DLPとは？情報の持ち出しを防ぐ仕組みと導入で失敗しない進め方を解説

DLPとは、Data Loss Preventionの略で、機密情報を見つけて監視し、不適切な共有や持ち出しを警告や遮断で防ぐ仕組みです。導入で失敗しないためには、いきなり遮断せず、まず記録だけを取って社内の実態を見てから強めます。

今日やることは、守る情報を3種類に絞ることです。たとえば図面、顧客リスト、従業員の個人情報。全部を守ろうとすると検知の条件が作れず、最初の段階で止まります。

DLPは何をする仕組み？

見つける、見張る、動く、の3つです。MicrosoftのDLP製品の説明を例に見ます。

見つける方法は、キーワードとの一致、正規表現、近くにある別の語との組み合わせ、機械学習などです。単純な文字検索より、中身に踏み込んで判定します。

見張る場所は製品によって違います。Microsoft Purviewの場合はExchange、SharePoint、OneDrive、Teams、Windows 11などの端末、社内のファイル共有などです。Google Workspace⁠の場合は、ドライブやGmailのDLPの案内があり、ドライブではファイルのダウンロードや印刷、コピーを止める設定の案内もあります。

動き方は段階があります。同じMicrosoftの説明には、次の動作が並んでいます。

• 機密情報を不適切に共有しようとしている可能性を、利用者に警告する
• 共有をブロックするが、利用者が理由を書けば上書きできる
• 上書きを許さずブロックする

端末の場合は、エンドポイントDLP⁠でファイルの動きを監査または制限できます。USBへのコピーやクラウドへのアップロードが対象です。

DLPで監視する操作は既定で監査ログに残ると、Microsoftは説明しています。この「記録と遮断を分けられる」⁠点⁠が⁠、次の進め方の土台です。

なぜいきなりブロックすると失敗する？

検知の条件は、最初から正確には作れないからです。 製造業の例で考えると分かりやすくなります。

たとえば、図面を社外へ出さないために「図番」⁠の形式を検知条件にした会社を考えます。しかし、取引先に図面を送るのは日常の業務です。遮断をいきなり有効にすると、見積もりに必要な図面が届かず、現場は別の方法で送り始めます。私物のメールやファイル転送サービスに流れれば、記録さえ残らなくなります。

逆に、条件が緩いと今度は漏らします。ここを埋めるのが記録の期間です。実際に何がどこへ動いているのかを見てから、条件を決めます。

Microsoftのシミュレーションモードの説明も、強制せずにポリシーの影響を確かめ、利用者や業務に影響を与えず誤検知を減らす使い方を、導入の手順に組み込むよう書いています。シミュレーションは最大15日間実行でき、その間に一致した項目を一覧で確かめられます。

業務を止めない4段階の進め方

段階を分けて、次へ進む条件を先に決めます。期間は業務の周期に合わせて調整してください。

1 記録：まず実態を見る

対象は決めた3種類の情報、場所はメールなど1か所に絞ります。月末の請求や月次の報告など、周期のある業務が1回⁠は入る期間を取ると、通常の動きを取りこぼしにくくなります。

この段階で見つかるのは、たいてい想定外の経路です。取引先に毎週同じファイルを送っている担当者や、自宅作業のために個人のクラウドへ送っている人など。責めるためではなく、業務の流れを知るために見ます。

2 警告：本人に気づいてもらう

送る瞬間の警告は、本人が宛先や添付を見直す機会になります。Microsoftの説明にある警告の表示は、この段階にあたります。問い合わせが増えるので、担当者を決めておきます。

3 理由つき許可：業務を通しながら記録する

ここが現場との落としどころです。正当な理由があれば本人の判断で送れますが、理由は記録されます。たまった理由を見ると、「この取引先への図面は正当」のような例外が見えてきます。

4 遮断：絞って止める

一律に止めるのではなく、絶対に出てはいけない情報と経路に絞ります。たとえば、登録された取引先以外への図面の送信、個人向けのクラウドへのアップロード、USBへのコピーなどです。

導入前に確かめること

すでに契約に含まれていないか

Microsoft 365やGoogle Workspaceを使っている会社は、契約のプランによってDLPの機能が使える場合があります。Microsoftの説明によれば、場所ごとに前提条件が異なり、Exchange Onlineなどはポリシーを設定するだけで対象にできますが、社内のファイル保管場所などは別の準備が要ります。新しい製品を比べる前に、今の契約で何が使えるかを確かめてください。

別製品が要るのは、社内のファイルサーバーやCADの端末など、対象の場所が今の製品で足りないときです。場所の違いはDLP製品の比較で見比べられます。

DLPより先に塞げる穴はないか

共有設定やアクセス権が広いままDLPを入れても、警告が多すぎて見きれません。社内から漏れる4つ⁠の経路の整理⁠にある設定の見直しを先に済ませます。USBだけが心配なら、USBなどのデバイス制御製品の比較で足りる場合もあります。

DLPが止めるのは、情報が道具を通って動く場面です。画面をスマホで撮るような持ち出しは端末の外で起きるので、撮影機器の持ち込みの制限のようなルールと組み合わせます。IPAの営業秘密管理の実態調査2024の概要でも、社外への不正持ち出しの防止策としてUSBメモリや撮影機器等の持ち込み・持ち出しの制限が上位に入っています（28.8%・1,200人⁠の複数回答⁠）⁠。

記録を誰が見るか

機密情報の動きを記録すると、社員の業務上のやり取りの一部が見えます。記録を見る人を決め、記録を取る目的と範囲を、導入の前に社内へ説明してください。

Microsoftも、DLPの実装には利用者の教育と慣れが、ポリシーの調整と同じくらい大切だと書いています。個人データの扱いが関わるので、総務が押さえる個人情報保護法の義務⁠もあわせて確かめておくと、説明の材料になります。

退職前の大量コピーのように、一人ひとりの普段と違う動きを見つけたい場合は、DLPの検知条件だけでは難しいことがあります。その場合は内部不正対策製品の比較で扱う分野を見ます。IPAの組織における内部不正防止ガイドラインも、社内の体制づくりの参考になります。

DLPとEDRはどう違う？

見ている対象が違います。DLPは情報の動きを見て、機密情報がどこへ出ていくかを扱います。EDRは端末上の不審な動きを見て、攻撃の検知と対応を扱います。社員の持ち出しや誤送信を心配しているならDLP、ランサムウェアなどの侵入を心配しているならEDRなどエンドポイント製品の比較⁠の分野です。片方でもう片方の代わりにはなりません。

誰が運用するか

専任者がいなくても回せるように、見る頻度と判断する人を絞ります。

情シス兼任の担当者が毎日すべての記録を見るのは現実的ではありません。週に1回⁠、一致の多い順に見る。遮断の例外は総務の責任者が決める。条件の見直しは四半期に1回⁠。この程度の決め事があれば続けられます。運用を外部に頼むなら、誰が例外を判断するのかを契約の前に確かめます。

私たちはセキュリティ製品の開発会社ではなく、ここで例に挙げた機能は各社の公式資料で確かめたものです。自社に合うかは、守る情報の場所と、記録を見る人の時間で決まります。情報漏えい対策全体の中での位置づけは、情報漏えい対策のカテゴリ⁠にまとめています。