悪を出し抜き、善を守る: データ損失防止戦略

これまでも、機密情報や知的財産があるところには常に、重要なデータ、センシティブなデータの損失防止という課題がありました。しかし、規制面での要件や、BYOD、仮想化、高度なアプリケーション、シャドウIT、クラウド環境など、ネットワークインフラの進化において新たな動向が見られる今、重要なデータをどう管理、保護するかを見直すことが組織にとっては不可欠となっています。たいていの場合、データの損失は意図的なものではなく、社員が知らず知らずのうちにセキュリティポリシーに違反するか、メールベースのセキュリティソリューションを使わずに個人のウェブベースのメールやインスタントメッセージ、オンラインファイル共有アプリケーションを使ってセンシティブな文書の送信をすることが原因です。

手法や意図がどうであれ、データが失われたり、盗まれたりすれば、組織にとっては大惨事となりかねません。知的財産や設計図、企業秘密などの価値の高い情報が競合企業の手に渡ったり、闇市場で売られたりすると、組織は何百万ドルという損害を出す可能性もあります。政府の極秘情報が悪者の手に渡ってしまうと、国家の安全が危うくなる可能性もあります。顧客データが漏出してしまうと、訴訟を起こされる可能性もあり、顧客の減少、ブランドや評判へのダメージにもつながります。データの漏出は、重い罰金やクレジットカード処理の権利の喪失につながる可能性のある、他のコンプライアンス違反を示す警告であることも多々あります。

そこで、データ損失防止(Data Loss Prevention、DLP)ソリューションの出番です。DLPは製品、あるいは製品セット以上のものです。これは、エンドポイント、ローカルネットワークや分散ネットワーク、データセンター、クラウドサービス、アプリケーション、ウェブおよびメールサービスなどの分散型のネットワーク全体に適用されなければならない、システムベースのソリューションであり、エンドユーザーがセンシティブな情報や価値のある情報を許可されていないユーザーや機器に送信するのを防ぐことを目的としたものです。効果的なDLP戦略は、IT管理者にとっても価値のあるツールとなります。これにより、ポリシーの作成、改善、施行だけでなく、データフローに対する幅広い可視性をもたらし、ネットワーク上のデータストリームをフィルターにかけ、蓄積されているデータ、移動中のデータ、使用中のデータを保護することができるようになります。

ITの変革とDLP

ネットワークインフラは劇的な変革の時代に突入しています。顧客、社員、請負業者、ビジネスパートナーがそれぞれ、これまでにない形で重要なビジネスデータやネットワークリソースにアクセスする必要に駆られています。スマートフォンやタブレット、ITによって制御することがますます難しくなっている個人のラップトップまで、こうしたデータにアクセスするのに用いられる機器の数、種類は急速に拡大しています。同時に、重要なデータは様々なサードパーティーのプラットフォーム上で、オフサイトで格納されています。この業界ではこれをシャドウITと言います。

この進化する環境において、データセンターの従来のペリメータ、そしてネットワーク自体が基本的に変化しつつあります。ユーザーはあらゆる場所から、あらゆる時に、あらゆる機器を使用して、あらゆる情報にアクセスできることを当然だと思っています。その結果、企業のネットワークは従来の境界線を越えて広がり、ウェブやクラウドベースのアクセスまで含まれるようになりました。

こうした環境でデータを保護するというのは、複雑なプロセスにもなります。なぜならデータはもはやデータセンターの鉄の扉の裏側に単純に存在しているものではないからです。データセンターからのデータの流れ、データセンターへのデータの流れ、データセンター間のデータの流れ、あるいは様々な機器で使用され、そこに格納されているデータの流れは、劇的なペースで増加しています。このプロセスにおいてデータの性質は変化するため、データ損失を防ぐには包括的な安全戦略で様々な状態に対処する必要があります。

この複雑さに加え、規制面での要件も急増しています。政府や業界によってますます多くの規制が課されるようになっているだけでなく、ベストプラクティスとしての基準や法的防衛手段として自主的に課されるものも増えています。規制遵守の要請のほとんどは、顧客、患者、クライアントに関する個人情報や、センシティブな情報、秘密の情報が悪者の手に渡らないようにするなど、データ保護の必要性に主軸を置いたものです。これはつまり、データが存在する環境が継続的に大きな変化を遂げていくなか、既存の安全対策やポリシーは定期的に見直しを行い、更新されるべきものであるということを意味しています。

こうした様々な変化のなかでセキュリティにおいて共通して見られるのが、従来のセキュリティソリューションがますます意味を成さなくなるような、急速に広がりを見せる環境において、重要なデータ、センシティブなデータ、機密データを保護、保存する必要性です。

サイバー犯罪者は組織化が進んでおり、データ損失防止戦略はそれをしのぐものでなければならない

ハイテク犯罪者の犯人像は、破壊者的なもの、いたずら的なものから、収益を求めてデータを盗むためにセキュリティ戦略の弱点をつく、組織的な犯罪者へと変貌を遂げました。組織の中、外の両方でこうした犯罪者からデータを保護するためには、皆さんのデータが存在する環境の隅から隅までセキュリティ対策を実装する必要があります。

データ損失防止は、様々な多くの要素を連係させることによって成し遂げられるものだということを忘れてはいけません。まず、最も重要なのが強力なポリシーとガバナンス戦略です。データを保護するだけでなく、遵守されているかどうかを監視する人たちによる調査にも耐えることができる、包括的な戦略を策定するうえでは、専門家のリソースを活用することが必要不可欠です。

ポリシーが整ったら、今度はデータの発見、分析、保護ができるネットワークを設計することが重要になります。これを実現するには、特定のデータ管理&制御ツール、コンテンツアウェアなセキュリティデバイスやソリューション、さらにはネットワークにすでに存在している機器やインテリジェンス、サービスを活用する能力を組み合わせる必要があります。ポリシーの作成と同様に、データ損失防止のIT専門家のサービスを活用すれば、皆さんのデータポリシーやガバナンス要件だけでなく、外部からの規制上の要請をも満たす安全なアーキテクチャを設計し、実装するのに役立つでしょう。

多くのセキュリティソリューションは、データ損失防止の要件に対応するのには不十分です。

  • 柱となるポリシー、コマンド、管理、オーケストレーション、あるいは制御がない
  • より規模の大きいソリューションに対する可視性が乏しい
  • 重要なイベント情報を収集し、それをソリューション間で共有する能力がない
  • 個別のセキュリティ要素間の連携がほとんど、あるいはまったくない
  • 様々なセキュリティ機器とネットワークの間で真の統合が見られない
  • サイロ型のセキュリティ要素の管理と保守にIT諸経費をかけすぎている

効果的なデータ損失防止戦略は、データ管理ソリューション、ペリメータ制御、ネットワークのセグメンテーションとセキュリティゾーン、アクセス制御、ユーザーと機器のアイデンティティ、接続性とVPN、データ暗号化、モバイル機器、クラウドサービス、ウェブやメールなどのコンテンツ制御、アプリケーション管理、コンテンツインスペクション、安全なストレージなどの分野に対処している必要があります。

ネットワークや機器、データ自体が変化し続けるなか、皆さんの既存のデータ損失防止戦略で何ができ、何ができないかを理解することが重要です。多くの攻撃が、データ損失防止対策を取り入れずに導入、実装されていることが多い新テクノロジーへの不正アクセスを試みています。他にもAPT攻撃のようなものは、たいていのセキュリティソリューションに気づかれずに動作するよう設計されており、データを認識できない形に分割し、後で組み立て直す方法も用いられています。

ですから、効果的なデータ損失防止戦略は、次のことを含むライフサイクル的な、アクティブセキュリティ戦略でなければなりません。1) 新たなネットワークテクノロジー、戦略、機器が考慮されるなかでの準備と計画。2) ネットワークアーキテクチャの不可欠な要素として協調的で適応力のあるセキュリティを設計、実装。3) 継続的な評価と、脅威が発生した際の自動化対応。4) イベントを迅速に発生源まで追跡することができ、悪意のあるアクターやネットワーク内の侵害された機器を特定し、今後のブリーチを防ぐために環境を最適化することが可能になるフォレンジックツールの実装。