DLPとは何ですか？

データ漏洩防止（DLP）とは、個人情報、財務記録、知的財産などの機密データの不正な転送、漏洩、または破壊を検知・防止するための一連のセキュリティツールおよびプロセスのことです。DLPシステムは、転送中、使用中、保存中のデータを検査し、一致したデータに対してアラートの表示、ブロック、隔離などの措置を講じることで、ポリシーを適用します。

主なポイント

• DLPは、機密データの不正な転送を検知し、ブロックします。
• ポリシーは、データパターン、ブール論理、および強制措置を組み合わせたものです。
• 対象範囲は、転送中のデータ、保存中のデータ、およびクラウドアプリ内のデータに及びます。
• その対応は、静かな警告から、徹底的な遮断や拒否に至るまで多岐にわたる。
• 暗号化されたSaaSトラフィックを検査するには、まずTLSの復号化を行う必要があります。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ DLP およびVersa · よくある質問

DLPはなぜ重要なのでしょうか？

機密データは現在、電子メールの添付ファイル、DropboxやSharePointへのSaaSアップロード、Slackのメッセージ、USBメモリ、設定ミスのあるクラウドバケットなど、日常的な数十もの経路を通じて組織の外へ流出しています。こうしたデータ転送のほとんどは悪意によるものではありません。従業員が誤ってファイルを添付したり、在宅勤務のために顧客リストを個人アカウントにコピーしたりすることが原因です。 意図的なデータ流出は、その一部に過ぎません。DLPが重要なのは、侵害がすでに発生した後ではなく、データが組織の管理下を離れる前の転送時点で、これら両方のケースを検知できるからです。

規制上の圧力により、その重要性はさらに高まっています。GDPR、HIPAA、PCI DSS などの規制枠組みでは、組織に対し、個人を特定できる情報、医療記録、および決済カードデータについて、単にアクセス制御を行うだけでなく、積極的に保護されていることを実証することが求められています。DLP は、コンプライアンス担当チームに、強制力があり監査可能な管理手段を提供します。すべての一致、アラート、およびブロックがログに記録されるため、規制当局や監査人が求める証拠を提示することが可能になります。 業務がネットワーク外へ移行し、データがクラウドへ移動する中、DLPは固定されたネットワーク境界ではなく、データそのものを追跡する数少ない制御手段の一つです。

DLPとは何ですか？

DLPは、コンテンツを分類し、機密データが許可された範囲外へ流出しようとする時点でポリシーを適用することで機能します。分類手法には、クレジットカード番号や国民IDの形式などを認識する正規表現やキーワード辞書を用いた単純なパターンマッチングから、既知のデータセットとの完全なデータ照合、登録済みのテンプレートとの文書フィンガープリント照合、画像に埋め込まれたテキストの光学文字認識（OCR）といった、より精度の高い手法まで多岐にわたります。

検知だけでは、強制措置の実施ポイントなしには何の意味もありません。DLPシステムは、Webゲートウェイやメールゲートウェイ、クラウドアクセスブローカー、エンドポイントエージェントといったポイントにインラインで配置され、そこでトラフィックやファイル（アップロード、ダウンロード、添付ファイル、クリップボードへの貼り付けなど）を関連するコンテキストに基づいて検査し、ポリシーで定義されたアクション（許可、アラートの記録、転送の完全なブロック、セッションの終了）を実行します。 暗号化されたトラフィックは設計上、ペイロードが隠されているため、WebおよびSaaSトラフィック向けのDLPでは、通常、検査に必要なコンテンツを確認するためにTLS復号に依存しています。

DLPの種類

DLPは、通常、適用が行われる場所によって分類されます。ネットワークDLPは、ネットワークやクラウドの出口ポイント（Webゲートウェイ、電子メール、SASE ／SSEの検査ポイントなど）で転送中のデータを検査するもので、1つの適用レイヤーから多くのユーザーやアプリケーションをカバーできるため、最も一般的な導入形態となっています。エンドポイントDLPは、ノートPCやデスクトップPC上でエージェントとして動作し、USBへのコピー、クリップボード操作、印刷など、ネットワーク層の制御では把握できないローカルな動作を制御します。また、デバイスが社内ネットワークから切断されている場合でも機能し続けます。クラウドDLPは、クラウドアクセスセキュリティブローカー（CASB）と連携し、転送中のデータだけでなく、SaaSアプリケーションやクラウドストレージ内の保存データ（データ・アット・レスト）も検査します。ディスカバリー（保存データ）型DLPは、ファイル共有、データベース、リポジトリをスキャンして、機密データがすでにどこに存在しているかを特定します。これは、効果的な転送ポリシーを作成する前の最初のステップとなることがよくあります。成熟した導入事例の多くは、1つの方法に依存するのではなく、これらのいくつかを組み合わせています。

DLP &Versa

Versa VersaONE のコアとなるSecurity Service Edgeサービスの一つとしてDLPを提供しており、Concertoの「Security Service Edge」＞「Real-Time Protection」で設定されます。設定モデルはモジュール式かつ階層構造となっています。データパターンでは、クレジットカード番号やID番号などの値に対して、正規表現やキーワードを用いたきめ細かな検出を定義します。データ保護プロファイルでは、複数のパターンをブール演算子や近接演算子（AND、OR、NOT、NEAR）と組み合わせて、より正確な条件を表現します。DLPルールは、1つ以上のプロファイルを利用し、特定のファイルタイプ、アクティビティ（アップロード／ダウンロード）、およびコンテキスト（ヘッダー、本文、添付ファイル）の範囲内で、コンテンツ分析、ファイルDLP、完全データ一致（EDM）、ドキュメントフィンガープリント、またはOCRといった検査方法を選択します。また、DLPプロファイルは複数のルールを集約し、特定のアプリケーションやユーザーグループに適用します。 その後、DLPプロファイルは、「 」のインターネット保護ルールまたはプライベートアプリケーション保護ルールに紐付けられ、「許可」、「警告」、「ブロック」、または「拒否」のアクションが設定されます。SASE

Gmail、Slack、SharePoint などの SaaS アプリへの DLP 関連トラフィックのほとんどは暗号化されているため、コンテンツ検査を行うには、対象アプリケーション向けの TLS 復号ルールが必須となります。Versa には、Source_Code、US_Financial、PII_US の検出機能をまとめた「GenAI_DLP」プロファイルを含む組み込みの DLP ルールも搭載されており、すべての DLP イベントは確認のためにVersa Analytics に記録されます。 具体的なユースケースについては『DLP 構成ガイド』を、完全な構成リファレンスについては『Concerto でのデータ損失防止（DLP）の構成』を参照してください。

よくある質問

DLPとファイアウォールの違いは何ですか？

ファイアウォール（またはNGFW）は、識別情報、ポート、アプリケーションシグネチャに基づいて、どの接続やアプリケーションを許可するかを制御します。DLPは、許可されたトラフィックの実際のコンテンツを検査し、機密データのパターンを検出します。これらは互いに補完し合う関係にあります。つまり、ファイアウォールがどのトラフィックを許可するかを決定し、DLPはそのトラフィック内のどのコンテンツが外部へ送信されてよいかを決定するのです。

DLPにおける「Exact Data Match（EDM）」とは何ですか？

EDMは、一般的なパターンではなく、ハッシュ化された構造化データセット（顧客データベースなど）と送信コンテンツを照合します。特定のレコード（単なる類似値ではなく、実際の顧客ID）と一致させるため、正規表現のみを用いた検出と比較して、誤検知を大幅に低減します。

DLPにおける「ドキュメントフィンガープリンティング」とは何ですか？

ドキュメントフィンガープリンティングでは、機密性の高いフォームやテンプレートを登録し、それらが転送中のファイルとどの程度類似しているかをスコア化します。送信されるファイルの内容が、設定された閾値を超えてテンプレートと一致する場合、ルールが作動します。これは、毎回正確な文言が異なる構造化されたフォームを保護するのに役立ちます。

DLPではTLSの復号が必要ですか？

WebおよびSaaSのトラフィックに関しては、その通りです。DLPはペイロードの内容を検査しますが、暗号化された接続では、そのペイロードが設計上隠されてしまいます。DLPルールがアップロードデータ、添付ファイル、またはメッセージ本文の内容を確認するには、関連するアプリケーションに対するTLS復号ルールが事前に設定されている必要があります。

ネットワーク型DLPとエンドポイント型DLPの違いは何ですか？

ネットワーク型DLPは、ゲートウェイやクラウド上の検査ポイントで転送中のデータを検査し、単一の適用レイヤーから多数のユーザーをカバーしますが、対象となるのはネットワークを経由するトラフィックのみです。一方、エンドポイント型DLPはデバイス上で動作するため、デバイスがオフラインの状態であっても、USBによる転送などのローカルな操作も検知できます。

DLPに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

DLPについてお読みになっているなら、次はこれらもぜひチェックしてみてください。