「データセキュリティ体制管理」（Data Security Posture Management：DSPM）と「データ損失防止」（Data Loss Prevention：DLP）は、いわばコインの表と裏だ。DSPMは機密データを特定し、アクセス権限が適切に設定されていることや、脆弱（ぜいじゃく）性の有無などをチェックする。DLPはデータ流出を防止する仕組みだ。近年、ベンダー間の買収や統合が盛んなこともあり、DSPMとDLPの融合が進みつつある。Proofpointは2024年10月、DSPMベンダーNormalyzeの買収を発表。同時期、NetskopeがDSPMベンダーDaseraを買収する発表もあった。ZscalerやForcepointなど、DSPMの機能拡充に取り組んでいるDLPベンダーもある。

　2025年は、DSPMとDLPの機能が統合されたツールが登場する可能性がある。これにより、組織は1つの管理コンソールでDSPMとDLPの両方の機能が使えるようになる。米Informa TechTargetの調査部門ESG（Enterprise Strategy Group）によると、組織はDSPMとDLPの機能統合を望む傾向にあり、2025年はその実現の年となりそうだ。

2．AIの仕組みを標的にした攻撃

　人工知能（AI）技術の利用が広がる中で、大規模言語モデル（LLM）などAIモデルやその仕組みを狙った攻撃が活発になりつつある。2024年は実際の攻撃事例はまだ多くはなかったが、2025年以降はAI技術で処理する機密情報が一段と多くなり、被害を受ける組織が増えると考えられる。

　AI技術の仕組みを守るには、アプリケーションやデータ、脆弱性管理など、複数のレイヤーの対策が必要だ。例えばDSPMのツールを使えば、AIモデルに学習データとして与えられるデータから機密情報を特定できるようになる。IT部門が把握していない生成AIツールを使う「シャドーAI」が広がる可能性もあるため、シャドーAIによるリスクを軽減するための施策も欠かせない。

3．ポスト量子暗号への備え

　近年、量子コンピューティング（量子力学を用いて複雑なデータ処理を実施する技術）によるセキュリティリスクが指摘されている。量子コンピューティングが悪用されれば、暗号化されたデータを解読できるようになる恐れがある。それを受けて、量子コンピューティングを使ってもデータ解読ができない、次世代の暗号化技術の開発が進んでいる。

　その一つがポスト量子暗号（Post-Quantum Cryptography：PQC）だ。ポスト量子暗号が実用化すれば、量子コンピュータに耐性がある暗号アルゴリズムを利用してデータを保護できるようになる。ESGの調査によると、組織は量子コンピューティングによるリスクを理解しはじめており、中にはPQC時代に備えるためのインフラの整備といった準備に着手している組織もあるという。

　2025年は、PQC時代への準備をより優先度の高い課題として捉える組織が増えるだろう。PQCについて早めに情報を収集したり、知識を深めたりしておくことで、PQCが登場する頃に移行作業を円滑に進めることができるはずだ。