データ損失防止（DLP）：リスクを減らすプログラムの作り方

Netwrix's 2024 Hybrid Security Trends Report では、従業員のミスや不注意が最も大きいデータセキュリティ課題として挙げられ、回答者の 51% がその点を指摘しました（前年は 43%）。人とそのアイデンティティが、ほとんどの露出（リスクの露呈）の中心にあります。その現実に対処することが、データ損失防止の中核的な役割です。

DLP（データ損失防止）は、エンドポイント、ネットワーク、クラウド環境全体において、機密データの無許可の共有、転送、または使用を検知して防止するためのセキュリティ戦略とツールセットです。混在勤務（ハイブリッドワーク）やSaaSの急増に加え、GDPR、HIPAA、PCI DSS のような拡大するコンプライアンス要件への対応を両立する中で、その必要性はますます高まっています。

多くの DLP プログラムは、内容とチャネルに比較的限定して焦点を当てます。つまり、どのデータがどこに移動するのか、という点です。ですが、持続可能な保護にはアイデンティティの文脈が必要です。誰が、何を、どのデータを使って、そしてどのアイデンティティ経由で実行しているのでしょうか？

コンテンツだけに基づく DLP から、アイデンティティを認識する DLP への転換が、単にアラートのノイズを増やすプログラムと、実際にリスクを低減するプログラムを分けるポイントです。

データ損失防止（DLP）とは？

DLP（データ損失防止）は、機密データを識別・監視・保護して、無許可のアクセス、データの外部流出（exfiltration）、または誤って公開されることを防ぐための一連のツール、ポリシー、プロセスです。

実際には、DLP はオンプレミスのインフラ、エンドポイント、クラウド サービス全体において、保存中・転送中・使用中のデータに対してルールを適用します。これは同時に次の3つの質問に答えます：

• 環境内にはどのような機密データが存在しますか？
• それに対して何が起きていますか？
• このようなことは許可されるべきですか？

適切に設計された DLP プログラムは、PII、PHI、決済カードデータ、知的財産、認証情報、業務にとって重要なファイルなど、機密性の高いデータの種類を保護します。

保護を超えて、DLP プログラムは侵害リスクや内部者による不正利用を低減し、 GDPR、HIPAA、PCI DSS、SOX のような各種フレームワークにわたる規制対応を支援し、顧客の信頼とブランドの評判を維持します。

DLP は全体としてどのように機能するのか

DLP は相互に連携する 3 つの機能によって動作します。

• データの発見と分類：リポジトリと通信をスキャンして機密情報を見つけ、ラベル付けすることが土台になります。まずデータを分類せずに DLP コントロールを導入するのは、よくある実装上の失敗です。「機密」に該当するものが何かを明確に把握できないと、ポリシーは効果を得るには許容しすぎになったり、使える範囲としては厳しすぎたりしてしまいます。
• ポリシーの強制：編集、コピー、アップロード、メール送信、印刷、共有といった操作を確認し、ポリシー違反に基づいてブロック、暗号化、またはアラートを行うことが、DLP が可視性を“行動”に変える部分です。
• 監視とレポート： 調査、コンプライアンスの証拠、そして継続的な改善のためにイベントをログに記録することが、プログラムを完成させます。内部で問題を検知し、迅速に対応できる組織は、問題を後になってから発見する組織と比べて、インシデントの影響を抑える傾向があります。

機能の3つすべては、機微データがどこに存在し、どのような状態にあるのかを明確に把握できないと成り立ちません。次の段階の難しさは、機微データが実際にどこに存在するのか、そしてその状態が必要となる制御（コントロール）にどのように影響するかを理解することです。

DLPが保護すべきデータの3つの状態

機微データは1か所に留まることも、1つのチャネルだけを通って移動することもありません。 効果的な DLP プログラムは、次の3つのライフサイクル状態すべてに対応します。つまり、データが現在使用中である状態、データがシステム間で移動している状態、そしてデータが保存領域にある状態です。

使用中のデータ

「Data in use（使用中のデータ）」とは、エンドポイント、アプリケーション、およびセッション上でデータが実際に参照または処理されている状態を指します。ここでは人々が機微情報に直接関わるため、意図しない露出が最もよく発生し始める場所でもあります。

Data in use（使用中のデータ）への制御には、コピー&ペーストの操作、印刷、スクリーンキャプチャ、ファイル転送、およびリスクの高いアプリケーション利用を監視するエンドポイント エージェントが含まれます。

これらのエージェントはユーザーまたはロールごとにポリシーを適用し、支払いデータを扱う財務アナリストと、キャンペーン用のファイルにアクセスするマーケティング担当者では異なるルールを適用します。

Data in motion

Data in motion（転送中のデータ）とは、メール、Web アップロード、API、SaaS 統合を通じて、社内ネットワーク、VPN、およびパブリックインターネットをまたいで移動しているデータのことです。

制御には、ネットワーク DLP、TLS 検査、コンテンツ検査、および送信メール、Web アップロード、クラウド転送を対象とするポリシーが含まれます。組織がより多くの SaaS ツールやクラウドネイティブのワークフローを採用するにつれて、ネットワーク境界でのカバーだけではもはや十分ではありません。

保存データ

保存データには、ファイルサーバー、データベース、エンドポイント、バックアップ、クラウドストレージに保存されているデータが含まれます。これはリポジトリに置かれたままのデータで、しばしば忘れられたり、共有されすぎたりします。

制御には、検出と分類のスキャン、暗号化、アクセス制御、およびポリシー違反に対する定期的なレビューが含まれます。クラウド DLP の機能は、データがますます多く格納される SaaS プラットフォームや IaaS ストレージにも、これらの制御を拡張します。

3 つすべての状態をカバーすることは必要ですが、カバー範囲だけでは戦略になりません。次のステップは、管理不能なノイズを発生させずに、3 つすべての状態にまたがってデータを保護するために必要な機能を特定することです。

効果的な DLP 戦略の主要な構成要素

運用面で機能する DLP 戦略は、4 つの柱に支えられます。機密データがどこに存在するかを把握し、ポリシーを Identity に結び付け、暗号化とマスキングを層として追加し、検知をレスポンスに接続します。

土台となるデータの発見と分類

見えないままのデータを保護することはできません。オンプレミスのファイル サーバー、エンドポイント、マルチクラウド環境全体での包括的な発見によって、ほかのすべての DLP コントロールが依存するインベントリ（台帳）が作成されます。

分類手法には、クレジットカード番号のような構造化データに対するパターンマッチング、非構造化データに対するコンテンツ分析、完全一致のデータマッチング、ラベル、およびビジネス上の文脈タグ付けが含まれます。

アイデンティティ中心のポリシーと最小権限

アイデンティティを考慮しない DLP ポリシーはノイズを生みます。バックアップ用サービスアカウントではまったく正常なファイル転送でも、それが請負業者から発生すると疑わしくなります。重要なのは文脈です。ユーザーの役割、部署、端末、場所、その場所での時間と曜日、そして特権レベルによって、その行為がリスクを表しているかどうかが左右されます。

DLP をアイデンティティおよびアクセス管理と統合すると、より精密な制御が可能になります。ロールベースのアクセス制御（Role-based access control, RBAC） がベースラインを提供し、一方で属性ベースのアクセス制御（ABAC）は、デバイスの状態、データの機密性、環境要因など、より豊かな文脈を評価します。その結果、誤検知（フォールスポジティブ）が減り、真のリスクをより正確に検出できます。

暗号化、トークン化、データマスキング

保存時と転送時の暗号化は、DLP のポリシー施行を補完します。ただし、データが開かれた（使用中）り、転送された（移動中）りすると、別の制御が必要になります。暗号化はコンテナを守り、DLP はその中身を守ります。

トークナイゼーション（置換）とデータマスキングは、運用システムにおける機微な項目の露出を減らし、非本番環境から実データを排除することで、暗号化をさらに拡張します。

監視、アラート、インシデント対応

リスクスコアリングと、ポリシー違反や異常に対するアラートを伴う継続的な監視は、DLP の運用基盤を形作ります。ただし、応答のない検知は高コストなロギングにすぎません。

ファイルの隔離、アクセスの取り消し、データフローの一時的なブロックなど、プレイブックと自動化された応答アクションによって、アラートは成果（アウトカム）へと変わります。SIEM および SOAR プラットフォームとの統合により、DLP イベントを他のセキュリティのテレメトリと相関させる自動化ワークフローが可能になり、より迅速で、より正確なインシデント対応を実現します。

これらのコンポーネントを定義したら、次はそれらを、業務を妨げることなく価値を提供できるデプロイ計画に沿って順序立てて組み込みます。

DLP の導入：段階的な戦略

DLP を一度にまとめて展開するとうまくいくことはほとんどありません。スコープ策定と分類から始め、最終的にフル施行へ段階的に進めることで、摩擦が減り、チームが実際の行動を踏まえてポリシーを調整するための時間も確保できます。

ステップ 1：スコープ、データの優先順位、および関係者を定義する

重要なデータ領域（顧客データ、財務記録、知的財産、資格情報）を特定し、影響の大きいシステムに優先順位を付けます。セキュリティ、IT、コンプライアンス、各事業部門のリーダー、およびデータ所有者の間で、責任の所在を明確にしてください。

経営層の後援がないと、DLP プログラムは資金と組織内の優先度をすぐに失ってしまいます。

ステップ 2：データの発見と分類を行う

ファイルサーバー、エンドポイント、データベース、クラウドリポジトリ全体でディスカバリースキャンを実行し、初期インベントリを作成します。さらに、機密度レベル（Public、Internal、Confidential、Restricted）、規制上の義務、ビジネス上の文脈に合わせてラベルとタグを適用してください。このステップは基盤となります。以降のすべてのポリシーは分類の正確性に依存するためです。

ステップ 3：アイデンティティ、コンテキスト、ユーザー体験を意識してポリシーを設計する

強制適用する前に、高リスク領域では監視のみのモードから開始し、挙動を把握しながらルールを改善します。アイデンティティグループ、チャネル、データタイプごとにポリシーを調整してノイズを減らし、正当な作業をブロックしないようにしましょう。

多くの組織は、機密性の高い、または規制対象となるデータを日常的に取り扱う財務部門、人事（HR）、またはコンプライアンス部門から始めます。

ステップ4：対策（コントロール）を段階的に展開する

特定の部門でパイロット導入を行ったうえで、追加のエンドポイント、チャネル、データの種類へ段階的に拡大します。セキュリティアナリストと業務ユーザーからのフィードバックループを活用して、ポリシーを調整してください。

段階的なロールアウトにより、組織全体での不満につながる前に例外ケースを早期に見つけることができます。

ステップ5：DLPをより広範なセキュリティ基盤（スタック）に統合する

調査と自動化のために、DLP を SIEM、SOAR、IAM、CASB、チケット管理システムと連携させます。IAM およびアイデンティティプロバイダーからのアイデンティティシグナルと、データ分類ラベルを組み合わせることで、より正確な DLP アクションにつながります。

この統合により、DLP は単独のツールから、継続的なガバナンスの構成要素へと引き上げられます。

導入により DLP を本番環境に投入できますが、運用を継続するには、ポリシーの調整、ユーザーからのフィードバック、そして変化し続けるリスクへの継続的な注意が必要です。

Netwrix が DLP とアイデンティティ中心のデータセキュリティを支える方法

アイデンティティのコンテキストなしで動作する DLP コントロールはノイズを生み、データの可視性なしで動作するアイデンティティコントロールは、本当に重要な点を見落とします。

ハイブリッド環境を運用しているミッドマーケット企業は、このギャップを最も強く実感しています。オンプレミスのファイルサーバー、Microsoft 365、クラウドストレージにまたがって機密データを管理しているものの、データセキュリティとアイデンティティセキュリティを別々のプログラムとして運用するための人員が不足しています。

Netwrixは、多くの組織が別々に管理している3つの機能をつなぐことで、この課題に対応します。

Netwrix 1Secure Platform は、態勢（posture）と可視性（visibility）のレイヤーを提供します。Microsoft 365 とハイブリッド環境をカバーする SaaS プラットフォームである 1Secure は、SharePoint Online と Windows ファイルサーバー全体で機密データを検出・分類し、過剰に共有された権限を可視化し、データ・アイデンティティ・インフラのリスクに対して 200+ 件のセキュリティチェックを実行します。

DLP ポリシーが疑わしい転送を検知した場合、1Secure は、それが誤検知（false positive）なのか本当の脅威なのかを判断するための文脈（context）を提供します。つまり、誰がアクセス権を持っているか、権限が過剰かどうか、そしてその行為がベースライン（baseline）から逸脱しているかどうかです。

Netwrix Endpoint Protector は、デバイス レベルで強制（enforcement）を行い、USB デバイス制御、コンテンツ認識型の保護、強制暗号化、ブラウザベースの転送監視によって、Windows、macOS、Linux 全体でエンドポイント DLP を提供します。

Netwrix Privilege Secure は privileged access governance により ID 側のリスクを封じます。常駐特権を排除して（常駐特権ゼロ）、just-in-time アクセスを採用することで、侵害された資格情報がデータの流出（exfiltration）へとエスカレートすることを防ぎます。

デモを予約する ハイブリッド環境全体で Netwrix がデータ セキュリティと ID セキュリティをどのように連携させるのかをご覧ください。