情報の重要度を高精度で理解する

　「Symantec Data Loss Prevention」（以下、Symantec DLP）は、ver.10.5でさまざまな新機能追加や機能強化がなされているが、その特徴を端的に表現するなら“Contents AwareなDLP”だと金野氏は言う。これは、情報の格納場所のような外的な要素を手掛かりに判断を下すのではなく、情報の内容そのものから「保護すべき情報なのか否か」を判断するという意味だ。

　Symantec DLPでは、情報漏えい対策の本質を3段階のプロセスと位置付けている。

• 機密情報の存在場所の特定・検出（検出・特定）
• 機密情報利用状況把握（監視）
• ポリシーベースでの情報漏えい防止・制御（漏えい防止）

の3つだ。一方、保護対象の種類に応じて

• ストレージ（DLP for Storage）
• ネットワーク（DLP for Network）
• エンドポイント（DLP for Endpoint）

の3種類が設定されており、それぞれに必要な機能が用意される形となっている。

　DLP for Storageでは、「DLP Network Discover」「DLP Data Insight」「DLP Network Protect」が、DLP for Networkでは、「DLP Network Monitor」「DLP Network Prevent for Email」「DLP Network Prevent for Web」が、DLP for Endpointでは、「DLP Endpoint Discover」「DLP Endpoint Prevent」がある。さらに、運用管理やポリシー作成のためのツールとして「DLP Enforce Platform」があり、全体としてData Loss Prevention Suiteを構成するという形だ。

Symantec Data Loss Preventionの全体像（左）および製品構成（右）。NEWと付いているのがver.10.5で追加された新モジュールとなる《クリックで拡大》

　どのプロセスも重要なのだが、やはりDLPとして基本となるのは「検出・特定」の部分だろう。Symantec DLPでは、重要情報の指定方法としてさまざまな手法を組み合わせることで高精度な検出を実現している。DLPで重要情報を検出する手法としては、重要情報そのものを登録してハッシュ値（「フィンガープリント」などと呼ばれる）を保存するなどの手法と、重要情報に含まれている可能性が高い語句を登録した辞書を作成し、文書中に辞書登録された語句が含まれているかどうかをチェックするという手法の大きく2系統が実用化されており、Symantec DLPでもこの両方がサポートされている。さらに、独自技術により「完全に近い精度」をうたう検出手法となっている。

　まず、同社が「拡張フィンガープリント検出」と呼ぶ手法がある。これは、重要情報そのものを登録してマッチングをチェックする技術であり、構造化データを対象としたEDM（Exact Data Matching）と、非構造化データを対象としたIDM（Indexed Document Matching）の2種類が提供されている。特に構造化データを対象としたEDMは、競合他社製品には見当たらない独自性の高い技術となっている。

　EDMは、リレーショナルデータベースのデータのような表形式のデータを対象とした検出手法であり、フィールドごとのチェックを組み合わせた指定ができる。ユニークなのは、行レベルでのマッチングを判断できる点だ。例えば、顧客データベースから「氏名」「住所」「電話番号」の3つのフィールドを指定した場合、通常はそれらのフィールドに含まれるデータが一定量以上検出されれば重要情報と見なす、という判断を行うのだが、EDMでは行レベルの一致も判断材料に加えることができる。

データ検出技術（EDM）の仕組み

　つまり、ある顧客の氏名、住所、電話番号がそろっていた場合には重要情報と見なすが、顧客Aの氏名、顧客Bの住所、顧客Cの電話番号、というランダムな組み合わせの場合は「無価値なデータ」と判断する、という設定が可能なのだ。もちろん、データベースに含まれる情報は何であれすべて流出を阻止するという設定も可能だが、情報として無価値と考えられる断片的なデータ群は見逃すという設定も可能となる。

シマンテック スペシャリストセールス DLPソリューションチーム セキュリティスペシャリスト 跡部靖夫氏

　「DLPの場合、何でもかんでも禁止するという形で規制強化が行き過ぎると業務遂行に支障を来したり、ユーザー側でDLPの制約を回避するような行動に出るなど、弊害も大きくなってしまう。単純な辞書一致検出のような手法で機械的な判定を行う場合、判定精度を高めていくのは簡単ではなく、辞書登録の内容を精査すると同時に組み合わせ判定の条件定義を精密化するなどのチューニングが不可欠になる。EDMであれば、構造化データに関しては相当に柔軟なルール定義が比較的容易に実現可能となる」（スペシャリストセールス DLPソリューションチーム セキュリティスペシャリスト 跡部靖夫氏）

　IDMは、非構造化データを対象にフィンガープリントを作成し、それとの照合を行うことで重要情報を検出する手法だ。検出精度を10％刻みで設定できる。このため、完全に一致した場合のみ検出したいのか、部分的な一致でも検出するのかをユーザー側のポリシーに応じて自由に設定できる。精度を下げるとその分誤検出の可能性も高まることにはなるが、重要情報として指定されたファイルの中から一部分のデータだけを切り出す、といった操作が行われた場合にも検出できるというメリットもあるので、実際の運用状況を見ながらユーザーごとに小まめに設定を変更しながら利用することになる。

データ検出技術（IDM）の仕組み

　さらにSymantec DLPでは、辞書登録型の検出技術としてDCM（Described Content Matching）も提供される。DCMでは、200種類以上のファイル形式がサポートされ、検出対象も単純な語句だけにとどまらず、「クレジットカード番号」や「IPアドレス」といった特定の書式で記述されるデータを対象とすることもできる。精度としてはEDM／IDMには及ばないはずだが、電子メールや新規作成ドキュメントの内容に機密に触れるものが含まれているような事例を検出するには、この手法も不可欠となる。さらに、EDM、IDM、DCMの3種類の検出技術は相互に独立しているわけではなく、and／or条件で組み合わせて精密なルールを組み上げることも可能だ。

監視に関する新機軸

　Symantec DLPでは、重要情報の利用状況の監視に関しても、ユニークな新機能として「Data Insight」が追加されている。Data InsightはDLP for Storageの機能で、ストレージ側で保存されているアクセスログ情報を参照して重要情報に対するアクセス状況を把握できる。

Data Insightについて

　ストレージ上に保存されている重要情報の管理責任者を突き止めるのは、現実にはそう簡単な作業ではない。ファイルシステム側ではファイルの所有者情報などを保存しているのだが、その情報が古くなっていたり、所有者として保存されているユーザーIDが複数のユーザーで共有されているなど、所有者情報が事実上無意味になっている例は少なくないためだ。

　とはいえ、これはOS側の限界でもあり、これ以上の調査は通常のソフトウェア的な手法では困難だ。Data Insightは、ストレージ側で保存されるログを参照するという手法でこの限界を乗り越え、詳細なアクセス情報を取得している。ストレージ側で公開しているAPIを利用して情報を取得することから、対応可能なストレージが限定されるが（EMCおよびネットアップ）、重要情報と見なされる特定のファイルに対して、誰がいつアクセスしたのか、という情報を取得し、これを基に「実質的なファイル所有者は誰か」を判断できる。

　当然、本来アクセスが許可されていないはずのユーザーがアクセスしているなど、ポリシー違反と思われる状況も検出できる。これは既存のDLPソフトウェアにはあまり見られないユニークなアイデアだ。ネットワーク接続型ストレージを運用している大規模ユーザー向けの機能となるが、「管理不能なデータ」を減らしていき、「機密情報を見える化する」上で極めて有効な機能となるはずだ。

　Symantec DLPは、ユニークな独自機能をさまざまに盛り込んだ、技術的な先進性が印象的なDLP製品となっている。スイート型のアプローチを取っており、ユーザーが必要とする機能から導入して段階的に機能を拡張していくことも容易にできる。ほかの機能を担うスイートと組み合わせる場合にも統合的な運用管理が可能であり、拡張性の面でも安心できるだろう。包括的な保護を必要とするユーザー企業にとっては、魅力的なソリューションだといえる。