DLP製品が抱えるこうした課題は、TechTarget（Informa TechTargetとして事業展開）の調査ブランドOmdiaの一部であるEnterprise Strategy Group（ESG）が、2025年3月に発表したレポート「Reinventing Data Loss Prevention: Adapting Data Security to the Generative AI Era」の内容と一致する。このレポートのために実施された調査（従業員1000人以上の北米大企業における、IT・セキュリティ担当者370人が対象）では、DLP製品の課題として、回答者の33％が「ポリシーの確立、管理、調整」を、31％が「アラートに含まれる検知ミスの調査とコンテキスト（内容や利用状況といったデータの状況）の収集」を挙げた。

　企業のDLP担当者は、相次いで届くアラートノイズに忙殺され、アラートへの対処のトリアージ（優先順位付け）に悩み、対処前の調査に必要な時間の捻出に苦慮している。アラートノイズは、DLP担当者の生産性を低下させるだけではなく、DLP製品に対する信頼と、アラートへの警戒心を損なう恐れがある。

　データの流れをより深く理解したいと考える企業が、DSPM製品に関心を寄せる。DSPM製品は独立した製品分野ではあるものの、一部のDSPMベンダーはDLP製品の機能を組み合わせることで、自社の価値を高めようとしている。DLP製品とDSPM製品により、企業はアラートノイズの問題をより効果的に解決することが可能だ。CyeraやConcentric AI Softwareといったベンダーが提供する、DSPM機能とDLP機能を組み合わせた製品によって、DLP担当者は管理コンソール間を行ったり来たりせずに済むなど、データセキュリティの取り組みを効率化できる。

DLPとの併用でデータセキュリティを進化させる「DSPM」

　DSPM製品はデータに可視性をもたらし、機密データのリスク評価を支援する。データを分類して機密データを特定することで、データの状態やデータへのアクセス傾向、データに関するリスクの兆候を理解できるようにする。具体的には、

• 個人情報を含む、あるデータがプライバシー規制の対象かどうか
• そのデータへのアクセス権限を持つのは誰か
• 過去3カ月間で、アクセス権限があるのに、そのデータにアクセスしていないのは誰か（アクセス権限の付与は適切なのか）

といったことを明確にできる。

　データの保護と、適切なデータセキュリティ体制の確立に重点を置くのがDSPM製品だ。DLP製品は主にデータ漏えいの防止に焦点を当てる。企業は一般的に、内部リスク管理の強化手段として、DLP製品を導入する。DLP製品はクライアントデバイスやネットワーク、メール、クラウドサービスといった幅広いシステム要素を保護対象として、データ漏えいにつながる危険な行動を特定してアラートを発したり、そうした行動をブロックしたりする。

DLPの悩ましい「データラベリング」の課題解消をDSPMが支援

　企業がDLP製品の運用で直面する課題の一つに「データラベリング」がある。データラベリングとは、データの機密度や価値、規制要件に基づき、データに「機密」「公開」「一般」といった属性を示すラベルを割り当てるプロセスだ。DLP製品はこうした情報を基にデータの機密度を識別したり、データの動きを把握したりして、自動的かつ適切にデータ漏えいを防止できるようになる。包括的で正確なデータラベリングは、機密データを見落とす検知漏れや、機密データだと誤認する過検知を減らし、企業内で流通するデータをより確実に保護できるようにする。

　AI（人工知能）ツールを使って、社内データを見つけやすくしたり、活用しやすくしたりする動きは、データラベリングの必要性をさらに高める可能性がある。適切なデータセキュリティ対策が漏れていた場合、従業員はAIツールを使うことで、これまでは誰かが「隠す」ことで保護していたはずのデータに、アクセスしやすくなる可能性があるからだ。

　人事部門の担当者が、解雇の対象となる従業員リストを作成して「部門内だけ」で共有していた。にもかかわらず、ある従業員がAIツールで自分の名前が記載されている情報を調べた際に、そのリストに出くわしてしまった――。AIツールによるアクセスを含めて、さまざまなアクセス経路を想定したデータ保護をしないと、こうしたことが起こり得る。データセキュリティの観点では、むやみなアクセスを避けるべきドキュメントに適切なラベルを付けて保護し、AIツールによるアクセスから除外できるようにすることが必要になる。

　前述の実務担当者によると、手付かずの状態で放置されていたり、休眠状態になっていたりと、内容も担当者もあいまいなドキュメントへのデータラベリングには慎重さが必要になる。このようなドキュメントに適切なラベルを付ける上で、データの置かれた状況を可視化できるDSPM製品が助けとなる。DSPM製品は、複数のシステムを横断してデータやその状況を可視化する「データディスカバリー」機能によって、DLP製品を補完する。

DSPMが促す「DLP移行計画」　その進め方

　DLP製品のユーザー企業の中には、製品移行に取り組むところが少なからずある。より優れた成果を得るために最新技術を導入したい、DLP製品数を絞り込んで管理の簡素化およびコスト削減を図りたい、といった理由からだ。

　前述の企業は、まさにDLP製品をBroadcomの「Symantec Data Loss Prevention」から、Microsoftの「Microsoft Purviewデータ損失防止」（Microsoft Purview Data Loss Prevention）へと切り替えている最中だった。DLP製品の移行は、クライアントデバイスで動作する制御用ソフトウェアである「エージェント」をアンインストールし、別のDLP製品のエージェントをインストールするだけで済むのが理想的だ。だが現実はそれほど単純ではない。同社はMicrosoft Purviewデータ損失防止の導入に伴い、ポリシーを作り直して調整する必要があったため、移行に約半年かかったという。DLP製品の移行を検討している企業は、十分な時間と人員を予算に組み込む必要がある。

　DLP製品のアラートノイズの問題を少しずつ解消し、データセキュリティを改善するために、DLP製品の移行を検討する企業は、どのようなことを検討すればよいのだろうか。まずは以下を検討してほしい。

ステップ1．DLP製品のポートフォリオを再評価する

　導入しているDLP製品が、自社のニーズに沿っているかどうかを確認することが大切だ。例えばAIツールはデータ漏えいの新たな経路になりつつあり、新興のデータセキュリティベンダーは、こうしたリスクを軽減するための製品を提供している。既存のDLP製品は、こうした新しいデータ漏えいの経路や手法に対して、適切に対処できない可能性がある。

ステップ2．アラート対処を効率化できる方法を探す

　DLPベンダーは、アラートへの対処を効率化する新しい製品や機能を提供し始めている。例えばMicrosoftやForcepoint、Proofpointは、アラートのトリアージ自動化機能の実装に取り組む。新興のデータセキュリティベンダーは、複数ベンダーのDLP製品を連携させ、アラートを集約することで、ユーザー企業がアラートノイズに対処しやすくしている。

ステップ3．移行に必要な時間と人材を確保する

　DLP製品の移行には、十分な時間と人材が必要だ。新しいDLP製品を導入するからには、アラートノイズを低減し、調査時間を短縮し、アラートのトリアージという重労働から担当者を解放できないと意味がない。DLP製品とDSPM製品の機能を組み合わせたデータセキュリティ製品は、データの状況をより詳細に明らかにすることで、アラートへの対処を効率化する。

　適切なDLP製品への投資によって、社内外の脅威によるセキュリティリスクを軽減し、自社の事業に影響を及ぼす規制に準拠するための手段を得ることができる。上記のステップは、DLP製品とDSPM製品の投資対効果を最大限に高める助けになるはずだ。