DLP（Data Loss Prevention)は、データ漏洩防止またはデータ喪失防止とも呼ばれ、ユーザーの不注意や誤操作、悪意による企業の機密データの流出を防ぐ技術です。DLP技術は、事前に定義されたセキュリティルールに基づいて、データへのアクセスや転送操作を許可またはブロックすることで、データ処理ポリシーを実施します。
データは、大きく分けて、プリンタやUSBメモリなどの周辺機器のようなローカルチャネルと電子メール、Web、ソーシャルメディアなどのようなネットワークベースのチャネルの2つのチャネル群を経由して社外に流出します。DLPソリューションの中には、ネットワーク通信のみを監視するものもありますが、効率的なデータ損失防止のためには、ローカルチャネルとネットワークチャネルの両方を監視するのがベストです。
DLPの機能とは？
デジタルデータを3つの基本的な状態で保護するために、DLPソリューションは、使用中のデータ、移動中のデータ、静止中のデータを保護する3つの機能タイプを実装しています。
使用中のデータ (Data-in-use、または「DIU」) のDLPは、エンドポイントコンピュータ上のローカルチャネル、周辺機器、アプリケーションにおけるデータのアクセスと転送操作を制御します。これには、リムーバブル、固定、リダイレクトされたストレージ、クリップボード、印刷、スクリーンショットのキャプチャなどが含まれます。
流れているデータ(Data-in-motion、または「DIM」) のDLPは、電子メール、ウェブメール、インスタントメッセージ、ソーシャルメディア、クラウドベースやP2Pファイル共有、HTTP(S)、FTP(S)、SMBプロトコルなどのネットワーク通信によるデータ漏洩を防ぎます。
保存されているデータ(Data-at-rest、または「DAR」)のDLPは、ファイル共有やNAS、エンドポイントのファイルシステム、データベース、ドキュメントリポジトリ、クラウドベースのストレージなど、企業のIT資産に保存されているデータの中から、露出した機密コンテンツを発見します。保護されていないデータが不適切な場所にある場合、 保存されているデータ(DAR)データロスプリベンションは様々な修復アクションを自動的に開始し、このデータへの無秩序なアクセスやその流出を防ぐことができます。
DLPシステムでは、コンテクストを意識した手法とコンテンツを意識した手法を用いて、データの漏洩を防ぎます。
● コンテキストを意識した制御（Context-aware controls）では、操作のコンテキスト（環境要因）や、関係するユーザー、使用するチャネル、アクセス/転送されるデータの種類、流れの方向、日時などの属性に基づいてデータ操作を制御します。
● コンテンツを意識した制御(Content-aware controls)では、アクセスまたは転送される実際の情報（データ）に基づいて操作を制御することができます。
なぜDLPが重要？
データの漏えいは、プリンターやUSB メモリなどの周辺機器やポートを介したローカルなものから、電子メール、ソーシャルネットワーク、インスタントメッセンジャー、クラウドベースのファイル共有などのネットワークを介したものまで、さまざまな方法で発生します。データへのアクセスや転送の操作が正当なものである場合もありますが、ユーザーの不注意による不用意な漏洩がないように厳重に保護する必要があります。また、機密データを権限のない第三者と共有する恐れのあるものもあり、これらは完全にブロックする必要があります。
機密データが権限のない第三者の手に渡ると、以下のような事態が発生する可能性があります。
知的財産（IP）の損失
組織は、企業、製品、サービスを差別化するための非常にセンシティブなビジネスデータを管理、保管しています。これらのデータには、財務情報、顧客情報、研究開発情報、ブランドや企業秘密、特許、数式、レシピ、デザイン、ソフトウェアコード、検索アルゴリズムなどが含まれます。これらのデータは、常に安全に保護されていなければなりません。漏洩したり紛失したりすると、企業の成功や市場での競争力に影響を及ぼす可能性があります。
規制要件への不適合
あなたのビジネスは、顧客や見込み客に関する豊富な情報を保持しています。例えば、BtoCビジネスの場合、保有する消費者データの多くは、PII（個人識別情報）、PCI（カード情報）、PHI（保護された医療情報）などの非公開情報であり、詮索されないように保護する必要があります。EU一般データ保護規則（GDPR）、カリフォルニア州消費者プライバシー法（CCPA）、国際的なクレジット産業向けのデータセキュリティ基準であるPayment Card Industry Data Security Standard（PCI DSS）、医療保険の相互運用性と説明責任に関する法律（HIPAA）などの規制要件の対象となっている場合、データ侵害や漏洩が発生すると、コンプライアンス違反による罰金、調査費用、修復費用が多額になる可能性があります。
ブランド毀損
コンプライアンス違反による罰金や修復費用に加えて、データ漏洩が発生した場合、影響を受けた顧客への補償が必要となり、最悪の場合、顧客が貴社との取引を拒否する可能性もあります。これは、ブランドの評判に影響を与え、最終的には将来の収益に影響を与える可能性があります。
DLPのベストプラクティス
DLPソリューションを導入するには、以下の推奨されるベストプラクティスに従う必要があります。
1. 漏洩から保護すべき資産を特定します。多くの組織が情報資産のリストを持っていないため、これは大きな最初のステップとなります。
2. 何が機密で個人的なもので、何がそうでないかに基づいて、レベルやカテゴリーによってデータを分類します。この作業には、データ分類ソフトウェアを使用することができます。
3. 業務を分析して、ビジネスに必要なデータフローと不要なデータフローを定義します。組織内で使用される各ビジネスデータフローは、その送信者（または送信元）、受信者（または送信先）、使用されるデータチャネル、および許容される機能カテゴリと機密性の観点からのフローデータの分類を含めて、規定する必要があります。組織内のすべてのビジネスデータフロールールの仕様を集約したものが、データ損失防止ポリシーとなります。完全に規定されている場合、組織のデータロスプリベンション（DLP）ポリシーは、保護されたエンドポイントコンピュータ上のデータ転送操作に対してデータロスプリベンション（DLP）制御を実施する際の認可基準として使用されます。制御された操作がポリシー内の許可されたデータフロールールのいずれかに一致する場合、その操作は正当であるとみなされ、続行が許可されます。しかし、制御された操作がポリシーの禁止ルールにマッチしたり、ルールに全くマッチしない場合は不正であり、データ漏洩の可能性があるとしてブロックしなければなりません。
4. .システムを組織の一部で試験的に運用し、動作を確認し、問題やビジネスプロセスの中断がないことを確認します。
5. その後、本番環境全体に導入を拡大します。
6. ビジネスに新しいユニット、組織、またはプロセスが追加された場合、関連する新しいビジネスオペレーションを実施し保護するために必要なデータフローのルールを定義し、DLPポリシーに含めます。
7.DLP ポリシーの例外は、継続的に管理する必要があります。例外を管理するには、システムがリアルタイムでセキュリティ担当者に警告を発して承認を求める方法や、セキュリティ担当者が事後的に操作を分析して、それが正当なものか悪意のあるものかを判断する方法があります。
データ漏えいの原因について
(グラフ内項目日本語）過失のあるインサイダー / サイバー攻撃 / システムの不備 / 配送中のデータ紛失 / 第三者へのデータ委託 / 実物資料の保護不備 / 悪意のあるインサイダー / その他 / わからない
データ漏えいとは、機密情報、重要情報、保護されているデータが、誤ってまたは意図的に、信頼されていない環境で、または組織の内外を問わず権限のないユーザーに公開されてしまうセキュリティ侵害のことです。図2は、データ漏洩の原因を示したもので、過失によるインサイダーの漏洩が第1位で、サイバー攻撃とシステムの不具合がこれに続きます。ここでは、悪意のある、あるいは偶発的な内部者の侵入に伴うデータリスクを明確に示すその他の統計を紹介します。
● 90%の組織がインサイダーの脅威に対して脆弱性を感じています。
● 53%が過去12ヶ月間にインサイダー関連の攻撃を経験したと報告しています。
● 72%の従業員が、企業の機密情報や規制されている情報を共有しています。
● 情報を誤って共有した従業員の45%が、その情報を誤った相手に送ってしまいました。
● 35%の従業員が、共有すべきではないと認識していた情報を共有したことがあります。
どのような企業がDLPを必要としているのでしょうか？
企業の規模にかかわらず、すべての企業や組織は、企業の機密情報を秘密にしておく必要があります。企業の機密情報の例としては企業秘密、合併・買収計画、企業の顧客データベース、財務情報、計画中の製品開発活動などがあります。これらの情報が漏洩した場合、企業は深刻な影響を受け、収益や市場での競争力を失い、さらには廃業してしまう可能性もあります。データ損失は、あらゆる規模の企業に壊滅的な影響を与えます。どの企業もデータ損失と無縁ではいられないのが厳しい現実です。財務上の損失以外にも、データ損失は生産性、収益、顧客の喪失につながります。また、データ損失の長期的な悪影響として、企業の評判を落とすこともあります。
同様に、政府、医療、金融サービスなどの規制の厳しい業界に属し、PII（個人識別情報）、PCI（カード情報）、PHI（保護された医療情報）、または政府や業界の規制でセキュリティやプライバシーに関する要件が課せられている消費者情報を保持している組織は、DLPソリューションを必要としています。したがって、データを保護し、知的財産を守り、規制に準拠するためには、データ損失防止戦略が不可欠です。DLPシステムは、企業の機密/分類データが失われたり、誤って取り扱われたり、権限のないユーザーによってアクセスされたりしないようにします。
Acronis DeviceLockで DLPを
Acronis DeviceLock DLPは、インサイダーによるデータ漏えいのリスクを大幅に低減するエンドポイントデータ損失防止ソリューションです。コンテンツ分析とフィルタリングを組み合わせたきめ細かなコンテクスト制御を実施し、データへのアクセスや転送操作をブロックまたは許可します。Acronis DeviceLock DLPは、使用中、移動中、静止中のセンシティブなデータを徹底的に保護するために、データ漏洩のリスクを大幅に低減し、情報セキュリティ監査やコンプライアンスの取り組みをサポートする豊富な機能を備えています。Acronis DeviceLock DLPは、複数の補完的な機能別コンポーネントで構成されており、お客様はセキュリティ要件や予算に応じて最適な構成を選択することができます。
Acronis DeviceLock DLPを使えば、次のようなことが可能です。
インサイダーの脅威を最小限に。
データへの不正なアクセスや転送の試みをブロックすることで、従業員の過失や悪意のあるインサイダーによるデータ漏洩を防ぎます。
データ保護を可視化。データの流れやユーザーの行動を徹底して可視化する単一のソリューションを使用することで、データ保護の複雑さを軽減します。強力な内蔵レポートツールにより、レポート作成時間を短縮します。
プロセスコンプライアンスの強化。ユーザーが避けることのできないデータの使用および処理ポリシーを実施することで、情報セキュリティリスクを低減し、ITセキュリティ基準や規制を遵守します。
Acronis DeviceLock DLPは、習得、展開、管理が容易なエンドポイントDLPで、データ漏洩を根本から阻止し、コンプライアンスを強化します。
※このブログは英語版ブログ "What is data loss prevention?"の抄訳です。
アクロニスについて
アクロニスは2003年にシンガポールで設立されたスイス企業です。アクロニスは、世界15か所のオフィスと50カ国以上で拠点を擁しており、Acronis Cyber Protectソリューションは150カ国に26言語で提供され、2万社を超えるサービスプロバイダーで利用されており75万社を超える企業を保護しています。
