DLP製品は、自社の機密がメール、USB、クラウドのどの経路で外に出るかに合わせて範囲を選び、誤検知に誰が対応するかで絞り込みます。機能の数を並べて比べても、自社に必要な範囲は見えてきません。
今日やることは、守りたい情報を3つ挙げ、それぞれが普段どの経路で社外に出ているかを書くことです。図面なら協力会社へのメール、見積書なら取引先のポータル、というように、正常な業務の経路から書きます。比較表の「必要な列」がこれで決まります。
なぜ経路から考えるのか？
正常な業務と持ち出しは、同じ経路を通るからです。協力工場へ図面をメールで送るのは仕事で、同じ図面を個人のアドレスへ送るのは持ち出しです。経路と相手を分けて書かないと、DLPのルールも作れません。
内部不正への備えは、経営の課題として挙がり続けています。IPAの情報セキュリティ10大脅威 2026で、組織向けの「内部不正による情報漏えい等」は7位で、11年連続の選出です。
ただ、製品を入れる前に片づく問題もあります。IPAの2023年度の中小企業の状況調査によると、中小企業で秘密情報の格付け表示が実効性を持って行われている割合は22%前後です。どれが機密かが社内で決まっていなければ、DLPに判定の条件を渡せません。
IPAの組織における内部不正防止ガイドラインは第5版が公開されています。秘密情報の決め方は、製品選びと並行してここで確かめます。
製品はどんな型に分かれる？
見える範囲で分けると、3つの型があります。
| 型 |
主に見る経路 |
公式で確かめた例 |
気をつける点 |
| 端末型 |
USB、印刷、Webへの送信 |
CWAT、SKYSEA Client View |
PCに入れるソフトの管理 |
| 通信型 |
メール、Web、ファイル共有 |
Check Point |
その通信機器を通る分だけ |
| 統合型 |
端末、メール、クラウド |
Microsoft Purview、Forcepoint |
基盤との相性と設定の量 |
端末型の例を公式の説明で見ます。CWATは、Webアップロード、印刷、メール、外部デバイスを制御の対象に挙げ、重要情報をキーワードで定義して識別します。オンプレミス版とクラウド版があります。
SKYSEA Client Viewは、USBデバイスやメディア1つずつに「使用不可能」「読み取り専用」といった制限を設定できます。ネットワークの区画ごとの制限もあります。
通信型の例では、Check Pointのネットワーク向けDLPが次世代ファイアウォールに統合されていて、メール、Web、ファイル共有の移動中のデータを追跡します。
統合型の例です。Microsoft Purviewは、Exchange、SharePoint、OneDrive、Teamsなどと、WindowsとmacOSの端末、オンプレミスのファイル共有を対象にしています。Forcepoint DLPは、ポリシーと分類のテンプレートが2,000以上あり、オンプレミス、クラウド、ハイブリッドで導入できるとしています。
Google Workspaceを使っているなら、Workspace自体のDLPでも、機密情報の共有を止める、警告する、記録するといった動作を設定できます。契約中のサービスで足りるかを先に確かめると、余計な製品を増やさずに済みます。
監視する範囲はどう確かめる？
自社の経路を1行ずつ、製品が「見える」「止められる」「どちらもできない」で埋めます。営業資料の「対応」だけでは、見えるのか止められるのか分かりません。
範囲で確かめる項目
- メール：社外宛の添付の中身まで見るか。使っているメールサービスに対応するか
- USB：機器ごとの許可ができるか。読み取りだけ許す設定があるか
- クラウド：会社のアカウントと個人のアカウントを区別できるか
- 生成AI：入力やアップロードを見られるか
- 社外のPC：社内ネットワークの外でもルールが効くか
生成AIは、新しく検討に入る経路です。FortiDLPはChatGPTやGeminiなどの利用に方針を設定でき、CWATも生成AIへのアップロードの検知と制御を案内しています。IPAの10大脅威 2026では、「AIの利用をめぐるサイバーリスク」が組織向けの3位に初めて入りました。
クラウドの利用全体を見たいなら、DLPだけで考えないほうが見通しがよくなります。誰がどのサービスを使っているかの把握はCASBの製品比較の領域で、USBだけの制御で足りるならUSB・デバイス制御の製品比較で範囲を絞れます。
運用の手間はどこで差が出る？
導入後に手間がかかるのは、誤検知の見直しです。引っかかったものが本当に持ち出しなのかを誰かが見て、条件を直す仕事が続きます。ここに担当がいないと、通知が放置されやすくなります。
機密の見分け方
判定の仕方によって、手間の出どころが変わります。キーワードで定義する方式は、始めやすい反面、語の選び方で誤検知が増えます。テンプレートを多く持つ製品は、クレジットカード番号のような定型の情報には向きますが、自社独自の情報は自分で条件を作ることになります。
製造業で確かめたいのは、図面そのものを判定できるかです。CADや画像のファイルの中身を読めるかは製品で違います。公式の資料で分からなければ、自社の実ファイルで試用して確かめます。読めない場合は、保存するフォルダで判定する方法があるかも聞きます。
違反したときの動作
いきなり止めるだけではない製品があります。Microsoft Purviewは、警告を出す、理由を入力すれば進める、完全に止める、といった動作を選べます。Check Pointも、利用者に通知し、送信の理由を入力させる動作を案内しています。
理由を入力して進める動作は、中小企業の運用に合いやすいと私たちは考えます。止めすぎて仕事を止める心配を減らしつつ、記録は残るからです。
記録から始められるか
新しいルールは、止める前に試せると楽です。Microsoftのシミュレーションモードは、ルールを実際には適用せずに動かし、一致した項目を別の画面で確かめられます。最長15日間動かせ、誤検知を減らす調整に使うと説明しています。
別の製品でも、同じことができるかを聞きます。「記録だけのモードはあるか」「結果を部署別に見られるか」「条件を変えたときの影響を試せるか」の3つです。
比較表にない確認
誤検知を見る人を、製品を決める前に1人決めます。週に何分使えるかが分かれば、細かく調整が要る製品が自社に合うかも判断できます。外部に任せるなら、その費用も比較に入れます。
製造業の場合はどう当てはめる？
たとえば、社員100人の部品メーカーで、工作機械へのプログラムの受け渡しにUSBを使っている場合を考えます。
USBを全面禁止にすると、現場が止まります。登録した機器だけを許可し、事務所のPCでは読み取り専用にする、という分け方が必要です。比較表には「機器ごとの許可」「部署ごとの設定」の列を足します。
図面のメール送信は、協力会社のドメインを許可先に入れておかないと、毎回通知が鳴ります。最初の数週間は記録だけにして、よく送る相手の一覧を作ってからルールにします。
退職前の持ち出しが心配なら、ログをどれだけ残せるかも見ます。CWATは通常操作と違反操作のログを分けて扱い、違反を管理者にリアルタイムで通知すると案内しています。不正の証拠として使う場面まで考えるなら、誰がログを見られるかも決めておきます。
価格はどう比べる？
単位と最小の数が製品で違うため、単価だけでは比べられません。2026年11月に公式ページで確かめた例です。
前者はデバイス制御、後者は端末の情報漏えい対策の製品で、機能の範囲が同じではありません。公開していない製品も多く、DLP製品の比較でも単位と中身が揃わないものは高低を付けていません。
見積もりを取るときは、台数の数え方、サーバーの費用の有無、ログを保管する期間の上限、試用の可否を同じ紙で聞きます。
比較の前に揃えておくもの
見積もりを依頼する前に、次の4つを手元に置きます。
- 守りたい情報と、それが通る経路の表
- PCの台数とOS、社外に持ち出すPCの台数
- 使っているメールとクラウドのサービス名
- 誤検知を見る担当者と、使える時間
これがあれば、説明を受ける時間も短くなります。漏えい対策の全体像は情報漏えい対策のカテゴリにまとめています。IDの乗っ取りからの持ち出しも経路の1つなので、多要素認証の種類と費用の比較や、多要素認証と二段階認証の違いもあわせて確かめると、守りの抜けが見つけやすくなります。
