験を持つソリューションエンジニア。

過去にはDXCテクノロジー・ジャパン株式会社でチーフ・テクノロジスト、ヒューレット・パッカード エンタープライズでビジネス・ディベロップメントの職務を担当し、2019年6月にCloudera株式会社に入社。

データが増えるほど、セキュリティは“見えなくなる”

　データ量や、データ活用の必要性が増す一方で、データの所在や利用実態をIT部門が正確に把握できている企業は少ないのが現状です。

　問題の本質は「複雑さ」にあります。データの発生源となるプラットフォームごとに異なるアクセスモデルや暗号化方式、監査ログ形式が存在し、それぞれの制御が断片化しているためです。その結果、「どのデータが、どこにあり、誰が、どの目的で利用しているのか」が追跡できない状態が生まれています。

　そのような環境では、誤設定や冗長な権限付与が放置され、攻撃者にとって格好の侵入口になります。さらに、企業のデータ活用が大規模化するほど、プラットフォーム間でのガバナンスの不整合やデータのサイロ化が拡大し、セキュリティチームがどこから手をつけるべきか判断できなくなります。

「可視化」から始める防御

　セキュリティ対策の出発点は「見えること」です。データがどのように生成され、変換され、どのアプリケーションで利用されているのかを把握することは、全てのガバナンスの前提になります。しかし、システムが増えるほどETLパイプラインが複雑化するため、追跡が難しくなります。そこで、当社が重要だと考えているのが、データリネージ（データ系譜）とデータカタログです。

　データリネージは、テーブルやファイル間の依存関係を自動的にマッピングし、データの流れを可視化します。これにより、異常値が発生した際に上流の原因を迅速に突き止められるだけでなく、「誰が」「どのデータを」「どのように扱ったのか」を追跡できます。データカタログはデータに付与されたメタデータを体系的に整理・統合し、利用者が正しい情報に安全にアクセスできるようにする仕組みです。

　現在、多くの企業がこれらのツールを導入し、リアルタイムでデータの発見・分類・系譜追跡ができる体制を目指しています。代表的な製品としては「Cloudera Octopai Data Lineage」や「Informatica Enterprise Data Catalog」「SAP Data Intelligence」などが挙げられます。これらの仕組みを活用することで、異常なアクセスや変換パターンを早期に検知し、誤設定や不正利用によるリスクを軽減できます。また、リネージを正確に実行することで、AIモデルのトレーニングデータや出力結果の信頼性も確保できます。

「後付け」ではなく「設計」に組み込むガバナンス

　次に重要なのが、データガバナンスをライフサイクル全体に組み込むことです。

　多くの企業は、データ基盤を構築した後にセキュリティ対策をします。しかし、データを生成・移動・複製する全ての工程で一貫して制御しなければ、どこかに抜け穴が生じます。理想は、データの生成から削除まで、一貫したアクセス制御と監査が可能になっている状態です。

　重要なのは、ガバナンスが「セキュア・バイ・デザイン」であること、つまり、セキュリティを後から追加するのではなく、最初からシステム設計に埋め込むという発想です。ゼロトラストの原則に基づき、認可されたユーザーのみにアクセスを許可しつつ、エンドユーザーの負担を最小限に抑えることです。セキュリティが設計に組み込まれていれば、従業員がそれを回避する可能性が低くなり、偶発的なデータ漏えいのリスクも軽減されます。

　近年、「Immuta」や「Microsoft Purview」などの製品が、アクセス権限の動的調整、異常なアクティビティー検知、リアルタイムなコンプライアンスチェックといった機能を自動化し、ゼロトラストの原則を実現する方向に進化しています。Clouderaもこの潮流を踏まえ、データガバナンス機能群の拡張を進めています。AIを活用した自動化により、ポリシー適用や監査を日常のシステム運用に組み込み、属人的な対応から脱却することで、クラウドやオンプレミスを問わず一貫したセキュリティを提供することを目指します。

ハイブリッドクラウド環境における「制御点」の再設計

　ハイブリッドクラウドの普及も、データ基盤のセキュリティ対策を複雑化させている要因の一つです。

　複数のパブリッククラウドやオンプレミスを併用する環境では、それぞれに異なる設定やポリシーが存在するため、運用が複雑化しがちです。こうした状況の中で、クラウドセキュリティ事故の一因として設定ミスが指摘されています。

　マルチクラウド時代に必要なのは、異なる環境をまたいでも同じガバナンスルールを適用できる「単一の制御点」です。最近では、インフラ構成の自動化や設定標準化を支援するプラットフォームが普及し、複雑なクラウド環境を抽象化して管理できます。これにより、誤設定の防止やポリシー逸脱の検出が容易になり、セキュリティ担当者の負担を大きく軽減できます。複数環境を安全に運用できる企業ほど、データ活用やAI導入をスピーディーに進めることができるのです。

セキュリティの目的は「防御」ではなく「信頼」

　データ保護の最終的な目的は、単に攻撃を防ぐだけでなく、意思決定やAIに活用できるよう、データの完全性と信頼性を確保することです。

　データリネージやガバナンスを整備することで、データへのアクセスや利用目的が明確になれば、データエンジニアやデータサイエンティストは安心してデータを活用できます。結果として、AIモデルの品質や意思決定の精度が高まり、イノベーションに向けた取り組みも促進されます。

　企業が今取り組むべきことは、セキュリティを「制約」ではなく「信頼を生み出すための推進力」として捉え直すことです。クラウドやオンプレミス、エッジといった異なる環境をまたいでも統一されたポリシーを適用し、統制することが求められます。

　一例として、Clouderaが直近で実施したプラットフォームの機能拡張では、環境を問わず一貫したアクセス制御、監査、ポリシー適用を実現し、AIワークロードの安全な実行を可能にしました。

「防御」から「説明」へ――IT担当者が担う次の役割

　これからのセキュリティ担当者やデータエンジニアには、「防御」だけでなく「説明」する力が求められます。

　AIが生成した結果や意思決定の根拠に責任を持つためには、その背後にあるデータの流れや品質、アクセス履歴を、誰もが理解できる形で示す必要があります。

　そのためには、リネージやガバナンスの仕組みを「開発の後工程」に置くのではなく、「開発の過程」に組み込むことが重要です。可視性とガバナンスを文化として根付かせ、誰もがデータの扱いに責任を持てる状態をつくることが求められます。

　セキュリティは業務の自由を奪うものではなく、安心して挑戦できるための土台です。「説明できる防御」を実現する設計思想こそが、これからの企業に求められる新しいセキュリティの姿だと言えるでしょう。