Azure Databricksで規制対象データを扱う場合、Compliance security profile（コンプライアンス セキュリティ プロファイル）は「後から必要になったら付ける」程度の設定ではありません。結論から言うと、C5、K-FSI、PCI-DSS、UK Cyber Essentials Plus、CCCS Medium、TISAXの対象データを処理する場合は有効化が必要で、HITRUST、IRAP、ISMAPも一般提供後は必須になる前提で計画すべき機能です。Microsoft Learnの公式情報では、追加監視、強化されたコンピュートイメージ、自動クラスター更新、TLS 1.2以上の通信などが含まれると説明されています。(Microsoft Learn)
管理者が最初に確認すべきポイントは、対象ワークスペースのリージョン、Classic computeとServerless computeの使い分け、Premium価格レベルとEnhanced Security and Complianceアドオン、既存ワークロードへの再起動影響です。特に、Compliance security profileやコンプライアンス標準の追加は永続的な変更として扱われ、規制対象データを処理したワークスペースでは簡単に取り消せません。(Microsoft Learn)
Azure DatabricksのCompliance security profileとは
Compliance security profileは、Azure Databricksワークスペースに対して、コンプライアンス要件を満たすための追加コントロールを適用する機能です。通常のセキュリティ設定に加えて、CIS Level 1ベースの強化イメージ、自動クラスター更新、監視エージェントによるログ生成、TLS 1.2以上の通信などを組み合わせて、規制対象ワークロードを運用しやすくします。(Microsoft Learn)
ただし、重要なのは「有効化すれば自動的に法令・業界基準へ準拠できる」という意味ではない点です。公式ドキュメントでも、適用される法令や規制に対する最終的なコンプライアンス確認は利用者側の責任とされています。つまり、Compliance security profileは準拠を支援する土台であり、監査証跡、アクセス制御、データ分類、運用手順、インシデント対応まで含めた社内統制とセットで使う必要があります。(Microsoft Learn)
今回の公式情報で管理者が押さえるべき変更点
2026年5月時点の公式情報で実務上重要なのは、Compliance security profileの対象範囲が「有効・無効」だけで判断できない点です。コンプライアンス標準ごとに、Classic compute planeとServerless compute planeの対応リージョンが異なり、Preview/Beta機能も公式リストに載っているものだけがサポート対象とされています。(Microsoft Learn)
| 確認項目 | 実務上の意味 | 対応ポイント |
|---|---|---|
| 必須となる標準 | C5、K-FSI、PCI-DSS、UK Cyber Essentials Plus、CCCS Medium、TISAXではCompliance security profileが必要 | 規制対象データを処理する前に有効化と標準選択を確認 |
| Public Previewの標準 | HITRUST、IRAP、ISMAPは強く推奨され、一般提供後は必須化される見込み | 本番設計では早めに有効化前提で検証 |
| HIPAA | Databricksは有効化とHIPAA標準選択を強く推奨しているが、必須とはされていない | PHIデータの扱い方と社内統制を合わせて判断 |
| Serverless対応 | 標準とリージョンにより対応範囲が異なる | Serverless SQL WarehouseやServerless notebook前提の設計ではリージョン表を必ず確認 |
| Preview/Beta機能 | 公式リストにある機能だけがサポート対象 | 新機能を使う前に、Compliance security profile有効ワークスペースで利用可能か確認 |
対象となるコンプライアンス標準を整理する
Compliance security profileが必須かどうかは、扱うデータの種類と準拠すべき標準で判断します。例えば、カード会員データを扱うPCI-DSS対象ワークロードでは、ワークスペースを作った後に「あとで必要なら有効化」ではなく、処理開始前に標準を選択しておくべきです。(Microsoft Learn)
| 区分 | 標準 | 判断の目安 |
|---|---|---|
| 必須 | C5、K-FSI、PCI-DSS、UK Cyber Essentials Plus、CCCS Medium、TISAX | 対象データをAzure Databricksで処理するなら有効化が必要 |
| 強く推奨 | HITRUST、IRAP、ISMAP | Public Preview段階でも有効化前提で設計するのが安全 |
| 強く推奨だが必須ではない | HIPAA | PHIを扱う場合は有効化とHIPAA標準選択を検討 |
| セキュリティ強化目的 | None | 規制対象データではないが、強化機能だけを使いたい場合に選択 |
注意したいのは、コンプライアンス標準を選ばずにCompliance security profileだけを有効化する選択肢もあることです。公式ドキュメントでは、規制標準への準拠ではなく、強化されたセキュリティ機能の利用目的で有効化できると説明されています。(Microsoft Learn)
影響範囲はClassic computeとServerless computeで異なる
Azure Databricksのcompute planeには、大きくClassic compute planeとServerless compute planeがあります。Classic computeは利用者のAzureサブスクリプション内で実行され、Serverless computeはAzure Databricksアカウント側のサーバーレス環境で実行されます。設計上の責任分界点が異なるため、Compliance security profileの影響も同じようには考えられません。(Microsoft Learn)
公式情報では、Compliance security profileはClassicとServerlessの両方でコンプライアンス標準の適用に関わりますが、Serverless computeのサポートは標準とリージョンによって制限されます。特に、日本リージョンでServerlessを前提に規制対象データを扱う場合は、公式表に該当リージョンが含まれているかを必ず確認してください。(Microsoft Learn)
| コンプライアンス標準 | Classic compute plane | Serverless compute plane |
|---|---|---|
| C5 | 全リージョン | Serverless対応の全リージョン |
| CCCS Medium（Protected B） | canadacentral、canadaeast | canadacentral、canadaeast |
| HIPAA | 全リージョン | Serverless対応の全リージョン |
| HITRUST | 全リージョン | australiaeast、australiasoutheast、canadacentral、eastus、eastus2、germanywestcentral、northeurope、uksouth |
| IRAP | australiacentral、australiacentral2、australiaeast、australiasoutheast | australiaeast、australiasoutheast |
| ISMAP | australiacentral2、eastasia、mexicocentral、southeastasia、switzerlandwestを除く全リージョン | australiaeast、australiasoutheast、canadacentral、eastus、eastus2、germanywestcentral、northeurope、uksouth |
| K-FSI | koreacentral | 非対応 |
| PCI-DSS | 全リージョン | australiaeast、australiasoutheast、canadacentral、eastus、eastus2、germanywestcentral、northeurope、uksouth |
| TISAX | 全リージョン | Serverless対応の全リージョン |
| UK Cyber Essentials Plus | ukwest、uksouth | uksouth |
IRAPとCanada Protected BのServerless workloadでは、environment version 5以上を含むbase environmentが必要です。互換性のないbase environmentを選ぶと、Compliance security profileを有効にした状態でServerless computeが起動しません。Serverless notebookやWorkflowを使う開発チームは、アプリケーションコードだけでなく実行環境のバージョンも移行チェックリストに入れてください。(Microsoft Learn)
有効化前に確認すべき前提条件
Compliance security profileを有効化する前に、管理者は次の条件を確認します。特に本番ワークスペースで規制対象データをすでに扱っている場合、設定変更の可逆性が低いため、検証環境での確認を先に行うべきです。
| 確認項目 | なぜ重要か | 実務での確認方法 |
|---|---|---|
| Premium価格レベル | Compliance security profileや強化機能の前提条件になる | Azure DatabricksワークスペースのSKUを確認 |
| Enhanced Security and Complianceアドオン | 有効化するとアドオン課金の対象になる | 契約・見積もり・利用部門のコスト負担を事前確認 |
| リージョン | 標準によってServerless対応リージョンが異なる | 先ほどのリージョン表とAzureポータルの選択肢を照合 |
| 送信ネットワーク制限 | 制限している場合、ポート2443への通信許可が必要 | VNet、NSG、Firewall、プロキシ設定を確認 |
| Azure Virtual Network encryption | Compliance security profileの要件に含まれる | ワークスペースとVMインスタンスタイプが対応しているか確認 |
| VMインスタンスタイプ | Arm64ベースVMはサポートされない | クラスター ポリシーや既存ジョブのインスタンス種別を棚卸し |
| AI支援機能 | Partner-powered AI featuresや一部のDatabricks AI assistive featuresは既定で無効 | Genie Codeなどを業務で使っている場合は影響を確認 |
公式ドキュメントでは、送信ネットワークアクセスを制限しているワークスペースではポート2443へのトラフィック許可が必要とされ、Arm64ベースのVMではcomputeを開始できないとされています。また、Azure Virtual Network encryptionを有効化し、それをサポートするVMインスタンスタイプを使う必要があります。(Microsoft Learn)
自動クラスター更新の影響を見落とさない
Compliance security profileでは、自動クラスター更新が重要な運用要素になります。自動クラスター更新は、Classic compute plane上のクラスター、プール、classic SQL warehouse、legacy Model Servingに対して、最新のホストOSイメージやセキュリティ更新を適用するために定期的な更新を行う機能です。Serverless computeには適用されません。(Microsoft Learn)
既定では毎月第1日曜日の1:00 UTCにスケジュールされます。日本時間では日曜日の10:00に相当するため、国内向けのバッチ処理、月次締め処理、日曜午前の分析ジョブと重ならないか確認してください。アカウント管理者は、メンテナンス頻度、開始日、開始時刻を変更できます。(Microsoft Learn)
| 運用リスク | 起こりやすい場面 | 対応策 |
|---|---|---|
| 長時間ジョブの中断 | メンテナンスウィンドウとETL・ML学習ジョブが重なる | 実行時間の長いジョブはスケジュールを分離 |
| 古い設定のまま処理される | 設定変更直後に起動済みのcomputeが残る | 重要変更後は対象computeを再起動 |
| 利用部門への影響説明不足 | BI、SQL Warehouse、Notebook利用者が再起動を知らない | 変更カレンダーと通知テンプレートを整備 |
| Always restartの誤設定 | 更新がない場合も定期再起動される | 本番では必要性を判断してから有効化 |
設定変更はすぐにすべての環境へ反映されるとは限らず、公式情報では反映に最大6時間かかる場合があるとされています。変更当日や月末に利用状況・課金レポートを確認する場合は、古い設定での利用が一部表示される可能性も考慮してください。(Microsoft Learn)
Enhanced security monitoringではログを見る体制が必要
Enhanced security monitoringは、強化されたディスクイメージと追加の監視エージェントを提供します。対象は主にClassic compute planeのcomputeリソースで、Serverless SQL warehouseなどのServerless compute planeリソースには追加監視は適用されません。(Microsoft Learn)
監視エージェントには、ファイル整合性監視、ウイルス・マルウェア検知、脆弱性スキャンが含まれます。ファイル整合性監視とウイルス・マルウェア検知の出力はaudit logのsystem tableで確認でき、脆弱性スキャンのレポートはワークスペース管理者にメール通知されます。(Microsoft Learn)
ここで失敗しやすいのは、「監視が有効だから安全」と考えて、ログレビューの担当者やアラート運用を決めないことです。公式ドキュメントでは、ログの確認、トリアージ、必要に応じたサポートチケットの起票は利用者側の責任とされています。セキュリティチームは、最低でも次の運用を決めておきましょう。(Microsoft Learn)
| 決めること | 具体例 |
|---|---|
| ログ確認の頻度 | 平日毎日、週次、重大イベント発生時など |
| 一次対応者 | Databricks管理者、SOC、クラウド基盤チーム |
| エスカレーション基準 | マルウェア検知、ファイル改ざん、繰り返し発生する違反 |
| 証跡の保存先 | System tables、Azure診断ログ、SIEM |
| チケット化ルール | Databricks側の対応が必要な場合にサポートへ連携 |
Preview/Beta機能は「使える前提」で設計しない
Compliance security profileを有効にしたワークスペースでは、すべてのPreview/Beta機能が使えるわけではありません。公式ドキュメントでは、サポート対象として掲載されたPreview/Beta機能のみが利用可能で、それ以外はサポートされないと説明されています。(Microsoft Learn)
たとえば、Agent Mode in Genie Spaces、Auto Loader support for file events、Bring your own data lineage、Databricks SQL alerts、Unity Catalog ABAC、Unity Catalog access requests、User-defined functions in Unity Catalogなどは、掲載リストに含まれています。一方で、機能によっては「HIPAA only」や「Serverless only」の条件が付くため、単に機能名だけで判断しないでください。(Microsoft Learn)
Databricks Appsは一般提供されていますが、Compliance security profileを有効にしたワークスペースで使うには、ワークスペース管理者がPreviewsページで有効化する必要があります。アプリ開発チームは、本番リリース前に「管理者が有効化済みか」「対象ワークスペースの標準でサポートされるか」を確認する必要があります。(Microsoft Learn)
有効化・展開方法ごとの注意点
Compliance security profileは、Azureポータル、Azure CLI、PowerShell、ARMテンプレート、Terraformで構成できます。ただし、どの方法でも同じ標準を同じように設定できるわけではありません。(Microsoft Learn)
| 展開方法 | 向いている場面 | 注意点 |
|---|---|---|
| Azureポータル | 既存ワークスペースの確認、少数環境での手動設定 | リージョンで利用可能な標準だけが選択肢に表示される |
| Azure CLI | CI/CDや運用スクリプトでの作成 | --enable-compliance-security-profileと標準指定を明示 |
| PowerShell | Windows中心の管理基盤、Azure運用自動化 | EnhancedSecurityCompliance、ComplianceStandardなどの指定を確認 |
| ARMテンプレート | Azure標準のIaCに組み込みたい場合 | complianceSecurityProfile、complianceStandards、enhancedSecurityMonitoring、automaticClusterUpdateを整合させる |
| Terraform | 既存のTerraform管理に組み込みたい場合 | 公式情報では、Terraformで追加できる標準はHIPAA、PCI_DSS、NONEに限定される |
ARMテンプレートでは、Compliance security profileを有効にする場合、enhancedSecurityMonitoringとautomaticClusterUpdateも明示的にEnabledへ設定する必要があります。また、コンプライアンス標準を選ばずセキュリティ強化だけを目的に使う場合は、NONEを指定します。(Microsoft Learn)
Terraform運用で注意すべきなのは、公式ドキュメント上では、Terraformで追加できるコンプライアンス標準がHIPAA、PCI_DSS、NONEに限られる点です。HITRUST、IRAP、UK Cyber Essentials Plus、Canada Protected Bなどを使う設計では、Azureポータル、Azure CLI、PowerShell、ARMテンプレートとの併用を検討してください。(Microsoft Learn)
既存ワークスペースから移行する場合の進め方
既存のAzure DatabricksワークスペースにCompliance security profileを追加する場合は、単純な設定変更ではなく「準拠ワークスペースへの移行」として扱うほうが安全です。規制対象データを処理した後は、プロファイルや個別標準を削除できず、元に戻すにはワークスペース削除と再作成が必要になる場合があります。(Microsoft Learn)
移行前の棚卸し
まず、対象ワークスペースごとに次の情報を一覧化します。
| 棚卸し項目 | 確認内容 |
|---|---|
| データ種別 | PHI、カード会員データ、金融データ、政府・公共系データなど |
| 必要な標準 | PCI-DSS、HIPAA、ISMAP、IRAPなど |
| 利用リージョン | ClassicとServerlessのサポート表に合うか |
| 利用compute | クラスター、SQL warehouse、Serverless notebook、Workflow |
| VMインスタンスタイプ | Arm64や非対応インスタンスが含まれていないか |
| Preview/Beta機能 | 公式のサポート対象リストに含まれるか |
| ネットワーク制御 | ポート2443、VNet encryption、送信制限の有無 |
| 運用スケジュール | 自動クラスター更新のメンテナンス時間とジョブ実行時間 |
検証環境で確認する
本番ワークスペースへ直接適用する前に、同じリージョン・同じcompute構成・同じジョブ構成に近い検証環境を作ります。特に、長時間ジョブ、外部ライブラリ、init script、Serverless notebook、Databricks Apps、AI支援機能を使っている場合は、実際に起動・実行・ログ確認まで行ってください。
Serverless notebookでは、依存関係やbase environmentの扱いがClassic computeと異なります。Serverlessではcompute policiesやinit scriptsを使えないため、依存関係はEnvironment side panelなどで管理する必要があります。(Microsoft Learn)
本番反映後に確認する
有効化後は、Azure DatabricksのSecurity and complianceタブやワークスペースUIのシールドアイコンで、Compliance security profileが有効になっているか確認できます。シールドアイコンが表示されない場合は、Azure Databricksのアカウントチームへ連絡するよう案内されています。(Microsoft Learn)
開発者が注意すべき実装上のポイント
開発者にとって重要なのは、Compliance security profileがインフラ担当だけの設定ではないことです。ノートブック名、ジョブ名、タグ、GitリポジトリURL、ストレージアカウント名など、利用者が入力するフィールドに機密情報を入れないようにする必要があります。公式ドキュメントでは、これらの顧客定義フィールドがコンプライアンス境界外で保存・処理・アクセスされる可能性に注意するよう明記されています。(Microsoft Learn)
| やってはいけない例 | 改善例 |
|---|---|
pci-customer-card-data-job | regulated-etl-job-001 |
| 患者名や取引先名をNotebook名に入れる | 案件番号や内部IDを使う |
| Git URLに機密プロジェクト名を含める | 汎用的なリポジトリ名に変更 |
| タグに個人名や顧客名を入れる | 部門コード、環境名、コストセンターを使う |
| ジョブ実行名に障害内容や顧客情報を入れる | チケット番号や処理IDを使う |
また、Preview/Beta機能を使う開発チームは、Compliance security profile有効ワークスペースでサポートされる機能かを設計段階で確認しましょう。PoCで動いた機能が、本番の規制対象ワークスペースでは使えないというケースは、リリース直前の手戻りにつながります。
Account-level GenieとAI機能の影響
Compliance security profileを有効にしたワークスペースでは、Account-level Genieはそのワークスペースのデータを集約しません。組織全体でGenieを活用している場合、規制対象ワークスペースの情報がアカウントレベルの集約対象外になることを、利用部門やデータ活用チームに説明しておく必要があります。(Microsoft Learn)
さらに、Compliance security profileを有効にしたワークスペースでは、Partner-powered AI featuresが既定で無効になり、Genie Codeを含む一部のDatabricks AI assistive featuresも無効になります。ワークスペース管理者は必要に応じて有効化できますが、規制データを扱う環境では、AI機能の利用可否をセキュリティポリシーとして明文化しておくべきです。(Microsoft Learn)
よくある失敗と回避策
| 失敗パターン | 影響 | 回避策 |
|---|---|---|
| 規制対象データ処理後に標準を見直す | プロファイルや標準の削除が困難になる | 処理開始前に標準とリージョンを確定 |
| Serverlessのリージョン制限を見落とす | 本番でServerless computeが使えない | 標準ごとのServerless対応表を設計時に確認 |
| 自動クラスター更新を通知しない | ジョブ中断や利用者混乱につながる | メンテナンス時間を共有し、重要ジョブを分離 |
| ログを見る担当がいない | 監視エージェントの価値が下がる | SOCや管理者のレビュー手順を定義 |
| Terraformだけで全標準を構成しようとする | 必要な標準を設定できない場合がある | ポータル、CLI、PowerShell、ARMの併用を検討 |
| 機密情報を名前やタグに入れる | コンプライアンス境界外で扱われる可能性 | 命名規則とタグルールを整備 |
| Preview機能を本番前提にする | Compliance security profile有効環境で未サポートの可能性 | 公式リストに載る機能だけを使う |
管理者向けチェックリスト
本番適用前に、少なくとも次の項目を確認してください。
| チェック | 完了基準 |
|---|---|
| 対象データと標準を特定した | どのワークスペースにどの標準が必要か一覧化済み |
| リージョンとcompute planeを確認した | Classic/Serverlessそれぞれの対応可否を確認済み |
| Premiumとアドオンを確認した | 契約・課金・予算の確認が完了 |
| ネットワーク要件を確認した | ポート2443、VNet encryption、VM対応状況を確認済み |
| VMインスタンスを確認した | Arm64など非対応タイプを除外済み |
| 自動クラスター更新を計画した | メンテナンス時間と通知ルールを設定済み |
| 監視ログの運用を決めた | System tablesや診断ログの確認担当を決定済み |
| Preview/Beta機能を確認した | 公式サポートリストと照合済み |
| 命名規則を整備した | ワークスペース名、ジョブ名、タグに機密情報を入れないルールを設定 |
| 有効化後の確認方法を決めた | Security and complianceタブやシールドアイコンで確認 |
まず取るべき対応
Compliance security profileは、Azure Databricksのセキュリティを強化する便利な機能であると同時に、ワークスペース設計、リージョン選定、compute選択、監視運用、コストに影響する設定です。特に規制対象データを扱う場合は、ワークスペース作成後の追加設定ではなく、設計段階から組み込むべきです。
最初に行うべきことは、既存ワークスペースを棚卸しし、扱うデータと必要なコンプライアンス標準を対応付けることです。次に、Classic computeとServerless computeのどちらを使うか、対象リージョンが公式サポート表に合っているかを確認します。そのうえで、検証環境でCompliance security profile、自動クラスター更新、Enhanced security monitoring、Preview機能、Serverless環境をテストし、本番反映前に運用チームと開発チームのチェックリストをそろえてください。
コメント