情報漏えい対策ツールは、DLP、操作ログ、デバイス制御、暗号化の4種類で守る場面が違うので、同じ種類どうしで比べます。導入の順番は、暗号化、デバイス制御、操作ログ、DLPの順に検討するのが、私たちの答えです。
今日やることは、自社の情報が社外へ出る経路を5分で書き出すことです。ノートPCの持ち出し、USBメモリ、メール、クラウドへの保存、印刷の5つを紙に書きます。経路ごとに「今は何で防いでいるか」を横に書くと、どの種類が要るかの見当がつきます。
4種類の道具は、何が違う？
同じ「情報漏えい対策」の名前でも、4種類は仕事が違います。価格や機能の一覧を比べる前に、次の表で分けます。
| 種類 |
仕事 |
守りにくい場面 |
| DLP |
機密情報の持ち出しを検知し、警告や遮断をする |
判定の設定が甘いと見逃し、厳しいと業務が止まる |
| 操作ログ |
誰がいつ何をしたかを記録する |
記録するだけの設定では、持ち出しそのものは止まらない |
| デバイス制御 |
USBメモリやスマートフォンなどの利用を管理する |
メールやクラウドへの送信 |
| 暗号化 |
紛失や流出のときに中身を読めなくする |
権限のある社員が開いたあとの持ち出し |
DLPについて、IPAの情報セキュリティ10大脅威2026の解説書は、特定のデータのコピー等の持ち出しを検知してブロックするものと説明しています。意図的な持ち出しのほか、誤送信のような作業ミスによる漏えいの防止も挙げています。
操作ログの例として、MaLionCloudの公式ページは、Webアクセス、メール、ファイルアクセス、USBメモリ、プリンター出力を監視の対象に挙げています。同じページには、一部の環境でWebアップロードのログを収集できない場合があるとの注記もあります。「何でも記録できる」と思わず、自社の環境で確かめます。
デバイス制御の例として、秘文 Device Controlの公式ページは16種類のデバイスの制御を案内しています。同じページはスマートフォンのテザリングの制御や、OutlookとTeams経由の持ち出しの抑止も挙げていて、名前が同じでも範囲は製品で違います。SKYSEA Client Viewの公式ページは、デバイスごとに使用不可能や読み取り専用を設定できるとしています。ただし日立ソリューションズの解説は、個体を識別する情報を持たないUSBメモリーでは個体での制御を利用できないと注記しています。
暗号化は、ノートPCの全体を守るものと、ファイルごとに守るものに分かれます。社内のPCの紛失については、Windowsのファイル暗号化の違いで詳しく整理しました。
どの順番で入れる？
次の順番は公的に決まったものではなく、費用と手間の小さいものから効きを確かめるための、私たちの整理です。
1. 暗号化：今のWindowsでできるところから
BitLockerはWindows Proなどのエディションで有効にでき、紛失、盗難、不適切な廃棄によるデータの盗難や漏えいの脅威に対処する機能です。追加のソフトを比べる前に、社内のノートPCで有効になっているかを確かめます。台数の管理や起動前の認証まで求めるなら、ファイル暗号化・ディスク暗号化の比較で専用の製品を見ます。
2. デバイス制御：経路を1つずつ塞ぐ
USBメモリを業務で使わないなら、機器の種類ごとに禁止します。使う部署には、登録した機器だけを許可するか、読み取り専用にします。方針がはっきりしていて、設定の結果が分かりやすいので、暗号化の次に向きます。製品はUSB・デバイス制御の比較で見比べられます。
3. 操作ログ：記録を残して、調べられるようにする
デバイス制御で塞げないメールやWebの持ち出しは、記録で補います。IPAの解説書も、秘密情報へのアクセス履歴や操作履歴のログと監視による早期の検知を、内部不正の対策に挙げています。製品の違いは内部不正対策・操作ログ監視の比較で確かめられます。
4. DLP：守りたい情報を決めてから
DLPは最後に検討します。何が機密かを決めてからでないと、判定の設定ができないからです。Microsoft Purviewの説明も、制限の厳しいモードの前にシミュレーションモードで展開し、影響を評価するよう求めています。同じ説明によると、利用者への対応は、警告を出す、理由を記録して上書きを認める、上書きなしで遮断する、のように段階を分けられます。止める範囲は、記録の結果を見ながら広げます。
順番を入れ替えていい場合
メールの誤送信がすでに何度も起きているなら、メール誤送信対策を先にします。どの原因が多いかは、個人情報漏えいの原因の統計を参考にしつつ、自社の事故の記録で判断します。
費用は、どう比べる？
単位がそろわないので、そのまま金額を並べても比べられません。公式に出ている例を見ると、違いが分かります。
見積もりを取る前に、PCの台数、契約の年数、最小の契約数をそろえます。買い切りと年額が混ざっているので、3年分の合計で比べると差が見えます。Microsoft 365を使っている会社は、今の契約に含まれる範囲を先に確かめます。
操作ログを始める前に決めることは？
操作ログは、社員の行動の記録を扱います。個人情報保護委員会のQ&A（Q5-7）は、従業者のモニタリングについて、目的をあらかじめ特定して社内規程に定め、従業者に明示することなどを留意点に挙げています。実施の責任者と権限を定めることも挙げています。重要事項を定めるときは、労働組合等への通知と必要に応じた協議が望ましいとされています。
製品を選ぶ前に、次の3つを決めます。
- 何のために記録するか
- 誰が記録を見られるか
- どのくらいの期間残すか
記録が増えても、見る人がいなければ役に立ちません。毎日全部を読むのではなく、社外へのアップロードや退職前の大量のコピーなど、見る場面を絞ります。
製造業では、どこが判断の分かれ目になる？
たとえば、検査機器から測定データを取り出すのにUSBメモリを使う工場の場合、全社で一律に禁止すると、現場の作業が止まります。この場合は、登録した機器だけを許可し、事務所のPCでは禁止するように、部署ごとに分けて検討します。図面を協力会社へ渡す経路がメールなら、USBを塞いでも効きません。経路ごとに分けて考えるのはそのためです。
道具で止められない経路もあります。IPAの解説書は、工作機械メーカーの元社員が営業秘密を口頭で伝えたとされる事例を載せています。4種類のどれを入れても、口頭で伝える行為は止まりません。秘密情報の範囲を決めること、誓約書、教育といった、道具の外の手当ても並行して進めます。
情報漏えい対策のカテゴリに、DLPや内部不正の考え方をまとめています。社員のログインの入口を整えるなら、IDaaSの比較の見方も確かめておくと、退職者のIDの管理までつながります。
