まず、保護対象から見た分類として、「エンドポイント」と「ネットワーク」に大別できる。エンドポイントとは、いわゆる端末のことであり、企業ITにおいてはほぼクライアントPCと同義だと考えても差し支えないだろう。

　エンドポイントDLPでは、ファイルサーバなどの外部リソースからクライアントPCへのデータ読み出しや、クライアントPC内蔵ストレージからリムーバブルメディアなどへのデータのコピーといった操作が監視対象となる。それに対し、ネットワークDLPでは、ネットワークを介してやりとりされる通信を監視し、そこに重要情報が含まれているかどうかをチェックする。

　基本となるのは電子メールで、メール本文の記述や添付ファイルの内容を監視対象とする。それに加えて、Webサイトへの書き込みやFTPによるファイル転送など、さまざまなアプリケーション、トラフィックを監視対象にできる製品もある。

　企業のLAN環境において、エンドポイントDLPとネットワークDLPのカバー領域には重複も多い。例えば、ユーザーが重要情報をメールに添付して送信する場合、この操作はエンドポイントDLPとネットワークDLPの両方でチェックされることになる。一方、クライアントPC内蔵HDDからUSBメモリに重要情報をコピーする場合は、ネットワークDLPでは検出できず、エンドポイントDLPのみが対応することになる。

　ユーザーが直接操作するクライアントPC上で保護を実行するエンドポイントDLPの方がより広範な操作をチェック対象とできるといえるが、個々のクライアントPCにエンドポイントDLPのクライアントモジュール（エージェントソフトウェア）をインストールしなくてはならないため、その管理負担が問題になることも考えられる。

　一方、ネットワークDLPの場合は、ネットワーク上のサーバにソフトウェアをインストールしたり、アプライアンスを設置したりといった手法で導入することになる。個々のクライアントPCすべてにソフトウェアを配布するよりは導入の負担が軽く済むことが多く、ユーザーの作業環境に一切変更を加えずに済む点も利点として挙げられる。

DLPの持つ機能

　次に、DLPの中核技術について見ておこう。DLPの機能の中心となるのは、漏えいしてはいけない重要情報を見つけ出す技術だ。ただし、コンピュータが情報の意味や価値を理解しているわけではないので、これは言うほど簡単なことではない。

　そこで、DLPではあらかじめ重要情報を特徴付けるようなパターンやキーワードを登録しておき、それが見つかった場合には重要情報と見なす、という手法が取られる。ただし、こうした手法で実現できる精度には限界があり、重要ではない情報を誤検知してしまう可能性もあれば、重要な情報を見逃してしまうリスクもある。

　実は、2008年にまずDLP製品が市場に登場したころには、検出精度をいかに高めていくかという点に各社とも注力していたが、精度向上は簡単には実現できなかった。重要情報だけを確実に識別できる魔法のようなパターンというのは存在しないということでもある。そのため、精度を高めるためにはユーザー側でのパターン指定に工夫を凝らし、運用しつつ繰り返しチューニングを施していくという作業が必須となった。

　こうした作業は、DLPの有効活用には不可欠となるが、その負担があまりに重く感じられたことが、初期のDLPがあまり普及せずに尻すぼみとなっていった原因となっている。ソフトウェア技術の観点からDLPの検出精度を向上させるには、単純なパターンマッチングにとどまらず、自然言語解析や意味解析といったより高度な技術も必要になるはずだ。しかし、一方で複雑な分析をすればするほど処理時間が長くなり、業務を阻害しかねないという問題も生じる。

　現在のDLPが実用的なシステムとなっているのは、1つには技術的に精度向上をとことん突き詰めるのではなく、運用体制の整備と併せて総合的に保護していこうという発想に転換したことが挙げられるだろう。つまり、ある意味ではソフトウェア技術だけで完ぺきな情報漏えい阻止を実現することはあきらめ、“検出精度にはある程度幅を持たせた上で最終判断は人間の力を借りることも認める”という現実的な判断によって成り立っているのが現在のDLPだといえる。

　そのため、以前のDLPに比べると運用管理の負担軽減に配慮し、さらに疑わしい例については人間のチェックが容易に受けられるようなインタフェースを提供するなど、周辺部分まで配慮が行き届くようになってきた点が大きな違いだ。

　なお、重要情報の指定方法に関しても、以前よりもユーザーフレンドリーになってきている。現在のDLPで利用される重要情報指定方法には、キーワード指定や正規表現などを活用したパターン指定に加え、重要なドキュメントそのものから「フィンガープリント」を作成する方法など、多彩な方法が実装されており、ユーザーがこれらを任意に組み合わせることができる製品が増えている。

　電話番号やクレジットカード番号のように特定のフォーマットになっているものはパターン指定も容易だ。最近のDLPでは、こうした標準的なパターンに関してはあらかじめテンプレートが用意され、ユーザーがパターンを独自に定義しなくてはならない場面はごくわずかになっている。

　さらに、パターンに対して重み付けができる製品も多数ある。具体的には、「データの中に電話番号が1つ存在するだけなら重要情報とは見なさないが、5つ以上存在したら重要情報と判断する」といった手法だ。また、除外データを明示的に指定できる場合もあり、この場合は「自社の代表電話番号が文書中に含まれていても数に含めない」といった指定が可能になる。

　重要情報の指定が多彩になった分、技術的に見ても検出精度は以前より高まっているといえるのだが、DLPとしての完成度を高めているのは、技術的な検出精度のみに依存せず、運用負荷とのバランスを最適化しようという新しい発想が導入されたことにある。

各社DLP製品の特徴

　では、具体的に各社のDLP製品の大まかな特徴を紹介しよう（並びは50音順）。

RSA Data Loss Prevention Suite

　エンタープライズ環境を想定し、包括的な保護を実現するため、保護対象の異なるDLP製品を組み合わせた「スイート」形式で提供される。ファイルサーバやデータベース、ネットワークストレージを対象とした「Datacenter」と、「Network」「Endpoint」の3種のDLPに加え、「Enterprise Manager」が統合管理を実現している。また、同社のログ収集・分析製品である「enVision」との組み合わせでより高度な判定が可能になる点も特徴だ。

Symantec Data Loss Prevention v10.5

　ストレージ、ネットワーク、エンドポイントの3分野に対する保護を提供するスイート型DLP。情報の内容から重要情報かどうかを見分ける技術に特徴がある。通常DLPがチェック対象とする非構造化文書はもちろん、構造化データへの対応も強力だ。また、「Data Insight」を併用することで、ストレージアクセスの状況を精細に分析でき、あるファイルに誰が、いつアクセスしたかを詳細に知ることができる。この情報をDLPと組み合わせることで、より強固な保護が実現できる。

Check Point DLP

　DLPの現実解として、ユーザーのセキュリティ意識の向上に力点を置いた点が特徴的なネットワークDLP製品。検出技術を高めることに加え、ユーザーにセキュリティポリシーを浸透させるための工夫が随所に施され、うっかりミスによる情報漏えいの頻度を減らしていくことができる。導入の容易さにもきめ細かな配慮が行われ、「簡単に使い始めて実効が上がる」という点を目指す。

Trend Micro Data Loss Prevention

　アンチウイルスソフトウェアでの経験を生かしたエンドポイントDLP。「守るべき情報は企業規模にかかわらず存在するはず」という観点から、中小企業でも導入しやすい安価な価格設定や導入負担軽減を重視した構成になっている。パートナーとの協業により、特定業種／業界向けのテンプレートを提供するなどの取り組みも展開する。

Blue Coat Data Loss Prevention

　ネットワークベンダーが提供するアプライアンス型のネットワークDLP。同社のProxyサーバと連携することで、SSLで暗号化されたトラフィックの内容もチェック可能とするなど、ネットワーク・ベンダーならではの工夫が盛り込まれる。アプライアンス型ということもあり、「手間を掛けずに導入でき、確実に保護できる」点を重視している。

McAfee Data Loss Prevention

　エンドポイント保護に特化したDLPで、ポリシー設定／配布やログ管理はLAN上の管理サーバから行う。重要な情報を含むファイルに不可視データとして「タグ」を付与し、このタグが付けられたファイルを保護する、という特徴的な実装を行っている。