Snowflake Tech Fast Track DSH

Transcript

1. © 2026 Snowflake Inc. All Rights Reserved 企業における SNOWFLAKE 導入ノウハウ セキュリティとガバナンス概要 松原 侑哉 Data Superhero
2. © 2026 Snowflake Inc. All Rights Reserved Snowflake Data Superheros 2026 自己紹介 松原 侑哉 Matsubara Yuya 株式会社NTTドコモ R&Dイノベーション本部 サービスイノベーション部ビッ グデータ基盤　 兼 ネットワーク本部 ネットワーク部技術企画部門 Principal Data Engineer
3. © 2026 Snowflake Inc. All Rights Reserved Executive Summary Snowflakeを使い倒すために ❏ データ基盤について ❏ Snowflake導入・導入後の選択肢 Category 0：エディション選択　 Category 1：インフラ /NW Category 2：ID/アクセス管理 Category 3：データ・ガバナンス Category 4：AIガバナンス Category 5：コスト・運用管理 ❏ まとめ Agenda Snowflakeの導入・導入後における セキュリティ / ガバナンスの代表的な設 定・考える必要があることを ご共有致します また、これまで私が培ってきた ノウハウや注意点も一緒に 共有致します
4. © 2026 Snowflake Inc. All Rights Reserved 人・組織単位以外にも、目的単位で利用申請が必要な機密性の高いデータも取り扱 う. ※月一監査により目的外利用が発見された場合はインシデント扱い . データ基盤について ©2024 NTT DOCOMO, INC. All Rights Reserved. 営業拠点：オンプレミス 高セキュリティエリア 専用オフライン端末 ク ラ ウ ド 物理専用線 SSO クラウド ゼロトラスト端末
5. © 2026 Snowflake Inc. All Rights Reserved Snowflakeの導入において考える必要があることは？ データ基盤 非常に多くの検討事項 • 国内でディザスタリカバリを組たいか？ • 「閉域網」は必須か？ • 「暗号化キー」の主導権を自社で持ちたいか？ • 「機密情報（ PII）」を扱うか？ etc.. Snowflakeは 対応可能
6. © 2026 Snowflake Inc. All Rights Reserved 必要十分な制御 検討項目 インフラ・ NW 境界の防御 ID・アクセス管理 ⼈‧権限の統制 データガバナンス データの保護 AIガバナンス AIの監督 コスト・可観測性 持続可能性の確保
7. © 2026 Snowflake Inc. All Rights Reserved クラウド / リージョン選択 Amazon Web Service Microsoft Azure Google Cloud 全てのPublic Cloudを選択可能 かつ、 どれを選んでも他のPublic Cloudのストレージを統合 することも可能 国内でディザスタリカバリを組むのであれば現在 AWS一択 東京リージョンと大阪リージョン どちらでも利用可能
8. © 2026 Snowflake Inc. All Rights Reserved Category 0：エディション選択 Business Critical Enterprise Standard Virtual Private Snowflake 選べる４つのエディション 一般的なガバナンスを利かせたいならば 「Enterprise」 PrivateLinkなどよりセキュアなガバナンスが必要であれば 「Business Critical」 おすすめ 日本独自の「ISMAP」に2025年末Snowflakeは登録されました. ISMAPの管理策をフルに活かすには、 Enterprise以上の機能（ロール管理やログ監視）を推奨
9. © 2026 Snowflake Inc. All Rights Reserved エディション早見表 カテゴリ 機能・要件 Standard Enterprise Business Critical Virtual Private 基本機能 SQL / 全データ暗号化 / MFA ☑ ☑ ☑ ☑ ガバナンス データマスキング・行アクセス制御他 / Access History（閲覧監査）等 ❌ ☑ ☑ ☑ セキュリティ PrivateLink (閉域網接続) / 顧客管理キー/ PCI-DSS準拠 等 ❌ ❌ ☑ ☑ 可用性 フェイルオーバー / 復旧 等 ❌ ❌ ☑ ☑ インフラ 環境の独立性 共有 共有 共有 専用環境
10. © 2026 Snowflake Inc. All Rights Reserved 注意点 「監査レポート（SOC 2など）の中身で、どの機能を使っていることが前提になっているか 」を確認し ましょう. 多くの外部監査では「特権IDの厳格な管理（RBAC）」や「詳細な操作ログの保持」がチェック項目にな ります. Standardエディションではログの保持期間が短かったり、高度なロール分離が運用しにくかったりす るため、認証は共通でも、実務上の「監査対応コスト」は下位エディションの方が高くなる という逆転 現象が起きます. 認証によってはBusiness Critical以上のエディションで提供される 「Private Link（閉域網）」や「カスタマー管理キー（ Tri-Secret Secure）」を前提として認証が付与 されているケースがあります . 「認証があるから Standardでいい」と判断してはいけない！
11. © 2026 Snowflake Inc. All Rights Reserved インバウンドだけではなく、アウトバウンドもきめ細やかに制御 Category 1：インフラ /NW 入 口 出 口 Snowflake 入口 出口 Network Policy等を用いたアクセス制御 許可リスト : 会社拠点など信頼できる IPのみを許可 ブロックリスト : 特定の攻撃元や不要なセグメントを遮断 階層的な適用 : • アカウントレベル : 全ユーザーに適用 • ユーザーレベル : 特定の管理者やプログラム用IDのみ より厳しい/または緩い制限を適用 外部アクセス統合や API統合等を用いたアク セス制御
12. © 2026 Snowflake Inc. All Rights Reserved 早見表 レイヤー 主要機能 目的 1. 境界防御 Network Policy (IP / Public Cloud Private Endpoint制限) 許可された拠点（オフィスや VPN）以外からのアクセスの 遮断による外部不正アクセスの排除 2. 通信経路 Private Link (閉域網接続 ) 自社ネットワークとSnowflakeを直結することによる攻撃リ スクの排除 3. 出口制御 External Network Access Snowflake内部（Python/SQL）から通信できる外部サイト の制限によるデータの不正持ち出し防止 4. ストレージ連携 Storage Integration 専用オブジェクトを活用することによるクラウドストレージ （S3等）接続時の認証情報露出の防止
13. © 2026 Snowflake Inc. All Rights Reserved 抜け道「データエクスフィルトレーション」を防ごう 注意点 例：REQUIRE_STORAGE_INTEGRATION_FOR_STAGE_CREATIONの設定 Storage 統合 AWS Cloud 外部Stage Storage統合の活用を強制することにより、 ユーザが任意の Public StorageをSnowflakeに統合することを防ぐ 外部Stage ❌
14. © 2026 Snowflake Inc. All Rights Reserved Category 2：ID/アクセス管理 「誰が」「どの権限で」「どのデータに」アクセスできるかを、 最小権限の原則に基づいて制御 認証方式は多種多様であり、 アクセス制御の基本は RBAC である ・フェデレーション認証（SSO） ・多要素認証（MFA） ・キーペア認証 ・Personal Access Token ・パスワード: MFA必須 パスワードのみでサインイン不可 Role-Based Access Control ・システム定義ロール ・カスタムロール 上記を用いたロールの継承を行い、権 限を構造的に管理 認可 認証
15. © 2026 Snowflake Inc. All Rights Reserved Category 2：ID/アクセス管理 レイヤー 主要機能 目的 1. 認証 SSO (SAML), OAuth, MFA 外部ID基盤との連携および多要素認証による統一された本 人確認の実施 2. ポリシー Authentication Policy, Session Policy 接続元や認証方式の制限、およびセッション維持期間の定 義によるアクセス状況の統制 3. 自動化 SCIM ID基盤側のユーザー・グループ情報の変更同期、アカウン ト運用の自動化 4. 認可 Role, Database Role 役割ベースの権限管理（ RBAC）、DB単位の権限パッケー ジ化による最小権限に基づくアクセス認可
16. © 2026 Snowflake Inc. All Rights Reserved 「職務」と「データ権限」を分離して管理 おすすめ • Roleは大きく分けて Access Role(AR)と Functional Role(FR)を定義する a. [データアクセスロール] Access Roleはユーザーに は直接付与せず、「職務ロール」に付与する b. [職務ロール] Functional Roleはユーザーに直接付 与し、複数の「アクセスロール」を継承する • 原則として、 DB内のオブジェクト権限（ TABLEの SELECT等）は Database Role(DR) にまとめる a. Database Role を Access Role に継承させる AR AR FR FR DR DR DR
17. © 2026 Snowflake Inc. All Rights Reserved データに対する事細かなアクセス制御とモニタリング Category 3：データ・ガバナンス AA Bb Cp ** ** ** hH IJ KK PO KI AK Roleの概念から「Access Role/Database Role」に大 きく分けて下記３つの要素を設定 対象（どこを） : どのデータベースやテーブルにアクセスさせるか 操作（何を） : 「見るだけ（SELECT）」か、「追加・修正 （INSERT/UPDATE）」もできるようにするか 制約（どんなルールで） : マスキングや行フィルタを適用し、どのようにデータを見 せるか AR DR
18. © 2026 Snowflake Inc. All Rights Reserved 早見表 レイヤー 主要機能 役割・目的 1. 発見・分類 Object Tagging, Sensitive Data Classification PII（個人情報）の自動検出と機密タグ付与による 可視化と管理を自動化 2. データ保護 Dynamic Data Masking, Row Access Policy 権限に応じたカラムの伏せ字化および行単位の フィルタリングによる動的なアクセスの制御 3. プライバシー 保護 Projection / Aggregation Policy, Differential Privacy 特定列の露出制限、集約結果のみの表示、数学 的ノイズ付与による個人の再識別リスクの排除 4. 品質・可観測性 Data Quality Monitoring, Data Lineage データの鮮度・異常の監視および、上流から下流 へのデータ流転の可視化による信頼性の担保 5. 監査・管理 Access History, Trust center 証跡管理と、ガバナンス状況を俯瞰する一元的な モニタリング
19. © 2026 Snowflake Inc. All Rights Reserved タグベースの保護を利用しよう おすすめ id date log lat lon status 1 2024/1/1abcdef 35.689634 139.692101 True 4 2024/1/4gbegja -35.310693 149.116694 True 5 2024/1/5ddfevvf -41.28933 174.777423 True id date log lat lon status 1 2024/1/1abcdef Null Null True 4 2024/1/4gbegja Null Null True 5 2024/1/5ddfevvf Null Null True log_1 log_1 Masking Policy が設定されているカラムは 「XX Role」のみ閲覧可能 分析に不要な個人情報は デフォルトでマスク（伏せ字） された状態で見せる設計を推奨
20. © 2026 Snowflake Inc. All Rights Reserved 安全で簡単な LLMの活用を実現 Category 4：AIガバナンス • Snowflakeは 「顧客データでモデルを再学習しない」 「データの中身を見ない」 • 細かなアクセス /利用制御を提供 ◦ モデル毎のRBAC制御 ◦ 国内・特定地域等でのデータ流通制限 ◦ モデルのアウトプットに対する予防的ガードレー ルの設定 「AIをいかに安全にビジネスへ組み込むか（ AI Safety）」 「生成AI特有の法的リスクをどう回避するか」 ※SnowflakeはISO 42001 (AIガバナンスの新基準 )も取得済み
21. © 2026 Snowflake Inc. All Rights Reserved 早見表 レイヤー 主要機能 役割・目的 1. データ境界 Cortex AI データを外部APIに送らずSnowflakeの管理領域内で 推論を完結させ、データ流出を防止 2. AIガードレール Cortex Guard LLMへの入力（プロンプト）および出力に含まれる有害 コンテンツやPIIを検知・遮断 3. モデル・権限管理 Model RBAC どの職務（Role）がどのLLMモデル（Llama, Mistral 等）を使用できるか制御 4. 可観測性 AI系Usage History 「誰がどのデータを使ってどのくらいAIを実行したか」を 記録 5. リーガル・信頼性 AI Trust and Safety ※規約 顧客データが再学習に利用されないことを保証し、知 的財産権や法規制上のリスクを排除
22. © 2026 Snowflake Inc. All Rights Reserved 注意・おすすめ 必要に応じて海外ホスティングのモデルを利用できるよう CORTEX_ENABLED_CROSS_REGION を確認 ❏ デフォルトで ほとんどの Snowflake AI 機能をすべてのユーザーが利用で きる ❏ 日本リージョンで Snowflakeを活用している場合、デフォルトでは利用でき るモデルが限られる REVOKE DATABASE ROLE SNOWFLAKE.CORTEX_USER FROM ROLE PUBLIC; REVOKE DATABASE ROLE SNOWFLAKE.COPILOT_USER FROM ROLE PUBLIC; 社内決済等が必要であればまずは Public Roleから Database RoleをREVOKE
23. © 2026 Snowflake Inc. All Rights Reserved Category 5：コスト・運用管理 「従量課金」というリスクを管理しつつ、 システムの透明性（いつ・誰が・何をしたか）を確保 「自動化」によるコスト増加の抑制 : • Auto-suspend を最短（例：60秒）に設定すること • Resource Monitor / Budget を設定し「予算の80%で通知、100%でWH停 止」といったガードレールを敷く / 施策毎の予算を設定すること 「タグ」による責任の明確化 : • Object Tagging を活用し、すべてのウェアハウスやデータベースに「部署 名」や「プロジェクトコード」のタグを付与
24. © 2026 Snowflake Inc. All Rights Reserved 早見表 レイヤー 主要機能 役割・目的 1. コスト実行制御 Resource Monitor, Budgets, Auto-suspend/resume 予算超過時の自動停止・通知、およびリソースの 自動休止により使いすぎを防止 2. コスト可視化 Account Usage, Information Schema (Usage Views) クレジット消費やストレージ利用を分析し、データ活 用の投資対効果（ROI）を最適化 3. 運用透明性 /監査 Access History, Query Profile, Login History 「誰がどのデータに、どのような効率で触れたか」を 可視化し監査 4. 費用按分 /組織管 理 Object Tagging (Cost Center Tags) 部署やプロジェクト単位でコストをタグ付けし、部門 間での正確な費用按分を実現
25. © 2026 Snowflake Inc. All Rights Reserved 強固なガバナンスが構築されているからこそ、 データ・AI活用は加速します 「迷わず使える」 : どのデータが安全で、どのデータが機密かがわかる 「即座に使える」 : 物理的なデータコピーや加工を待たず、ポリシーによって加工されたデータを 即座に分析できる 「安心して挑戦できる」 : 生成AIを使っても、データが学習に使われたり流出したりする心配がない
26. © 2026 Snowflake Inc. All Rights Reserved 強固なガバナンスを武器に、 Snowflakeを使い倒しましょう
27. © 2026 Snowflake Inc. All Rights Reserved THANK YOU