Data Leak Detection

データ漏洩検知（Data Leak Detection）とは、組織の機密データが不正に外部へ流出する兆候を早期に発見し、被害を最小限に抑えるための技術および運用プロセスです。ネットワークトラフィックの監視、エンドポイントでのデータ操作の追跡、クラウドサービスの利用状況の分析など、複数のレイヤーでデータの流れを可視化し、異常な動きを検知します。

データ漏洩は、外部攻撃者によるサイバー攻撃だけでなく、内部関係者による意図的な持ち出しや、従業員の不注意による誤送信・設定ミスなど、多様な原因で発生します。IBM Security の調査によれば、データ侵害の発見までに平均200日以上を要しており、検知の遅延が被害の拡大と対応コストの増加に直結しています。

効果的なデータ漏洩検知には、DLP（Data Loss Prevention）、UEBA（User and Entity Behavior Analytics）、CASB（Cloud Access Security Broker）、EDR（Endpoint Detection and Response）など、複数のセキュリティソリューションを組み合わせた統合的なアプローチが必要です。さらに、ダークウェブモニタリングにより、すでに流出したデータの検知も重要な要素となっています。

ネットワークベースの検知

ネットワークDLPは、組織のネットワーク境界を通過するトラフィックを検査し、機密データの外部送信を検知・ブロックします。メール、Web通信、ファイル転送プロトコル（FTP/SFTP）、クラウドストレージへのアップロードなど、多様な通信経路を監視対象とします。

検知手法として、コンテンツインスペクション（キーワードマッチング、正規表現、データフィンガープリンティング）、コンテキスト分析（送信先、ファイルサイズ、送信時間帯の異常性）、機械学習ベースの異常検知が使用されます。暗号化された通信内のデータ漏洩を検知するためには、TLS/SSLインスペクション（復号・検査・再暗号化）の実装が必要ですが、プライバシーとのバランスに配慮が求められます。

エンドポイントベースの検知

エンドポイントDLPは、PC、ノートパソコン、モバイルデバイスなどの端末上でのデータ操作を監視します。USBメモリやSDカードなどのリムーバブルメディアへのコピー、スクリーンキャプチャ、印刷、クリップボードへのコピーなど、エンドポイント上でのデータ持ち出し経路を制御します。

EDR（Endpoint Detection and Response）と統合することで、マルウェアによるデータ窃取の検知精度が向上します。プロセスの振る舞い分析により、正規アプリケーションを装ったデータ抽出ツールの実行や、コマンド&コントロール（C2）サーバーへのデータ送信を検知できます。

クラウド環境における検知

クラウドサービスの普及に伴い、CASB（Cloud Access Security Broker）によるデータ漏洩検知の重要性が増しています。CASBは、SaaS、IaaS、PaaSなどのクラウドサービスへのアクセスを可視化し、機密データのクラウドへのアップロード、共有設定の不備、シャドーITの利用を検知します。

特に注意が必要なのは、承認されていないクラウドサービス（シャドーIT）を通じたデータ漏洩です。従業員が個人のDropbox、Google Drive、または未承認のSaaSアプリケーションに業務データをアップロードするケースは非常に多く、CASBによるシャドーIT検出と制御は不可欠です。

ユーザー行動分析（UEBA）

UEBA（User and Entity Behavior Analytics）は、ユーザーやシステムの通常の行動パターンをベースラインとして学習し、そこからの逸脱をリスクスコアとして算出する技術です。例えば、通常業務時間外の大量データダウンロード、普段アクセスしないシステムへの接続、退職予定者による異常なデータアクセスなどを検知します。

UEBAの強みは、あらかじめルールを定義する必要がなく、未知の攻撃パターンや内部犯行を検知できる点です。複数のデータソース（認証ログ、ファイルアクセスログ、メールログ、VPNログなど）を統合的に分析することで、単一のログからでは見えない脅威の全体像を把握できます。

ダークウェブモニタリング

ダークウェブモニタリングは、すでに流出したデータを検知するための事後的な手法です。ダークウェブ上のフォーラム、マーケットプレイス、ペーストサイトなどを継続的に監視し、自社の機密データ（認証情報、顧客データ、知的財産など）の流通を検知します。

早期にデータ流出を検知することで、パスワードリセットの実施、影響を受けた顧客への通知、法的対応の開始など、迅速な事後対応が可能になります。Digital Shadows、Recorded Future、Flareなどの脅威インテリジェンスサービスがダークウェブモニタリング機能を提供しています。

• 01
  多層的なDLPソリューションの導入：ネットワークDLP、エンドポイントDLP、クラウドDLPを組み合わせた多層防御を実装してください。データの分類と機密度ラベリングに基づいて検知ポリシーを設定し、誤検知を最小化しつつ機密データの流出を確実に検知しましょう。
• 02
  UEBAによる内部脅威の検知：ユーザー行動分析（UEBA）を導入し、内部関係者による異常なデータアクセスパターンを検知する体制を構築してください。退職予定者、権限変更者、高リスクユーザーに対する重点的な監視ルールを設定しましょう。
• 03
  クラウドサービスの可視化と制御：CASBを導入し、承認済み・未承認のクラウドサービスへのデータ流出を監視してください。シャドーITの検出とブロック、クラウドストレージの共有設定監視、APIベースの継続的データスキャンを実施しましょう。
• 04
  ダークウェブモニタリングの実施：脅威インテリジェンスサービスを活用し、自社の認証情報、顧客データ、知的財産がダークウェブ上で取引されていないかを継続的に監視してください。検知した場合の即時対応プロセス（パスワードリセット、通知、法的対応）を事前に定義しましょう。
• 05
  データ分類とラベリングの徹底：すべてのデータを機密度に基づいて分類し、適切なラベルを付与してください。分類に基づいた取り扱いルールを定義し、DLPポリシーと連動させることで、検知精度の向上と運用負荷の軽減を実現しましょう。
• 06
  インシデント対応プロセスの整備と訓練：データ漏洩が検知された場合の対応手順（封じ込め、影響範囲特定、通知、復旧）を文書化し、定期的な訓練を実施してください。法的な通知義務（GDPRの72時間ルールなど）を遵守するためのタイムラインも明確にしましょう。