DSPMとDLP：その違いとは？両方が必要なのか？

セキュリティ責任者にとって、問題を半分しか解決しないツールは不要です。しかし、組織がデータ・セキュリティ・ポスチャー・マネジメント（DSPM）と Data Loss Prevention （DLP）を互換性のあるものと見なしたり、さらに悪いことに、一方が他方を置き換え得ると想定したりすると、まさにそのような事態に陥るのです。

この混乱も無理はありません。どちらの技術も機密データの保護を謳っており、両社のベンダーともそれらを不可欠なものとして売り込んでいます。また、どちらもアナリストが選定した候補リストに名を連ねています。しかし、DSPMとDLPはデータに関して根本的に異なる課題に対処するものであり、それぞれの適用範囲を理解しているかどうかが、セキュリティ対策の網を完全に張り巡らせた体制と、侵害を許すほどの大きな死角を抱えた体制との分かれ目となります。

このガイドでは、各テクノロジーの機能や、それらの共通点、そして何よりも重要な点として、ご自身の実際のリスク許容度に基づいて、どの投資を優先すべきかを判断する方法について解説します。

DSPMとDLPを考えるための枠組み

機能一覧を比較する前に、ベンダーに依存しない共通の基準を話題の土台に据えておくと良いでしょう。NISTサイバーセキュリティフレームワーク（CSF）2.0では、サイバーセキュリティを「ガバナンス」「識別」「保護」「検知」「対応」「復旧」という6つの中核機能に分類しています。DSPMとDLPをこれらの機能に照らし合わせてみると、両者が競合関係にあるのではなく、互いに補完し合う関係にある理由が明確になります。

DSPMは主に「ガバナンス」および「特定」の機能に対応しています。「ガバナンス」では、サイバーセキュリティ戦略、リスク許容度、および監督体制を確立します。これらは、組織の環境において「機密情報」が何を意味するかを決定づける組織的枠組みとなります。「特定」では、資産、データフロー、およびリスクの全体像を把握することに重点を置きます。DSPMは、これらの機能が求める基本的な問い、すなわち「機密データはどこにあるのか？」「誰がアクセスできるのか？」「そのアクセスは適切なのか？」「現在のリスクの程度はどの程度か？」といった問いに対する答えを提供します。

DLPは主に「保護」および「検知」の機能に対応しています。「保護」機能は、機密データが承認された経路から流出するのを防ぐための安全対策を講じます。「検知」機能は、従業員が社会保障番号が記載されたスプレッドシートを個人のGmailアカウントに転送するといったサイバーセキュリティ上の事象を、発生時または直後に特定します。DLPはアクションが発生する時点で動作し、データが許可されていない場所へ移動するのを阻止するポリシーを適用します。

この図は、両者の根本的な違いを明らかにしています。DSPMは、自社が何を保有しており、どこにリスクが存在するかを把握させてくれます。一方、DLPは、把握している情報が外部に流出するのを防ぎます。どちらの機能も不可欠ですが、どちらに優先的に投資すべきかは、現時点でどちらのギャップがより大きなリスクをもたらしているかによって決まります。

DSPMが実際にすること

データ・セキュリティ・ポスチャー・マネジメント（DSPM）は、クラウド、SaaS、ハイブリッド、オンプレミス環境にわたるリスクを把握・管理するための、データ中心のアプローチです。DSPMは、境界の防御やエンドポイントの監視ではなく、データそのものに焦点を当てています。

DSPMプラットフォームは、クラウドストレージのバケット、SaaSアプリケーション、データウェアハウス、ファイル共有、コラボレーションプラットフォーム、そしてますます重要性を増しているAIトレーニングパイプラインなど、機密データが存在するあらゆる場所を継続的に検出します。 そして、そのデータを機密性や規制上の関連性（PII、PHI、PCI、知的財産）に基づいて分類し、誰がアクセス権を持ち、そのアクセスが適切かどうかをマッピングします。さらに、リポジトリの設定ミス、過度に許可範囲の広い共有リンク、暗号化されていないストレージ、あるいは本来到達すべきではない場所に保存されているデータなど、セキュリティ態勢上のリスクを可視化します。

DSPMの主な機能には、あらゆる環境にわたる自動データ検出、単なるキーワードのパターンマッチングではなく文脈を理解するAI駆動型の分類、権限をマッピングし過剰なアクセスや放置されたアクセスを特定するアクセスガバナンス、ビジネスへの影響度に基づいてリスクの優先順位を付けるリスクスコアリング、HIPAA、GDPR、PCI DSS、CCPAなどのフレームワークに対するコンプライアンスマッピング、および管理対象システムの外で作成または保存された情報を検出するシャドウデータ検出などが含まれます。

DSPMは偵察層です。これは、他のあらゆるセキュリティ対策の基盤となるデータ環境の全体像を構築します。これがなければ、全体像を把握しきれていない状況下でポリシーを適用することになってしまいます。

DLPの実際の機能

Data Loss Prevention （DLP）Data Loss Prevention 、機密データが不正な第三者によって送信、共有、またはアクセスされるのを防ぐために設計された、ポリシーに基づく強制技術Data Loss Prevention 。DLPは10年以上にわたり企業セキュリティの定番となっていますが、それには十分な理由があります。それは、データが実際に組織外へ流出する「行動の現場」で機能するからです。

DLPプラットフォームは、転送中のデータ（電子メール、Webへのアップロード、クラウド同期、メッセージング）、保存中のデータ（ファイルサーバー、データベース、エンドポイント）、および使用中のデータ（クリップボード操作、画面キャプチャ、印刷）を監視します。 事前に定義されたポリシーに一致するコンテンツ（送信メール内のクレジットカード番号、許可されていないクラウドサービスへのソースコードのアップロード、USBドライブへの患者記録のコピーなど）を検出した場合、その操作をブロックしたり、ファイルを隔離したり、セキュリティチームにアラートを送信したり、ポリシーをリマインドしてユーザーに指導したりすることができます。

DLPの主な機能には、電子メール、Web、エンドポイント、クラウドチャネルにわたるリアルタイムのコンテンツ検査、ルールに基づいてデータをブロック、隔離、または暗号化するポリシーの適用、インシデントに発展する前にリスクのあるパターンを特定するユーザー行動の監視、違反の調査と是正を行うインシデント管理ワークフロー、データ取り扱い要件に対する規制コンプライアンスの徹底、およびCASBやsecure web gateway との連携による、クラウドおよびWebトラフィック全体での一貫したポリシー適用が含まれます。

DLPは強制層です。DLPは把握している情報に基づいて動作し、リアルタイムでルールを適用することで情報の持ち出しを防止します。その限界は、DLPの効果はそれを支える分類やポリシーの定義次第であるという点ですが、まさにその点においてDSPMがそのギャップを埋めるのです。

DSPM 対 DLP：機能比較

この表が両者の関係を明確に示しています。DSPMが情報を提供し、DLPがその適用を担います。DSPMなしでDLPを実行することは、十分に把握していないデータ環境に対してポリシーを適用することになります。一方、DLPなしでDSPMを実行することは、積極的に防止できないリスクを把握することになります。

シナリオ：医療機関がDLPでは検知できない問題を発見

リージョナル・メモリアル・ヘルス・システムでは、成熟したDLP環境が運用されています。メールDLPは送信メールに含まれるPHIを検知し、エンドポイントDLPは患者データのUSB経由での持ち出しを防止しています。同社のコンプライアンスチームは、data loss prevention すでに解決済みのdata loss prevention と考えています。

その後、DSPMの導入により、Microsoft 365環境の初回スキャンが実行されます。

このプラットフォームは、18か月前に請求担当者が外部の保険監査人との短期プロジェクトのために作成したOneDriveの共有フォルダを発見しました。このフォルダには、氏名、生年月日、診断名、保険証券番号が記載された2,300件の患者受付フォームが含まれていました。当初の共同作業の際、このフォルダのアクセス権限は「リンクを知っている全員」に設定されていました。外部監査人のプロジェクトは1年前に終了しましたが、リンクは一度も無効化されませんでした。

DLPはこの情報漏洩を一度も検知しませんでした。データは監視対象の通信経路を通じて送信されていたわけではなく、誰かがこれらのファイルをメールで送信したり、USBメモリに保存したりしていたわけでもありません。データは単に、URLを知っている人なら誰でもアクセスできる、共有範囲が広すぎるクラウドフォルダに放置されており、監視システムからは完全に検知できない状態でした。

DSPMは、当該コンテンツをPHI（保護対象医療情報）として分類し、「リンクを知っているすべての人」というアクセス権限を重大な情報漏洩リスクとして特定しました。また、外部からのアクセスが1年以上行われていないことを確認し、以下の是正措置を推奨しました：公開リンクの無効化、請求担当チームへのアクセス制限、およびHIPAA機密性ラベルの適用。

HIPAAの適用を受ける医療機関にとって、このような受動的な情報漏洩は、能動的な情報流出と同様に危険であり、むしろ検知が困難だと言えるでしょう。このデータは、DLPの定義における「紛失」には該当しません。単に、DLPの監視範囲外にある場所で公開されていただけなのです。DSPMの検知機能やアクセスガバナンス機能がなければ、このフォルダはいつまでも公開されたままとなり、OCRの監査や、適切なURLを知っている攻撃者の標的となるコンプライアンス違反の状態が続いていた可能性があります。

シナリオ：金融サービス企業がDSPMでは実現できない機能を求めている

メリディアン・キャピタル・パートナーズは、自己勘定取引部門を運営しています。同社の知的財産は顧客データだけにとどまらず、競争優位性をもたらす取引アルゴリズム、ポジションデータ、市場分析なども含まれます。戦略文書が1つでも漏洩すれば、その事実が判明する前に、数百万ドル規模の優位性を失うことになりかねません。

同社のセキュリティチームはDSPMを導入し、貴重な成果を上げました。具体的には、IAM権限が過度に広範に設定されたS3バケット内に保存されていた取引モデルを発見し、データエンジニアリングチームが現在は中止された分析プロジェクトのために作成したSnowflakeウェアハウス内にポートフォリオデータのコピーが存在することを突き止め、さらに、トレーディングデスクだけでなくエンジニアリング部門全体からアクセス可能な状態で公開されていたポジション概要を含む3つのConfluenceページを特定しました。

DSPMはこれらすべての問題を可視化します。チームは権限の設定を修正し、古いデータを削除し、アクセス制御を強化します。その結果、セキュリティ態勢は大幅に改善されます。

しかし、DSPMではその後の事態を予測することはできません。ある若手アナリストが、報酬をめぐるトラブルに苛立ち、現在の取引ポジションや未約定注文が記載されたスプレッドシートを個人のメールアドレスに転送することにしました。データは適切に分類され、正しい場所に保存され、適切なアクセス権限が設定されており、このアナリストには正当なアクセス権があります。セキュリティ上の態勢は万全です。DSPMが警告を発するような要素は何一つありません。

こうした場面において、DLPの役割は不可欠です。メールDLPポリシーは送信されるメッセージを検知し、分類タグやコンテンツパターンに基づいてその内容が独自の取引データであることを特定した上で、送信をブロックし、セキュリティ運用チームにインシデントを報告します。また、アナリストの上司にも通知が行われます。その結果、データが組織外に流出することはありません。

どんなに監視体制を強化しても、正当なアクセス権を持つ悪意のある内部関係者がデータ流出を試みるのを防ぐことはできません。そのためには、行動の現場でリアルタイムに対策を講じる必要があります。まさに、それがDLPが構築された目的なのです。

意思決定の枠組み：どこから始めるか

「どちらも必要だ」という答えは正しいものの、今四半期に1つの取り組みにしか予算が割けない状況では、あまり役に立ちません。ここでは、現在の状況に基づいて優先順位をつける方法をご紹介します。

組織で急速なクラウド移行が進んだものの、機密データの所在に関する最新かつ包括的なインベントリが整備されていない場合は、DSPMの導入から始めましょう。 監査の際に、コンプライアンスチームが「規制対象データはすべてどこにあり、誰がアクセスできるのか」という質問に自信を持って答えられない場合、DSPMは他のすべての対策の基盤となる可視性のギャップを解消します。また、AIの導入を準備している場合にも、DSPMは最適な出発点となります。Microsoft Copilotや類似のツールを、それらのツールがどのデータにアクセスできるかを事前に把握せずに導入すると、リスク増幅の問題が生じますが、この問題を明らかにできるのはDSPMだけです。

データ環境についてある程度把握できているものの、外部へのデータ流出経路に対する強制的な制御が不足している場合は、まずDLPの導入から始めましょう。内部者による脅威、電子メールやメッセージングを通じた偶発的なデータ共有、あるいはデータ転送に対する能動的な制御を義務付ける規制要件（カード会員データに関するPCI DSS要件や、取引情報に関するSEC規則など）が主な懸念事項である場合、DLPは差し迫った制御のギャップを解消します。また、最近データ流出インシデントを経験し、監査を行う前にその扉を閉ざす必要がある場合にも、DLPは適切な出発点となります。

規制対象企業（金融サービス、医療、政府機関など）において、セキュリティ態勢の不備と法規制の遵守状況の不備の両方がコンプライアンスリスクをもたらす場合は、これら両方に同時に投資すべきです。こうした環境では、監査人は「規制対象データの所在を把握していますか？」という質問と、「データが外部に流出するのを防ぐための管理措置は何か？」という質問の両方を投げかけてくるでしょう。そして、あなたはこれら両方の質問に対して、確信を持って答えられる必要があります。

統合の在り方は極めて重要です。DSPMとDLPが連携しないツールとして動作している場合、可視化レイヤーは強制力を発揮できず、強制レイヤーは状況を把握できません。最も強力なアーキテクチャでは、DSPMの継続的に更新される分類およびリスクデータをDLPのポリシーエンジンに反映させ、検出結果が強制措置に反映され、その強制措置のデータが再びセキュリティ態勢の評価にフィードバックされるという閉ループを形成します。 2つのツールを購入して互いに連携することを期待するのではなく、この統合機能をネイティブに、あるいは十分に文書化されたAPIを通じて提供するプラットフォームを探すべきです。