データの情報漏洩対策「DLP(Data Loss Prevention)製品」とは？

更新日 : 2024年11月29日

データ保護された環境を操作する男性

DLPとは

DLP（Data Loss Prevention）とは、重要なデータのみに着目し、情報の漏洩・紛失を防ぐソリューションです。「人」ではなく、あくまでも「データ」の動きを観察するのが特徴。DLPはこのような企業の機密情報・特定した重要なデータのみを常に監視し、コピーなどによって外部へ持ち出そうとすると自動的にアラームや操作キャンセルを行い、漏洩を防止します。

お客様やお取引先・株主様などからお預かりした「個人情報」、技術的なノウハウや製品の設計に関する情報といった「知的財産」、また営業上知り得たお客様に関する情報や入札・お取引に関する「営業秘密」、そして自社の財務や人事に関する「経営情報」など、他者に知られては困る・持ち出されては困る情報を守る役目を果たします。

DLPが注目されている理由

近年ではサイバー犯罪が増加の一途をたどっており、インターネットを経由したウイルスや不正アクセスによる情報漏洩事故も多く発生しています。「外部要因での漏洩」の場合は一度に大量の情報が流出することもあるため、漏洩が発生すると被害が大きくなってしまうという特徴もあります。

しかしその一方でIPA（独立行政法人情報処理推進機構）によると、情報漏洩の原因の4割強は従業員のミス、2割強は中途退職した正社員による持ち出しという「内部要因での漏洩」という調査結果もあり、サイバー攻撃だけでなく内部による情報漏洩対策が必須です。そこで、企業の機密情報そのものを監視し、情報漏洩を未然に防ぐことができるDLPが注目を集めています。

DLPについては、DLPの機能やメリット、IT資産管理ツールとの違いについてやさしく動画にて解説しています。合わせてご覧ください。

DLPの仕組み

DLPは膨大な情報の中からキーワードや正規表現、フィンガープリントをもとに重要な情報を判別します。

キーワードや正規表現で判別

あらかじめ設定したポリシーに基づき、サーバー上のファイル、データベース上のデータ、ネットワーク上のデータなどをスキャンし、その中でキーワードや正規表現にマッチするデータを判別する仕組みです。正規ユーザーであっても、重要データを外部へ送信しようとしたり、USBメモリにコピーして持ち出そうとすると、アラートを出したり、自動的にその操作をキャンセルさせることができます。電話番号や住所、クレジットカード情報など、特定のキーワードで大きな効果を発揮します。ただし、膨大なキーワードの登録が必要となる場合は手間や時間がかかるのがデメリットです。

フィンガープリントによる判別

フィンガープリントとは「文書の指紋」のことで、キーワードや正規表現の欠点をカバーする仕組みを持っています。フィンガープリントは、キーワード構成や文書構造などの特徴が一致していれば、データの類似性から機密情報として判定し制御します。そのため、データの中身が改ざんされても重要か否かの判別が可能です。また、類似ファイルやそのファイルを含むフォルダも機密情報とされ、膨大なデータでも作業効率低下の心配もなく管理することができます。

従来の情報漏洩対策（IT資産管理）との違い

DLPとIT資産管理は、どちらも企業のセキュリティ対策として有効ですが、この二つには監視対象と監視範囲の違いがあります。

監視対象の違い

IT資産管理はその名の通り、「IT資産」という広範囲に及ぶ情報を対象とします。ハードウェアやソフトウェア、すべてのIT資産の情報を収集し一元的に管理・監視します。

一方で、DLPの場合は外部に漏れてはいけない「機密情報」と「特定のデータのみ」が対象です。そのため機密ではないデータの利用を制限することがなく、生産効率への影響は少ないといえます。

監視範囲の違い

従来の情報漏洩対策は、IDとパスワードによるアクセスの制限です。しかし、これは性善説をベースにした対策で、正しいIDとパスワードで利用する正規ユーザーによる不正なアクセスや操作ミスを制限することはできません。また、機密情報だけでなくサーバー上のすべてのデータを監視しているため、作業効率の低下といった課題がありました。

IT資産管理ツールでは操作ログの管理やデバイスの制御など「人」の操作を監視し、人為的なミスやライセンス違反、不正利用など一定のルールのもとで違反がないかを管理します。

一方でDLPは、データのみに着目した情報漏洩対策で、機密情報と特定した情報のみを常に監視します。機密データだけを監視対象とするために、作業効率低下の心配がないうえ、運用ルールを潜り抜けてデータにアクセスしようとする内部犯や外部からのサイバー攻撃をブロックすることができます。

侵入者の行動・手段をすべて検知しているため、アラートも多くなり、運用の負荷が大

侵入者の行動ではなく、本当に重要な金品（機密データ）が持ち出されそうになった時だけ、アラートを送信する

DLP製品とIT資産管理ツールの違いとは？

DLP製品とIT資産管理ツールの違いについてはこちらの記事で詳しく解説していますので、是非合わせてご覧ください。

コラムを読む≫

DLPの機能

DLPにはどのような機能があるのかをご紹介します。

デバイスの制御

企業は、さまざまな脅威からすべてのデバイスを保護する必要があります。デバイス制御機能は、社内で利用しているデバイスを一元管理する機能です。パソコン内のアプリやソフトウェアを監視し、異常を検知した場合には警告アラームを出したり操作を制御したりします。

コンテンツの監視

コンテンツの監視機能は、機密情報や重要データをリアルタイムで監視できる機能です。データを不正に持ち出そうとすると、自動的に警告アラームや操作制御を行い、情報漏洩を防止します。そのため、外部からの脅威はもちろん内部による不正アップロードもブロックできます。

コピー・印刷などの制御

コピー・印刷などの制御機能は、従業員による印刷やコピー、画面キャプチャなどの行動を制御できる機能です。従業員がコピーしたデータを外部に持ち出されると、機密情報の内容が漏洩したり、外出先で紛失したりするという事態が起こりかねません。コピー・印刷などの制御機能によってこのようなリスクを未然に防ぐことができます。

Webサイトへのセキュリティ機能

Webサイト上には、ウイルス感染や情報漏洩につながる恐れのある危険なサイトや不適切なコンテンツがあります。DLPのセキュリティ機能は、危険性の高いサイトへのアクセスを制限できる機能です。部署や業務内容に合わせて個々にアクセス権限を付与することで業務に支障が出ることなく、さまざまなリスクを回避することが可能です。

メールセキュリティ機能

メールは、取引先とのやりとりや従業員間の連絡などビジネス上欠かせないツールですが、情報漏洩やウイルス感染のリスクもあります。このようなリスクを回避できるのがDLPのメールセキュリティ機能です。例えば、機密情報がメールに含まれる場合にキーワードやフィンガープリントによって危険を検知し、自動的に操作がキャンセルされます。情報漏洩につながると判断された場合にだけ制限がかかるため、通常の業務に支障は出ません。また、ウイルス感染のリスクがあるURL・ファイルが添付されたメールをブロックする機能がついているものもあるため、内部・外部による脅威への対策に有効です。

DLP製品を導入するメリット

DLP製品を導入することで、さまざまなメリットが見込めます。

特定の重要機密のみを監視できる

企業にとって重要機密が流出してしまうと、社会的信用の損失につながります。DLPは特定の機密情報・重要データのみを対象としています。類似ファイルやデータも機密情報として判別されるため、特定の重要機密を漏れなく監視し、効率的なセキュリティ強化が可能です。

人為的な情報漏洩を防げる

企業においては、悪意がなくても従業員の誤操作や不注意によって情報漏洩につながる可能性がゼロではありません。DLPはデータ自体を監視対象としているので、データのコピーや機密情報が外部へ送信される場合に、自動アラートが出て阻止される機能があります。そのため、ヒューマンエラーを未然に防止することが可能です。

リアルタイムで検知できる

企業にとって重要なのは、情報漏洩を「未然に防ぐ」ことです。これまでの情報漏洩対策は操作ログを記録して不正が起きた後に検知するものであったため、その後の対処が遅くなってしまいます。しかしDLPは24時間常時データを監視しており、リアルタイムで行われるため、何か異常があればその場ですぐに検知して迅速な対処が可能です。

コストを削減できる

企業が取り扱う情報は機密情報のほかにも、膨大な量のデータがあります。これらすべてを監視するのは費用や作業負担を考えても難しく、管理運用が煩雑になりやすいでしょう。情報漏洩対策を実施する際は、生産性を維持しつつセキュリティ体制を整えることが大切です。DLPは、機密情報や重要データのみに絞って監視するため、コストを抑えて効率的にセキュリティを強化できます。

世界最高水準のDLP「Digital Guardian」を利用した「データプロテクションサービス」

Fortra社（旧HelpSystems）の次世代データプロテクションプラットフォーム「Digital Guardian」は、米国政府機関や大企業で数十万台規模での採用事例も多数あるDLP製品です。「Digital Guardian」は、内部・外部双方の要因による重要データの漏洩に繋がるコンピュータ上の動きを監視しブロックします。

また、弊社運用センターＳＭＡＣがご提供する「データプロテクションサービス」をご利用いただくことで、お客様は管理サーバー等の高価なインフラの用意が不要、細かなアラートに翻弄されない、日常のルールメンテナンスもおまかせ。初期導入コストや運用負荷を抑えながらも、内部・外部双方の情報漏洩の脅威に備えることが出来ます。