権限設計の基本：誰が何を見られるか

Stage 5 — 第1章 | データマネジメント入門 推定学習時間：40〜50分 | 難易度：★★★☆☆

この章で学ぶこと

品質と SSOT 以前に、見る権限 がありません。 さくら商事では、CS 担当が顧客の 購買履歴全文 を見られ、委託先 BI ベンダーに メールアドレス列 がマスクなしで渡っていました。

データセキュリティ（Data Security）は DAMA 11 領域の 1 つ。 本章では RBAC（Role-Based Access Control） と行/列レベル、PII マスキングの基本を学びます。

この章を終えると、こんなことができるようになります：

• RBAC と最小権限の原則を説明できる
• 行レベル・列レベルセキュリティの 使い分け を説明できる
• PII（Personally Identifiable Information）とマスキングの基本を説明できる
• 委託先・CS・分析チームの 権限設計 を具体例で説明できる

1. 「この列、見ていいですか？」

CS の新人が Slack で質問しました。

「返金対応で、顧客の 全注文履歴と住所 見たいんですが、BigQuery の権限足りますか？」

同じ週、委託 BI ベンダーに dim_customer 全列 export が依頼されました。 DPO（Data Protection Officer 相当）のレビューは 後回し でした。

DPO 相当・法務

「メール・電話・住所は PII。目的とマスクなしでは渡せません。」

2. 権限の層

権限は 何段階か に分けて設計します。

IdP（Identity Provider）→ ロール → オブジェクト → 行 → 列 → 委託先
          

次の図は、さくら商事が 権限設計の会話 をするための層モデルです。

「BigQuery 権限ください」だけでは不十分。 どのマートのどの列を、何の目的で までセットで聞きます。

3. RBAC と最小権限

RBAC = ユーザーに ロール を付け、ロールに 権限セット を紐づける方式。

3.1 最小権限（Least Privilege）

Stage 1 の 廃棄（退職者アカウント）と直結します。

4. 行レベル・列レベル

4.1 さくら商事の例

-- マスクビュー（概念）
          CREATE VIEW mart_customer_masked AS
          SELECT
            customer_id,
            SHA256(email) AS email_hash,  -- 生メール非表示
            city,
            total_orders
          FROM dim_customer;
          

5. PII の基本

PII = 個人を特定しうる情報（氏名、メール、電話、住所、IP 等）。

現場メモ

「社内だから大丈夫」は 通用しません。 内部不正・誤送信・ログ流出は日常茶飯事レベルで起きます。

6. 委託先・ツール連携

体系コラム：カリキュラム上の位置づけ

コラム：よくある誤解 —「権限は IT が全部決める」

CS の鈴木さん（別部署）が「顧客メール見たい」と Slack で聞いてきたとき、基盤の鈴木さんは即 grant しませんでした。利用目的・期間・最小列 をオーナー（佐藤さん経由）に確認する——これがデータマネジメント的アクセス制御です。

よくある誤解は「DB 管理者が権限表を持っていれば十分」というもの。行レベル・列レベル、委託先へのビュー経由配布、退職当日のアカウント停止は 業務オーナーと DPO の判断 が必要です。

もう一つは「匿名化すれば全部 OK」という幻想。郵便番号 + 購買履歴の組み合わせは再識別可能です。さくら商事では PII 列ツールを禁止し、必要なら 集計済み mart のみ を開放する方針にしました。

まとめ

この章のキーメッセージ：

権限は IT が ON にするスイッチ ではなく、利用目的とリスクに応じた設計 です。 「見たい」ではなく「業務上必要な最小」で聞いてください。

次に読む

• 前章（Stage 4）: 分析前チェックリスト
• 次章: ガバナンスを回す
• 関連: 誰が何を担うか

確認問題

問題 1

CS 担当に全顧客の dim_customer 読取を付与しようとした。 最小権限の観点で最も適切 なのはどれですか。

A. 全行・全列 OK
B. 返金対応に必要な行・列のみ、PII はマスク or 限定列
C. 権限不要（社内だから）
D. 本番 OLTP を直接見せる

正解: B

解説: 目的限定 + 行/列最小化 が原則です。A/C は過剰、D は OLTP/OLAP 分離違反です。

問題 2

委託 BI ベンダーに email 生列付き export を渡そうとした。 最も適切な対応 はどれですか。

A. そのまま渡す
B. マスクビュー + DPA + 期限付き read-only ロール
C. 全社 Slack に upload
D. PII は問題ないので無視

正解: B

解説: 委託先は 外部扱い。マスク・契約・期限がセットです。

問題 3

「RBAC ロール analyst を全員に付ければ管理が楽」と提案された。 データマネジメント上の懸念 として最も適切なのはどれですか。

A. 問題ない。1 ロールが最善
B. 部門・用途差が失われ、PII 過剰アクセスと監査不能になる
C. ロールは 100 個必要
D. RBAC は使えない

正解: B

解説: 楽さのための 権限の平坦化 は内部漏えいリスクを増やします。

用語メモ（この章）