データ漏えい防止ツール

　データ漏えい防止ツールは大ざっぱに言えばアプリケーションレベルのファイアウォールのようなものだ。ファイアウォールと同様、外部に出て行くデータについて、ポートとパケットの種類だけでなく中身を調べ、社外に出してもいいものは何かを判断する。データ漏えい防止ツールについて調べれば、この市場の大手はボンツ、リコネックス、ベリセプトの3社だということが分かるだろう。

• Vontu 6.0のスイートは、SSL、IM、Webメールなどあらゆる種類のWebトラフィックを監視できるツールがセットになっている。外部に送信される悪意あるトラフィックを、Exact Data Matching、Indexed Document Matching、Described Content Matchingという3つのアルゴリズムで検出する。Vontu 6.0は特定の従業員グループや場所、コンテンツの種類を対象とするよう設定できる。
• リコネックスのiGuardプラットフォームは2つの有用なデバイスで構成される。iGuardは、外部に送信されるトラフィックのコンテンツを監視し、悪質な行為を発見できるネットワークアプライアンス。もう1つの製品であるInSight Consoleは、重要なデータ情報を保存して簡単に検出できるようにするデータベース。ボンツと同様、リコネックスのプラットフォームは会社のニーズに応じて設定できる。
• ベリセプトのVisibility and Controlは、コンテンツ監視用途で広く使われているカスタマイズ可能ツール。この製品は「プロプライエタリ・インテリジェント・コンテンツ制御エンジン」（同社）を利用している。ベリセプトではFTP、SSL、IM、P2PなどWebトラフィック全体を監視するだけでなく、ブログの投稿やチャットルーム、Webサイトなど、会社の重要なデータや企業秘密の流出先となる可能性があるすべての場所を監視する。
• このほか役に立ちそうな2社としてポートオーソリティ・テクノロジーズとGTBテクノロジーズがある。上記の各社の製品と同様、この2社は外部に送信されるIPトラフィックを監視して特定種類の企業データを見つけ出すハードウェアアプライアンスを提供している。

　こうした製品はファイアウォールの内側に置くだけのネットワークアプライアンスであり、会社の既存のセキュリティインフラときっちり統合しておくことが大切だ。例えばボンツの製品は、シスコシステムズ、アイアンポートシステムズ、ブルーコートシステムズの製品と統合できる。リコネックスとベリセプトの製品もブルーコートなどのWebプロキシに対応している。

モバイル機器とデータ漏えい

　モバイル機器はデータ漏えいに関して新たな課題を投げ掛けている。例えばUSBメモリ、Bluetoothデバイス、リムーバブルCDドライブなどはすべて、システム管理者の知らないところでネットワークコントロールを妨げる可能性がある。ストレージ用のハードウェアであるため、これまでに挙げた高度なインターネット／Web監視ツールをかわしてしまう。

　監視ツールの1つ、Safend Protector V3.0は、会社の全デスクトップPCとノートPCにインストールすることができる。Web監視ツールと同様に、Webベースのインタフェースで集中管理でき、特定の種類のデータがUSBやFireWire、ワイヤレスポートに移されるのをチェックする設定が可能。このツールは勝手に変更できないようになっていて、ユーザーの目には見えず、外部ポートに何かが接続されるまでは沈黙している。さらにSafend Protector V3.0は、あらゆるリムーバブルデバイスへのアクセスを完全に遮断したり、容量に応じて特定のデバイスを制限したり、読み取りのみのアクセスを許可する設定にもできる。ポリシーをアクティブディレクトリのグループポリシーオブジェクト（GPO）に統合し、特定ユーザーのデバイスにアクセスできるようにすることも可能。

　一見したところ、データ漏えい防止はとてつもなく大きな課題に思える。しかし幾つかの市販ツールを使えば、オンラインであれWebやストレージデバイス経由であれ、漏えいは制御できるのだ。

本稿筆者のジョエル・デュビン氏は、CISSP（公認情報システムセキュリティプロフェッショナル）資格を持ち、シカゴに本拠を置く独立系コンピュータセキュリティコンサルタント。Webとアプリケーションのセキュリティを専門とする。セキュリティ分野のMicrosoft MVPを受賞している。アクセス管理システムを導入するコツを含む「The Little Black Book of Computer Security」の著者でもある。