フィンガープリント――データを特定する“指紋”

　DLPで採用されている重要な技術の1つにフィンガープリントがある。フィンガープリントとは、テキストなどそのデータ固有の特徴を表す識別情報のことだ。人間の指紋（フィンガープリント）がその人の特徴を表し、その人を特定できるように、データのフィンガープリントが元のデータのものと一致することで、機密データであるかどうかの判別ができる。

　フィンガープリントの作成方法は各社独自ではあるが、ハッシュ関数のようなものをイメージすると分かりやすい。ただし、すべての文章が完全に一致している必要はなく、ある程度の割合（20～80％など）で検知できるものや、複数行の段落が一致していれば検知できるものもある。だが単なるハッシュだけでは部分一致を検出するのは難しい。そこで、例えば図2のように、文書に頻繁に出現する文字（図では「の」）の位置データとハッシュ関数の組み合わせで文書パターンを特定するなどの手法（※）が取られる。

※注：あくまでも例であり、実際にはもっと複雑な方式が採用されている

DLP製品のタイプ

　人間の指紋を照合するためにあらかじめ指紋を取得しておくのと同様に、DLPでも保護対象データのフィンガープリントを事前に取得（作成）する必要がある。各DLP製品はその取得場所により特徴が分かれるが、大きくはサーバ（ネットワーク）型、エージェント型が挙げられる。また、フィンガープリントが元の重要データと一致するかどうかを確認する場所によっても、サーバ（ゲートウェイ）型とエージェント型に種類が分かれる。

情報漏えい経路

　DLPにおいてデータ分類の次に重要な要素が、データの転送経路である。機密データの転送経路は複雑になっているが、考えられるすべての経路について対策を実施し、対策ができない範囲においてもできるだけリスクを抑える形にしていかなければならない。

　データの転送経路には大きく分けて（1）物理的媒体、（2）アプリケーション、（3）ネットワークの3つが挙げられる。現在は存在しないが将来的にリスクとなり得る新しい経路が発生することも考慮に入れておかなければならない。また、データ転送経路の中で対策すべきポイントをどこで実施するのが一番効率的か、自社内の環境を把握して考慮に入れる必要がある。

情報漏えいに対するアプローチ

　DLP登場前の操作ログを取得するだけの情報漏えい対策とDLP登場後を比べると、ちょうど不正侵入対策におけるIDS／IPSに例えられるだろう。IDSしかない時代では攻撃の検知しかできず、誤検知も多くログを見るのが大変だったが、最近はIPSでリアルタイムに攻撃を防御できるようになり、広く一般に浸透し始めた。これと同様に、データの流出を自動的にブロックするDLPも次世代の情報漏えい対策として期待される。

そのほかのDLP関連ソリューション

　上記のDLPソリューションだけで完全に情報漏えいを防げるわけではない。関連するセキュリティソリューションとの相互運用も検討しなければならない。

デバイスコントロール

　USBメモリやMP3プレーヤー、iPodといったデバイスの接続をブロックし、リムーバブルメディアへのファイルがコピーできないようにする機能は必要だ。しかし、利便性を考えて、届け出があれば管理台帳に必要な情報を記述して許可するというセキュリティポリシーを策定するという場合がある。それに対応できるように、特定のデバイスはシリアル番号やベンダーID／製品IDを識別して書き込みを許可する、読み込み専用のみにするなどの機能が必要になる。

デバイス／ドライブの暗号化

　暗号はDLPとは相反する技術だが、組み合わせが不可欠である。DLPはデータの特徴を抽出して比較するため、暗号化されたデータには効果が出にくい。暗号化されたデータは読み取ることができないため、フィンガープリントが一致しないのだ。

　ただし、PCごと盗難や紛失に遭った場合には、DLPで守っていたとしてもHDDの中身を読み取られてしまうため、ドライブを暗号化する必要性が出てくる。また、暗号化されたデバイスであれば機密データをコピーすることを可能とするルールや、許可されたUSBメモリには自動的にファイルを暗号化してデータをコピーする機能を導入するなど、今後DLPと暗号化は切っても切れない存在になっていくだろう。

不正なPCの検出、防止

　たとえDLPでデータの流出防止対策を講じていたとしても、不正な持ち込みPCが接続できてしまう環境においては、DLPの効果が得られない場合がある。外部のPCに対しては、不正なシステムを検知する仕組みやNetwork Access Control（NAC）のような検疫システムとの組み合わせが必要になってくる。

使用アプリケーションの制限

　危険性のあるアプリケーションを自由にインストールできる環境をそのままにしておくことは情報漏えいのリスクが高いが、DLP単体でアプリケーションを制限するような機能を持っているケースは現状少ない。ほかのアプリケーションファイアウォールとの組み合わせでインストールや起動ができるプログラムの制限を掛けることが重要になってくる。

統合管理ツール

　DLPを実施する場合、基本的には末端のクライアントにエージェントを配備することが不可欠になる。情報漏えい対策を行っていくに当たり、アプリケーションファイアウォールや暗号化ソフトとの連携も必要になるためだ。最近では、前述のようにDLP技術をウイルス対策製品ベンダーが取り込んでいるケースが多い。その中で重要になるのが、エージェントの配布やポリシー管理、分析などを実行する統合管理ツールの管理性である。

情報漏えい対策のためのセキュリティポリシー

　DLPの導入時には、漏えい対策の対象となるデータの分類や機密度の定義など、セキュリティポリシーの策定が必要になる。最後に、情報漏えい対策のためのセキュリティポリシーの策定方法について触れておきたい。まずは理想的なステップについて考え、次に実務に近い形でブレークダウンして考えよう。

経営者を頂点とするDLP推進チームの設置

　情報漏えいは単なるセキュリティやITの問題ではなく、企業全体のビジネスにかかわる問題だ。複数の部門間で横断的なDLP計画推進チームを組織すると、情報漏えいについての集団的な経験や多様なものの見方を活用できるため、成功に導きやすい。特に経営層を巻き込むことが重要になる。

DLP計画推進チームの構成例

• 情報資産を実際に所有している各部門の役員および管理責任者
• 財務、会計および人事などの重要なデータを取り扱う担当者
• ITおよびセキュリティ部門のスタッフ
• 規制や法的業務を担当している法務およびリスク管理、コンプライアンス担当者

ディスカバリとリスク評価

　ディスカバリとは、情報漏えいの可能性のある内部プロセス（業務のフロー）を洗い出す行為だ。ここで対策の範囲（対象となるデータ、組織、流出経路、機密性の基準）を定義し、実装の方法と製品の選択基準を決めることができる。

　またリスク評価とは、洗い出した内部プロセスを標準的な業界のコストデータなどで金額に置き換え、情報漏えいの影響を定量化することである。問題のある内部プロセスのうち、金額が大きいものから優先して対策を実施していく。

リスク評価例

• 予算情報を通じて極秘プロジェクトの情報が競合他社に漏れる→営業の機会喪失が4億円と推計
• 財務記録を通じて極秘の経営手続きが漏えいする→競合優位性の損失が3億円と推計

データの分類

　ディスカバリとリスク評価によってデータが特定されたら、リスク評価で決められた優先順位に従って分類を行う基準と、その適用範囲を決定する。具体的には次の例のように5つ程度の分類を作り、組織ごとにデータを分類、適切なアクセス権を付けて保管する。この分類を基にDLPのポリシーが策定されるわけだ。

書面によるセキュリティポリシー策定

　データの分類とともにデータ保護に対するポリシーを書面にまとめておくことで、法的規制やコンプライアンスを履行しているかが判断される。また、書面にポリシーを記述してユーザーに教育を実施すれば、日々の業務において安全性の高いポリシーに基づいた行動を啓発することができる。

DLPソリューションをいかに展開するか

　ポリシーが固まりさえすれば、DLPの展開は比較的容易に実施できる。ポリシーに沿って、最終的には可能な限り漏れのない多層的な防御を構築したい。しかし現実には、緊急度や漏えいの可能性が高い経路から対策を始め、徐々に対策を拡充していくというのが一般的な傾向といえる。また、特に緊急度が高く対策が容易なものについては、ポリシー策定と並行して実施することも検討すべきだろう。

　以下に、DLPの展開が完了するまでの期間が短い順に実施すべきステップを挙げた。まずはこれを参考にDLPの実施計画を立ててみてはいかがだろうか。

• デバイスコントロール
• ノートPCの暗号化
• キーワードや文書管理番号などによる文書分類
• データの分類とモニター
• 重要データの防御

　DLPとは、データの分類に従って、データの中身を見て情報漏えいを防止するソリューションである。情報漏えい対策ではセキュリティポリシー策定の継続的な見直しを繰り返し行うことが重要だが、単にDLPを導入しただけでは現実にそぐわない運用になり、セキュリティリスクを下げることはできない。DLPを導入する過程において、自社の機密データの使用状況を正確に把握することにより、結果として総合的な情報漏えい対策が全社レベルで実行されることになるのだ。