DSPMがクラウド環境における内部関係者によるデータ漏洩をどのように検知・低減するか

クラウド環境における内部関係者によるデータ漏洩は、従来の境界ベースのセキュリティ上の懸念から根本的な転換を意味しています。マルウェアによる侵害とは異なり、内部関係者によるデータ漏洩は、多くの場合、正当なアクセスパターンから始まり、SaaSアプリケーション、クラウドストレージ、コラボレーションプラットフォームにおける共有、ダウンロード、権限の逸脱を通じて、徐々にデータ損失へとエスカレートしていきます。

クラウド環境における内部脅威によるデータ漏洩の実態

現代の内部脅威には、データを盗もうとする悪意のある従業員、うっかり情報を漏洩させてしまう不注意なユーザー、そして外部の攻撃者に乗っ取られたアカウントという、3つのカテゴリーのリスク要因が含まれます。

CISAの『内部脅威対策ガイド』によると、内部脅威による被害は、多くの場合、不正なシステム侵入ではなく、正当なアクセス権限の悪用によって生じている。

従業員は日常的に、機密ファイルを個人用デバイスに同期させたり、ブラウザで生成されたリンクを通じて外部の協力者とドキュメントを共有したり、オフラインでの分析のためにレポートをダウンロードしたり、分析プラットフォーム間でデータセットを複製したりしています。これらの行動はそれぞれ、通常の業務効率化の一環ですが、それらが複合的に作用することで、従来のセキュリティ対策では監視が困難な、拡大し続ける攻撃対象領域を生み出しています。

クラウド・セキュリティ・アライアンス（CSA）が、機密性の高いクラウドデータがどのように漏洩するかについて行った分析では、いくつかの主要な漏洩経路が特定されています。具体的には、クラウドサービス間でのデータ複製、不適切な共有設定、承認済みアプリケーション間のデータ移動、および過度なアクセス権を付与してしまうIAMの設定ミスなどが挙げられます。

通常、データが管理されたネットワークセグメント内に格納されていたオンプレミス環境とは異なり、クラウド上のデータは現在、SaaSアプリケーション、コラボレーションプラットフォーム、そして従来のセキュリティ境界を迂回する外部共有メカニズムなどにまたがって分散しています。

ある財務担当者が、四半期報告書を作成するために、クラウド分析プラットフォームから顧客の口座データをダウンロードしたとしましょう。この担当者は、週末に作業を進めるためにそのファイルを個人のクラウドストレージにアップロードし、ブラウザのリンクを通じて外部のコンサルティングパートナーとデータを共有し、さらにプロジェクト終了後も、広範なプロジェクトメンバーが元のリポジトリにアクセスできる状態のままにしてしまいました。マルウェアは関与しておらず、ファイアウォールのルールもトリガーされていません。にもかかわらず、機密データは本来想定されていた管理範囲の外へと流出してしまったのです。

ベライゾンの「2026年データ侵害調査報告書（DBIR）」によると、データ侵害の大部分には人的要因が関与していた。22,000件以上のセキュリティインシデントと12,195件の確認済みデータ侵害の分析に基づき、同報告書は、人間の行動、不十分なID・アクセス管理、およびサードパーティのエコシステムへの露出を、データ侵害の主な要因として特定した。これにより、正当かつ承認されたアクセスが、機密データの漏洩における主要な経路となることが頻繁にあるという現実が改めて浮き彫りになった。

なぜ従来型の管理手法では、クラウド時代の内部関係者による情報漏洩を見逃してしまうのか

ユーザー行動分析ツールやエンドポイント監視ツールは、データの移動が予測可能な経路を通じて行われるネットワーク中心の環境向けに設計されました。これらのシステムは行動の異常を検出することには優れていますが、クラウド環境におけるリスクの深刻度を評価するために必要なデータの文脈情報が不足しています。

UEBAシステムは、ユーザーが異常に大容量のファイルをダウンロードしたり、通常のパターンとは異なる方法でアプリケーションにアクセスしたりしたことを検知することはできますが、それらのファイルにソースコード、財務記録、顧客の個人識別情報（PII）、あるいは日常的な業務データが含まれているかどうかを判断することはできません。データの機密性を把握していない場合、セキュリティチームは困難な選択を迫られます。すなわち、すべての異常を調査して誤検知の洪水に溺れるか、あるいはアラートの閾値を引き上げて、真のリスクを見逃すリスクを負うかのどちらかです。

ブラウザベースのSaaSアプリケーション、クラウドとの直接同期、およびWebリンクを介した共有は、従来のエンドポイント制御を迂回します。従業員は、エンドポイントベースの検知システムをトリガーすることなく、ブラウザセッションのみを通じて外部の協力者と機密データを共有することができます。こうした最新のクラウドコラボレーションのパターンは、エンドポイントエージェントでは完全に監視できないチャネルを通じて行われます。

従来のDLPは、電子メールの添付ファイル、USB経由のデータ転送、ネットワークトラフィックの検査には優れていますが、クラウドストレージのリポジトリ、コラボレーションプラットフォームの権限、あるいは外部共有の設定における情報漏洩リスクの状態を評価することには苦戦しています。こうしたシステムは、データ流出の試みが発生する前に過度に露出しているリポジトリを特定するのではなく、情報漏洩の状態がすでに生じている後にデータの移動を検知することが多いのです。

IAMシステムは、誰がいつどのクラウドアプリケーションにアクセスしたかを追跡しますが、このテレメトリデータが内部脅威の検知に有用となるのは、データ分類や情報漏洩のコンテキストと組み合わせた場合に限られます。

データが示す、情報流出が発生する前にインサイダーリスクを明らかにする兆候

クラウド環境においてインサイダー脅威を効果的に検知するには、データが組織の管理下を離れる前に、そのリスクにさらされる状況を特定する必要があります。DSPMは、従来の監視ツールでは通常見過ごされがちな、損失発生前のリスクシグナルをいくつかのカテゴリーに分けて可視化します。

DSPMは、これらのリポジトリを継続的にスキャンし、セキュリティチームの認識なしにアップロード、同期、または複製された可能性のある機密データを特定します。クラウドプラットフォームやコラボレーションワークフローでは、チームが意図する範囲を超えてアクセス権を拡大してしまうような、広範な共有権限や継承された共有権限が設定されてしまうことがあります。

DSPMは、大規模なユーザーグループや外部の協力者がアクセス可能な機密データを含むリポジトリ、あるいはプロジェクトの期間を超えて存続する公開リンクを特定します。DLP、CASB、SSE、または行動分析と統合することで、DSPMはデータの機密性や露出状況に関するコンテキストを追加し、機密ファイルのダウンロード、個人のメールアドレスへの転送、管理対象外のデバイスへの同期といった高リスクなシナリオの特定を支援します。

DSPMは、これらのシャドウリポジトリや設定のずれが、実際のデータ損失の原因となる前に特定します。

MITRE ATT&CKフレームワークでは、攻撃者や悪用された内部関係者が、正規のクラウドストレージサービスやWebアプリケーションを通じてデータを持ち出す手法が記載されています。これらの攻撃パターンを理解することで、セキュリティチームは、通常のクラウド利用パターンがデータ持ち出しの準備を示唆している場合を認識できるようになります。

DSPMがクラウド環境における内部脅威の検知においてなぜ基盤となるのか

DSPMは、クラウド環境において他のセキュリティ対策が効果的に機能するために必要なデータのコンテキストを提供することで、内部者による脅威の検知に対応します。DSPMは、行動分析やアクセス監視に取って代わるものではなく、それらの基盤となる層としての役割を果たします。

『ガートナーデータ・セキュリティ・ポスチャー・マネジメント（DSPM）市場ガイド 2025』では、DSPMの中核的な価値は、構造化データおよび非構造化データを発見・分類し、データ資産の可視性を確保するとともに、プライバシー、セキュリティ、およびAIに関連するリスクの軽減に寄与することにあると強調されている。

DSPMは、特にSSE、CASB、またはID管理からのデバイスおよびアクセスに関するテレメトリと統合された場合、広範なアクセス権限が設定された機密性の高いデータや外部への共有など、リスクの高い組み合わせを特定するのに役立ちます。

従来のIAMシステムは権限を追跡しますが、DSPMはこれらの権限と実際のデータの機密性を関連付け、権限昇格のリスク、機密データへのアクセス権を持つ休眠アカウント、およびプロジェクト期間終了後もアクセス権を維持している外部協力者を特定します。DSPMはこうした変化を継続的に監視し、日常的な運用活動によって意図せず新たなリスク要因が生じているかどうかを検知します。

DSPMは、高リスクのリポジトリ情報を data loss prevention システムに高リスクの保存場所情報を提供し、UEBAプラットフォームにデータのコンテキストを提供し、SIEMシステムに露出指標を提供することができます。この相関関係こそが、生のアクティビティを実用的な内部脅威インテリジェンスへと変えるのです。

ビジネスリスクに基づいて内部脅威の調査に優先順位をつける方法

クラウド環境におけるすべてのインシデントに対して、同じ対応が必要とは限りません。セキュリティチームは、すべての事象を潜在的な侵害として扱うのではなく、ビジネスへの影響度に基づいてインシデントをランク付けすることで、不要な対応を減らし、対応の質を向上させることができます。

まずは、対象となるデータの機密性から検討しましょう。顧客情報、給与データ、ソースコード、知的財産、および規制対象のコンテンツは、最優先で扱うべきです。データの分類が重要なのは、一見無害に見えるアクセスパターンであっても、機密性の高い情報が関与している場合には、その深刻度が格段に高まるからです。

次に、アクセシビリティを評価します。社内の幅広いグループ、外部パートナー、または一般公開リンクに開放されているリポジトリは、アクセス権限が制限された範囲の狭いフォルダに比べて、はるかに高いリスクを伴います。プロジェクト終了後もアクセスが継続している場合、ファイルが管理対象外の場所にコピーされている場合、あるいはアクセス権限が当初の業務目的から逸脱している場合、情報漏洩の深刻度は高まります。

次に、ユーザーとデバイスの状況を考慮してください。管理対象外のデバイス、通常とは異なる場所、または標準的ではないブラウザセッションからのアクセスは、必ずしも悪意のある意図を示すものではありませんが、機密データが承認された管理範囲外でコピー、共有、または保存される可能性を高める可能性があります。

タイミングや行動の基準値も重要です。四半期末の処理中に、財務ワークスペースから大容量のデータがダウンロードされても、それは正常なケースである可能性があります。一方、退職する従業員によるもの、リポジトリに初めてアクセスする場合、あるいは慣れないデバイスを使用している場合など、同様の行動が見られた場合は、より詳細な調査が必要です。

その結果、個々のシグナルを単独で捉えるのではなく、データの機密性、公開状態、および行動の組み合わせに焦点を当てたトリアージモデルが構築された。

クラウド内の内部脅威によるデータ漏洩を検出するための最新アーキテクチャ

クラウド環境においてインサイダー脅威を効果的に検知するには、個別のセキュリティツールに依存するのではなく、データリポジトリ、アクセス制御システム、およびユーザーアクティビティのチャネル全体にわたる統合的な可視性が求められます。その基盤となるのがデータプレーンです。

DSPMは、クラウドおよびSaaS環境全体にわたって機密データを検出して分類します。データの保存場所、ラベル付け方法、および過度に公開されているリポジトリを特定します。この可視性が、他のすべての機能の基盤となります。

アクセスプレーンは重要な背景情報を提供します。IAMシステム、コラボレーションの権限、および外部共有の設定により、誰がどのような条件下で機密データにアクセスできるかが明らかになります。この情報をデータ分類と組み合わせることで、どのアクセス権限が実際のリスクをもたらし、どの権限があくまで理論上のリスクに過ぎないかが判明します。

SSE関連の制御機能は、DSPMからのデータコンテキスト情報と組み合わせることで、Webおよびクラウドチャネル全体において、より一貫性のあるアクセスおよび共有ポリシーの適用を支援します。 Cloud Access Security Broker 機能により、クラウドアプリケーションの利用状況を詳細に可視化すると同時に、データの機密性やアクセスコンテキストに基づいたきめ細かなポリシーの適用が可能になります。Secure Web Gateway 、許可されていないクラウドサービスへの機密データのアップロードを防止できるほか、統合されたDLP機能により、電子メール、コラボレーションプラットフォーム、クラウドストレージ間の転送コンテンツを検査することができます。

継続的な監視により、クラウド構成の変化、新しいコラボレーションリンクの作成、あるいは時間の経過に伴うユーザーロールの変更などに応じて、利用状況を確実に把握することができます。

企業が内部関係者によるデータ漏洩に対応する際によく犯す間違い

最もよくある間違いの一つは、異常なアクセス事象をすべて「確定した脅威」として扱うことです。このアプローチではアラート疲労が生じ、本当に重要な少数のインシデントが見過ごされてしまいます。より適切な戦略は、行動パターンとデータの機密性、および公開状態を組み合わせて分析することです。

もう一つの間違いは、認証ログのみに頼ることです。誰がシステムにアクセスしたかを把握することは有用ですが、それだけでは、そのデータが機密情報であったか、外部と共有されていたか、あるいは過度に公開されたリポジトリに保存されていたかといった点は明らかになりません。

また、各チームはブラウザ経由のアクセスや管理対象外のデバイスを過小評価しがちです。クラウドでの共同作業は、多くの場合、従来のエンドポイント制御の及ばない範囲で行われるため、管理対象のノートPCのみに焦点を当てたセキュリティ対策では、リスクの侵入経路の大部分を見逃してしまうことになります。

これに関連する問題として、ツールの乱立が挙げられます。多くの組織では、DLP、UEBA、IAM、CASB、SSE向けに個別のツールを導入しているものの、それらを共通のデータモデルに基づいて統合できていません。その結果、可視性が断片化し、作業の重複が生じています。

ポネモン・インスティテュートによる内部者リスクに関する調査では、意図的な悪意を持つ者と同様に、不注意や怠慢な従業員もまた、重大かつ多大なコストを伴うセキュリティリスクとなっていることが強調されています。包括的な内部者脅威対策プログラムでは、意図的なデータ窃取のみに焦点を当てるのではなく、あらゆる種類の内部者リスクに対処する必要があります。

正当な連携を妨げる過度に制限的な方針を実施すると、シャドーITの導入を助長し、新たな攻撃経路を生み出す恐れがあります。

内部脅威によるデータ漏洩の検知ソリューションを選ぶ際のポイント

効果的なアプローチは、状況の把握から始まります。プラットフォームは、クラウドリポジトリ、SaaSアプリケーション、コラボレーション環境全体にわたる機密データを、至る所で手動でタグ付けを行う必要なく特定できる必要があります。

また、単一のワークフロー内で分類、エクスポージャーマッピング、およびポリシーの適用をサポートすべきです。これにより、チームは機密データがどこにあるかだけでなく、誰がアクセスできるか、そのアクセスがビジネス上の必要性に合致しているかどうかも把握できるようになります。

統合は重要です。最も有用なシステムは、IAM、SIEM、DLP、CASB、SSEの各制御機能と連携し、データの機密性に基づいてより広範なセキュリティ上の意思決定が行えるようにします。調査ワークフローでは、アナリストが複数のコンソールを照らし合わせて確認する手間を省き、情報の露出状況、ユーザーの行動、アクセスコンテキストを統合的に把握できるようにすべきです。

コンプライアンス対応の支援も重要です。セキュリティチームは、規制対象データがどこに保存されているか、誰がアクセスできるか、どのように共有されたか、そして情報漏洩が判明した後にどのような是正措置が講じられたかについての証拠を必要としています。

AIを活用した調査機能により、データの機密性、アクセスパターン、ユーザーの行動を関連付け、リスクの高いインシデントを優先的に特定することができます。

包括的な内部脅威対策を求める組織にとって、ガートナーがSSE分野のセキュリティリーダーを評価したことは、データの可視化、アクセス制御、行動監視を統一されたアーキテクチャで統合したプラットフォームの重要性を裏付けるものです。