サイバーセキュリティの中で、データ損失防止（DLP）と呼ばれる分野は必要ないと思われるかもしれません。データの保護がセキュリティのすべてではないでしょうか？ そのとおりです。しかし、非常に貴重な機密データの損失を防止するには、その取り組みに対して首尾一貫した組織的アプローチを取る必要があります。まさにそれがDLPです。DLPではデータの損失や漏洩を検知して防止します。その目的を達成するために、従業員やプロセス、テクノロジーを組み合わせます。
DLPは、IT運用、サイバーセキュリティ、コンプライアンスのさまざまな領域と重なっています。DLPの導入がどんなに複雑になろうとも、DLPの核となる目的は同じです。DLPの目的は、侵害や窃取、あるいは悪意のある暗号化からデータの損失を防止することです。
DLPを単なる製品と捉える人もいます。確かに、優れたDLP製品は数多く存在します。そのため、DLPを成功させるには、優れた製品を手に入れることが必要不可欠です。しかし、Gartnerが述べているように、「データ損失防止テクノロジーは、『設定して忘れる』テクノロジープラットフォームではなく、企業全体を巻き込んだプロセスでサポートした場合に最も効果を発揮」します。
心に留めておくべきもう一つの要素は、データ損失はサイバー攻撃によってのみもたらされるリスクではないということです。実際、本当に有害なデータ損失インシデントは、不注意やずさんなデータ管理方法により偶発的に生じています。目標は企業データを失うことなく事業を運営することです。
DLPは複数の機能領域を対象としています。これには、データセキュリティのほか、暗号化、バックアップなどのデータレジリエンスプロセス、データガバナンスなどの関連対策が含まれます。DLPを機能させるには、核となる次の4つのアクティビティに取り組む必要があります。
データの特定：データは、その種類と保存場所を把握して初めて保護することができます。組織には独自のデータ環境があり、そこには形式もさまざまで機密度も異なる多様なデータが存在しています。効果的なDLPは、自社の機密データがどのようなもので構成され、どこに保存されているかを把握することから始まります。
データの保護：データの保護は、データ暗号化やアクセス制御などのデータ損失防止の管理および対策の適用や、データのバックアップと復元機能を通じて行われます。
偶発的なデータ損失の防止：従業員が、ときには驚くほど簡単に、そしてしばしばまったくの偶然からデータをなくすことがあります。過ちの種類は、データの過剰共有からパスワードの共有やパブリッククラウドプラットフォームでの不正なデータ保存まで多岐にわたります。
データの管理：データを損失から守るには、データのライフサイクルを網羅するデータガバナンスポリシー（保持や削除など）や、機密データの保存ルールなどが必要です。
DLPがデータセキュリティと異なるのはどのような点でしょうか？ この2つの機能領域は重複していますが、はっきりとした違いがあります。データセキュリティは管理、慣行、テクノロジーで構成され、それらによって侵害や不正アクセスからデータを保護します。その慣行や管理の概観はDLPと同じではありません。データセキュリティでデータのインベントリを作成したりデータを分類したりすることはありません。また、偶発的なデータ損失は関係ありません。
DLPはもっと幅広く捉えます。DLPソリューションは、統一されたポリシーの定義と管理を実現することで、機密データを侵害、漏洩、不正アクセスから保護します。単一のDLPポリシーセットを通じて、データセキュリティ対策の管理を一元化できる場合もあります。また、DLPソリューションでは、データアクセスと関係しているユーザーの行動を監視し、疑わしい状況に対して警告を発する場合もあります。従業員があまりにも大量のファイルを社外と共有しているようなケースです。これは単なるミスのせいかもしれませんし、サイバー攻撃の証拠かもしれません。この場合、DLPソリューションはセキュリティ運用センター（SOC）のチームや一連のツールと連携していることが想定されます。そのプロセスは通常、かなりの部分が自動化されています。
DLPでは次の3つのタイプが主流です。
ネットワークDLP：ネットワークDLPは、ネットワークで転送中のデータを保護します。悪意のある攻撃者はネットワークトラフィックを傍受して、メールサーバーやアプリケーションなどからデータを盗むことができます。ネットワークDLPソリューションは、ネットワークトラフィックを監視してデータ損失の兆候を見つけ出し、疑わしいデータ転送が見つかると警告を出します。
ストレージ/クラウドDLP：このタイプのDLPは保存中のデータを保護します。このプロセスでは、データの保存場所を問わずデータを分類し、通常は暗号化を使用して保護します。これは、オンプレミス、クラウド（パブリックとプライベート）、ハイブリッドまたはマルチクラウド環境で保存されているデータに適用されます。
エンドポイントDLP：エンドポイントDLPでは、社内ネットワークにアクセスするデバイス（スマートフォン、ノートPC、サーバーなど）のデータを確実に保護します。エンドポイントDLPでは、データ損失の兆候を見つけるためにクライアント側のネットワークを監視したり、強力なパスワード、アクセス制御、暗号化などDLPに関連するポリシーを適用したりします。
なぜDLPを実行すべきなのでしょうか？ 一つには、データ損失の事例が増加傾向にあり、年々悪化しているからです。たとえば、あるデータブローカーが明らかにしたところによると、同社は漏洩の被害に遭い、結局、米国のほぼすべての社会保障番号を損失しました。 YahooやAlibaba、LinkedIn、Marriottなどの主要ブランドも同様の被害を受けています。こうしたインシデントは評判を落とすだけでなく、修復に多大なコストがかかる場合があります。規制当局の介入を受ける可能性もあります。
DLPはデータセキュリティおよびプライバシーを扱う規則に定められていないかもしれませんが、コンプライアンスの達成や維持に大きく関わることがあります。GDPRやCCPAなどの規則では、消費者の個人データの流出を防止するための管理が義務付けられており、データ漏洩に伴って違反が生じた場合は罰則を科されます。HIPAAでも同様に、管理の不備によって個人の医療情報が漏洩すると、罰則を科されます。
DLPを成功させるには何が必要でしょうか？ DLPは、ITやセキュリティの専門家がその導入と効果的な実施を促進する多数のベストプラクティスを採用してきた、十分に成熟したセキュリティ分野です。プロセスや手順の文書化、要件の定義といった、あらゆるITまたはセキュリティプロジェクト向けの標準的なベストプラクティスのほかにも、DLPで非常に重要なベストプラクティスには次のものがあります。
機密データの特定と分類：社内データのうち、損失の防止を最も必要としているのはどれでしょうか？ ドキュメントやメールなどの非構造化データをこの検討過程に含める必要があります。優れたDLPソリューションでは、損失防止策のために最優先データにラベルを付けることができます。
IT資産の一番の弱点の特定と保護：攻撃者は非常に巧みにネットワークやデータストレージインフラストラクチャに侵入する経路を見つけ出します。従業員がそれに関連した一番の弱点となる場合があります。従業員のアクセスを業務遂行に必要なデータのみに制限できるアクセス制御は、極めて重要です。
クラウドのデータのバックアップ：クラウドに保存されているデータのバックアップを取ることはDLPプログラムの重要な要素です。クラウドでは、バックアップにおいて地理的多様性を得られ、ダウンしたシステムを迅速に復旧できます。
従業員および他のデータユーザー（請負業者など）の研修と教育：ユーザーが誤ってデータ損失を引き起こす可能性があることを考えると、DLPでよい成果を出すには研修が不可欠です。
サイバーハイジーンとの整合性の保持：ネットワークやシステムの安全確保は、正式にはDLPプログラムにないとしても、DLPには不可欠です。パッチ管理やパスワードのローテーション、多要素認証（MFA）などの数々の手法で、悪質な攻撃者からデータを保護できます。
成功指標の確立：定量化できる追跡測定を使用してDLPプログラムを追跡できると、プログラムの成果を経営陣や他の利害関係者に説明できます。たとえば、特定期間に発生したデータ損失インシデントの回数や、対応と修復に要した期間の追跡が可能です。理想的には、これらの指標を使ってDLPの実施を向上させることができます。
役割と責任をはっきりさせるのもよい考えです。DLPを所有し、何を期待されているかを理解している人が必要です。制御レベルでは、故意か偶然かにかかわらず、データ損失のリスクにさらされる状況をユーザーが生み出すような事態を防ぐには、職務の分離（SOD）が適切な方法かもしれません。
エンドポイントの検知と対応（EDR）とDLPの両方とも必要なのか、疑問に思う人がいるかもしれません。そのように思う理由は、効果的なEDRソリューションがあれば、ハッカーがネットワークに侵入しないよう阻止し、攻撃を検知し、攻撃が成功しないよう防御できるからだと思われます。または、EDRは対処すべきセキュリティインシデントの発生をセキュリティチームに知らせるからでしょう。
しかし、EDRとDLPは目的が異なっています。両方とも必要です。DLPは、データを保護するために分類や優先順位付けをするという、より大きな役割を担っています。また、エンドポイント、ネットワーク、ストレージ、クラウド全体で統一されたポリシーを設定し、適用することを目指しています。ポリシーを適用するためにEDRとDLPの連携が必要になる場合もあります。
効果的なDLP戦略は次の3つのステップで構成されています。
機密データの特定：DLPソリューションは組織全体に存在する機密データを検知できますが、Rubrikが提供しているような他のデータ分類ツールは、そのプロセスを増強することができます。
保護：このステップでは、データを暗号化したり不正アクセスを防止したりする管理の定義と導入を行います。
監視と対応：このステップでは、継続的な調査と、検知された脅威を軽減する迅速な行動で、DLPの全体像を完成させます。
市場には、データ流出や組織データへの不正アクセスの防止に役立つ優れたDLPソリューションが数多く出回っています。とはいえ、実際にDLPプラットフォームを入手する前に、すでに手元にあり、データ損失防止の成果を促進できるソリューションについてじっくり検討するのが最も適切です。
アプリケーション、データベース、ネットワークの既存の管理機能で、DLPソリューションと同じポリシー目標の一部を実現できる可能性があります。 バックアップと復元ソリューションも、データ漏洩やランサムウェア攻撃を被った後でもデータの可用性を確保して、DLPの任務を果たすことができます。
また、組織はそれぞれ独自のDLP戦略を持つ必要があります。企業規模や業種によってもDLPの性質は異なります。たとえば、小規模の医療ビジネスには大規模な産業企業とは異なるDLPプロファイルがあります。どんな組織にも独自のデータ保護の優先事項があります。たとえば、製薬会社にとっては知的財産データが保護すべき最大のデータ資産であり、一方、金融会社は取引データを保護する必要があります。