DLPの普及が進まない理由【前編】

情報漏えい対策製品をまだ導入していない企業の言い分

これほど知的財産を守る必要性が叫ばれているにもかかわらず、企業は情報漏えい対策に対してそれほどの投資を行っていない実態が判明した。企業の言い分とは。

公開 2013年04月04日 08時11分

著者

Warwick Ashford

[TechTarget]

印刷する連載新着通知を受け取る

　犯罪集団や国家が企業から情報を盗むことを狙った攻撃を激化させ、手口を高度化させる中で、セキュリティ企業はさまざまな情報漏えい対策（DLP：Data Loss Prevention）技術を打ち出してきた。

　だが、これほど知的財産を守る必要性が叫ばれているにもかかわらず、企業はDLPに対してそれほどの投資を行っていない実態が、セキュリティ製品購入計画に関する調査で明らかになった。

　DLPがほとんどの企業が必要としている対策を提供してくれるのなら、なぜこの技術の採用が進まないのか。

　米調査会社Forrester Researchのセキュリティリスク担当主席アナリスト、アンドルー・ローズ氏は、主に2つの要因があると見る。1つは企業を突き動かす動機の欠如、もう1つは実現のためのデータ構造の欠如だ。

　同氏は米TechTargetに対し次のように語った。「危険な環境の現実について、多くの企業の無知ぶりは、めでたいほどだ。多くのCIO（最高情報責任者）は、今この瞬間にも自社の情報が流出しているかもしれないという認識も、情報流出が起きれば長期的な競争力がそがれて経営基盤が危うくなりかねないという認識もない」

無知に付け入る攻撃者

　企業は影響が公になるような一大事に見舞われない限り、サイバー攻撃を重要な問題とは見なさないとローズ氏は話す。

　「現代の攻撃者はこの状況に付け込んで、できるだけ長期間潜伏する。結果として、企業はDLPのメリットを引き出すことに苦慮する。実際のところDLPは、資金と貴重なリソースを投じて導入しなければならず、しかも念入りに均衡が保たれたビジネスプロセスを破壊するマイナス要因だと見なされる」（同氏）

　こうした技術は、例えばDLPの導入を容易にしてくれるデータ分類標準のような既存の業務慣習に組み込めば、もっと実装しやすくなるとローズ氏は指摘する。

ツールの効率的な利用

　TechTargetがITプロフェッショナル250人以上を対象に実施した調査では、58％がDLPを使っていないと答えた。

　ローズ氏は「42％がDLPを使っているという回答はうれしい驚きだ。心配なのは、真の価値を発揮するためにDLPをどの程度使いこなしているかという点だ」と話す。

　DLPを使っているという回答者のうち、24％はWebとメール用に、23％はデータベースアプリケーション用に、14％はフラッシュメモリとUSBトークン用に利用していた。

破壊的効果

　DLP採用の妨げとなるのは、経営陣の全面的なバックアップを要するという点だ。DLPの導入は、「事業にある程度の影響をもたらし、予期せぬコストが発生して調整に時間を取られることもある」と話すのは、情報セキュリティの非営利国際組織、Information Systems Security Association英国支部（ISSA-UK）の調査担当副社長、エイドリアン・ライト氏。

　「ポリシーと適切な利用法について従業員を教育する必要もある。DLPの適切な導入を実現するためにはかなりの時間を要することから、プロジェクトのスケジュールと期待値には現実的な設定が必要だ」（ライト氏）

　また、業務としてのDLP管理を甘く見てはいけないとも同氏は話す。単純にセキュリティ担当者やIT担当者の負担を増やすだけでは済まず、専用のチームが必要になる公算が大きいという。

　回答者が挙げたDLP導入の課題は、経費が掛かり過ぎる（32％）を筆頭に、誤検知が多過ぎる（28％）、導入が複雑（27％）、サプライヤーのサポートがない（13％）の順だった。

　「調査の結果、出費や複雑さ、インテグレーション関連の問題、ユーザーの邪魔になることなどついての不安が浮かび上がった。こうした課題について認識しているCIOと話をしても、事業上説得力のある論理の裏付けがない限り、あまり先へは進まない」とForresterのローズ氏は話す。

　「セキュリティとリスク担当のプロフェッショナルが今やるべき仕事はそれだ。コンソールとコマンドラインから一歩離れて、自分の組織を正しい方向へと突き動かすビジネスケースを作り出すことだ」（同氏）

　後編ではDLPを導入する上で押さえておきたいポイントを紹介する。

印刷する