Merkle Improves Customer Experiences While Providing Data Governance and Security
電通傘下の企業であるMerkleは、機密データをSnowflakeに統合し、クライアントとのコラボレーションを行っています。これにより、より効率的で信頼性の高いデータ環境が実現し、データアクセスが促進され、リスクが軽減されました。
データ損失防止（DLP）：意義とベストプラクティス
データ損失防止の概要、仕組み、重要性について解説します。また、機密データを保護するためのDLPの種類、脅威、ベストプラクティスについても解説します。
- 概要
- データ損失防止（DLP）とは
- データ損失防止の仕組み
- データ損失防止が重要な理由
- DLPソリューションの種類
- データ脅威の種類
- データ漏洩の原因
- データ損失防止のメリット
- データ損失防止のベストプラクティス
- 結論
- データ損失防止（DLP）に関するよくある質問
- Snowflakeを使用しているお客様の事例
- Snowflakeの関連リソース
概要
データ損失防止（DLP）は、機密情報への不適切なアクセスや共有のリスクを軽減する一連のテクノロジーとプロセスです。この包括的なサイバーセキュリティアプローチは、従業員のノートパソコンやモバイルデバイス、ネットワークトラフィック、クラウドアプリケーションなど、デジタルエコシステム全体にわたってデータの移動を監視および制御します。DLPは、顧客データ、知的財産、財務記録、その他の秘密情報など、企業の最も貴重な資産を保護する監視者の役割を果たします。DLPは規制要件への対応においても重要であり、組織が高コストの侵害を回避し、顧客やパートナーとの信頼を維持できるようにします。
本ガイドでは、DLPの仕組み、保護対象のデータタイプ、そして最も貴重な情報資産のセキュリティを確保するために組織がDLPを展開する方法について説明します。
データ損失防止とは
DLPは、テクノロジーツールとセキュリティ手段を組み合わせて、機密データの不正な送信、使用、露出を検知し、防止または軽減します。組織のセキュリティ境界を脅かす脅威を阻止するファイアウォールやアンチウイルスソフトウェアのような従来のサイバーセキュリティツールとは異なり、 DLPは、機密データをどこにあっても追跡して安全に保つように設計されています。DLPは、組織のすべてのコンテンツを検査して機密情報がリスクにさらされているかどうかを判断し、従来のネットワークの境界を越えてクラウドサービスやモバイルデバイスに移動するデータを保護します。
DLPは、以下の中核となる3つの原則に従って構成されています。
1.データ分類
DLPプラットフォームは、公開、内部、機密、高制限などの機密性レベルに基づいて情報を特定、分類します。組織は、機密レベルの低いドキュメントと、個人を特定できる情報や企業秘密を含むドキュメントを区別して、DLPシステムが保護すべき対象を把握できるようにデータをタグ付けします。
2.ポリシーの適用
組織はDLPシステムを使用して、特定のデータタイプへのアクセス権限、共有方法、許可される状況を規定するルールを実装します。たとえば、これらの規則により、従業員が社会保障番号を含むEメールを外部に送信できないようにしたり、ソースコードを個人用クラウドストレージにコピーできないようにしたりすることができます。
3.リアルタイムのモニタリング
DLPシステムは、静止データ（保存データ）、移動データ（送信データ）、使用中のデータ（アクティブアクセスデータ）を継続的に監視します。このリアルタイムの可視性により、ポリシー違反の発生時に検知できるため、チームはより迅速な対応が可能になり、潜在的な影響を軽減できます。
データ損失防止の仕組み
DLPは、組織全体にわたって機密情報を発見して分類することから始まります。これらのツールは、ファイル、データベース、ドキュメントをスキャンして、事前定義されたルールやコンプライアンス基準に一致するデータ（たとえば、クレジットカード業界データセキュリティ基準（PCI DSS）要件に一致するクレジットカード番号、社会保障番号、キーワードやテキストのパターンで特定される専有情報）を特定します。識別されると、このデータは自動的にラベル付けされるため、保護が必要な情報を把握できます。
DLPシステムは、この機密データのエンタープライズ環境内での移動を継続的に監視します。ノートパソコンや携帯電話などの従業員向けデバイスのアクティビティのモニタリング、送信Eメールや添付ファイルのスキャン、Google ドライブやDropboxなどのクラウドアプリケーションへのファイルアップロードの追跡、ネットワークのデータフローの検査を行います。ポリシーに違反する方法で機密データの送信、コピー、共有を試みると、DLPは特定のアクションをブロックまたは隔離できるため、偶発的な漏洩が減少し、データ盗難の機会を制限できます。
DLPシステムは防止だけでなく、コンプライアンスとインシデント管理のハブとしても機能します。ポリシー違反、違反未遂、疑わしいアクティビティをすべて記録し、誰がいつ、どのデータにアクセスし、そのデータで何をしようとしたかを示す詳細な監査証跡を作成します。これらの包括的なレポートは、セキュリティチームがインシデントを迅速に調査し、インサイダーの脅威やシステムの脆弱性を示す可能性のあるパターンを特定し、規制監査のためのドキュメントを提供するのに役立ちます。時間の経過とともに、この可視性によって組織は実際の利用パターンに基づいたポリシーの微調整が可能になります。これにより、EUの一般データ保護規則（GDPR）、米国の医療保険の携行性と責任に関する法律（HIPAA）、カリフォルニア州消費者プライバシー法（CCPA）などの基準への準拠を維持しながら、組織のニーズに合わせてDLP戦略を進化させることができます。
データ損失防止が重要な理由
今日のデータドリブンなビジネス環境では、DLPは戦略的に不可欠となっており、組織が機密情報や専有情報の喪失を回避しながら、厳しさを増す規制要件に対応できるようになっています。
以下に、DLPプラットフォームの4つの主要な機能を示します。
偶発的なデータ漏洩の防止
従業員が誤って機密ドキュメントを外部Eメールに添付した場合、クラウド権限の設定ミス、機密情報を誤った受信者に送信した場合など、人的エラーは多くの侵害に共通する要因です。このような場合、DLPはセーフティーネットとして機能します。機密データが不正なチャネルを通って外部に漏れると検知し、送信をブロックするか承認を要求することで、高コストのミスを防止します。
侵害からの防御
DLPは、攻撃者が組織のネットワークに侵入に成功した後も、顧客データベースを送信するマルウェアやファイルを窃取するランサムウェアなどの異常なデータ移動を検知してブロックすることで、重要な最終防御線を提供します。これにより、境界セキュリティで障害が発生した場合の損害を制限できます。
インサイダー脅威の検出
インサイダー脅威（競合他社への転職前にデータを盗み出す悪意のある従業員や、攻撃者に乗っ取られたアカウントなど）は、正規のシステムアクセス権限を悪用するため、特定が極めて困難で特に危険です。DLPは、ファイルの突然の大量ダウンロードや不正な場所への転送など、異常なパターンを検出して、甚大な損害が発生する前に潜在的なインサイダー活動を示す異常をフラグ付けします。
規制コンプライアンスへの対応
DLPは、GDPR、HIPAA、CCPA、PCI DSSなどの規制を満たすために不可欠です。DLPは、組織が保持する機密データの種類や保管場所、意図しない公開がもたらす潜在的なリスクを特定します。DLPは、組織が財務および運用上のペナルティを回避できるように支援します。また、ポリシー適用のログと証拠を提供することで監査をサポートするため、セキュリティツールであると同時に戦略的なビジネスを実現する要素にもなります。
DLPソリューションの種類
DLPソリューションには5つの基本的なカテゴリがあります。
1.エンドポイント
このソリューションは、ユーザーが機密情報をどのように操作するかをローカルレベルで監視および制御することで、ノートパソコン、デスクトップ、携帯電話などの個々のデバイス上のデータを保護します。USBドライブへのファイルのコピー、機密ドキュメントのスクリーンショットの撮影、不正なアプリケーションへのデータのアップロードなどのアクションを防止できるため、リモートワーカーやモバイルワーカーのセキュリティを確保するうえで不可欠です。
2.ネットワーク
ネットワークDLPシステムは、組織の内部インフラストラクチャのデータフローを監視し、ネットワークゲートウェイや通信チャネルのトラフィックを検査します。ウェブアップロード、ファイル転送、メッセージングアプリケーションなど、さまざまなプロトコルで転送される機密情報を検出してブロックすることで、ネットワーク境界全体のデータ移動を一元的に可視化できます。
3.クラウド
企業がデータをクラウドベースのサービスやSaaSアプリケーションに移行するなかで、クラウドDLPはますます重要なツールとなっています。これらのソリューションは、APIを通じてクラウドプラットフォームと直接統合し、ファイル共有、コラボレーションアクティビティ、アクセス許可を監視します。これにより、クラウドベースのデータは、オンプレミスのデータセンターに保存されている情報と同様に保護されます。
4.Eメール
このソリューションは、Eメールシステムを通じて送信される機密情報の保護に特に焦点を当てており、メッセージコンテンツと添付ファイルの両方をスキャンしてポリシー違反がないか確認します。機密データを含むEメールを自動的に暗号化し、不正な受信者をブロックし、疑わしいメッセージを検疫して確認したり、送信前に添付ファイルを削除したりできます。これにより、最も一般的なデータ漏洩チャネルの一つに対処できます。
5.ハイブリッド
ハイブリッドプラットフォームは、エンドポイント、ネットワーク、クラウド、EメールDLPを、一元管理と一貫したポリシー適用を備えた統合ソリューションに統合します。このアプローチは、オンプレミスシステム、クラウドサービス、従業員デバイスの間でデータを移動する際の包括的な可視性と制御を提供するため、複雑で分散したITインフラストラクチャを持つ組織に最適です。
DLPが阻止する6つの一般的なデータ脅威
DLPシステムは、データセキュリティに対する以下の脅威から保護するように設計されています。
1.インサイダー脅威
このカテゴリーには、機密情報の窃取、漏洩、誤処理のために許可されたアクセスを悪用した、悪意または過失のある従業員、請負業者、パートナーが含まれます。DLPは、異常なデータアクセスパターンや不正な転送を検出することで、信頼できるユーザーが異常な挙動を示している場合や機密データの抽出を試みている状況の特定を支援します。
2.偶発的なデータ露出
意図しないデータ漏洩は、人々が誤った受信者にEメールを送信したり、クラウドストレージの権限を誤って設定したり、機密ファイルをパブリックコミュニケーションに添付したりした場合に発生します。DLPは、機密データが不適切に共有されていることを自動的に検知し、処理をブロックするか、処理を進める前にユーザーに再考を促すことで、こうした人的エラーを防止します。
3.外部サイバー攻撃
ハッカーは多くの場合、価値あるデータを盗むという明確な目的を持って、ネットワークの脆弱性を攻撃したり、マルウェアをばら撒いたり、フィッシングメールを送信したりします。DLPは、攻撃者が境界セキュリティを迂回した場合でも、アウトバウンドデータフローを監視して疑わしい転送をブロックすることで、最後の防御線を提供します。
4.セキュアでないクラウドストレージとファイル共有
許可されていないクラウドストレージサービスを使用したり、ファイル共有ウェブサイトを通じて機密ドキュメントを不適切に共有したりすることは、意図しないデータ損失につながります。DLPは、クラウドアプリケーションの使用状況を監視してポリシーを適用し、機密データを不正なサービスにアップロードしたり、不正な外部ユーザーと共有したりしないようにします。
5.ソーシャルエンジニアリング
フィッシングメール、偽ウェブサイト、操作的なコミュニケーション戦術は、従業員をだまして認証情報や機密情報を漏洩させる可能性があります。DLPはソーシャルエンジニアリング攻撃から人々を阻止することはできませんが、アクセスや送信できるデータの種類を制限して、攻撃が成功した場合の被害を制限できます。
6.リムーバブルメディアによるデータ持ち出し
インサイダー脅威のもう1つの一般的な形態は、従業員が機密ファイルをUSBドライブ、外付けハードドライブ、またはその他のポータブルストレージデバイスにコピーして職場から持ち出すことです。DLPは、ロールとクリアランスレベルに基づいて、これらのデバイスへのファイル転送のブロック、データの自動暗号化、外部ストレージの使用するユーザーの制限を行うことで、リムーバブルメディアへのアクセスを制御します。
データ漏洩と侵害の背後にある5つの原因
ほとんどのデータ流出は、人的エラーや不十分な監視によって発生します。以下に、データ損失の最も一般的な5つの原因を示します。
1.人的エラーと適切に構成されていない許可
従業員による機密情報の誤った受信者への送信、クラウドストレージ設定の誤り、ファイル共有許可設定の誤りが、データ漏洩のかなりの部分を占めています。こうした意図しないミスは、多くの場合、トレーニング不足、複雑すぎるシステム、監視不足から生じます。
2.データ移動の可視性が低い
組織は多くの場合、機密データの保管場所やアクセス権、共有方法を十分に把握していません。エンドポイント、ネットワーク、クラウドサービスの包括的な可視性がなければ、セキュリティチームは侵害の発生後でなければ異常なデータ転送や不正アクセスを検知できません。
3.パッチ未適用の脆弱性と古いシステム
セキュリティパッチやアップデートを適用しないと、既知の脆弱性が露出したままになるため、攻撃者は簡単に侵入口を確保できます。レガシーシステムや古いソフトウェアは、重要なビジネスデータを含んでいるにもかかわらずセキュリティアップデートを受け取らない可能性があるため、さらなるリスクを生み出します。
4.シャドーITと不正アプリケーション
従業員が許可されていないクラウドサービス、ファイル共有プラットフォーム、コラボレーションツールを使用していると、セキュリティモニタリングやポリシー適用に盲点が生じる可能性があります。こうした不正なアプリケーションは多くの場合、適切なセキュリティ制御が欠如しており、機密データが保護されていない場所やコンプライアンスに準拠していない場所に保存されている可能性があります。
5.脆弱な認証とアクセス制御
パスワードポリシーが不十分であったり、多要素認証を導入していなかったり、権限管理ポリシーが過剰に許可されていたりすると、不正ユーザーが機密システムやデータにアクセスできるようになる可能性があります。フィッシング攻撃や総当たり攻撃によって認証情報が簡単に漏洩すると、弱い認証が外部攻撃者と内部脅威の双方のゲートウェイになります。
データ損失防止の主なメリット
包括的なDLPプラットフォームは、以下のような重要な方法で企業にメリットをもたらします。
データ侵害リスクの軽減
DLPは、機密情報へのアクセスや送信の不正な試みをプロアクティブに特定、監視、ブロックすることで、データスピルの可能性を低減します。データが企業の内部システムから漏えいする前にキャッチすることで、侵害に伴う経済的損失、風評被害、法的影響を最小限に抑えることができます。
コンプライアンスと監査準備の改善
DLPは、GDPR、HIPAA、PCI DSS、CCPAなどの標準に準拠したデータ保護ポリシーを自動的に適用することで、規制コンプライアンスを合理化します。機密データの取り扱い、アクセス、保護について文書化した包括的な監査証跡と詳細なレポートを生成することで、規制監査を円滑化し、規制当局やステークホルダーにデューデリジェンスを示します。
データ移動の可視性の向上
DLPプラットフォームは、機密データの保管場所、アクセスするユーザー、組織内のデータの移動方法について、完全な透明性を提供します。この可視性により、セキュリティチームはデータフローの把握、リスクの高い行動の特定、異常の迅速な検知、セキュリティポリシーやリソース割り当てに関する情報に基づいた意思決定が可能になります。
インサイダー脅威からの保護
インサイダー脅威は、データを盗もうとする悪意のある従業員や、ポリシー違反で過失によって情報を漏洩させた従業員であっても、データ損失の主な原因となります。DLPは、ユーザーの行動パターンを監視して異常なアクティビティ（大量ダウンロード、不正な転送、個人の通常業務の範囲外の機密ファイルへのアクセスなど）にフラグを付けることで、組織にとって最も困難なセキュリティリスクに対処します。
一元的なポリシー管理
DLPプラットフォームは、単一の管理コンソールから統合されたポリシーの作成と適用を行えるため、機密データの保管場所に関係なく、データの保護の一貫性を確保できます。この一元化されたアプローチにより、構成エラーが減少し、セキュリティチームは新たな脅威や変化するコンプライアンス要件に応じてポリシーを迅速に更新できます。
ハイブリッド環境間でのスケーラブルな保護
モダンDLPプラットフォームは、オンプレミスインフラストラクチャ、クラウドサービス、リモートエンドポイント、モバイルデバイスをシームレスに保護します。このスケーラビリティにより、組織の成長、新しいテクノロジーの採用、ハイブリッドおよびマルチクラウドアーキテクチャへの移行に合わせて、可視性と制御を統合しながら、一貫したデータセキュリティを確保できます。
データ損失防止のベストプラクティス
DLPプラットフォームの展開は、データ損失に対する保護の第一歩に過ぎません。セキュリティチームは、以下のベストプラクティスにも注意を払う必要があります。
定期的なデータ監査と分類の実施
機密データが組織内のどこにあるかを定期的に評価して発見し、機密レベルと規制要件に従って適切に分類されていることを確認します。定期的な監査により、重要な情報を脆弱化する可能性のあるデータの分散、保護されていないリポジトリ、分類ギャップを特定できます。
ビジネス目標とコンプライアンス目標に沿ったDLPポリシーの整合
セキュリティ要件と運用ニーズのバランスを取るDLPポリシーを設計して、機密データを適切なビジネスワークフローを不必要に中断することなく保護します。部門横断的なステークホルダーとのコラボレーションにより、データの使用方法を把握し、コンプライアンスの義務と実際のビジネス運用の両方を満たすようにポリシーをカスタマイズします。
データハンドリングとセキュリティ意識についての従業員トレーニング
機密情報を扱うためのデータセキュリティポリシーと適切なプロシージャについて、従業員に継続的な教育を行う。適切なトレーニングを受けたスタッフが防御の最前線となり、不慮の漏洩を減らし、組織全体でセキュリティを意識した文化を醸成します。
インシデントのトレンドに基づいてポリシーを監視、改良
DLPアラート、インシデントレポート、ポリシー違反を継続的に分析して、パターン、誤検知、新たなリスクを特定できます。これらのインサイトを使用してポリシーを調整し、検知ルールをファインチューニングし、データ損失の根本原因に対処することで、変化する組織の脅威ランドスケープに合わせてDLP戦略を進化させることができます。
DLPを幅広いセキュリティアーキテクチャと統合する
DLPをSIEMシステム、ID管理プラットフォーム、エンドポイント保護、脅威インテリジェンスフィードなどの他のセキュリティツールと接続することで、統合された防御エコシステムを構築します。この統合により、相関性のある脅威検知、自動化されたインシデント対応、セキュリティインフラストラクチャ全体の包括的な可視性を実現できます。
DLP制御の定期的なテストと検証
シミュレーションされたデータ漏洩シナリオを使用して定期テストを実施し、過剰な誤検知を発生させることなく、DLPポリシーが意図したとおりに機能し、違反を捕捉していることを確認します。定期的な検証により、システムの変更、新しいアプリケーションの導入、ビジネスプロセスの進化があっても、制御は有効に機能します。
結論
データがデバイス、ネットワーク、クラウドプラットフォーム間で絶えず移動している今日の複雑な脅威ランドスケープにおいて、データ損失防止は包括的なサイバーセキュリティアーキテクチャに不可欠な要素となっています。組織はもはや境界防御のみに頼ることはできません。機密情報がどこにあっても追跡し、構成やカバレッジに応じてデバイス、ネットワーク、クラウドサービスを横断して機密情報を保護する、データ中心の保護を必要としています。DLPのソフトウェアとツールは、企業の顧客情報、知的財産、財務記録、その他の機密データが漏洩した場合にビジネスを荒廃させる可能性のあるデータを保護するために必要な可視性、制御、自動化を提供します。同様に、DLPはコンプライアンスのバックボーンとしても機能し、組織がデータ保護規制の厳格化する要件に対応できるようにします。各ビジネスのニーズに合わせたDLP戦略の検討と実装は、単なるセキュリティ投資ではありません。組織がデータを確実に活用しながら、最も貴重な資産を保護するための戦略的な意思決定です。
データ損失防止に関するよくある質問
DLPはアンチウイルスやファイアウォールソフトウェアとどう違うのですか？
アンチウイルスやファイアウォールが外部の脅威からネットワークを保護する一方で、DLPはデータ自体を監視および保護して、機密情報の保管場所を追跡し、不正アクセスや送信を防止します。DLPは境界というよりデータに着目するため、内部脅威、偶発的な漏洩、権限を持つユーザーが秘密情報を誤って処理するシナリオへの対処に不可欠です。
DLPとデータ暗号化の違いは何ですか？
暗号化は、適切な復号キーがなければデータを読み取れないようにすることでデータを保護しますが、復号後のデータへのアクセスや共有は制御できません。DLPは、データ使用状況のモニタリング、アクセスポリシーの適用、許可されたユーザーが機密情報を不正な場所に送信しないようにすることで、暗号化を補完します。基本的に、暗号化はデータコンテンツを保護し、DLPは組織内外のデータの移動を制御します。
DLPは事業運営を鈍らせたり、従業員に負担をかけたりしませんか？
DLPは適切に構成されていれば、ほとんどの合法的なビジネスアクティビティに対してバックグラウンドで透過的に機能し、ポリシー違反が発生した場合にのみ介入します。鍵となるのは、ポリシーを実際のビジネスワークフローと整合させ、ルールをファインチューニングして誤検知を最小限に抑え、機密データを保護したまま従業員が効率的に作業できるようにすることです。
