DLPとは

Data Loss Prevention (DLP)は、機密データが許可なく組織外へ流出することを検知し、防止するテクノロジーとポリシーの集合です。偶発的な場合でも悪意による場合でも、データの持ち出しを防ぐことが目的です。

DLPは、次の3つの状態にあるデータを保護します。

• 保存中のデータ：ディスク、データベース、ファイル共有に保存されているデータ。
• 転送中のデータ：ネットワーク、メール、Webを介して移動しているデータ。
• 使用中のデータ：エンドポイント上で使用中のデータ（クリップボード、画面、USB）。

データの紛失や漏えいは、意図せずに起きることがよくあります。

• 従業員がスプレッドシートを誤った宛先にメールで送信する。
• ファイルがパブリックなクラウドバケットに置かれる。
• 機密データがUSBドライブにコピーされる。

悪意のある内部関係者や、データを持ち出す外部攻撃者によるものもあります。

一般的に保護対象となるデータには、次のようなものがあります。

• 氏名、ID、住所などの個人データ（PII）。
• カード番号などの決済データ（PCI）。
• 医療記録（PHI）。
• 知的財産とソースコード。

DLPエンジンは、複数の手法で機密性の高いコンテンツを識別します。

• カード番号などの構造化データに対するパターンマッチング（正規表現）。
• キーワードと辞書。
• 既知のファイルに対するフィンガープリント／完全一致。
• ファイルに適用された分類ラベル。

統制はさまざまなレイヤーに配置されます。

• Endpoint DLP：ノートパソコン上のエージェントで、USB、クリップボード、印刷を制御します。
• Network DLP：メールとWebトラフィックを検査します。
• Cloud DLP / CASB：SaaSとクラウドストレージを監視します。

DLPポリシーは、検知と対応を結び付けます。一般的なアクションは次のとおりです。

• 監視／ログ記録のみを行います。
• ユーザーまたはセキュリティチームにアラートを送信します。
• 転送をブロックします。
• データを隔離または暗号化します。

すぐにブロックを有効にすると、誤検知やワークフローの中断が発生します。多くの導入では、まず監視（監査）モードで通常の動作を把握し、ルールを調整してから、確度の高いルールのブロックへ移行します。

範囲が広すぎるルールは無害な活動まで検知し、ユーザーを困らせます。調整は継続的に行います。

• パターンを細かく調整し、コンテキストを追加します（たとえば、一定数以上の場合に限定します）。
• 正当な既知のフローを許可リストに登録します。
• アラートを確認し、調整します。

DLPと暗号化は互いに補完し合います。暗号化はデータの機密性を保護し、DLPはデータの移動を制御します。ただし、ユーザーが強力な暗号化を行うとDLPから内容が見えなくなる可能性があるため、ポリシーで企業管理の暗号化チャネルを要求する場合があります。

DLPは強力ですが、万能ではありません。

• 復号できないコンテンツは検査できません。
• 画面を撮影されると回避されます。
• 誤って分類されたデータはすり抜ける可能性があります。

DLPは多層防御戦略の1つのレイヤーであり、アクセス制御や監視と組み合わせて使用します。

DLPが保護する3つのデータ状態を思い出してください。

DLPは、許可されていないデータの持ち出しを検知し、防止します。

• 保存中、転送中、使用中のデータを保護します。
• パターン、キーワード、フィンガープリント、ラベルによって検知します。
• エンドポイント、ネットワーク、クラウドの各レイヤーに導入します。
• 監視モードから始め、誤検知を調整してからブロックします。