DLP製品の投資対効果を徹底チェック

情報漏えい対策の決定打「DLP」が役立つ企業、不要な企業の境界線（1/2 ページ）

機密情報の流出で業務の継続に深刻な影響が出る企業では、「Data Loss Prevention（DLP）」製品はどのように役立つのか。DLP製品が不要な企業とは。徹底解説する。

公開 2015年06月23日 12時01分

更新 2015年06月23日 12時02分

著者

Bill Hayes

[TechTarget]

印刷する

画像　Digital Guardianが紹介する事例からは、従業員の転職に伴う情報流出被害の大きさが分かる（出典： Digital Guardian）《クリックで拡大》

　Data Loss Prevention（DLP）製品は、機密情報を効率的に監視して制御したい企業にとってありがたいツールだ。機密情報には、財務データ、顧客と従業員の個人情報、診療記録、知的財産などがある。さらに、長い間使用する機密データを抱えている企業にもDLP製品は役に立つだろう。

　内部犯行者（インサイダー）の脅威を警戒する企業にも、DLP製品は効果的だ。インサイダーの脅威は、クレジットカード番号の盗難から、退職する従業員が新しい仕事で利用するために企業が苦労して入手したデータを盗むことにまで及ぶ。例えば、DLPベンダーの米Digital Guardianが紹介する事例では、何千件もの技術資料を持ち出して転職した上級研究者が、その内150件の資料を転職後すぐに使用していたという。資料を持ち出された企業の損失は数百万ドルにも上ると推測される。

併せて読みたいお薦め記事

無くならない情報漏えい――その原因とは？

今更聞けない、「DLP」とは何か

「DLP」の導入が進まない理由

DLP製品の使いどころ

　DLP製品は特殊な“すき間製品”だと考えられている。そのため、保管、使用、転送中のデータに対処する包括的なツールの実装には、50万ドル前後の費用が掛かることがある。とはいうものの、DLP製品を法令順守のチェック項目における単なる高額な項目だと考えてはいけない。

　大規模なデータ流出防止とセキュリティ強化の手段として適切にDLP製品を採用すると、悪意のある攻撃や業務プロセスのミス、従業員が機密情報の扱い方を知らないことによる情報漏えいを特定して食い止めることができる。これには、情報セキュリティ管理も含まれる。具体的には、エンドツーエンドのデータ処理手順や安全なデータ処理に関するエンドユーザー向けトレーニングを伴う効率的なデータの分類ポリシーだ。

DLP製品導入の勘所

　DLP製品を導入している企業が、転送中のデータが頻繁に公開されているといったお粗末な業務プロセスに遭遇することは珍しくない。例えば、DLP製品を使用すると、FTPサーバで使われなくなったファイルや、セキュリティが適切に確保されていないファイル共有の対象となっている大量の機密データを特定できる。さらに、多くの場合、機密データの適切な扱い方を知らない従業員が、エンドポイントで機密データを適切に扱っていないことも検知可能だ。

　企業がDLP製品を導入する際は、データの所有者と業務担当者が、IT部門のセキュリティスタッフと協力してデータの使用や保護の方法を決める戦略の一環として導入を進める必要がある。ただし、DLP製品が単体で使用されることはない。

　DLP製品を効率的に使用するには、企業は自社データに関する金銭的価値と順守義務を知っていなければならない。また機密データがある場所を把握し、データフロー図を作成できる必要もある。このデータフロー図には、機密情報が通過することが予想されるパスと、使用されるであろうネットワークプロトコルが含まれていなければならない。機密情報へのアクセスが必要なユーザーに加え、データの行き先や流出を防止する方法を示す必要もある。

　また企業には、機密データを保護するためのギャップとリスクを見極める能力も求められる。データ流出時に対処するための事故対応計画も必要だ。

DLPのセキュリティ効果が如実に現れる企業

　DLP製品は、金融、政府機関、医療、保険の分野で高い効果を発揮している。また機密情報が流出した場合、業務の継続に深刻な影響を受ける企業でも効果的に利用できる。

　米国の金融機関は、データ流出の脅威と各種法規制に厳密に準拠する必要があり、DLP製品がコンプライアンス違反の防止と検出に大きな役割を果たしている。このような法規制には、サーベンス・オクスリー法（SOX法）やPCIデータセキュリティ標準（PCI DSS）の他、データ流出を規制する多数の米国州法などがある。

　医療／保険会社は、金融業界と同じコンプライアンス要件を多く抱えている。だがそれだけでなく、HIPAA（医療保険の相互運用性と説明責任に関する法律）によって、診察や手続きのデータに含まれる患者の情報を保護する責任も担っている。医療／保険会社は、DLP製品を使用することで、ビジネスパートナーや契約業者とデータをやりとりしながら、保護医療情報（PHI）の漏えい防止に伴う技術的に複雑な作業に対処できる。パートナーや契約業者には、保険代理店、専門医、研究所、請求処理機関などが含まれる。

　一方、政府機関とその請負業者は、産業スパイや国家スパイの標的になる可能性がある。連邦情報セキュリティマネジメント法（FISMA： Federal Information Security Management Act）などでは、より安全な情報セキュリティの枠組みが提供されている。その一環として、データの誤用を自動検出するツールの使用が求められている。これこそDLP製品の面目躍如たる役割だ。

　製造業やテクノロジー企業もDLP製品の恩恵にあずかることができる。企業の仕入先や下請業者の関係は複雑に絡み合い、その多くは複数の大陸に散らばっていることがある。そのため、仕入先、下請業者、ビジネスパートナーの世界規模のネットワークで企業が共同作業をすれば、意図しないところでデータが漏えいしたり、情報を盗まれたりする恐れは十分にある。

　このようなシナリオでは、関係者以外極秘を原則として、秘密保持契約で守られた状態で、知的所有財産が日常的にサードパーティーと共有されることになる。DLP製品であれば、共同作業をする企業の従業員が、特定の業務に必要な情報だけにアクセスできるようにすることが可能だ。

次ページへ DLP製品が自社に必要かどうか判断するには？