データ損失防止 (DLP) とは?
機密データの高リスクまたは不適切な共有、転送、使用を、オンプレミスとすべてのアプリおよびデバイスにわたって特定および防止する方法をご紹介します。
データ損失防止の定義
データ損失防止とは、機密データの安全ではない、または不適切な共有、転送、使用の特定と防止のためのセキュリティ ソリューションです。組織でこれを利用すると、機密情報の監視と保護をオンプレミス システム、クラウドベースの場所、およびエンドポイント デバイスのすべてにわたって行うことができます。また、米国の医療保険の携行性と責任に関する法律 (HIPAA) や EU の一般データ保護規則 (GDPR) などの規制へのコンプライアンスを達成するのにも役立ちます。
セキュリティ データに関しては、情報保護とガバナンスのベスト プラクティスに従って重要な情報保護コントロール (たとえば暗号化) を機密データに対して実施すると同時に、そのライフサイクル (組織がそのデータをどれだけ長く保持するか) を情報ガバナンスによって決定します。両者を組み合わせることで、組織がデータを理解し、保護し、ガバナンスを実施することができます。
データを知る。保有するデータの状況を理解して、重要な情報をハイブリッド環境全体で特定および分類します。
データを保護する。暗号化、アクセス制限、視覚的なマーキングなどの保護アクションを適用します。
データ損失を防止する。組織内の人々が機密情報を偶発的に過剰共有することがないよう手助けします。
データのガバナンスを実施する。コンプライアンスが維持される方法でデータとレコードの保持、削除、保存を行います。
DLP のしくみ
データ損失防止とは人、プロセス、テクノロジの組み合わせであり、これらが一体となって機密データの漏洩を検出および防止します。DLP ソリューションでは、ウイルス対策ソフトウェア、AI、機械学習などが使用され、コンテンツを組織の DLP ポリシーと比較することによって疑わしいアクティビティを検出します。組織がどのようにデータを権限のないユーザーに露出させることなくラベル付けし、共有し、保護するかを、このポリシーで定義します。
データ脅威の種類
データ脅威とは、組織のデータの整合性、機密性、または可用性に影響する可能性のあるアクションのことであり、データ漏洩とは組織の機密データを信頼性の低い環境に露出させることです。
-
サイバー攻撃
サイバー攻撃とは、計画的に、悪意を持ってコンピューター システム (企業および個人) への無許可でのアクセス獲得を試行し、データを盗む、改変する、または破壊しようとすることです。サイバー攻撃の例としては、分散型サービス拒否 (DDoS) 攻撃、スパイウェア、ランサムウェアがあります。クラウド セキュリティ、ID およびアクセス管理、リスク管理は、ネットワークを保護する方法の代表的なものです。 -
マルウェア
マルウェアとはワーム、ウイルス、スパイウェアなどの悪意のあるソフトウェア (malicious software) のことであり、その多くは、信頼できるメール添付ファイルまたはプログラム (たとえば、暗号化されたドキュメントまたはファイル フォルダー) を偽装します。これを開いてしまうと、権限のないユーザーによる環境への侵入を許してしまい、そのユーザーが IT ネットワーク全体を混乱に陥れる可能性があります。
-
インサイダー リスク
インサイダーとは、組織のデータ、コンピューター システム、セキュリティ実践方法についての情報を持っている人々であり、たとえば従業員、ベンダー、請負業者、パートナーなどです。認可されたアクセス権を悪用して組織に悪影響を与えることは、インサイダー リスクの一例です。
-
意図しない露出
意図しない露出は、従業員が気づかずに権限のないユーザーまたはウイルスにアクセスを許してしまったときに発生します。ID およびアクセス管理のツールを利用すると、ユーザーが何にアクセスでき、あるいはできないかを組織がコントロールすることができ、組織の重要なリソース (アプリ、ファイル、データなど) がセキュリティで保護された状態を保つのに役立ちます。
-
フィッシング
フィッシングとは、評判の良い企業などの、信頼できる発信源に成り代わって詐欺目的のメールを送りつけるという行為です。フィッシング攻撃の意図は、人々をだましてパスワードやクレジット カード番号のような個人情報を明かすよう仕向けることで機密データを盗む、または損害を与えることです。1 人の個人だけが狙われることもあれば、1 つのチーム、部署、または会社全体が標的となることもあります。
-
ランサムウェア
ランサムウェアはマルウェアの一種であり、身代金 (ransom) が支払われなければ重要なデータまたはシステムを破壊するかアクセス不可にすると脅迫するというものです。組織を標的とする、人間が操作するランサムウェアは防止と復旧が難しいことがありますが、その理由は攻撃者が集団的知性を用いて特定組織のネットワークへのアクセスを獲得しているからです。
DLP が重要である理由
DLP ソリューションは組織のリスク縮小戦略に不可欠です。特に、エンドポイント (モバイル デバイス、デスクトップ コンピューター、サーバーなど) のセキュリティ保護に関してです。
情報セキュリティ (InfoSec) とは、機密情報を悪用、無許可アクセス、混乱、破壊から保護するためのセキュリティ手順を指し、物理的とデジタルの両方のセキュリティが含まれます。InfoSec の主な要素は次のとおりです。
インフラストラクチャとクラウド セキュリティ。組織が使用するパブリック クラウド、プライベート クラウド、ハイブリッド クラウド、マルチクラウドの環境からの無許可アクセスとデータ漏洩を防ぐための、ハードウェアとソフトウェアのシステムのためのセキュリティです。
暗号。アルゴリズムに基づく通信セキュリティによって、意図した受信者だけがそのメッセージを解読して閲覧できるようになります。
インシデント応答。サイバー攻撃やデータ侵害などの、組織を混乱させる出来事に対応し、修復し、余波を管理することです。
ディザスター リカバリー。自然災害やサイバー攻撃などの破壊的な出来事の発生後に組織の技術システムを再確立するための計画です。
DLP ソリューションの利点
DLP の利点は、データの分類と監視が可能になることを筆頭に、全体的な可視性とコントロールの向上などがあります。
-
機密データの分類と監視
組織がどのようなデータを保有しているか、およびそれが組織のデジタル資産全体でどのように使用されているかを知ることで、データに対する無許可アクセスを特定してデータを悪用から守ることが容易になります。分類とは、機密データを特定するため、およびコンプライアンスが保たれたデータ セキュリティ戦略を維持するための規則を適用することです。
-
疑わしい活動を検出して阻止する
DLP ソリューションをカスタマイズして、組織のネットワークを流れるすべてのデータをスキャンすることや、データがメールの送信や USB ドライブへのコピーなどの手段によってネットワークから出ていくのを阻止することもできます。
-
データ分類を自動化する
自動化分類によって、ドキュメントがいつ作成されたか、どこに保存されているか、どのように共有されているかといった情報が収集されます。その目的は、組織内のデータ分類の質を高めることです。DLP ソリューションではこの情報を使用して組織の DLP ポリシーが適用され、このことは機密データが権限のないユーザーと共有されるのを防ぐのに役立ちます。
-
規制コンプライアンスを保つ
どの組織もデータ保護の標準、法律、規制に従う必要があります。たとえば米国の HIPAA、企業改革法 (SOX 法)、連邦情報セキュリティ管理法 (FISMA) です。DLP ソリューションを利用すると、コンプライアンス監査の完了に必要な報告機能が得られます。この監査には、データ保持計画と従業員のトレーニング プログラムも含まれる可能性があります。
-
データのアクセスと使用状況を監視する
脅威を食い止めるためには、誰が何に対するアクセス権を持ち、そのアクセス権で何をしているかを監視する必要があります。すべてのネットワーク、アプリ、デバイスを横断して従業員、ベンダー、請負業者、パートナーのデジタル アイデンティティを管理することで、内部関係者による侵害や詐欺を防止します。 ロールベースのアクセス制御は、仕事で必要としている人々のみにアクセス権を付与する方法の一例です。
-
可視性と制御が向上する
DLP ソリューションを導入すると、組織内の機密データを可視化でき、誰がそのデータを権限のないユーザーに送っているかを知るのに役立ちます。実際の、および潜在的な問題のスコープを特定した後は、さらにカスタマイズを行ってデータとコンテンツを分析することで、サイバーセキュリティの対策と DLP の取り組みを強化することができます。
DLP の導入と展開
データ損失防止ソリューションを導入するときは、綿密な調査を行って、お客様のニーズに適したソリューションを提供するベンダーを見つけることが重要です。
DLP ソリューションを展開するにあたって、ダウンタイムを最小限に抑えるとともにコストにつながるミスを防ぐには、次のことを行ってください。
展開プロセスを文書化する。組織が従うべき手順を明確にし、新しいチーム メンバーのための参照資料を用意し、コンプライアンス監査のための記録を残します。
セキュリティに関する要件を定義する。組織の知的財産権と、従業員および顧客の個人情報を保護するためです。
役割と責任範囲を確立する。DLP ソリューションに関連する活動に関して、誰が責任説明を負うか、誰に相談する必要があるか、誰に情報を伝達する必要があるかを明確にします。たとえば、IT チームが展開に参加する必要がありますが、その理由は行われる変更を理解し、問題を解決できるようになるためです。また、責任の分離も重要です。ポリシーを作成した人がそれを実施することはできず、ポリシーを実施する人がそれを作成することもできないようにするためです。このような "抑制と均衡" は、ポリシーと機密データの悪用を阻止するのに役立ちます。
DLP のベスト プラクティス
データ損失防止を確実に成功させるために、次のベスト プラクティスに従ってください。
- 機密データを特定して分類する。自分のデータを保護するには、自分が何を保有しているかを知る必要があります。組織の DLP ポリシーを使用して機密データを特定し、それに従ってラベルを付けます。
- データ暗号化を使用する。保存中か移動中かを問わずデータを暗号化します。これで、権限のないユーザーがファイルの保存場所へのアクセスを獲得したとしてもファイルの内容を見ることはできなくなります。
- システムをセキュリティで保護する。ネットワークのセキュリティの強さは、そのエントリ ポイントのうち最弱のものによって決まります。アクセス権の付与は、仕事のためにそれを必要とする従業員に限定します。
- DLP の実装をいくつかのフェーズに分けて行う。組織のビジネスの優先事項を知り、パイロット テストを確立します。組織がソリューションと、その内容に少しずつ慣れていけるようにします。
- パッチ管理戦略を実施する。組織のインフラストラクチャに対するすべてのパッチをテストします。脆弱性が組織に取り込まれないようにするためです。
- 役割を割り当てる。データ セキュリティに対して誰が説明責任を持つかを明確にするために、役割と責任範囲を確立します。
- 自動化する。手動の DLP プロセスは範囲が限定されるだけでなく、組織の将来のニーズを満たすようにスケーリングすることもできません。
- 異常検出を使用する。機械学習と行動分析を使用すると、データ漏洩につながるおそれのある、通常とは異なる行動を特定できます。
- 利害関係者を教育する。DLP ポリシーだけでは、意図的か偶発的かを問わずインシデントを防ぐことはできません。利害関係者とユーザーが、組織のデータの保護におけるそれぞれの役割を知っている必要があります。
- メトリックを確立する。インシデントの数や応答に要する時間などのメトリックを追跡することは、DLP 戦略の有効性を判断するのに役立ちます。
DLP のソリューション
データ脅威に関しては、発生するかどうかではなく、いつ発生するかが問題です。お客様の組織のための DLP ソリューションを選ぶには、調査と計画が必要ですが、機密データ、個人情報、お客様のブランドの評判を守るために時間と資金をうまく使う必要があります。
これらのオプションがあることと、これらがお客様の DLP ソリューションとどのように連携するかを理解することは、データのセキュリティ強化を今すぐ始めるのに役立ちます。
行動分析を使用する。お客様のシステムとそれを使う人々について集めたデータの意味を理解します。疑わしい行動がデータ漏洩やセキュリティ侵害に至る前にフラグを立てます。
セキュリティ教育と意識向上。従業員、経営陣、他の IT チーム メンバーに、セキュリティ インシデントを認識して報告する方法と、デバイスの紛失または盗難が発生した場合の対処方法を教えます。
暗号化。データが保存中か移動中かを問わず、アクセスできるのは許可されているユーザーに限定することで、データの機密性と整合性を保ちます。
データの分類。どのデータが機密でビジネス クリティカルかを特定してから、そのデータを環境全体で、つまりどこに存在するか、あるいはどこを移動するかにかかわらず管理および保護します。
クラウド アクセス セキュリティ ブローカー (CASB) ソフトウェア。組織のセキュリティ ポリシーをエンタープライズ ユーザーとクラウド サービス プロバイダーとの間で徹底させることで、リスクを軽減するとともに規制コンプライアンスを維持します。
インサイダー リスク管理ソフトウェア。どの従業員が偶発的にデータを漏洩させている可能性があるかを正確に特定するとともに、意図的に機密情報を盗もうとしている悪意のある内部関係者を明らかにします。
お客様の組織のガバナンス、保護、コンプライアンスのソリューションを Microsoft Purview で実現しましょう。すべてのプラットフォーム、アプリ、クラウドを横断してデータを安全に守ると同時に可視性を高め、データを安全に管理し、コンプライアンスへの先へと進む方法を Purview の Web サイトでご覧ください。
Microsoft Security についてさらに学ぶ
よく寄せられる質問
-
-
DLP の例は次のとおりです。
ソフトウェア。組織内のデータに誰がアクセスして共有するかを制御します。無許可でのデータ転送、共有、漏洩を検出および防止するためのポリシー コントロールを確立します。
暗号化。プレーンテキストが、判読不可能な暗号テキストに変換される (さらに単純に言えば、データがコードに変換される) ため、無許可でのアクセスを防止できます。
アラート。ユーザーが取ったアクションが組織の DLP ポリシーに違反しているときにネットワーク管理者に通知が届きます。
レポート。カスタマイズされた DLP レポートの内容として、ポリシー一致、インシデント、誤検知が考えられます。レポート機能は、DLP ポリシーの正確性を特定して必要に応じて洗練させていくのに役立ちます。
-
DLP ポリシーとは、組織がどのようにデータを権限のないユーザーに露出させることなく共有および保護するかを定義するものです。政府規制の遵守、知的財産権の保護、データの可視性の向上に役立ちます。
-
データ損失防止計画を実施するには、最初にこれらの重要なタスクを実行します。
- データをカテゴリに分類します。データがどのように使われているかを監視できるようにするためです。
- 組織内の役割と責任範囲を定義します。特定のデータを必要としている従業員だけがそのデータにアクセスできるようにするためです。
- 従業員のトレーニング計画を確立します。どのような行動の結果としてデータ損失が発生するかを認識させるためです。
-
データ侵害が発生すると、組織が巨額の損害を被り、評判が傷つき、収益ストリームへの影響が何年にも及びます。データ損失防止ソリューションは、組織が次のことを行うのに役立ちます。
- 知的財産権と個人を特定できる情報を保護します。
- 人々がどのようにデータを扱っているかを可視化します。
- デジタル プライバシー関連の法律に従います。
Microsoft 365 をフォローする