ユーザーに適切な情報を提示する

　セキュリティを高めていくためには、最終的には個々のユーザーのセキュリティ意識を高めていくことが不可欠だ、というのは既に常識となっていると言って過言ではないだろう。しかし、これを「企業内の教育の問題」で片付けてしまっては何もしないのと一緒である。同社では、ユーザーに、「その行為はセキュリティポリシー上適切なのかどうか」という問いかけを適切なタイミングで行うことで、ユーザーの自発的な判断を促す。その結果として、ユーザーのセキュリティ意識が向上していくというサイクルを効率よく支援する機能をDLPシステムに実装した。つまり、使っていると自然とユーザーの意識が上がっていくDLPこそが、Check Point DLPの目指したところである。

　情報漏えいの実例では、事故やケアレスミスが多いというのは前述の通りだ。ということは、実際に情報漏えいを起こしてしまったユーザー自身もまったくそのことに気付いていない可能性が高い。自覚がないミスに関して自発的に反省することはあり得ないし、状況が改善されることなく何度でも同じミスが繰り返されることになる。同社ではこの点に注目し、情報漏えいを検知したその場でユーザーに通知することでセキュリティポリシーへの理解を深めることを狙っている。

　タイミングを逃し、後になってから「実はあれはセキュリティポリシー違反だった」と指摘しても、忙しいユーザーであれば何をどうしたのか思い出せないだろう。また、なぜそういう行動を取ったのかも分からないかもしれない。しかし、例えばメール送信の際、オートコンプリート機能やあて先のリストから選択する際に隣のアドレスを間違ってクリックしてしまい、社内の同僚に送るつもりのメールが社外に送られるところだったとする。この状況をDLPが捕捉し、「あて先は間違いないか」と確認を促してくれれば、情報漏えいを防げる上に、ユーザーに対しても「メール送信前にあて先を再確認した方がよい」という反省を促すことが自然にできる。

　「ユーザーに対していかに反省のタイミングを作れるか」を重視した結果だが、これによって社内教育のコストをむやみに引き上げることもないし、「分かりきったことをうるさく繰り返す」といった反発を招くこともない。

　Check Point DLPのポリシー設定で特徴的なのは“Ask User”という設定だ。これは文字通り「ユーザーに尋ねる」というもので、例えばメールの送信などの際に「本当に送っていいのか」「あて先は正しいのか」などの再確認を求める。もちろん、何も問題がないのに毎回尋ねるようでは、ユーザーも機械的に反応するようになってしまう。精度の高い判定技術があって初めて意味を持つ機能だ。

ユーザーチェックによるDLPの教育的効果を狙う

　しかも、このポリシーには学習機能があり、一度ユーザーが決定した動作を記憶するので、次に同様の事案が検出された場合はシステムが自動的に前回の動作を繰り返した上でユーザーに結果を通知する。「ある送信者にあるファイルを送ろうとして再確認を求められたユーザーが送信をキャンセルした」ということがあると、再度同様のファイルを同じ送信者に送ろうとした場合にはシステムはこの送信をブロックする、ということだ。こうした学習結果が蓄積されていくことで、DLPの判定精度も向上し、「組織の実情に応じたDLPシステムに育て上げていく」ことが可能になる。

容易に使える高度な機能

　Check Point DLPでは、「仕事の流れを変えず、効率よく低負荷で運用できること」も重要な要件だったという。そのため、まずは「ネットワークにインラインで挿入する」実装が選ばれている。これは、いわばファイアウォールやIPSと同様の手法だ。もちろん、PCからUSBメモリなどにファイルをコピーするという形での情報漏えいもあり得る。また、データが保存されている発信元PCの操作を追跡する対策もある。こうした操作を監視するためには、PCを含むエンドポイントでのセキュリティソリューションが有効となる。しかし、この方法ではPCにエージェントモジュールをインストールするなどのシステムへの改変が避けられず、導入や運用の負担が増加する懸念がある。一方、ネットワークへのインライン実装では、ユーザーの作業環境にはほとんど影響を与えることなくDLPを導入できるため、IT部門の負担は大幅に軽減される。

　こうした割り切りが可能になった背景には、チェック・ポイントが従来エンドポイントセキュリティソリューションに注力しており、既に十分な保護を提供しているという事情もある。リムーバブルメディアへのデータ書き出しを禁止したり、暗号化したりといったエンドポイントの保護機能は既に実装済みであり、これを利用することでDLPと同様のデータ保護が実現できる。もちろん、エンドポイントへのDLP機能の実装も考えていないわけではない。将来的には製品化される可能性もあるようだが、最初の取り組みはネットワーク型からスタートしたということだ。

　DLPの根幹となる機密情報の検査エンジンには、“MultiSpect”と呼ばれる独自のエンジンが開発された。これは、ファイアウォールやIPSの技術をベースに開発したもので、名称通り複数の条件をさまざまな角度で組み合わせ、総合的な判断を行う技術だ。判定に使える要素としては、データフォーマットや提携ドキュメントのヘッダおよびフッタの内容、データタイプ、メールのあて先に関する条件なども用意されている。また、全文検索条件として特定の用語を含んでいるなど、「ビジネス上ふさわしくない言葉が多数含まれる」といった条件まで設定できる。

　基本的なポリシーに関しては、DLPシステムを最初にインストールした時点で設定済みとなっているため、まずは運用しながら様子を見るというやり方が可能だ。システム側で、あらかじめ設定されたポリシーに対してユーザーがどのような対応をしたかという結果を分析した上で、ポリシー定義をより精密化するためのチューニングの推奨も行うので、運用管理者に多大な負荷を掛けることなく精度が向上していく。

　またオプションとして、ログ分析のためのソフトウェアである“Smart Event”も用意されている。Smart Eventはログ出力を時系列でリアルタイム分析できる強力なツールで、これを使用することでどのようなポリシー違反が生じているかを管理者が即座に把握できる。さまざまな角度での傾向分析なども行えるため、この結果を踏まえてポリシーを精密化するなどの対応も可能になる。

　Check Point DLPは、技術と運用、利便性とセキュリティなど、複数の要素間のベストバランスを強く意識した製品だ。このため、導入が容易でありながら効果的な防御ができるという、極めて実用的な製品となっていると評価できるだろう。