データに着目し情報漏えいを阻止するDLPとは

IDとパスワード、暗号化、USBメモリの使用禁止……、企業は多くの手段で機密情報の漏えい防止策を講じてきました。ただ、どうしても流出に歯止めがかかりません。とりわけ、内部の悪意のある権限保持者による犯罪になると、手の下しようがありませんでした。そこで注目されているのが「DLP」です。機密情報を識別し、送信やコピーなど社外への持ち出し操作を発見すると、警告を発し操作をブロックするツールです。

機密情報を識別し持ち出し操作をブロック

情報漏えいの脅威を、ことさら訴える必要はないかもしれません。メディアで大きく報道され、社会的信用の失墜とブランド力の低下は目を覆うばかりです。その回復には多額のコストと長い時間が必要となります。

このため、企業はさまざまな対策を講じてきましたが、なかなか撲滅できません。とりわけ機密情報の管理権限者が悪意を持って持ち出したり、たとえ悪意がなくても操作ミスがあったりすると、どうしようもありませんでした。これらの対策として注目されているのが「DLP」（Data Loss Prevention）、情報漏えい防止という意味のツールです。

注目されている理由は、その防止の仕組みにあります。DLPは、企業に保管されているデータの機密性や重要性を自動的に認識・識別する機能を持っています。そのデータを誰かがネットワークを介して外に持ち出そうとする、あるいはUSBメモリなどの媒体にコピーしようとすると、操作を自動的にブロックするのです。

これにより、機密情報の管理権限を持っている人が、スマートフォンにデータをコピーしようとしても、その操作を停止させ、漏えいを防ぐことができます。

他の漏えい防止対策との違い

今まで最も多く用いられてきた手段は、IDとパスワードによるアクセスの制限でした。しかし、これはすでに多くの事件から限界が指摘されています。正しいIDとパスワードで利用する内部の正規ユーザーのデータへのアクセスを制限できないからです。つまり、性善説をベースにするセキュリティの限界です。

ログ管理は情報漏えい防止というよりは、IT機器の操作すべてを記録するもので、漏えいがあった場合に後から犯人捜しを支援する効果があります。操作を記録することで抑止効果を期待できます。しかし、IDのなりすましや発覚を恐れぬ覚悟をもった故意の情報持ち出しの防止策としての効果は、多く期待できません。

USBメモリの使用禁止や検疫ネットワークによる持ち込みパソコンの禁止もあります。これらは社内の利用者に負担を強いかねません。

以上の対策は社員のモラルに訴え、犯罪の抑止力にはなります。監視しているのは「人」あるいは「機器」です。一方DLPは、機密データそのものに着目した対策で、監視の対象は「機密データ」です。これが従来のセキュリティ対策と異なる大きな特徴です。

DLPは操作ミスによる情報漏えいも防ぐことができます。また、外部からの攻撃、たとえば標的型攻撃やボットによる機密情報の外部送信の対策にも役立ちます。

機密情報を検出する仕組み

DLPが情報を判定する仕組みには「キーワードや正規表現」や「フィンガープリント」などがあります。

■キーワードや正規表現

キーワードや正規表現を指定し、あらかじめ指定した条件に該当する文章に対して禁止制御を行います。古くから使われていた手段です。住所・氏名・電話番号など、特定のキーワードで大きな効果を発揮する反面、あらゆるキーワードをことごとく登録することになり、途方もない手間がかかります。

■フィンガープリント

キーワードや正規表現の欠点をカバーするのが、「フィンガープリント」です。「文書の指紋」のことです。フィンガープリントは、完全に同一のファイルでなくとも、キーワード構成や文書構造などの特徴が一致していれば機密情報として判定し制御します。一部が変更されていても、情報の中身の類似性によって、重要か否かを判断できます。

さらに、そのファイルから派生した類似のファイルやそのファイルを含むフォルダをも機密情報とします。登録や管理の手間を省きながら、判定の精度を高めることができ、多くのツールで採用されています。