情報漏えい対策の最新システムとして，ここにきて急浮上してきたキーワードが「DLP」だ。DLPはdata loss preventionあるいはdata leak preventionの略で，直訳すると「情報漏えい保護」となる。こう訳すと，一般的な情報漏えい対策のことかと思われてしまうかもしれないが，最近登場してきたDLPシステムは従来にない新しい機能を備えている。

　それは「データの中身を見て機密情報かどうかを判断し，機密情報だけをメールで送ったり，USBメモリーにコピーするのを止める」という機能だ。この機能をうまく使えば，情報流出のリスクを低減しながら，社員の業務効率も落とさないようにもできる。従来の情報漏えい対策システムと比較しながら見ていこう。

　情報漏えい対策として，最も使われているのが暗号化だろう。普段から機密情報をすべて暗号化しておけば，万が一外部に流出したとしても，暗号が解けない限り外部の者が機密情報を見ることができない。このように暗号化は，事後の対策として機密情報を守る。

　これに対してDLPは事前の対策である。社内システムのあらゆるところで機密情報の流出を止める。第1がエンドポイントである。手元のパソコンで，機密情報をメールで送ろうとしたり，USBメモリーにコピーしようとしても止めてしまう。第2がストレージである。ファイル・サーバーやデータベース・サーバーにある機密情報の移動やコピーをできないようにする。第3がネットワークである。メール送信やWebアクセスを含めたあらゆるトラフィックを見て，インターネットなど外部のネットワークに機密情報が出て行かないようにする。

　これまでも機密情報の流出を事前に止めることを目的とした対策はあった。ユーザーごとにアクセス権限を設定して，USBメモリーなど外部デバイスの利用やファイル・サーバーなどへのアクセスを制限するものだ。ただし，制限は一律となる。USBメモリーへの書き出しを禁止すると，機密情報かどうかに限らず，一切の情報を持ち出せなくなる。

　一方のDLPで止めるのは機密情報だけ。機密情報以外のファイルやデータは今までどおりメールで送ったりUSBメモリーで持ち出せる。一律のアクセス制限は，どうしても社員に負担を強いることになるが，DLPならその負担はぐっと軽くなる。

　その代わりDLPでは機密情報は徹底して止める。仮に機密情報の一部だけをコピーしてメールで送ろうとしたり，ファイルの拡張子を変えてUSBメモリーにコピーしようとしても，DLPは止めることができる。

　これは「フィンガー・プリント」と呼ぶ技術によって実現している。フィンガー・プリントはその情報固有の識別符号のこと。機密情報それぞれの特徴を抽出してその情報に固有のフィンガー・プリントを生成する。生成には主にハッシュ関数が用いられる。DLPシステムはこのフィンガー・プリントを参照することで，機密情報かどうかを判別している。

　と，ここまで読んでいただいた方の中には，次のような疑問が沸くかもしれない。「ホントに機密情報だけを止められるの？」「間違って機密情報じゃないファイルを止めてしまうことはないの？」「どんなファイルやプロトコルでも対応できるの？」「機密情報の一部コピーはどのくらいの範囲なら止められるの？」――と。

　このような疑問を持たれた方には是非「Security Solution 2008」の特設ブース「セキュリティ・オープンラボ 2008――DLPホットステージ」においでいただきたい。このDLPホットステージでは，DLPシステムのベンダー各社が，機密情報を送ったり持ち出したりできないデモンストレーションを実演する予定だ。各社のデモ内容は次回の「見どころ紹介」で解説する。

DLPホットステージ：
http://expo.nikkeibp.co.jp/secu-ex/kikaku/lab.html