DLPで防ぐ内部不正、情報漏えいは1事件1億円？：IT導入完全ガイド（5/5 ページ）

外部からの攻撃ばかりでなく、内部での情報の不正利用を防ぐ情報漏えい対策が重要視される。データの属性に着目して管理を強化するDLPツールの特長と働き、導入検討の要点を紹介する。

[土肥正弘，ドキュメント工房]

　では、次にDLP導入時に考えたいポイントを簡単に紹介しておこう。

最初に導入すべきなのはどのタイプ？

　機密情報を外部に流出する経路になる可能性が最も高いのが、エンドユーザーが利用するPCだ。典型的な例は、USBメモリなどのリムーバブルメディアに機密情報をコピーして外部に持ち出すケースだ。

　2014年の事件では、スマートフォンも記録メディアとして使われた。他にも携帯音楽プレーヤーやデジタルカメラなど情報持ち出し可能なデバイスは多数ある。ギガバイトのオーダーで機密情報が簡単に持ち出せるようになった今、外部デバイスへの機密情報書き出し制御は最も優先度を高くしなければならない。

　ただし、利便性を考えると「一律禁止」でなく、情報の機密レベルに応じて自動的に暗号化して外部デバイスに書き込めるようにするとよいだろう。また、情報印刷、送信、スクリーンキャプチャーが行われるのもエンドユーザーのPCなので、まずはホスト型DLPツールを導入するのが効果的だろう。

機密情報に対する操作の状況を可視化、把握するには？

　社内で機密情報がどのように利用されているのかを膨大なログの中から明らかにするのは大変な仕事だが、ネットワーク型DLPツールに条件を設定し、一定期間（数週間程度）運用してみると会社の機密情報の利用状態がおおよそ把握できる。その上で自社に必要なDLPツールのタイプを選び、適切な製品を導入するのがお薦めだ。

　ネットワーク型DLPアプライアンスを導入検討用に無償で貸与（標準的な設定でレポートを出力）するベンダーもあれば、同様に実機を使った調査と分析（リスクアセスメント）をコンサルティングの一環として提供する業者もある。導入前の自社の機密情報利用状況をあまり負担がかからない形で把握できるサービスの提供を、ベンダーや出入りのSIerに相談してみるとよい。

機密情報漏えい防止ができればよいのか、リスク管理できるインフラが欲しいのか

　機密情報漏えい防止にはさまざまなツールが利用できる。例えば暗号化ツールなどのように比較的低コストで導入でき、ルール順守を徹底して外部との機密情報のやりとりを安全にする方法もあれば、統合的なDLPスイートを導入して、社内情報の機密区分を精密に行い、第三者の監査にも対応できるログやレポートを作成し、かつリアルタイムの情報利用制御も行えるシステムを作る方法もある。

　コストと情報漏えい防止効果のバランスは難しいが、情報漏えいが起きた際の被害額などを事前にリスク管理した上で、守るべき情報の範囲やポリシーの設定をしっかり行い、DLPツールの選定を行っていくのが望ましい。

機密区分やDLP設定には専門家のコンサルティングが望ましい

　かつてのDLP導入では機密区分が適切にできないまま運用されるケースがあり、不評を買うこともあった。DLP運用の最大のポイントは、どのような情報を機密にし、機密レベルに応じた利用制御を行うかにあるといってよい。

　これには機密情報管理の専門家、あるいはDLP導入を多数成功させているベンダーやSIer、コンサル会社に相談して、リスクアセスメントをした後、実際にDLPを使用し（最初は一部門だけでもよい）、情報の機密区分と利用制御ポリシーを試行してみるとよいだろう。その作業やその後の結果分析をコンサルティングサービスとして請け負ってもらい、本格的なDLP導入への第一歩とすることをお薦めする。