データマスキング（）は、データ集合に含まれる機密の値を、データ型やファイル形式を保ったまま別の値に置き換え、本番環境以外で安全に利用できるようにするセキュリティの手法である。ソフトウェアの開発者・試験の担当者・訓練の担当者・データ分析者が、機密の情報を危険にさらすことなく組織のデータを扱えるようにすることを目的とする。多くはソフトウェア開発の環境にある構造化データの保護と、機密の情報を含むデータ集合をシステムの間や社外の相手と共有する場面で用いられる。

概要 TechTargetは、マスキングしたデータが検証を通り、表をまたいだ関係の一貫性（参照整合性）を保つ一方で元の値へ逆算できないことを、用いる際の条件として挙げている。

TechTargetは、機密の項目を見つけて分類し、形式・データ型・関係を保ったままどのように値を改変するかを決める手順を挙げている。同媒体によれば、機密の値を見つける段階ではパターン照合・正規表現・自然言語処理を用いるツールが使われ、大量のデータでは、現実的に見える値をあらかじめ集めた候補群や形式を保つ生成器が用いられる。

TechTargetは、さまざまなデータ保護の法令や規格が個人情報や医療に関する情報を秘密のまま扱うことを求めており、マスキングは本番以外の環境でデータを使う際にそれらが露出する危険を減らすことで法令や規格への適合（コンプライアンス）を支えるとし、例としてEU一般データ保護規則（GDPR）、アメリカ合衆国の医療保険の携行性と責任に関する法律（HIPAA）、カリフォルニア州消費者プライバシー法（CCPA）を挙げている。

主な要素 静的マスキング TechTargetによれば、静的マスキング（static data masking、SDM）は、元のデータの複製を作り、その複製の中の機密の値を現実的に見える代替値へ置き換える方式で、あらかじめ一括して処理し、元のデータ構造を保つため、開発・試験・訓練・分析の環境で用いられる。 動的マスキング 動的マスキング（dynamic data masking、DDM）は、本番のシステムにある元のデータをそのまま残し、データが問い合わせられるたびに変換の規則を適用する方式で、権限に基づいて一部の利用者には元の値を返し、他の利用者には代替値を返す形にもできる。 転送時のマスキング 転送時のマスキング（on-the-fly data masking、OFM）は、環境の間を移動中のデータを改変する方式で、TechTargetは、試験用のデータベースをクラウド上に用意する場面で送り先の環境が元の値に触れないことを利点として挙げている。 並べ替えと置換 英数字の並び順を組み替えて値を分かりにくくするスクランブル、同じ性質を持つ別の値へ置き換える置換（substitution）、列の中の値の並び順を入れ替えるシャッフルがある。置換の例としてTechTargetは、有効なクレジットカード番号を、カード発行者の検証規則を通る別の番号に置き換える形を挙げている。 一部の隠しと空白化 値の一部を代替の記号で覆い隠す方式（masking out）は、TechTargetによればPCI DSSへの適合のために広く用いられる。項目を空値（null）や空文字列に置き換える空白化（nulling）は、代替値を置かずに値を取り除く。 数値と日付の変動 変動（variance）は、金融や取引に関する数値を実際の値に対する乱数の割合だけ変える方式で、データ集合全体の範囲と分布を保つ。日付の値を前後にずらすデータエイジング（data aging）は変動の一種である。

展開 ジョージ・T・ダンカン（George T. Duncan）とリン・ストークス（Lynne Stokes）は2009年の論文で、公表する統計データからの個人や事業所に関する情報の開示を抑える（開示制限）文脈でデータマスキングを扱い、氏名や住所のような明らかな識別子を取り除く非識別化だけでは秘密の保護に足りないとし、レコードや属性の抑圧、雑音の付加による撹乱、データの入れ替え、標本抽出、集約を、行列マスク（matrix mask）という共通の表現でとらえられると整理した。同論文は、統計モデルに基づいて生成する合成データの作成を、マスキングの手法とは区別している。

TechTargetは、改変後のデータが元の値を置き換えるわけではないことから、マスキングを仮名化による非識別化の技法の一つに位置づけ、多くの地域の法令の下では仮名化されたデータもプライバシーに関する法律の適用範囲にとどまるとしている。国際標準化機構（ISO）と国際電気標準会議（IEC）は2018年に、プライバシーを高めるデータ非識別化の用語と技法の分類に関する規格ISO/IEC 20889を発行した。同規格の概要は、ISO/IEC 29100のプライバシー原則に沿って非識別化の措置を記述し設計するための用語、特性に応じた技法の分類、および再識別のリスクを下げるうえでの適用可能性を定めるとしている。

ザルヒ・アスランヤン（Zaruhi Aslanyan）とMartin Staal Boesgaardは2019年の論文で、元のデータの形式を保つことを目的とする技法としてフォーマット保持暗号（format-preserving encryption、FPE）や値の一部の隠しを挙げ、形式を保つと元のデータが期待される場所に符号化した値をそのまま置けるためアプリケーションの変更が少なくて済む一方、形式を保つことが元の個人の再識別につながる場合があるとして、これらの技法の安全性とプライバシーの性質を分析している。

アメリカ国立標準技術研究所（NIST）は2023年9月に、政府のデータ集合の非識別化についての手引きSP 800-188を発行し、非識別化を、識別につながるデータの集まりと本人との結び付きを取り除く処理の総称と定義している。

関連する概念 TechTargetは、マスキングを、実際のデータが必要でない場面で機密の情報が露出しないようにする手法とし、データの匿名化、暗号化、合成データの利用といった他の難読化の技法とは関連するが異なる目的を持つとしている。同媒体によれば、匿名化は識別子を元に戻せない形で取り除くため、EU一般データ保護規則（GDPR）のような枠組みの下では匿名化されたデータは個人データとして扱われなくなる一方で、詳細な分析や試験のための有用性が失われることがある。暗号化は、鍵がなければ読めない状態にして保存中や転送中のデータを守るが、試験や訓練の環境で用いる現実的な代替値は与えない。

日本の個人情報の保護に関する法律は、特定の個人を識別することができないように個人情報を加工し、元の個人情報を復元できないようにした情報を匿名加工情報として定めている。個人情報保護委員会は、個人データを単にマスキングしただけで同法に定める適切な加工を行っていない場合、その情報は匿名加工情報ではなく個人データであるとしている。

関連項目 個人情報 個人情報の保護に関する法律 暗号 PCI DSS ソフトウェアテスト データリネージ

脚注