DLP

読み：でぃーえるぴー　／　英語表記：Data Loss Prevention

• セキュリティ

機密情報や個人情報の内容や機密区分などを手掛かりに、情報漏えいにつながる操作を検知・制限する仕組みまたは製品の分類。あらかじめ設定した方針に従い、外部への送信やコピーなどに警告や遮断を行う。

イマシルちゃんの解説

会社の個人情報や設計書を、うっかり社外へ送ってしまうことがあるんだ。
DLPは、こうした情報漏えいにつながる操作を見つけて制限する仕組みだよ。
例えばファイルに含まれるカード番号の形式や、文書に付けた機密区分のラベルから、守るべき情報を見分けるの。
その情報をメールで送ったりUSBメモリにコピーしたりするときに、設定した方針に従って警告や遮断を行うんだ。
誰がどこへ送るかといった条件も組み合わせられるよ。
正規の権限で仕事をしている人の操作でも、大切な情報の持ち出しを防ぎやすくなるんだ。

より深い解説

定義と位置付け

DLP（Data Loss Prevention）は、機密情報や個人情報の外部への漏えいを防ぐことを目的とした仕組みの分類である。Data Leakage Preventionと呼ばれることもある。特定の製品名ではなく、データの内容に着目して監視・制御する機能の総称である。

従来のアクセス制御やファイアウォールは、「誰が」「どの機器から」「どのサービスへ」接続するかを基準にする。これに対しDLPは、通信や操作の対象となるデータの中身を調べ、それが保護すべき情報かどうかで判断する。正規の権限を持つ利用者が、許可された経路を使って情報を持ち出す場合でも、内容に基づいて検知・制限できる点が特徴である。内部関係者による持ち出しや、操作ミスによる漏えいへの対策として位置付けられる。

保護する対象となるデータの状態

DLPが監視するデータは、置かれている状態によって大きく三つに分けられる。製品によって対応する状態や範囲は異なる。MicrosoftのDLPの解説でも、この三つの状態を対象とすると説明されている。

これらに対応して、監視を行う場所も分かれる。端末にソフトウェアを入れて操作を監視する方式をエンドポイント型（ホスト型）、ネットワークの出口で通信を検査する方式をネットワーク型と呼ぶ。両者を組み合わせ、管理サーバで方針とログを集約する構成が一般的である。

近年はクラウドサービスの利用が増え、メールやファイル共有、チャットなどのクラウド上のデータも監視対象になる。端末が社内ネットワークを経由しない場合でも保護できるよう、クラウド側やエンドポイントで検査する仕組みが重要になっている。

機密情報をどのように見分けるか

DLPの核心は、大量のデータの中から保護すべき情報を見分ける仕組みである。単純な文字列の一致だけでなく、複数の方法を組み合わせる。

形式だけの照合では、たまたま同じ桁数の数字を誤って検知することがある。そのため、カード番号なら検査用の計算（チェックディジット）による検証や、近くに関連する語があるかといった条件を組み合わせ、精度を高める。どの情報をどの精度で検知するかは、組織が守りたいデータに合わせて定義する必要がある。

検知したときの動作

保護すべき情報の操作を検知したとき、DLPが取れる動作は段階的である。一律に遮断するのではなく、業務への影響を考えて選ぶ。

警告や理由付き許可は、利用者自身に気付きを与える効果がある。正当な業務であれば理由を添えて続行でき、記録も残るため、業務を止めずに統制を効かせられる。暗号化された通信やファイルは中身を検査できないため、復号できる経路を設計するか、暗号化そのものを統制の対象にする必要がある。

導入と運用

DLPは、守るべき情報を定義し、方針を作り、例外を調整していく継続的な運用が前提になる。いきなり遮断を有効にすると、正常な業務まで止めてしまうおそれがある。

このため、まず動作を適用せず検知結果だけを記録するシミュレーションモード（テストモード）で運用し、どの操作が引っかかるかを確認する。正常な業務が過剰に検知される場合は、対象の範囲や検知の条件を調整する。影響を把握したうえで、警告、理由付き許可、遮断へと段階的に強める。この進め方はMicrosoftの資料でも推奨されている。

正常な操作を誤って検知することを誤検知、保護すべき操作を見逃すことを見逃しという。検知を強めるほど誤検知が増え、業務の妨げになりやすい。両者の釣り合いを取りながら、守りたい情報に絞って運用することが重要である。

他の仕組みとの関係

DLPは単独で情報漏えいを完全に防げるわけではなく、ほかの仕組みと役割を補い合う。

• アクセス制御は「そもそも誰がそのデータに触れられるか」を決める。DLPは、触れられる人の操作を内容で監視する。両者は前提が異なる。
• CASBは、クラウドサービスの利用状況を可視化・制御する仕組みで、DLPの機能を含む製品もある。
• IRM・DRMは、文書自体に暗号化と利用権限を結び付け、持ち出された後も開封や編集を制限する。DLPの持ち出し制御とは着目点が異なる。
• UTMやSWGなどの境界・クラウド型の製品にDLP機能が組み込まれることもある。ただし、どの状態のデータをどこまで検査できるかは製品ごとに確認する。

午後での問われ方

• DLPが守る対象（データそのもの）と、従来のアクセス制御やファイアウォールの基準（利用者・経路）との違いを説明させる
• 保存・使用中・転送中という状態の違いと、エンドポイント型・ネットワーク型の監視方式の対応を問う
• 機密情報を見分ける方法（形式の照合、キーワード、ラベルなど）と、誤検知を減らす工夫を考えさせる
• 検知時の動作（記録・警告・遮断）を、業務への影響を踏まえて選ばせる
• 遮断をいきなり有効にせず、シミュレーションモードから段階的に進める理由を記述させる
• 暗号化された通信やクラウド利用など、DLPの検査が及びにくい条件を指摘させる

この用語が出てくる記事

• Webアイソレーション
• TLSインスペクション