データ損失防止（DLP）とは

DLP とは、Data Loss Prevention（データ損失防止）の略です。DLP とは、ネットワーク管理者が使用することで、 機密データが権限のないユーザーによってアクセスされたり、誤用されたり、失われたりしないようにすることができるツールやプロセスからなるアプローチまたは一連の戦略を指します。DLP が導入されている場合、ユーザーは機密情報や重要な情報を組織のネットワーク外に送信することはありません。ネットワークユーザーは、誤って、または悪意を持ってデータを共有することにより、ネットワークの所有者である組織に損害を与える可能性があります。例えば、ビジネスメールを企業ドメイン外に転送したり、機密ファイルを Dropbox などの商用クラウドストレージサービスにアップロードしたりすることが挙げられます。DLP ソフトウェアは、ビジネスクリティカルなデータ、機密データ、規制対象データなど、機密データを分類して保護します。

DLP を導入すべき理由

DLP ソフトウェアの普及にこれほど好都合な状況はありません。情報漏えいにより流出するデータ量は年々増加しています。情報漏えいの 60～70% が一般に公表され、企業の評判や財務に大きな影響を与えています。 IT リーダーの 84% が、リモートワークでは DLP がより大きな課題となると考えています。。 11 秒ごとに 1 回、企業がサイバー攻撃の被害に遭っています。米国における、平均的なデータ侵害のコストは 944 万ドルです。。 DLP は、個人情報保護/コンプライアンス、IP 保護、データの可視化という、組織の IT セキュリティにおける 3 つの一般的な課題に対応しています。

• 個人情報保護/コンプライアンス：PII、PHI、PCI を収集・保管する組織のほとんどは、HIPAA や GDPR などのコンプライアンス規制の対象になります。したがって、顧客の機密データを保護する必要があります。
• IP 保護：組織が価値ある IP、企業秘密、あるいは国家機密を保有している場合、それらの紛失や盗難によって、組織は危機に瀕する場合があります。コンテキストベースの分類を使用する DLP ソリューションは、構造化および非構造化形態の IP を分類することができます。ポリシーと制御を通じて、データの流出を阻止することができます。
• データの可視化：包括的なエンタープライズ DLP ソリューションは、エンドポイント、ネットワーク、クラウドのデータを監視し、追跡することができます。これにより、組織内のユーザーがどのようにデータを扱っているかを確認できます。

DLP は、インサイダー脅威、Office 365 のデータセキュリティ、ユーザー/エンティティの行動分析、高度な脅威に関する監視にも効果的です。

データ損失防止のベストプラクティス

DLP の導入を検討する際には、すべてのデータが重要なわけではないということを念頭に置いておくことが重要です。組織によって、優先すべきデータは異なります。盗まれたら一番困るデータはどれですか？最初の DLP 戦略 は、その保護に焦点を当てます。

データをコンテキストによって分類することを検討します。分類をソースアプリ、データストア、または作成者ユーザーに関連付けます。永続的な分類タグを付けることで、組織がデータの使用を取引することができます。

トレーニングやガイダンスにより、内部関係者による偶発的なデータ損失のリスクを軽減することができます。高度な DLP ソリューションでは、データの利用が会社のポリシーに反したり、リスクを高める可能性がある場合に、従業員に警告するユーザープロンプトを提供し、リスクを伴う活動を制御します。

DLP の導入を成功させるには、組織でデータがどのように使用されているのか、リスクを伴う行動をどのように特定することができるかを理解する必要があります。組織は、機密性の高いデータに何が起こっているかを観察し、DLP 戦略が対処すべき問題を理解するために、戦略の一環として、移動中のデータを監視する必要があります。

当然、パートナー、顧客、サプライチェーンなど、データの行き先によってリスクの度合いは変わってきます。多くの場合、メールやリムーバブルストレージデバイスなど、エンドポイントでの使用時に最大のリスクを伴います。堅牢な DLP プログラムは、モバイルデータのこうしたリスクを考慮しています。

データ保護の主な目的は何でしょうか？おそらく、特定のデータ型に限定されるものではないのでしょう。知的財産の保護、法規制への対応、データの可視化は、いずれも重要な目標です。目的を設定することで、DLP ソリューションの効果的な展開方法を決定しやすくなります。

DLP に関しては、基礎を疎かにしないことが重要です。最初に定義したアプローチに対して、すぐに達成可能かつ測定可能な目標を設定します。プログラムの最初の範囲を狭めて、特定のデータ型に焦点を当てるプロジェクトアプローチを取ることもできます。例えば、機密データの検出と分類の自動化に注目することができます。これは、最初から過度に凝った野心的な目標を展開するよりも良い戦略です。

DLP プログラムを展開する際には、KPI を決定し、監視することで、成功や改善点の指標を得ることができます。これらの指標を組織のリーダーと共有することで、DLP がもたらす価値を示すことができます。

最初の DLP プログラムを展開する際には、間違っても各部署に個別に導入しないようにしましょう。一貫性のない場当たり的な DLP プラクティスを導入すると、直接関係のない組織内の部署からは無視され、リソースの無駄遣いになってしまいます。

これに関連して、CFO や CEO など組織の幹部からの承認 を得て、承認された DLP プログラム予算を調達すべきです。DLP が、利益率の向上や資産の効率的な活用（DLP によって人員を増やす必要がなくなるため）など、さまざまな事業部門の悩みを解決する方法を説明します。これにより、組織全体へのプログラムの採用を提唱、調整しやすくなります。事業部門の責任者と協力して、組織データを管理する DLP ポリシーを定義することにより、すべての事業部門がポリシーとそれに関与する方法、その影響を把握することができます。