DLP（データ損失防止）とは？

記事の概要：

• DLP（データ損失防止）とは、機密情報が不正に持ち出されたり破壊されたりするのを検知・防止するための仕組みやツール群を指します。
• DLPソリューションは様々な状態（移動中、使用中、および保存中）にあるデータを保護するため、SaaSアプリケーションのセキュリティ強化や規制コンプライアンスへの準拠に不可欠です。
• また、クラウド環境で機密データの可視化と制御を徹底するため、DLPは多くの場合CASB（クラウドアクセスセキュリティブローカー）と組み合わせて導入されます。

DLP（データ損失防止）とは？

データ損失防止（DLP）は、データの流出や破壊を検出して防止するための対策です。多くのDLPセキュリティソリューションは、ネットワークトラフィックや内部の「エンドポイント」デバイスを分析し、機密情報の流出や喪失を特定します。組織はDLPを使用して、事業に関わる機密情報と個人を特定できる情報（PII）を保護します。これにより、業界の規制およびデータプライバシー規制への準拠を維持することができます。

データ流出とは？

データ流出とは、データが企業の承認を得ないまま移動してしまうことです。これは、データエクストルージョンとも呼ばれます。DLPの主な目的は、データの流出を防ぐことです。

データの流出は、さまざまな方法で発生します。

• 電子メールやインスタントメッセージを介して機密データがネットワーク外に流出する可能性があります
• ユーザーは、許可されていない外付けハードディスクにデータをコピーすることができます
• 従業員が、企業の管理下にないパブリッククラウドにデータをアップロードする可能性があります
• 外部からの攻撃者により、不正アクセスやデータを窃取される可能性があります
• 従業員は、大規模言語モデル（LLM）のようなAIツールに機密データをアップロードすることが可能です。

データの流出を防ぐために、DLPはネットワーク内、従業員のデバイス上、および企業インフラストラクチャに保存されたデータの移動を追跡します。データが企業ネットワークから流出する恐れがある場合には、アラートを送信したり、データのアクセス権を変更したり、場合によってはデータをブロックしたりすることができます。DLPセキュリティソリューションの中には、 Webアプリケーションのコピー&ペーストをブロックして機密データが保護されていないアプリケーションにコピーされたり、許可なく移動されたりするのを阻止できるものもあります。

どのような脅威の阻止にデータ損失防止が役立つのか？

インサイダーの脅威：企業のシステムにアクセスできる人は、インサイダーとみなされます。これには、従業員、元従業員、請負業者、およびベンダーが含まれます。機密データにアクセス可能なインサイダーによって、データの流出、破壊、窃盗などが行われる可能性があります。DLPを使用することで、ネットワーク内の機密情報を追跡し、機密データの不正な転送、コピー、破壊を阻止することができます。

外部からの攻撃：フィッシングまたはマルウェアベースの攻撃の最終的な目的は、多くの場合データを流出させることです。また、外部からの攻撃はランサムウェア攻撃のように、内部データが暗号化されてアクセスできなくなることで、データの永久的な損失や破壊につながることもあります。DLPを使用することで、悪意のある攻撃者が内部データの取得や暗号化に成功するのを防ぐことができます。

偶発的なデータ漏洩：内部関係者が不注意でデータを流出させてしまうことはよくあります。例えば、従業員が意識せずに機密情報を含むメールを外部の人に転送してしまうことがあります。DLPセキュリティは、インサイダー攻撃を阻止するのと同様に、ネットワーク内の機密情報を追跡することで、このような偶発的なデータの流出を検出し、防止することができます。

AIデータの暴露：一般に公開されているAIアプリは、受け取った入力データをAI内のデータセットに追加し、さらなる自身のモデルの訓練に活用します。その結果、後にアプリによってデータが外部に漏らされたり、暴露される可能性があります。また、AIツールは組織が従うべきデータ規制に準拠していない可能性もあり、データがアップロードされると組織はコンプライアンスから外れてしまいます。

規制違反：組織が一般データ保護規則（GDPR）のようなデータ規制のフレームワークの対象となっている場合、データ漏洩は違反となり、罰金などの処罰が科される可能性があります。DLPはこのような違反のリスクを減らすのに役立ちます。

DLPが機密データを検出する仕組みは？

DLPソリューションは、機密データを検出するために多くの技術を使用することができます。これらの技術には以下のようなものがあります。

• データフィンガープリンティング：このプロセスは、人間の指紋が個々人を識別するように、特定のファイルを識別する一意のデジタル「フィンガープリント（指紋）」を作成します。ファイルのコピーは、すべて同じフィンガープリントを持ちます。DLPソフトウェアは、発信データをスキャンして、そのフィンガープリントが機密ファイルのそれと一致するかを確認します。
• キーワード照合：DLPソフトウェアは、ユーザーメッセージ内に特定の単語や語句がないか調べて、その単語や語句が含まれているメッセージをブロックします。会社が決算報告の前に四半期財務諸表を秘密にしておきたい場合、「四半期財務諸表」という語句または財務諸表に記載されている特定の語句を含む発信メールをブロックするようDLPシステムを設定することができます。
• パターンマッチング：この手法は、保護対象であるデータのカテゴリに適合する可能性から文字列を分類するものです。例えば、ある企業のデータベースから発信されたHTTPレスポンスに16桁の数字が含まれていたとします。DLPシステムは、この文字列が個人情報の保護対象であるクレジットカード番号である可能性が極めて高いと分類します。
• ファイル照合：ネットワーク内またはネットワーク外へ移動するファイルのハッシュと、保護対象であるファイルのハッシュを比較します。（ハッシュとは、ファイルを識別できる一意の文字列です。ハッシュは、与えられた入力が同じものである場合、毎回同じ値を出力するハッシュアルゴリズムによって作成されます）。
• 正確なデータ照合：これは、組織の管理下に置かれるべき特定の情報を含む正確なデータセットとデータを照合するものです。

重要データの損失防止のベストプラクティスとは？

データ損失防止は単なるテクノロジーソリューションではありません。組織におけるセキュリティ戦略全体が、データ損失回避を中心に展開されたものである必要があります。DLPソリューションの有効化に加え、損失防止のベストプラクティスには以下のようなものがあります：

• 社内ユーザーへのセキュリティ対策の教育
• すべての保存データの可視性の維持
• アクセス制御を使用して、データの閲覧者や変更者を制限する
• 転送中および保存ファイルを暗号化する
• Zero Trustアプローチを採用して、デバイスやユーザーをデフォルトで信頼しないようにする

Cloudflare Oneがデータ損失を防止する方法は？

Cloudflare One SASEプラットフォームは、DLPを含む統合セキュリティ機能を備えており、Web、SaaS、プライベートアプリケーション間で、転送中、使用中、および保存中のデータを保護します。Cloudflare Oneは、ファイルやHTTPSトラフィックに機微データが含まれていないか検査し、それに対する許可またはブロックポリシーを設定することができます。Cloudflare Oneにはリモートブラウザ分離（RBI）も含まれており、ダウンロードやアップロードの制限、キーボード入力の制限、印刷の制限など、更なるDLP機能を実装することができます。Cloudflare Oneの詳細はリンクからお読みいただけます。

よくある質問

データ損失防止（DLP）とは？

DLPとは、機密データの紛失、窃取、または不正なユーザーによる不適切なアクセスを防止するセキュリティツールとプロセスを指します。使用中、移動中、保存中の3つの状態に渡ってデータを監視し、保護します。

DLPソリューションはどのようにして機密データを識別するのですか？

DLPソリューションは、パターンマッチング、キーワードマッチング、データフィンガープリンティングなどのさまざまなコンテンツ検査方法を用いて、クレジットカード番号、社会保障番号、ヘルスケアデータなどの機密情報を認識します。また、高度なDLPシステムは、コンテキスト分析と機械学習を使用して、誤検出を減らしながら検出精度を向上させます。

DLPはどのようなビジネス上の課題に対応しますか？

DLPは、知的財産の窃取やコンプライアンス違反につながりかねない内部脅威やデータ流出リスクに対応します。GDPR、HIPAA、PCI DSSといった規制要件を満たすと同時に、偶発的なデータ漏洩と悪意によるデータ漏洩の両方から保護します。

クラウドDLPは従来のDLPとどう違うのですか？

クラウドDLPは、オンプレミスネットワークを超えて、SaaSアプリケーションやクラウドストレージに保存されたデータに保護を拡張します。Cloudflare Oneは、すべてのサービスの継続的な監視を提供し、従来のネットワーク境界がもはや存在しないハイブリッド環境全体の可視性を維持するのに役立ちます。

DLPを導入する際に組織が考慮すべきことは何ですか？

DLPを検討する組織は、どのデータを保護しようとしているか、実装の目的は何か、機密データにどの規制枠組み（GDPRなど）が適用されるかを特定することから始める必要があります。また、データ保護に対するより包括的なアプローチのために、CASBなどの既存のセキュリティインフラストラクチャとの統合も検討する必要があります。規制コンプライアンスおよびセキュリティリスクが、DLPベンダーが提供するサービスとどのように相互作用するかを考慮する必要があります。実装によっては、DLPサービスが機密データを閲覧し、処理する場合があります。ベンダーがコンプライアンスとセキュリティを維持するために十分な予防措置を講じなければ、皮肉なことに、そのデータをリスクにさらしたり、組織がコンプライアンスから外れたりする可能性があります。最後に、DLPの導入は段階的に進め、通常の業務プロセスを妨げないようにすることが重要です。