ただし、これら3つのモジュールはRSA DLP Enterprise Managerから統合的に管理され、RSA DLP Enterprise Manager上で統一的に設定されたポリシーに従って動作するなど、有機的な統合が実現されている。さらに、単一のポリシーに基づいてはいても、例えばRSA DLP Datacenterがストレージ上で発見した重要情報と、RSA DLP EndpointがPC上で発見した重要情報とでは、その後に実行したいアクションは異なっていることが想定されるため、モジュールごとに異なるアクションを指定できるなど、一元管理可能でありながらも柔軟な運用が可能となる。

　また、RSA DLP Datacenter、RSA DLP Network、RSA DLP Endpointの各モジュールはそれぞれ独立に導入できるため、部分的に導入し、段階的に対象を拡大していく、といったやり方も可能だ。

機能面での特徴

　RSA DLPの特徴として、“Enterprise Scalability”“Policy & Classification”“Identity Aware”“Incident Workflow”“Built-In vs. Bolt-On”の5つの要素が挙げられている。

　Enterprise Scalabilityは、大規模な環境にまで対応可能なスケーラビリティだ。より少ないリソースで高速なデータスキャンを可能としている。代表的なのが、RSA DLP Datacenterで実装された「グリッドスキャンテクノロジー」となる。これは、検索対象となるストレージやサーバ上で直接検索エージェントを実行するのではなく、外部のコンピューティングリソース（Grid Worker）で検索処理を実行するという手法だ。

　「Grid Workerを増やすことで、負荷分散を図りつつスキャン能力を順次増強でき、対象ノードに無駄な負荷を掛けずに迅速なスキャンが実行できる」（宮園氏）という。

　RSA DLP Datacenterの大規模ユーザーの例として公表されているマイクロソフトでは、12Tバイトものデータが約3万台のファイルサーバに格納され、さらに12万以上のSharePointサイトが存在し、総データ量は100Tバイトにも達していた。それが、グリッドスキャンテクノロジーによって初期の検索は9日間で完了、以後の差分検出は半日程度で実施できたという。

　Policy & Classificationでは、重要情報の分類やリスク緩和に役立つ150以上のポリシーテンプレートを製品に同梱する形であらかじめ提供しており、導入当初から高精度で誤検知の少ない検出を可能としている。ポリシーテンプレートの開発には、RSA社内の専門の技術集団（ナレッジエンジニアリングチーム）が専任で対応しており、日本国内のユーザー向けには国内の法規制や日本語キーワードに対応するポリシーも提供される。

セキュリティポリシーの設定画面《クリックで拡大》

　Identity Awareでは、マイクロソフトのActive Directoryを参照し、組織構造やユーザー情報を踏まえた動作が可能となっている。このため、重大なポリシー違反が検出された場合に本人ではなくまず上司に連絡するなど、企業内部でのセキュリティポリシーに応じた柔軟な対策を定義できる。さらに、Microsoft Active Directory Rights Management Serviceとの連携も可能であり、よりきめ細かな情報保護体系を構築することもできる。

　Incident Workflowは、正確な情報を適切な担当者に提供し、適切な対応ができるようにするためにアラートを整理統合する機能だ。複数のポリシー違反が発生した際に、それらが相互に関連するものかどうかを判断し、もし関連性があるのであれば、複数のイベントを1つのインシデントにまとめることができる。

　個々の事象に振り回されることなく、根本原因を迅速に把握できるため、セキュリティ担当者の負担を軽減し、タイミングを逃さず適切に対応することができる。なお、別製品である統合ログ管理プラットフォーム「RSA enVision」（以下、enVision）と連携すると、より高度な対応が実現する。

　enVisionは、さまざまなシステムのログを収集するシステムだ。例えば、「あるユーザーが業務時間外にあるシステムのあるファイルにアクセスしている」といった情報を、enVisionでさまざまなシステムが収集しているログを統合することで察知できるのだが、ファイルの中身までは分からない。しかし、RSA DLPとenVisionを連携させると、そのファイルが重要情報を含んでいるかどうかの判定が可能になる。この場合、時間外アクセス事例が複数発生したとき、一方は重要情報を含むファイルへのアクセスで、他方は重要情報を含まないファイルへのアクセスだったとすれば、対応の緊急度が高いのは重要情報を含むファイルへのアクセスだ。

管理者側でのログ表示画面。ユーザーがどのようなポリシー違反をし、情報の中身がどんなものなのかを確認できる《クリックで拡大》

　この判定が可能になることで、手遅れになる前に迅速に対応することができる。さらに、この時間外アクセスをしたユーザーをキーに、enVisionでこのユーザーが行ったほかの操作を横ぐしで検索することで、危険な行動を未然に防ぐことも可能になる。

　このように、複数のセキュリティソリューションを有機的に連携させ、高度な判断を実現できる点がRSA DLPの強みとなっている。

　最後に、Built-In vs. Bolt-Onアプローチは、製品機能ではなく企業戦略にかかわる要素だ。一般的なセキュリティ対策では、「既にある環境に対して後から追加するBolt-On型で提供される」のが普通だが、RSAではBuilt-In型のアプローチで、DLPの基礎技術をさまざまなインフラ製品に組み込んでいくことを目指している。

　既に実現した例としては、マイクロソフトのWindows Server 2008 R2向けサービスMicrosoft Active Directory Rights Management Serviceやシスコシステムズのメールセキュリティアプライアンス「Cisco IronPort C-Series」があり、EMCやヴイエムウェアのインフラ製品への組み込みも計画されている。こうした製品を導入しているユーザーでは、RSA DLPとこれら製品に組み込まれた機能を統合することで運用管理負担を大幅に軽減し、一貫したポリシーを適用できるようになる。

柔軟な情報定義

　RSA DLPでは、「何が重要情報なのか」を定義する手段も多彩に用意されている。

　統合的な運用管理を担うRSA DLP Enterprise Managerでは、RSA DLP Datacenter、RSA DLP Network、RSA DLP Endpointの各モジュールが検出したさまざまなアラートをダッシュボード形式のGUIで可視化する。「どのポリシーに対する違反が多いか」「どのレベルのセキュリティ違反が多いか」といった傾向分析も可能なため、ポリシー定義をブラッシュアップし、企業活動の実情に即したポリシー策定を支援することもできるようになっている。

RSA DLP Enterprise Managerのダッシュボード画面《クリックで画像拡大》

　重要情報の定義は、RSA DLP Enterprise Manager上で行うため、RSA DLP Datacenter、RSA DLP Network、RSA DLP Endpointの各モジュールに対して共通に適用できる。重要情報を含むファイルがあらかじめ分かっている場合は、そのファイル自体から「フィンガープリント」を作成できる。フィンガープリントには「フル」と「パーシャル」があり、ファイル全体を1つのフィンガープリントとして登録するか、ファイルの中の部分情報で一致を見るかを選ぶこともできる。

　また、新規に作成されるファイルなどに重要情報が含まれるような例に対応するのが「記述コンテンツ分析」だ。こちらは重要情報を特徴付けるキーワードやフレーズなどとその重み付け値を登録しておき、文書内で検出された重み付け値の合計が一定のしきい値を超えた場合には文書自体を重要情報と見なす、という動作になる。この2種類の定義を組み合わせて運用することで、誤検知の少ない的確な情報検出を実現している。

　フィンガープリントの登録は、特定のファイルを指定して即時に作成することもでき、定期的に変更される文書の場合には一定周期で自動的にフィンガープリントを作り直すこともできる。また、ファイルではなくフォルダを指定することで、そのフォルダに含まれている文書すべてのフィンガープリントを作成するといった処理も可能だ。

RSAセキュリティ テクニカル・ソリューション本部 部長 八束啓文氏

　テクニカル・ソリューション本部 部長の八束啓文氏は、「RSA DLP単独で完全に情報漏えいを防げるわけではなく、企業の総合的なセキュリティ対応体制の中に組み込むことで意味を持つ」と語る。導入支援サービスや、その後の運用経験を踏まえたポリシー定義の洗練など、ユーザー側での運用体制も重要になってくるのは当然のことだが、RSA DLP Enterprise Managerでは、ダッシュボードの表示が充実するなど、大規模環境での運用を支援し、そこから有用なナレッジを引き出すことが容易にできるよう配慮されている。

　また、大規模環境では膨大な量のログが出力されてしまい、チェックし切れないという問題も生じてくるが、enVisionとの組み合わせによって高度なログ分析支援機能が提供される点も強みとなる。グリッドスキャンテクノロジーなどからもうかがえる通り、RSA DLPは大規模環境での効率的なセキュリティ運用において、特に強みのある製品だといえるだろう。