まずは基本から始めましょう。エンドポイントDLPとはいったい何なのか、そして従来のデータ保護とどう異なるのかについて説明します。

エンドポイントDLPは、基本的に、企業のエンドポイントにおける機密情報の移動を制限するセキュリティポリシーと手順を適用することによってデータを保護するよう設計されています。DLPの機能には、アクセス許可を制御したり機密情報を含むデバイスで取られた行動を理解したりして、意図しない共有を防ぐことが含まれます。

エンドポイントDLPは、通常、統合されたセキュリティプロトコルを介して暗号化が適用されない限り、機密データの外部への送信を制限するポリシーを適用できます。DLP制御を実施することで、組織はデータ損失のリスクを軽減し、情報資産の完全性と機密性を維持できます。

エンドポイントDLPが機密情報をどのように保護するかを理解するために、データライフサイクルの3つの段階を見ることが役立ちます。

1. 保存中のデータ

   ハードドライブ上のファイルまたはデータベースに保存されている

2. データの転送

   1つのエンドポイントから別のエンドポイントへの転送

3. データの使用

   読み取りや操作ができるように、アプリケーションに読み込まれている状態

これらの段階は、データが存在する異なる状態を表しています。エンドポイントDLPは、各段階で対象を絞った保護を適用し、機密情報が保存中、転送中、または実際に使用中であっても安全であることを確保します。

では、これは実際にどのように機能するのでしょうか？次に、エンドポイントDLPが保存中、移動中、使用中のデータをどのように保護するかを示します。

エンドポイントDLPはデータのライフサイクル全体をカバーしていますが、その真の強みは、データが最も頻繁にアクセスされ、最も脆弱であるデバイスレベルでポリシー適用を直接行うことにあります。リアルタイムでアクティビティを監視し、アクセスを制御することで、セキュリティチームが、リスクが拡大する前に軽減するのに役立ち、最新のデータ保護戦略において実用的で不可欠な層となっています。

関連情報：エンドポイント管理のベストプラクティスや運用効率化、セキュリティ強化のポイントをまとめたガイドはこちら

エンドポイントDLPの仕組みについて説明してきたので、次に、チームや環境全体にもたらす実際の利点を見ていきましょう。

エンドポイントDLPは単にデータをロックダウンするだけではありません。チームがより迅速に行動し、より明確に把握し、より効果的に保護できるようにするものです。より広範なエンドポイントセキュリティソリューションの一部として実装された場合、DLPは単なるポリシー適用ツールから、リアルタイムのコンテキストに基づき、補完的な技術によってサポートされる動的な保護層へと進化します。

データが転送中、保存中、使用中のいずれの状態であっても、エンドポイントDLPは組織がリスクを軽減し、コンプライアンスを向上させ、脅威がエスカレートする前に対応するのに役立ちます。これは次の内容を提供することで実現します。

1. エンドポイントの継続的なデータセキュリティ

   DLPコントロールをエンドポイントワークフローに直接組み込むことで、組織はオンプレミス、リモート、モバイルデバイスなど、あらゆる環境で機密データを保護できます。

2. 迅速なインシデント対応

   エンドポイントのアクティビティを監視することで、セキュリティチームはポリシー違反や不審な行動を素早く検知し、迅速な封じ込めと対応をサポートできます。

3. データの可視性向上

   エンドポイントDLP戦略には、データの分類と追跡が含まれており、チームは機密データの所在、移動方法、適切に取り扱われているかどうかについての洞察を得ることができます。

4. 規制要件への対応

   データプライバシー法がグローバルに拡大する中、エンドポイントDLPは個人識別情報（PII）やその他の規制対象データ型の漏洩リスクを低減することで、組織がコンプライアンス要件を満たすのに役立ちます。

5. 内部および外部の脅威からの防御

   偶発的な漏洩から意図的な流出まで、エンドポイントDLPは脅威が内部から発生するか外部から発生するかに関わらず、不正アクセスやデータ転送を防止するのに役立ちます。

関連情報：コンプライアンス管理を強化し、監査対応やリスク低減に役立つポイントはこちら

もちろん、これらの利点は、実際の脅威に対処できる場合にだけ意味があります。では、エンドポイントDLPは、具体的にどのような脅威から守るように設計されているのでしょうか。

エンドポイントDLPは、デバイス上で直接ポリシー制御を適用し、アクティビティを監視することで、セキュリティチームが幅広いデータリスクに対して積極的に防御するのに役立ちます。これらの脅威には、内部と外部の両方のアクター、そして偶発的な漏洩が含まれます。

エンドポイントDLPは、機密データを許可されていない外部の場所に転送しようとする試みを検出し、ブロックします。これには次の内容が含まれます。

• クラウドストレージや外部ウェブサイトへのファイルのアップロード
• USBドライブやその他のリムーバブルメディアへのデータのコピー
• 検出を回避するための暗号化チャネルを介したデータのストリーミング

これらの制御は、攻撃者がエンドポイントにアクセスしてネットワークからデータを抜き取るような侵害を防ぐうえで特に重要です。

エンドポイントDLPはユーザーの行動を監視し、次のような疑わしいアクセスパターンを検出します。

• 従業員が職務範囲外のデータにアクセスする
• 個人的な利益のために財務記録や顧客記録を取得しようとする
• 許可なく機密システムに繰り返しアクセスする
• 外部の攻撃者が侵害された内部者アカウントを使用してデータを流出させたり特権を昇格させたりする

行動分析とポリシー適用により、悪意のある内部関係者や内部関係者を装った外部の攻撃者など、その発生源に関わらず、被害が発生する前にこれらの脅威を特定し対応できます。

すべてのデータ損失が悪意によるものではありません。エンドポイントDLPは次の防止に役立ちます。

• 従業員が機密ファイルを外部の受信者に誤ってメールで送信してしまうこと
• 機密文書を公開されている共同作業プラットフォームにアップロードすること
• 保護されたデータを公開してしまう設定ミスのスクリプトやワークフロー

これらの制御により、悪意はないが高くつくデータ漏洩のリスクを低減します。

エンドポイントDLPは、侵害されたアカウントやリスクのある意図を示す可能性のある異常な行動を警告します。例えば、次のようなものがあります。

• 通常とは異なる時間帯や場所からのデータアクセス
• ファイル転送や印刷アクティビティの急激な増加
• セキュリティ制御をバイパスしようとする試み

これらの異常はポリシーに直接違反するものではないかもしれませんが、多くの場合、より深刻なセキュリティ問題の兆候となります。

エンドポイントDLPは、データの盗難や漏洩を防ぐために、リムーバブルデバイスの使用を制限したり監視したりできます。これには次のものが含まれます。

• USBドライブ
• SDカード
• 外付けハードドライブおよびその他のポータブルストレージ

これらの制御は、ポータブルメディアが一般的に使用され、追跡が困難な環境で特に重要であり、不正なデータ転送を未然に防止するのに役立ちます。

一部のエンドポイントDLPソリューションは、無許可のアプリケーションやサービスへのデータ転送を検出してブロックし、シャドーITのリスク管理を支援します。これには次の内容が含まれる可能性があります。

• 不正なクラウドストレージプラットフォームへのアップロードのブロック
• 未承認のコラボレーションツールの使用防止
• 不正なソフトウェアのインストールまたは実行の試みのフラグ付け

シャドーIT活動を特定し制御することで、エンドポイントDLPは組織が機密データの流れの可視性と制御を維持し、偶発的または意図的な漏洩のリスクを軽減するのに役立ちます。

関連情報：生成AI利用に伴うシャドーAIのリスクと対策についてはこちら

ご覧のとおり、エンドポイントDLPは、データの流出や内部者の悪用から、偶発的な漏洩やシャドーITまで、幅広い脅威行動に対応しています。しかし、何が起こったかを理解することは、全体像の一部に過ぎません。真に強固なデータ保護戦略を構築するには、これらの行動の背後にいる人物と、その理由を理解することも同様に重要です。

内部の従業員、外部の攻撃者、さらには国家レベルの敵対者など、さまざまな脅威アクターは、それぞれ固有の動機、戦術、リスクプロファイルを持っています。エンドポイントDLPは、この多様性を検出し対応する能力を備え、状況と意図の両方に敏感な制御を適用する必要があります。

次の表は、上記の行動分析に対する視点を示し、一般的な脅威の種類を、それらを通常引き起こすアクターにマッピングしています。この視点は、セキュリティチームがDLP戦略をより効果的に調整し、リスクの発生源に基づいて対応の優先順位を付けるのに役立ちます。

しかし、脅威アクターを特定することは問題の一部に過ぎません。今日のハイブリッド環境全体で機密データを効果的に保護するには、組織は適切な種類のDLP技術を適切な場所に配置する必要があります。そこで、エンドポイント、ネットワーク、クラウドDLPが重要となります。それぞれが異なる状態とコンテキストでデータを保護するように設計されています。

これらのDLPタイプが焦点、展開、保護するデータの種類の面でどのように比較されるかを詳しく見てみましょう。

データ損失防止は、機密データへの不正アクセス、共有、または漏洩を防ぐように設計された広範なセキュリティ技術のカテゴリーです。

これを達成するために、組織はしばしばさまざまなタイプのDLP技術を導入し、それぞれが特定の環境やユースケースに合わせて調整されています。

• エンドポイントDLPは、ラップトップ、デスクトップ、スマートフォン、タブレットなどのデバイス上のデータを保護します。USBドライブへのコピー、印刷、機密ファイルへのアクセスなどの活動を監視し、データの悪用を防ぐためのポリシーを適用します。
• ネットワークDLPは、ネットワーク上を移動するデータを検査します。ファイアウォール、ルーター、その他のインフラストラクチャーを使用して、機密ファイルの電子メールでの送信や外部ウェブサイトへのアップロードなどの不正な送信を検出し、ブロックします。
• クラウドDLPは、クラウドサービスやSaaSアプリケーションに保存または共有されているデータを保護します。クラウドプラットフォームと統合して、ファイル共有、コラボレーション、ストレージ活動を監視し、コンプライアンスを確保し、情報漏洩を防止します。

これらのDLPタイプをより明確に比較するために、次の表で焦点、展開モデル、保護するデータの種類と活動を詳しく説明します。

エンドポイントDLP、ネットワークDLP、およびクラウドDLPは、多くの場合、特定の環境に合わせて独立したソリューションとして展開されますが、使用中、移動中、保存中のデータに対して階層的な保護を提供する統合されたDLP戦略に組み込まれた場合に最も効果的です。

状況を理解することと、エンドポイントDLPが日常的にどのように機能するかを見ることは別の話です。次は、裏側での動作方法です。

不正な転送、内部者の誤用、偶発的な漏洩などの脅威から保護するため、エンドポイントDLPは通常、5つの主要な機能を実行します。

1. データ検出

   エンドポイントDLPは、ローカルストレージ、リムーバブルメディア、アプリケーションレベルのデータフローをスキャンして、ファイルとデータタイプを識別します。これには次の内容が含まれます。

   • ファイル名、拡張子、およびフォーマット
   • メタデータおよびコンテンツの検査（例：正規表現、キーワードマッチング、フィンガープリンティング）
   • ユーザーID、デバイスタイプ、位置情報などのコンテキスト属性

   この基本的なステップにより、どのようなデータが存在し、どこに存在するかが可視化され、分類とポリシー適用に不可欠となります。

2. データ分類

   検出されたデータは、機密性、規制の範囲、およびビジネス価値に基づいて分類されます。分類エンジンは次の内容を使用する可能性があります。

   • 事前定義されたテンプレート（例：PCI DSS、HIPAA、GDPR）
   • 独自データ用のカスタムルール
   • 個人識別情報や知的財産などのパターンを検出する機械学習

   分類はポリシー決定に情報を提供します。例えば、顧客データのUSBドライブへの転送をブロックしたり、ソースコードを外部にメール送信しようとする試みにフラッグを立てたりします。

   関連情報：NIST CSF 2.0への対応やサイバーレジリエンス強化の考え方についてはこちら

3. エンドポイントモニタリング

   エンドポイントDLPは、次の内容を含むユーザーとデータの相互作用を追跡します。

   • ファイルの作成、変更、削除
   • コピー／ペースト、印刷、スクリーンキャプチャ
   • クラウドサービスへのアップロード、メールの添付ファイル、メッセージングアプリ

   行動分析を重ねることで、ユーザーが突然大量の機密ファイルにアクセスしたり、通常の時間外にデータを転送したりするような異常を検出できます。

4. アクセス制御の実施

   エンドポイントDLPは、ID、デバイスの状態、データ分類に基づいて詳細なアクセス制御を実施します。これには、次の内容が含まれる場合があります。

   • 権限のないアプリケーションが機密ファイルにアクセスするのをブロックすること
   • 信頼されていないドメインやリムーバブルメディアへのデータ転送を防止すること
   • Microsoft Entra IDなどのIAMプラットフォームとの統合によるポリシーの継承

   制御は適応性があり、組織がリスク信号やユーザー行動に基づいて制限を強化することを可能にします。

   関連情報：TaniumとMicrosoft Entra IDを活用したゼロトラストセキュリティの実現方法はこちら

5. アラートと修復

   ポリシー違反が発生した場合、エンドポイントDLPは次のことができます。

   • 詳細な監視情報に基づいてセキュリティチームへ通知
   • 違反行為の隔離またはブロック
   • 状況に応じた警告や適切なタイミングでの教育により、ユーザーのセキュリティ意識向上を促進

   修復方法はベンダーとOSによって異なります。

   これらの対策を組み合わせることで、ポリシー違反が検出されるだけでなく、エンドポイントで迅速かつ適切に対処されることが保証されます。

関連情報：Endpoint Reactionsによる自動化された脅威対応についてはこちら

これらの機能は強力ですが、組織全体の日常的な使用にどのように反映されるのでしょうか？より大きな視点から、これを達成するためにどのようなソリューションが使用できるかを見てみましょう。

Proofpointの「2024 Data Loss Landscape Report」によると、既存のDLPプログラムを成熟していると評価した組織はわずか38%でした。

エンドポイントDLPソフトウェアは、ユーザーデバイス上で直接データ保護ポリシーを適用するために特別に設計されており、組織が機密データの活動を監視し、ユーザーの行動、デバイスの種類、および場所に適応するコンテキスト認識型の制御を適用できるようにします。
これらのツールは、通常インストールされたエージェントによりローカルで動作し、エンドポイントでのデータの移動方法を制御するように設計されており、ソースでの不正アクセス、共有、または流出を防ぐのに役立ちます。

1. ローカルデータ検出

   パターンマッチング、キーワードルール、およびファイルフィンガープリンティングを使用して、デバイス上の機密データをスキャンします。これには、個人識別情報、財務記録、ソースコード、およびその他の規制対象または専有コンテンツの特定が含まれます。

2. ポリシーベースの分類

   機密性、規制要件、またはビジネスコンテキストに基づいて、検出されたデータに分類ルールを適用します。これにより、差別化された取り扱いが可能になります。例えば、顧客データの転送をブロックする一方で、マーケティング資産の内部共有を許可するなどです。

3. 実施アクション

   ポリシー違反に対して、ブロック、隔離、暗号化、またはアラート通知で対応します。一部のツールでは、偶発的な違反を減らすためにユーザーコーチングやジャストインタイムの警告を提供しています。

4. オフラインでの保護

   多くのエンドポイントDLPツールは、デバイスがネットワークから切断されている場合でもポリシーを継続的に適用し、一貫したカバレッジを確保します。

5. リアルタイムモニタリング

   ファイルアクセス、コピー／ペースト、クラウドサービスへのアップロード、リムーバブルメディアへの転送などのユーザーアクションを追跡します。

多くのエンドポイントDLPツールが「リアルタイムモニタリング」を謳っていますが、ほとんどはファイルアクセスやデータ転送などのユーザー操作が発生した後に検知するイベント駆動型の更新に依存しています。

リアルタイムモニタリングは必ずしも本当の「リアルタイム」ではありません。

では、リアルタイムモニタリングは何を意味するのでしょうか？

多くのエンドポイントDLPベンダーは、「リアルタイムモニタリング」を主要な機能として宣伝していますが、実際にはこの用語はしばしば漠然と使用されています。

ほとんどのエンドポイントDLPツールは、イベント駆動型のログ記録や定期的なテレメトリー更新に依存しており、これはユーザーのアクションが発生した後に検知して報告することを意味します。これは「ニアリアルタイム」と呼ばれることが多いですが、アクティブな脅威検出と対応、または動的なポリシー適用に必要な即時性が欠けています。

このレベルの精度は、通常、単独のエンドポイントDLPツールでは達成できません。これには、リアルタイムのデータ収集、処理、および大規模なアクションのために設計されたプラットフォームが必要です。

エンドポイントDLPソフトウェアはアクティビティを監視し、ポリシーを適用できますが、「リアルタイム」がしばしば「ほぼリアルタイム」を意味すること、そしてより深い可視性と応答性を得るには、運用速度とスケールを考慮して設計されたプラットフォームとの統合が必要になる可能性があることを認識することが重要です。

関連情報：IT資産の可視化とリアルタイムな状況把握を実現する方法はこちら

エンドポイントDLPソフトウェアは不可欠ですが、それを単独のソリューションとして頼るにはいくつかの課題があります。

• エンドポイント、ネットワーク、クラウド環境全体での断片化された可視性
• デバイスに複数のポイント製品を導入することによる運用負荷の増加
• サイロ化されたテレメトリーによる、実施判断のための限られたコンテキスト
• オーケストレーションがないことによるアラートへの対応の遅延または手動の対応
• ハイブリッドまたは分散環境におけるスケーラビリティの問題

効果的なエンドポイントDLP戦略に貢献するツールは、必ずしも専用のDLPソリューションに限りません。これは重要なポイントです。

エンドポイントDLPは、可視性、コンテキスト、および制御を提供するより広範なテクノロジーのエコシステムによってサポートされる場合に最も効果を発揮します。リアルタイムのテレメトリー、自動化された対応、およびエンドポイントインテリジェンスを提供するプラットフォームは、DLPポリシーがどのように情報を得て、トリガーされ、適用されるかを大幅に強化できます。

これにより、機密データを保護するためのより柔軟で拡張性の高いアプローチを実現できます。

そして、これらのエコシステムが進化するにつれて、エンドポイントDLPの次のフロンティアは単なる統合だけでなく、インテリジェンスです。AIと自動化は、組織がデータ保護イベントを検出し、対応し、そこから学ぶ方法を再形成しています。

組織がより統合されたセキュリティスタックを構築するにつれ、IT自動化がすべてをより速く、よりスマートに機能させる結合組織となります。従来のエンドポイントDLPツールがポリシーを適用する一方で、自動化はリアルタイムで違反を検出し、システム間で対応を調整し、手動の作業を軽減するのに役立ちます。

• よりスマートな検出
  AIモデルはユーザーの行動、ファイルアクセスパターン、コンテキスト信号を分析し、静的ルールでは見逃すおそれのある、異常なデータ転送、特権の悪用、インサイダー脅威などのリスクの高いアクティビティを識別します。
• より迅速な対応
  自動化により、違反が発生した際に、ファイルの隔離、アクセスの取り消し、セキュリティおよびITシステム全体でのワークフローのトリガーなど、即座にアクションを取ることが可能になります。これにより、滞留時間を短縮し、漏洩を制限できます。
• ポリシーの最適化
  信頼性の高いリアルタイムのエンドポイントテレメトリーと過去のコンテキストを使用して、違反、例外、およびユーザー行動のパターンを分析することで、セキュリティチームは誤検知を特定し、適用しきい値を調整し、ルールの精度を向上させて、DLPポリシーをより適応性が高く、混乱の少ないものにできます。
• クロスシステム連携
  自動化されたプレイブックにより、エンドポイントDLPアラートをアイデンティティプラットフォーム、SIEM、および修復ツールと接続し、データ保護が孤立せず、環境全体で一貫した対応を維持できます。
• スケーラビリティと効率性
  自動化によりセキュリティチームの手動作業の負担が軽減され、アラートや例外に埋もれることなく大規模なDLP展開を管理できます。

AIと自動化はエンドポイントDLPに取って代わるものではなく、それを強化するものです。インテリジェンス、スピード、適応性を加えることで、組織が反応的な実施から積極的な保護へと移行するのを支援します。

関連情報：AI活用により進化するデータ損失防止（DLP）の最新動向はこちら

最良のエンドポイントDLP戦略は、DLPツール自体だけでなく、より広範なエコシステム全体で自動化を採用し、より迅速な封じ込め、より優れた可視性、そしてより強固なデータ保護を可能にします。

しかし、エンドポイントDLPにおけるAIと自動化の可能性を最大限に引き出すには、賢いアルゴリズムだけでは不十分です。あらゆる場所のすべてのエンドポイントでリアルタイムの可視性、スケーラブルな制御、自動化された対応を提供するプラットフォームが必要です。

ここで自律型エンドポイント管理プラットフォームが違いを生み出します。データ損失防止ソリューションに取って代わるのではなく、それらをより賢く、より速く、そしてより効果的に機能させることにより違いをもたらします。

Tanium自律型エンドポイント管理（AEM）は専用のエンドポイントDLPソリューションではありませんが、データ損失防止の取り組みを支援するうえで重要な役割を果たします。Taniumは、堅固なセキュリティ制御とリアルタイムモニタリングを組み合わせることで、リモートや分散環境にあるものを含むすべてのエンドポイントで機密データを保護する組織を支援します。

エンドポイントアクティビティへの継続的な可視性により、ITおよびセキュリティチームは、不正なデータ転送やポリシー違反をより迅速に検出し対応できます。組み込みのレポート機能も、トレンドを明らかにし、制御の有効性を実証することで、コンプライアンスをサポートします。

Tanium AEMは、AIを活用した自動化とリアルタイムデータでプラットフォームを強化し、インテリジェントな意思決定とスケーラブルな運用を可能にします。既存のITインフラストラクチャーやサードパーティツールとのシームレスな統合により、IT部門やセキュリティ担当者はエンドポイント管理とセキュリティワークフローを統合できます。

実用的なインサイトを提供し、ポリシー適用をサポートすることで、Taniumはデータ漏洩のリスクを軽減し、組織が脅威に対して積極的に防御できるよう支援します。これにより、セキュリティ態勢と規制準備の両方が強化されます。

エンドポイントDLPソフトウェアはポリシー適用の基礎を築くかもしれませんが、Taniumはリアルタイムの可視性、自動化、およびエンドポイントインテリジェンスを活用して、迅速かつ正確に行動するために必要な戦略を運用化します。

Taniumがどのようにして、エンドポイントデータ保護の改善、対応の効率化、リスクの軽減をチームに提供できるかを確認したい場合は、今すぐパーソナライズされたデモをスケジュールしてください。

【コンテンツ利用に関するご注意】

本コンテンツは、Tanium公式英語ブログ（https://www.tanium.com/blog）をもとに、日立ソリューションズが独自に翻訳・編集したものです。

• 翻訳および編集は日立ソリューションズの責任において行っており、内容の正確性については原文（英語）を正とします。
• 本コンテンツに記載の情報は、原文作成時点のものであり、予告なく変更される場合があります。最新情報は原文サイトをご参照ください。
• Taniumは、本翻訳コンテンツの正確性・完全性・最新性に関して一切の責任を負いません。