DLP（データ損失防止）とは？

データの流出は、さまざまな方法で発生します。

• 電子メールやインスタントメッセージを介して機密データがネットワーク外に流出する可能性があります
• ユーザーは、許可されていない外付けハードディスクにデータをコピーすることができます
• 従業員が、企業の管理下にないパブリッククラウドにデータをアップロードする可能性があります
• 外部からの攻撃者により、不正アクセスやデータを窃取される可能性があります
• 従業員は、大規模言語モデル（LLM）のようなAIツールに機密データをアップロードすることが可能です。

データの流出を防ぐために、DLPはネットワーク内、従業員のデバイス上、および企業インフラストラクチャに保存されたデータの移動を追跡します。データが企業ネットワークから流出する恐れがある場合には、アラートを送信したり、データのアクセス権を変更したり、場合によってはデータをブロックしたりすることができます。DLPセキュリティソリューションの中には、 Webアプリケーションのコピー&ペーストをブロックして機密データが保護されていないアプリケーションにコピーされたり、許可なく移動されたりするのを阻止できるものもあります。

どのような脅威の阻止にデータ損失防止が役立つのか？

インサイダーの脅威：企業のシステムにアクセスできる人は、インサイダーとみなされます。これには、従業員、元従業員、請負業者、およびベンダーが含まれます。機密データにアクセス可能なインサイダーによって、データの流出、破壊、窃盗などが行われる可能性があります。DLPを使用することで、ネットワーク内の機密情報を追跡し、機密データの不正な転送、コピー、破壊を阻止することができます。

外部からの攻撃：フィッシングまたはマルウェアベースの攻撃の最終的な目的は、多くの場合データを流出させることです。また、外部からの攻撃はランサムウェア攻撃のように、内部データが暗号化されてアクセスできなくなることで、データの永久的な損失や破壊につながることもあります。DLPを使用することで、悪意のある攻撃者が内部データの取得や暗号化に成功するのを防ぐことができます。

偶発的なデータ漏洩：内部関係者が不注意でデータを流出させてしまうことはよくあります。例えば、従業員が意識せずに機密情報を含むメールを外部の人に転送してしまうことがあります。DLPセキュリティは、インサイダー攻撃を阻止するのと同様に、ネットワーク内の機密情報を追跡することで、このような偶発的なデータの流出を検出し、防止することができます。

AIデータの暴露：一般に公開されているAIアプリは、受け取った入力データをAI内のデータセットに追加し、さらなる自身のモデルの訓練に活用します。その結果、後にアプリによってデータが外部に漏らされたり、暴露される可能性があります。また、AIツールは組織が従うべきデータ規制に準拠していない可能性もあり、データがアップロードされると組織はコンプライアンスから外れてしまいます。

規制違反：組織が一般データ保護規則（GDPR）のようなデータ規制のフレームワークの対象となっている場合、データ漏洩は違反となり、罰金などの処罰が科される可能性があります。DLPはこのような違反のリスクを減らすのに役立ちます。

DLPが機密データを検出する仕組みは？

DLPソリューションは、機密データを検出するために多くの技術を使用することができます。これらの技術には以下のようなものがあります。

• データフィンガープリンティング：このプロセスは、人間の指紋が個々人を識別するように、特定のファイルを識別する一意のデジタル「フィンガープリント（指紋）」を作成します。ファイルのコピーは、すべて同じフィンガープリントを持ちます。DLPソフトウェアは、発信データをスキャンして、そのフィンガープリントが機密ファイルのそれと一致するかを確認します。
• キーワード照合：DLPソフトウェアは、ユーザーメッセージ内に特定の単語や語句がないか調べて、その単語や語句が含まれているメッセージをブロックします。会社が決算報告の前に四半期財務諸表を秘密にしておきたい場合、「四半期財務諸表」という語句または財務諸表に記載されている特定の語句を含む発信メールをブロックするようDLPシステムを設定することができます。
• パターンマッチング：この手法は、保護対象であるデータのカテゴリに適合する可能性から文字列を分類するものです。例えば、ある企業のデータベースから発信されたHTTPレスポンスに16桁の数字が含まれていたとします。DLPシステムは、この文字列が個人情報の保護対象であるクレジットカード番号である可能性が極めて高いと分類します。
• ファイル照合：ネットワーク内またはネットワーク外へ移動するファイルのハッシュと、保護対象であるファイルのハッシュを比較します。（ハッシュとは、ファイルを識別できる一意の文字列です。ハッシュは、与えられた入力が同じものである場合、毎回同じ値を出力するハッシュアルゴリズムによって作成されます）。
• 正確なデータ照合：これは、組織の管理下に置かれるべき特定の情報を含む正確なデータセットとデータを照合するものです。

重要データの損失防止のベストプラクティスとは？

データ損失防止は単なるテクノロジーソリューションではありません。組織におけるセキュリティ戦略全体が、データ損失回避を中心に展開されたものである必要があります。DLPソリューションの有効化に加え、損失防止のベストプラクティスには以下のようなものがあります：

• 社内ユーザーへのセキュリティ対策の教育
• すべての保存データの可視性の維持
• アクセス制御を使用して、データの閲覧者や変更者を制限する
• 転送中および保存ファイルを暗号化する
• Zero Trustアプローチを採用して、デバイスやユーザーをデフォルトで信頼しないようにする

Cloudflare Oneがデータ損失を防止する方法は？

Cloudflare Oneプラットフォームは、DLPを含む統合セキュリティ機能を備えており、Web、Saas、プライベートアプリ間で、転送中や使用中、保存されているデータを保護します。Cloudflare Oneは、ファイルやHTTPSトラフィックに機密データが含まれていないか検査し、それに対する許可またはブロックポリシーを設定することができます。Cloudflare Oneにはリモートブラウザ分離（RBI）も含まれており、ダウンロードやアップロードの制限、キーボード入力の制限、印刷の制限など、更なるDLP機能を実装することができます。Cloudflare Oneの詳細はリンクからお読みいただけます。