サイバー攻撃の高度化やリモートワークの普及により、機密情報の不正共有や持ち出しが組織の重大なリスクとなっているといえるでしょう。DLP（Data Loss Prevention）は、データ流出を検知し防ぐサイバーセキュリティソリューションとして、企業のIT・セキュリティ担当者から注目を集めています。
この記事では、DLPの基本的な知識や情報漏洩を防ぐ仕組み、ほかのセキュリティ対策製品との違いなど解説します。
目次
DLPとは、データ流出を検知し防ぐサイバーセキュリティソリューション
DLPとは、データ流出を検知し防ぐサイバーセキュリティソリューションのことです。ユーザが機密情報や重要な情報を企業ネットワークの外部で共有することを防ぐためのセキュリティといえます。
DLPによる保護は、メッセージングアプリを通じて送信されるデータ、ネットワーク上を移動中のデータ、管理対象のエンドポイントデバイスで使用中のデータのほか、オンプレミスサーバ・クラウドアプリ・ストレージに保存されているデータなどのコンテンツ検査とコンテキスト分析を実行することで行われます。
DLPには、大きく分けて2つのカテゴリがあるため、特徴を押さえておきましょう。
＜DLPの主なカテゴリ＞
- エンタープライズDLP：オンプレミスサーバ向けの包括的なパッケージソフトウェアソリューションで、物理アプライアンスも仮想アプライアンスもあり、ネットワークやメールのトラフィックを監視してデータを検出
- 統合型DLP：既存のセキュリティソリューションの拡張機能であり、利用しやすいコンパクトな機能を提供
なぜDLPは重要なのか
DLPは、データ流出、金銭的損失、社会的信用の低下から組織を保護するために重要な役割を果たします。DLPは主に以下のような観点で企業価値の保護に役立ちます。
＜DLPが役立つ場面＞
- データ漏洩の防止：許可されていないデータ転送の試みを検知し、漏洩を阻止
- コンプライアンスの維持：GDPR、HIPAA、PCI DSSなどの規制要件への準拠を保証
- 知的財産の保護：独自の機密情報が悪意ある第三者の手に渡るのを防止
- 顧客などからの信頼の向上：個人データの保護を保証することで信頼を構築
DLPと従来の情報漏洩対策との違い
DLPと従来型の情報漏洩対策は、監視対象に違いがあります。
従来型の情報漏洩対策は、ユーザや端末の情報へのアクセスを中心に監視する方式が多く見られました。一方、DLPは機密データの所在と動きを起点にセキュリティポリシーを適用します。
DLPの方式であれば、全データではなく、漏洩防止が必要な重要情報に絞って監視・保護するため、運用の効率化が期待できます。また、誤送信や持ち出しといった内部要因と外部要因の双方に対応する設計もできるため、データそのものを守る観点でのセキュリティの強化が可能です。
DLPとほかのツールとの違い
DLPと同様に情報漏洩に役立つツールとして、IT資産管理やEDR（Endpoint Detection and Response）が挙げられます。それぞれに違いがあるため、併用して多層の情報漏洩対策を構成することが望ましいといえます。以下のような違いを理解した上で、自社の環境に合った組み合わせを検討しましょう。
IT資産管理ツールとの違い
DLPとIT資産管理ツールでは、主に目的に違いがあります。
DLPは機密データのコピー、送信、外部持ち出しの防止を目的としています。一方で、IT資産管理ツールの目的は、パソコン・スマートフォンなどのIT資産とユーザ行動のログを一元管理することです。このような目的の違いから、以下のように管理対象や特徴も異なります。
■DLPとIT資産管理ツールの比較
項目
DLP
IT資産管理ツール
目的
機密データの流出防止
IT資産・ユーザ行動ログの一元管理と運用の可視化
管理対象
機密データ
パソコン・スマートフォンなどの端末、ソフトウェア、ログ
特徴
データ流出リスクのリアルタイム検知と制限
資産台帳の作成、セキュリティパッチの適用状況の管理、デバイス制御
目的の違いに応じて機能も異なるため、役割分担して導入するのが適切です。
EDRの違い
DLPとEDRは、どちらもセキュリティレベルの向上を主目的としたツールですが、保護の対象・方法が異なります。
DLPは、機密データの流出防止に特化しており、データの送信・コピー・外部持ち出しをポリシーに沿って制御します。一方EDRは、端末上の不正プログラムや不審な振る舞いを検知・対処し、侵害の拡大を防ぐソリューションです。そのため、以下のような違いがあります。
■DLPとEDRの比較
項目
DLP
EDR
目的
機密データの流出防止
端末への侵害の検知・対処、被害の拡大防止
監視対象
機密データのコピー・送信・外部持ち出し
端末上の不正プログラム・不審な振る舞い
特徴
ポリシーによるデータ操作の制御
検知・調査・対応による端末の保護
データ漏洩の防止と端末の侵害への対策では役割が異なるため、併用が推奨されます。
DLPセキュリティの仕組み
DLPの目的は、データへの不正なアクセス・開示、持ち出しから機密情報を保護することです。そのために、以下のようなプロセスを実行します。
＜DLPがデータを保護するプロセス＞
- 識別と分類：事前に定義されたルールまたは機械学習アルゴリズムを使用して機密データを分類し、ターゲットを絞った保護対策によってコンプライアンスを確保
- データ監視：継続的な追跡により、エンドポイント、ネットワーク、クラウド、およびメールにわたるデータを監視することで、異常やポリシー違反をリアルタイムで検知
- ポリシーの適用：組織が策定したデータ取り扱いルールに沿って、クラウドへのアップロードを含む不正なアクションをブロック
- インシデント対応：データ流出リスクの発生時にセキュリティチームにアラートを通知した上で、重大度を評価して調査
■DLPによるデータ保護の流れ
DLPによるデータ判別の仕組み
DLPでは、あらかじめ定義したポリシーにもとづき、組織内データから保護対象の機密情報を自動識別します。その際には、以下のようにキーワード・正規表現やフィンガープリントといった判別手法が用いられます。
キーワード・正規表現による判別
DLPが保護対象を選定する際には、「機密」「社外秘」などのキーワードや、クレジットカード番号・メールアドレスなどのパターンの正規表現から、保護対象に該当するデータを検出する方法が用いられることがあります。この方法は、ルールが明確な情報に対しては有効ですが、キーワードが膨大な場合に登録・保守の負荷が増える点に注意しなければなりません。
フィンガープリント（指紋）による判別
DLPの保護対象の判別方法として、文書構造やキーワード構成などデータ固有の特徴（指紋）を登録し、一致したり類似していたりするファイルを機密情報として識別する方法もあります。この方法であれば、ファイル名の変更や一部改変があっても、保護すべきデータを検知することが可能です。キーワード登録の手間を補完するために併用されることがあります。
データのライフサイクルにおけるDLPの挙動
DLPは、データの保管・移動・利用の各段階で異なる保護策を適用しています。それぞれの段階での挙動を確認していきましょう。
■データのライフサイクルにおけるDLPの挙動
保管中
オンプレミスやクラウドストレージに保存されているデータについては、DLPはアクセス許可の設定や暗号化によってデータを保護します。ポリシーに沿って不正アクセスをブロックし、設定ミスによるリスクも低減します。
移動中
ネットワークを介してデータが送受信される移動中の段階では、DLPは通信を監視して傍受や不正転送を防ぎます。この段階では、ファイアウォールやIPSなどと連携して、多層的な防御を構成する方法が採用されるのが一般的です。
使用中
ユーザがアプリケーション上でデータを閲覧・編集・コピーしている段階でも、DLPは機能します。ポリシーに違反する操作を制限し、利用中の漏洩リスクを低減します。
DLPの主な機能
DLPは、保護対象のデータを判別する機能と組み合わせて、以下のような機能でデータを保護しています。さまざまな経路からの情報漏洩を防止することが可能です。
■DLPの主な機能
コンテンツの監視
コンテンツ監視は、サーバや共有フォルダなどに保存された機密情報の動きを継続的に追跡する機能です。不正な持ち出しやクラウドへのアップロードの兆候をリアルタイムで検知し、管理者へ警告を通知します。
デバイス制御
デバイス制御は、USBメモリ、外付けドライブ、モバイル端末など外部媒体へのデータ書き込みを管理する機能です。機密ファイルのコピーや持ち出しをポリシーにもとづいて許可・拒否し、物理媒体経由の情報漏洩を防ぎます。
印刷・コピー制限
印刷・コピー制限は、データそのものを直接移動させるようなケース以外の経路からの情報漏洩を防ぐための機能です。機密文書の印刷、クリップボードへのコピー、画面キャプチャなどを制限し、紙媒体や画像としての漏洩リスクを低減します。
Webセキュリティ
Webセキュリティは、ブラウザ経由のデータ流出を防ぐための機能です。危険なWebサイトへのアクセスや、クラウドストレージ・SNSへの機密ファイルのアップロードを検知・ブロックします。
メールセキュリティ
メールセキュリティは、メール送受信を経路とした漏洩を防ぐための機能です。送信メールに機密情報が含まれる場合は送信をブロックし、誤送信や意図しない添付による漏洩を未然に防ぎます。
DLPの種類
DLPソリューションにはさまざまな形式があり、それぞれ特定の環境でデータを保護するように設計されています。主な種類としては、ネットワークDLP、エンドポイントDLP、メールDLP、クラウドDLPの4種類が挙げられ、それぞれ以下のような特徴があります。これらのソリューションは、さまざまな脆弱性やデータ転送ポイントに対処することで、包括的なセキュリティを保証するのです。
■DLPの主な種類
ネットワークDLP
ネットワークDLPは、ネットワーク上に配置され、移動するデータを保護するソリューションです。ネットワークトラフィックを監視して不正なデータ転送を検知および阻止し、機密情報が組織の境界を出ないようにします。ネットワークDLPソリューションは、移動中のデータを分析し、疑わしいアクティビティをブロックまたはフラグ付けすることで、データ流出を防止できます。
エンドポイントDLP
ノートパソコン、デスクトップ、モバイルデバイスなどのエンドポイントデバイス上のデータは、各端末に導入したエンドポイントDLPによって保護されます。エンドポイントDLPは、エンドポイントで直接データのアクセスと使用を制御し、これらのデバイスからのデータ流出を防ぎます。これにより、ユーザはユーザデバイス上のデータの動きを監視し、ポリシーを適用して、許可なく機密情報がコピーまたは転送されるのを防ぐことが可能です。
エンドポイントDLPは、ユーザのアクティビティを監視し、データのアクセス、使用、転送方法を制御するポリシーを適用することで、エンドポイントデバイス上の機密データを保護します。USBドライブへのコピー、印刷、クラウドサービスへのアップロードなどのアクションを制限することで、情報の不正共有や持ち出しを防ぎ、特にリモートワークやハイブリッドワーク環境におけるデータ流出のリスクを低減します。
クラウドDLP
クラウドDLPは、クラウドアプリケーションやストレージサービス内の機密データの安全性を確保します。組織がクラウドサービスへの依存を深める中、これらのソリューションはクラウドプラットフォーム内のデータを監視・保護し、クラウドベースのインフラストラクチャにおけるデータ流出や不正アクセスを防ぐのに役立ちます。
メールDLP
メールDLPは、メール通信を通じて共有される機密データの保護に重点を置いたDLPです。送受信メールの添付ファイルやメッセージ本文などをスキャンし、不正なデータの漏洩を検知・防止します。ポリシーを適用し、暗号化やブロックのアクションを実行することで、人為的ミス、フィッシング、内部脅威によって引き起こされるデータ流出を防ぐのに役立ちます。
なぜDLPツールはデータ持ち出しの阻止に苦労するのか
エンタープライズDLPを活用するか統合型DLPを活用するかにかかわらず、単にエンドポイント、メール、またはWebゲートウェイにDLPを配置するだけでは、データの持ち出しを防ぐには不十分です。DLPツールは、「クレジットカード番号のスペルを変える」「数字をローマ数字に変える」「PII（個人情報）のスクリーンショットをアップロードする」など、機密情報をわずかに変更することで回避される可能性があります。
また、DLPツールは、製品の制限にもとづいて特定のアプリケーション、バージョン、ファイルタイプを要求することがあるため、保護が制限的になる可能性もあるでしょう。ほかにも、サポートされているバージョンのソフトウェアで脆弱性が発見された場合に、DLP環境が更新されるまでアップグレード・ダウングレードできないケースもあります。
これらの弱点は境界がなく、オンプレミスサーバからクラウド（または複数のクラウド）へデータが継続的に移動する最新のインフラストラクチャにおいては、問題がさらに複雑になります。
SASEによる考え方の転換
DLPだけで防げない脅威があることを前提として、企業が効果的なセキュリティ対策を構築するには、SASEの考え方が参考になります。
SASE（Secure Access Service Edge）は、データそのものを中心に、ネットワーク機能とセキュリティ機能を組み合わせてクラウドで統合するフレームワークです。
SASEは、すべてのデバイスとユーザが信頼されていないと仮定することで、ユーザとデバイスのネットワーク接続を保護・最適化するゼロトラスト戦略を採用しています。「決して信頼せず、常に検証する」という原則では、リソースへのアクセスを許可する前に、ネットワーク境界の内外を問わず、ユーザに対して認証と認可を要求します。
■SASEによる強力なデータ持ち出し対策のイメージ
データの脅威の種類
DLP対策を効果的に実施するには、データ流出の原因を理解することが不可欠です。データの脅威は、以下のようにさまざまなソースから発生します。これらの脅威を特定することはセキュリティ対策の強化に役立ちます。
フィッシング
フィッシングは、実在のサービスや企業など正当な相手を装ったサイバー犯罪者が詐欺メールを送信して行うサイバー攻撃の一種です。これらのメールには、ユーザの個人情報を盗むための詐欺的なリンクが含まれています。フィッシング攻撃は、攻撃に気づけないユーザに被害を発生させます。
ランサムウェア
ランサムウェアは、ローカルおよびネットワークストレージ上の重要なファイルを暗号化し、ファイルの復号と引き換えに身代金を要求する不正プログラムです。ハッカーは、恐喝を通じて金銭を稼ぐためにこの不正プログラムを開発します。
ランサムウェアは暗号化されるため、鍵を強制的に解除することはできず、情報の復旧手段はバックアップが基本となります。
不正プログラム
不正プログラムは、コンピュータシステムに侵入、損傷、または不正アクセスするように設計された悪意のあるソフトウェアです。サイバーセキュリティにおいて、不正プログラムは、機密情報を盗み出し、ユーザや組織に広範囲にわたる損害を与える可能性のある持続的な脅威です。
一般的なデータの脅威と流出元
データ流出の原因は、大きく以下の3類型に分けられます。DLP対策を設計する際は、自社で想定される流出元を整理し、それぞれに適した監視範囲とポリシーを組み合わせることが重要です。
外部の脅威
外部の脅威とは、ハッカー、サイバー犯罪者、国家支援型攻撃者などの悪意あるアクターによって生み出される脅威です。エンドポイントDLPのような効果的なDLPソリューションは、これらの脅威を検知し軽減するために重要です。
堅牢なDLPセキュリティ対策を実施することは、不正アクセスや潜在的なデータ流出からの保護に役立ちます。
内部の脅威
内部の脅威の管理は、それらが組織内部で発生するため通常困難です。存在する脅威には、意図的にデータを流出させたり盗んだりする悪意のある内部関係者や、意図せずデータ流出を引き起こしてしまう過失のある内部関係者が含まれます。
強力なDLPポリシーを実施し、エンドポイントDLPソリューションを使用することで、機密情報が意図的な内部脅威と偶発的な内部脅威の両方から保護されるようにし、内部のデータアクティビティを監視・制御できます。
サイバーセキュリティにおける過失
過失によるセキュリティポリシーの不遵守も、意図しないデータ流出につながります。弱いパスワードの使用、ソフトウェアの更新怠慢、不適切なデータ暗号化などは、過失によるセキュリティポリシーの不遵守の代表例です。
DLPソリューションは、セキュリティポリシーを適用し、ベストプラクティスを定期的に通知することで、過失に伴うリスクを軽減するのに役立ちます。トレーニングと意識向上プログラムも、不注意な行動を減らし、全体的なデータセキュリティを強化するために不可欠です。
DLP導入のメリット
DLPを導入すると、さまざまなメリットがあります。代表的なメリットとしては、以下のようなものが挙げられます。
人的ミスによる情報漏洩の防止
DLPのメリットは、人的ミスによる情報漏洩を防止できることです。メールの誤送信や不適切な共有も自動検知できるため、送信前にブロックして、内部要因による漏洩を未然に防ぎます。
リアルタイム検知による迅速な対応
リアルタイム検知による迅速な対応ができる点も、DLPのメリットといえます。異常なデータアクセスや操作を即時に検知してアラートとブロックで対応するため、インシデント対応時間の短縮と被害拡大の抑制につながります。
運用・管理負荷の軽減
運用・管理負荷の軽減も、DLPのメリットのひとつです。組織内の情報資産が膨大になるほど、手作業で保護対象を選別する負荷は増大します。DLPは重要データの自動識別により選別工数を減らし、セキュリティ担当者がポリシー設計やインシデント対応に注力しやすい運用を支援します。
DLP導入時の注意点
DLPを導入する際は、以下のような注意点もあります。事前に把握しておいて、導入する際の参考にしてください。
コストに応じた段階的な導入
DLPは、ライセンス料や導入支援、運用に継続的にコストがかかるため、負担が過大にならないように注意しましょう。DLPを導入する際は、一度に全データを対象とするのではなく、保護するデータの優先度を決めてから段階的に保護範囲を広げていくのが有効です。
デバイス・環境の要件
DLPを導入する際は、デバイス・環境の要件にも気を配りましょう。
エンドポイントエージェントはCPU・メモリを消費するため、対応OSと要求スペックを事前に確認することが重要です。業務端末への影響を評価し、試験的に導入して負荷を検証してから、本番展開することをおすすめします。
サポート・社内体制
DLPの導入では、サポート体制と社内体制を整備することも重要です。ポリシー設計や誤検知への対応手順を整備するのはもちろん、一次対応で判断できない事案を上位の担当者や専門チームへ報告して引き継ぐ手順も策定しなければなりません。
ベンダーによるサポートも確認しながら社内担当体制を整備し、運用の持続可能性を確保しましょう。
DLPの管理とTrendAI Vision One™
DLPの管理には、機密データが組織から持ち出されるのを単にブロックする以上のことが求められます。それには、環境のあらゆるレイヤーにわたってデータを特定、分類、保護するための、プロアクティブでインテリジェントなアプローチが必要です。
TrendAI Vision One™ は、データ持ち出しの最も一般的な2つの経路であるエンドポイントとメールのセキュリティを統合することで、DLPを簡素化および強化する統合プラットフォームを提供します。組み込みのデータ分類、ポリシー適用、ユーザの振る舞い分析により、データ流出が発生する前に検知・防止に役立ちます。
知的財産、顧客データ、規制対象情報のいずれを保護する場合でも、TrendAI Vision One™ は、単一のコンソールからエンドポイント、メールを含むさまざまな領域にわたる可視性と制御をチームに提供することが可能です。
TrendAI Vision One™ がどのようにDLPの確実な管理を支援できるか、詳細をご確認ください。
Michael Habibiは12年以上の経験を持つサイバーセキュリティ分野のリーダーであり、製品開発と戦略的イノベーションを専門としています。 トレンドマイクロのプロダクトマネジメント担当バイスプレジデントとして、急速に進化する脅威情勢に対応する、エンドポイント製品戦略の策定を推進しています。
よくあるご質問 (FAQ)
DLP導入前にデータ分類・棚卸しは必要ですか？
保護対象の整理がなければポリシーが過剰または過小になり、誤検知や運用負荷の増大を招きます。重要なデータから段階的に適用範囲を広げる進め方が有効です。
DLPだけで十分ですか？
DLPはデータ流出防止には有効ですが、ランサムウェアや端末への侵害といった攻撃にはEDRなどのソリューションが必要です。DLP・EDR・ファイアウォールなどで多層的な防御を構築しましょう。
エンドポイントDLPとクラウドDLPのどちらを選べばいいですか？
端末上の操作制御が必要ならエンドポイントDLPを選び、SaaS・クラウドストレージ中心ならクラウドDLPを優先しましょう。メール・クラウドといった自社のデータ送受信の経路に応じて、複数の種類を組み合わせるのも有効です。