あらゆる企業で、DLP製品が必要かどうかを決定するときに最大の課題となるのは、データ流出に関するポリシーとその手続きを決めることだ。ただし、このことはDLP製品が必要ない場合にも同様に課題となる。これは経営陣が努力すべきことで、DLP製品のような自動化ポリシー施行ツールが関わる余地はない。

DLP製品が不要な企業

　この作業には、機密データが保存されている場所、その場所にアクセスするネットワークパス、機密データの処理が許可されているエンドポイントを分析することも含まれる。さらに、機密データへのアクセス、変更、格納、転送処理を監視するために、現在どのような技術制御がなされているのかについても分析しなければならない。

　企業の規模に関係なく、データの分類は企業にとって気が遠くなるような作業だ。一見すると単純な作業だが、細部が難しい。企業で何かしらの機密データを監視している管理者（データ所有者）に、それぞれの事業部門で扱っている情報の正確な種類を聞いてみると、それまで保有していることを認識していなかった機密データが明らかになることがある。

　例えば、米メディア大手CBSのニュース部門であるCBS Newsは、過去に米医療保険業Affinity Health Planが所有していたコピー機が社内で見つかったことを2010年に報告している。コピー機のHDDには、40万9千人分もの個人健康情報と個人情報が保存されていたという。

SOEが独立・改名したDaybreak Game Companyの公式サイト《クリックで拡大》

　Affinity Health Planは、コピー機が同社の手を離れた後、コピー機に保存されている情報が流出している可能性があると公式に発表せざるを得ない状況に追い込まれた。さらに、米オンラインゲーム事業のSony Online Entertainment（SOE、2015年2月に独立し、Daybreak Game Companyに改名）では2011年、同社の面目を失うデータ流出に見舞われた。SOEの担当者は、“過去の”データベースから顧客の個人情報と一部のヨーロッパの顧客のペイメントカード情報が盗まれたことを認めた。

　必要な対策を講じてから、自社にDLP製品が必要かどうか、DLP製品を使用した場合に業務に大きく役立つかどうかを判断すべきだ。中堅・中小企業では、機密情報に関する総合的な金銭面のリスクよりも、DLP製品を使い始めて維持するために必要なリソースの規模の方が大きくなる場合、DLP製品を導入しないという判断を下すこともあるだろう。一方、小規模な企業であっても、知的財産を多数保有している場合は、企業秘密が競合他社の手に渡らないようDLP製品を必要とする可能性がある。

　上述の例が示すように、全ての企業が本格的なDLPスイート製品を必要とするわけでも、資金に余裕があるわけではない。とはいえ、機密データを扱うあらゆる企業には、データ流出防止のために何らかの戦略が必要になる。この戦略には、データを扱うためのポリシーと手続き、さらにその2つを支援・監査する自動化ツールも含まれる。

　DLPスイート製品のコストは、500人から1000人の中堅・中小企業では12万5千ドルから25万ドルに及ぶ。コストを懸念する企業は、既存のセキュリティ製品に組み込まれたDLP機能の活用が選択肢となる。例えば、総合脅威管理（UTM）製品、侵入検知システム（IDS）／新入防止システム（IPS）、エンドポイントセキュリティのスイート製品などだ。

　考慮すべきなのが、セキュリティ情報イベント管理（SIEM）製品から得たDLP製品に関する情報を、DLP製品の報告や警告、ダッシュボードと組み合わせたい場合だ。近年のSIEM製品は、セキュリティ製品に統合されたDLP機能から情報を収集し、相互に関連付けて提示できる。社内に導入済みのセキュリティ製品を調べて、組み込まれているDLP機能が改良可能かどうか確認した方がよい。

データの棚卸しが重要に

　データ流出防止という難問の要となるのは、企業が機密情報を保護する必要性だ。ただしDLP製品は、このプロセスを実現する魔法のつえではなく、その支出を正当化できないほど高価な場合もある。

　包括的なDLP製品を導入するかどうかを決めるときには、まず機密データが業務でどのように使われているかを理解することが必要だ。それから、データの使用、転送、保存方法の管理に役立つ情報セキュリティ制御を実装する。このセキュリティ制御の大半は、従業員にポリシーと手順を詳しく教育することで対処できる。

　企業がDLP製品を導入する決定を下せば、DLP製品を情報セキュリティ制御の手段として使い、利用可能なリソースをうまく生かすことでDLPポリシーを強化できる。企業には2つの選択肢がある。1つは包括的なスタンドアロンのDLPスイート製品を展開すること。もう1つは、既存のゲートウェイセキュリティ製品に組み込まれているDLP機能を活用することだ。