Data Loss Prevention（DLP）ポリシーに不可欠なベストプラクティス10選

規模や業種にかかわらず、すべての組織には、データが不適切にアクセスされたり削除されたりするのを防ぐためのデータ損失防止（Data Loss Prevention：DLP）戦略が必要です。この戦略は、医療記録、財務データ、知的財産など、価値の高い機密データや規制対象データの保護に重点を置くべきです。DLP には通常、技術とポリシーの両方が関わります。たとえば、一般的な手法としては、USB デバイスの使用をブロックするようにユーザーのワークステーションを構成すること、そして電子メールで機密データを共有することに関する正式なポリシーを用意することなどがあります。

より包括的な保護のために、多くの組織はデータ損失防止（Data Loss Prevention）システムを導入しており、次のように役立ちます。

• 情報資産へのアクセス権限を制御する
• ワークステーション、サーバー、ネットワーク上での成功および失敗のアクティビティを監視し、誰がどのファイルを読み取っている／コピーしている／スクリーンショットを撮影しているかを含めます
• 組織の内外における情報の流れを監査します。ノートパソコンやその他のモバイルデバイスを使って遠隔地から行われるものも含まれます
• フラッシュドライブの使用やインスタントメッセージングアプリの利用など、情報転送チャネルの数を制御し、送信データストリームの傍受およびブロックを含めます

データ損失防止（DLP）ポリシーを作成する

データ損失防止（DLP）ポリシーを作成するには、必要な保護レベルを決定する必要があります。たとえば、不正なアクセス試行を検知することが目的ですか、それともすべてのユーザー操作を監視することが目的ですか？

基本パラメータ

ここでは、定義すべき基本的なパラメーターを示します：

• どの組織データを保護する必要があるか。 保護が必要な内容を正確に特定します。例としては、社会保障番号（SSN）、クレジットカード情報、営業秘密、設計図（ブループリント）、財務データ、個人を特定できる情報（PII）などがあります。組織が何らかのコンプライアンス・ポリシーの対象になっているかどうかを必ず確認してください。対象である場合は、ポリシー・テンプレートに記載されているすべてのデータを保護する必要があります。
• そのデータがどこに存在するか。 データを保護するには、共有ネットワークドライブ、データベース、クラウドストレージ、電子メール、インスタントメッセージングアプリ、ハードドライブなど、データが格納され得るすべての場所を特定する必要があります。従業員が自分の端末を使ってあなたの IT 環境にアクセスできる場合、その端末上のデータも同様に保護する必要があります。
• さまざまな種類のデータにアクセスするための条件。 データの種類によって、必要な保護レベルは異なります。たとえば、組織が一部のデータを一般公開して自由に共有する一方で、別のデータは最高機密であり、限られたごく少数の人だけが利用できるべきです。デジタルタグや透かしを使うことで、各データに適切なアクセス権を割り当てられます。
• 情報セキュリティ上の問題が発生した場合に取るべき行動 可疑な活動が検出されたときに実施する手順と、それぞれの担当者を明確にします。DLP ソリューションは、操作をブロックする、あるいはセキュリティサービスへ通知を送るといった形で、自動的に対応できる場合が多いことを覚えておいてください。
• 何の情報を、いつアーカイブするのか。 DLP ポリシーでは、監査ログ（監査証跡）や IT セキュリティインシデントに関する情報など、データのアーカイブに関するルールを詳しく定める必要があります。アーカイブシステムを external attackers and insider threats から守る必要があることを忘れないでください。たとえば、アーカイブ内の記録を改変する可能性のあるシステム管理者のようなケースです。
• 脅威 ポリシーでは、起こり得る情報漏えいのシナリオを考慮し、発生する可能性と、それによって起こり得る被害の大きさの両方を評価する必要があります。

データの状態

ポリシーを作成する際は、データがあらゆる形態で存在することを忘れないでください。:

• 保存データ（Data at rest） — データベース、クラウドリポジトリ、コンピューター、ノートパソコン、モバイルデバイスなどに保存されている情報
• 転送中のデータ — 当事者間で送信されているデータ（例：支払い取引の最中）
• 使用中のデータ — ユーザーが現在積極的に作業しており、場合によっては変更しているデータ

この知識を適用して、組織内のデータフローと、さまざまな種類のドキュメントに対して許可される送信経路を定義できるようにします。このデータの処理、変更、コピー、印刷、およびその他の用途に関する条件を指定するルールを作成してください。機密データにアクセスするアプリケーションやプログラム内で実行される業務プロセスも必ず含めてください。

法律および関連する懸念

DLP ポリシーがもたらし得る潜在的な法的影響を必ず評価してください。特に、従業員の行動をビデオで記録することは、憲法上の権利の侵害と見なされる可能性があります。また、DLP システムからの誤検知アラートによって、正当な行動が不審としてフラグ付けされた従業員との間で対立が生じることがあります。これらの懸念に対処する選択肢として、雇用契約の修正や、セキュリティポリシーについて従業員を教育することなどが考えられます。

DLP ソリューションの仕組み

紙の上で DLP ポリシーを作成したら、DLP システムで適切なポリシーを構成することに集中できます。通常、DLP システムには、プログラムが厳密に従う一連の特定ルールがあります。各ルールは、条件と、その条件が満たされたときに実行するアクションで構成されます。ルールは優先度によってランク付けされ、プログラムはその順序で処理します。中には、ルールを生成または改善するための機械学習技術を含むソリューションもあります。

たとえば、プロセスは次のように進む場合があります。

• ルールはインシデントを識別します（たとえば、ユーザーがインスタントメッセンジャー経由で機密情報を送ろうとする場合）。
• このソリューションは、メッセージの送信をブロックします。
• このソリューションは、関与したユーザーを含むインシデントの詳細を記載したレポートを生成し、DLPポリシーで指定されたとおり、指定したメールアドレス（例：ITセキュリティ担当者）に送信するか、特定の共有に保存します。

検出手法

DLPシステムの中核機能は、データストリーム内で機密情報を検出することです。システムによって用いる方法は異なり、例えば次のようなものがあります。

• 保護対象情報のデジタル・フィンガープリントを作成する
• 情報にタグを付与する
• 契約書や財務諸表など、さまざまな種類の機密文書にしばしば含まれる特定のキーワードや正規表現を探すこと
• テキスト分析を使用する

もちろん、正確性は極めて重要です。偽陰性（実際に機密性のある情報を見逃すこと）は、検知されないまま情報漏えいにつながる可能性があります。偽陽性（実際には機密ではないデータに対してアラートを出すこと）は、セキュリティチームのリソースを浪費し、不適切な行為をしたと誤って疑われたユーザーとの対立につながります。したがって、偽陰性と偽陽性の両方を最小限に抑える DLP ソリューションを探すべきです。

データ損失防止（DLP）のベストプラクティス

Data loss prevention (DLP) および監査（オーディティング）の手法を用いて、データの使用ポリシーを継続的に強制する必要があります。目的は、データが実際にどのように使用されているのか、どこへ送られている（または送られた）のか、そして GDPR のようなコンプライアンス・ポリシーの基準を満たしているかどうかを把握することです。疑わしいイベントが検知された場合、管理者が調査できるように、リアルタイム通知を管理者へ送信する必要があります。違反者は data security policy で定義された結果に直面すべきです。

次のデータ漏えい防止（DLP）のベストプラクティスにより、社内外の脅威から機密データを保護することができます：

1. 機密データを特定し、分類します。

データを効果的に保護するには、どのような種類のデータを保有しているのかを正確に把握する必要があります。データ発見（Data discovery）技術は、データリポジトリをスキャンして調査結果をレポートし、保護すべきコンテンツが何であるかを可視化します。データ発見エンジンは通常、検索に regular expressions を使用します。これらは非常に柔軟ですが、作成や微調整にはかなりの複雑さが伴います。

データ発見と データ分類 技術を活用すると、ユーザーのデータアクセスを制御でき、機密データを安全でない場所に保存することを避けられるため、 データ漏えい やデータ損失のリスクを低減できます。すべての重要または機密データは、その分類を示すデジタル署名で明確にラベル付けする必要があります。そうすれば、組織にとっての価値に応じてデータを保護できます。 Netwrix Data Classification のようなサードパーティー製品を使うと、データの発見と分類をより簡単かつ正確に行えます。

データが作成・変更・保存・送信されるたびに、分類は更新できます。ただし、ユーザーが分類レベルを偽装するのを防ぐための管理策を講じる必要があります。たとえば、データの分類を引き下げられるのは特権ユーザーに限定すべきです。

次の ガイドラインに従い しっかりした データ分類ポリシー を作成してください。そして、IT リスク評価 の一環としてデータ発見と分類を実施することも忘れないでください。

アクセス制御リスト

アクセス制御リスト（ACL）とは、誰がどのリソースに、どのレベルでアクセスできるかを示した一覧のことです。ACLは、OSやアプリケーションの内部の一部である場合もあります。たとえば、カスタムアプリケーションには、そのシステムでどのユーザーがどの権限を持つかを列挙したACLがあるかもしれません。

ACLはホワイトリストまたはブラックリストに基づいて設定できます。ホワイトリストは許可された項目の一覧です。たとえば、会社のコンピューターを使ってユーザーが訪問してよいWebサイトのリストや、会社のコンピューターにインストールすることが許可されているサードパーティのソフトウェア製品のリストなどが該当します。ブラックリストは禁止された項目の一覧で、たとえば従業員がアクセスすることを許可されていない特定のWebサイトや、クライアントコンピューターにインストールすることが禁じられているソフトウェアなどが含まれます。

ホワイトリストはより一般的に使われており、ファイルシステムのレベルで設定されます。たとえば Microsoft Windows では、NTFS の権限を設定 して、それらから NTFS のアクセス制御リストを作成できます。NTFS の権限を適切に設定する方法について、詳しくは NTFS permissions management best practices の一覧をご覧ください。アクセス制御は、ロールベースのアクセス制御（RBAC）を備えたすべてのアプリケーションに実装すべきです。例として、Active Directory のグループ や委任（デリゲーション）などがあります。

2. データの暗号化を使用します。

重要なビジネスデータは、保存中または転送中のいずれの状態でも暗号化する必要があります。ポータブルデバイスに重要なデータが保存される場合は、暗号化されたディスクソリューションを使用してください。

コンピューターやノートパソコンのハードドライブを暗号化すると、攻撃者がデバイスにアクセスできたとしても、重要な情報の喪失を防ぐのに役立ちます。Windows システム上でデータを暗号化する最も基本的な方法は、Encrypting File System (EFS) 技術です。 権限のあるユーザーが暗号化されたファイルを開くと、EFS がバックグラウンドでファイルを復号し、アプリケーションに暗号化されていないコピーを提供します。 権限のあるユーザーはファイルを表示または変更でき、EFS は暗号化データとして変更内容を透過的に保存します。 しかし、権限のないユーザーはデバイスに対する完全なアクセス権があってもファイルの内容を表示できず、「Access denied」エラーが表示されるため、data breach。

Microsoft のもう一つの暗号化技術は BitLocker です。BitLocker は、Windows デバイスに保存されたデータに対して追加の保護層を提供することで EFS を補完します。BitLocker は、紛失または盗難に遭ったエンドポイント デバイスをデータの盗難や露出から保護し、デバイスを廃棄（退役）するときには安全なデータ消去も提供します。

ハードウェアベースの暗号化

ソフトウェアベースの暗号化に加えて、ハードウェアベースの暗号化も適用できます。 一部の BIOS 構成メニューの高度な設定の中で、信頼されたプラットフォーム モジュール（trusted platform module、TPM）を有効化または無効化するかを選択できます。 TPM は、暗号化キー、パスワード、または証明書を保存できるチップです。 TPM はハッシュ キーの生成を支援でき、スマートフォンなど PC 以外のデバイスも保護できます。 また、BitLocker のようなフル ディスク暗号化で使用する値を生成できます。 TPM チップはマザーボードに搭載（取り付け）できます。

3. システムを強化してください。

機密データが一時的にでも保管され得る場所はすべて、当該システムが潜在的にアクセスし得る情報の種類に基づいて保護すべきです。これには、重要な権限を伴うリモート接続によって内部ネットワークへアクセスできる可能性のあるすべての外部システムが含まれます。ネットワークは、最も弱いリンクの強度にしかならないためです。ただし、利便性も考慮する必要があり、機能性とセキュリティの間で適切なバランスを決定しなければなりません。

OSベースライン設定

システムを保護するための最初のステップは、オペレーティング システムの設定を可能な限り安全にすることです。初期状態では、ほとんどのオペレーティング システムに、不要なサービスが含まれており、攻撃者にさらなる侵害の経路を与えてしまいます。有効化すべきなのは、従業員が仕事を行うために不可欠なプログラムとリスニング サービスのみです。業務上の目的がないものは無効化すべきです。典型的な従業員に使用する、安全なベースライン イメージの OS を作成しておくと有益な場合もあります。追加の機能が必要な人がいる場合は、サービスやプログラムをケースバイケースで有効化してください。Windows と Linux のオペレーティング システムは、それぞれ固有のベースライン構成を持ちます。

4. 厳格なパッチ管理戦略を実装してください。

IT 環境内のすべてのオペレーティング システムとアプリケーションが最新の状態に保たれていることを確認するのは、データ保護とサイバーセキュリティにとって不可欠です。ウイルス対策ツールのシグネチャ更新のように、一部の作業は自動化できますが、重要なインフラ向けのパッチは、機能が損なわれないこと、そしてシステムに新たな脆弱性が導入されないことを確認するために、徹底的にテストする必要があります。

5. ロールを割り当てます。

データ損失防止戦略に関わる各人の役割を明確に定義します。どのデータを誰が所有するのか、セキュリティインシデント調査のどの側面をどの IT セキュリティ担当者が担当するのか、などを指定してください。

6. 可能な限り自動化します。

DLP プロセスをより多く自動化するほど、組織全体にわたってより広い範囲で展開できるようになります。手動の DLP プロセスは本質的にスコープが限られており、最小規模の IT 環境を除くあらゆるニーズに対応するためにスケールすることはできません。

7. 異常検知を使用します。

異常なユーザーの行動を特定するために、いくつかの最新の DLP ソリューションでは、単純な統計分析や相関ルールに加えて、機械学習と行動分析を補完的に用います。各ユーザーおよびユーザーグループの「通常の行動」をモデル化することで、データ漏えいにつながり得る疑わしい活動をより正確に検出できます。

8. 関係者を教育する。

DLP ポリシーを導入するだけでは不十分です。関係者やデータの利用者に、ポリシー、その重要性、そして組織のデータを守るために必要な対応を理解してもらうための取り組みに投資してください。

9. 指標を設定する。

誤検知率（false positives の割合）、インシデント件数、インシデント対応までの平均時間（mean time to incident response）などの指標を使って、DLP 戦略の有効性を測定してください。

10. 不要なデータは保存しないでください。

組織は、不可欠な情報のみを保存すべきです。保有していないデータは、紛失することはありません。