データセキュリティポスチャ管理（DSPM）とは？

データセキュリティポスチャ管理（DSPM）とは？

現在の企業が扱うデータはこれまで以上に分散しています。機密情報はクラウドサービス、SaaSツール、生成AI（GenAI）ツール、開発環境など、無数のシステムを通じて作成、共有、保存されています。こうした柔軟性はイノベーションを後押しする一方で、データが散在することで、管理、保護の複雑化や可視性の低下、それを起因としたリスクの増大も招きます。

オンプレミス環境を前提に作られている従来のデータセキュリティツールでは、現在のクラウド中心の世界には対応しきれません。従来のデータセキュリティツールでは最新のクラウド環境での可視性を確保できず、シャドーデータ（認可されたシステム外に保存されたデータ）や監視されていないAIの利用など、新たなリスク源も見逃してしまいます。

こうした課題を解決するために登場したのが、データセキュリティポスチャ管理（DSPM）です。DSPMはデータを主体とする新しいセキュリティアプローチで、Infrastructure as a Service（IaaS）、Platform as a Service（PaaS）、SaaS環境にわたって散在する機密データのセキュリティ体制を自動的に検出、分類、評価します。データがどこにあっても継続的に可視化と制御を提供するため、リスクの把握、最小特権の適用、コンプライアンス遵守を強力に支援します。

従来型のツールがインフラ環境の設定内容に着目するのに対し、DSPMは「データそのもの」に着目します。DSPMツールを使用することで、データの内容、場所、アクセス権保有者、安全性を把握できるようになります。

DSPMが注目される理由

DSPMは、現在抱えている以下のような問題に対応するため注目が集まっています：

• 散在したデータを把握できない：今の機密データは、複数のクラウド環境、SaaSツール、データレイク、サードパーティアプリケーションなどに分散されており、多くのセキュリティ担当者がそれらの場所を把握しきれていない。
• シャドーデータの存在そのものが漏洩リスクとなる：古いS3バケット、重複データ、開発者用の複製データなど、未承認や放置されたままのデータセットは、リスクの高い盲点になる可能性がある。
• アクセス権の肥大化が広範囲に及んでいる：組織やアプリケーションの変化に伴い、ユーザーに必要以上のアクセス権が残り続けるケースが多く、最小特権の原則を適用する運用が破綻しかけている。
• 従来のツールでは不十分：従来のデータ損失防止（DLP）ツールや境界防御には、現代の分散環境やクラウド上に存在するデータを保護する能力がない。
• コンプライアンス対応に多くの時間とコストがかかる：手作業による監査と分類は、時間とコストがかかり、ミスも起こりやすい。DSPM は、このプロセスの大部分を自動化します。
• AI導入にはデータガバナンスが不可欠：AIの導入が進むほど、データ管理の複雑さは加速度的に急増します。特にデータ漏洩および規制違反につながる機密性の高いトレーニングデータやクエリデータは厳重に管理する必要があります。
• 経営層は明確性を求めている：経営陣や規制機関は、「機密データの所在」「アクセス権保有者」「安全か」という3つの質問に明確に回答できる状況を求めています。

DSPMの仕組み

DSPMは、可視化、評価、改善の継続的なライフサイクルを形成する、以下の4つの主要な柱を通じて機能します。

1. データの検出

• IaaS、PaaS、SaaS環境を自動でスキャンし、「シャドー」や非構造化ソースを含むすべてのデータの保管場所を特定します。
• 次に、特定した情報をもとに、機密データの所在地をまとめた一元的なリストを作成します。

2. データの分類

• 自動化と機械学習を活用して、データを個人を特定できる情報（PII）、個人健康情報（PHI）、財務記録、知的財産に分類してタグ付けします。
• ビジネスコンテキスト（顧客請求記録や従業員の人事システムからの情報など）を追加して、保護の優先順位付けをしやすくします。

3. リスクとポスチャ（態勢）の評価

• 公開状態にあるストレージ、設定ミス、脆弱な暗号化、過剰な権限、地域を跨いだデータ転送などのデータ漏洩リスクを継続的に評価します。
• 次に、重大性やコンプライアンスへの影響に基づいて優先順位を付けます。

4. 修正と継続的な監視

• 最も重大な問題を先に解決するための具体的な対処案を提示します。
• ワークフローと連携して、過剰な権限を削除し、暗号化を徹底し、公開状態にあるデータを隔離します。
• データアクセスパターンを監視し、不審な動きや許可されていない利用を検知してフラグを立てます。
• 継続的に変化を監視することで、データが移動や更新された場合もコンプライアンスを維持します。

DSPMと他のツールとの違い

DSPMとCSPMの違い

クラウドセキュリティ体制管理（CSPM）がインフラストラクチャを保護（クラウドバケットが適切に設定されているかなど）するのに対し、DSPMはバケット内部のデータを保護（データの機密性、アクセス権保有者、リスクの有無を判断）します。

DSPMとSSPMの違い

SaaSセキュリティ体制管理（SSPM）がSaaSの構成態勢（強力な多要素認証、適切なユーザーロール、SaaSプラットフォーム自体内のセキュリティ設定など）をチェックするのに対し、DSPMは、SaaSアプリに保存または共有されているデータが機密であるか、公開状態にないかに重点を置いています。

DSPMとDLP

DLPは、転送中のデータを保護（従業員が機密データを公開AIツールに入力できないようにするなど）する一方、DSPMは、保存されているデータを保護し、DLPが見えない部分（全リポジトリのデータの内容やリスク状況）を補完します。

これらの機能を単一のプラットフォームで提供するツールが理想的です。これらの機能が統合されたツールを使うことで、データの状態（保存状態か移動中）に関わらず、最も機密性の高い資産を保護する、真にデータ中心のセキュリティ戦略を実現できます。

DSPMの主なユースケース

企業はDSPMツールを使うことで、次のような課題に対応できます：

• クラウドやSaaSに散在するデータの管理：IaaS、PaaS、SaaS環境に存在する機密データを特定、一覧化します。重複データや、孤立、放置されたままのデータを除去することでリスクを軽減します。
• シャドーデータの発見と対策：古いS3バケットや無許可のSaaSアプリなどの監視されていない、または未承認のデータストアを検出し、管理下に置くことで、偶発的な露出を防ぎます。
• 最小特権アクセスを適用：過剰な権限を持つアカウントと許可を特定し、適切な状態に修正します。
• コンプライアンス強化と監査支援： GDPR、CCPA、PCI DSS、HIPAAなどの規制に基づく要件を満たすための、検出、分類、レポート作成を自動化します。これにより、手作業による監査業務の手間を減らし、正確性を向上します。
• AIとデータ活用のガバナンス：AIや機械学習モデルで使用される機密データを保護し、トレーニングデータや出力からの漏えいを防ぎ、クラウド環境全体の可視性を維持します。

DSPMの始め方

DSPMを導入する際は、次の手順を参考にすると、より効率的に進めることができます：

1. 現在のデータの状況を評価する：クラウド、SaaS、オンプレミス環境全体に散在するすべてのデータリポジトリをリスト化し、機密データまたは規制対象データがどこに存在するかを特定します。

2. 目標を定める：「公開状態のデータを○%削減する」「継続的なコンプライアンス報告を実現する」など、達成度を測定できる目標を設定します。
3. 教育と企業文化に投資する：クラウドデータの分類、規制要件、および最小特権アクセスの重要性について、チームを教育します。
4. 適切なDSPMツールを選定する：自動検出、自動分類、クラウドやSaaSプラットフォームとの連携、継続的な監視とレポート作成機能を備えたDSPMソリューションを選択してください。
5. 既存の仕組みとの連携：DSPMの結果をIDおよびアクセス管理（IAM）、クラウドアクセスセキュリティブローカー（CASB）、DLP、セキュリティ情報イベント管理（SIEM）、SOAR、ゼロトラストアーキテクチャなど既存のセキュリティツールやワークフローに組み込みます。
6. 継続的に監視する：新しいデータの作成、利用、共有パターンを追跡し、リスクポスチャを定期的に見直します。
7. 小さく始めて徐々に拡大する： まず、特定の部署または特定の種類のデータから開始し、効果を確認してから組織全体に展開します。

DSPM導入のためのビジネスケースの作り方

DSPMの導入は、技術的な面でのみ判断するものではなく、より広く達成したい成果に結び付けて戦略的に判断する必要があります。以下に、DSPMのビジネスケースを作るためのいくつかのベストプラクティスを紹介します。

1. DSPMを事業をする上での必須ツールとして位置付ける：データは企業にとって最も重要な資産であり、安全性が侵害されたデータは、収益、評判、コンプライアンスの状況に直接影響します。経営層も、データリスクを点数付けしたり現状を可視化できる状態の実現に前向きになっています。
2. リスクの具体例を示す：「公開バケットが誰でも見れる状態になっている」、「AIを通した無監視な取り込みや出力が行われている」、「設定ミスのあるSaaSアプリに規制対象データが保存されている」などの具体例を示します。
3. 運用面でのメリットを強調する：DSPMは、手作業による監査対応業務を軽減しながらレポートの精度を向上し、従来の監査では実現できないリアルタイムの洞察を提供します。

CloudflareはDSPM導入にどう役立つのか

Cloudflareのデータ保護サービスはDSPMの原則を具現化したものであり、SaaS、クラウド、オンプレミス、AI駆動型のワークロードなど、あらゆる環境にわたる可視化、制御、保護を一つの仕組みで実現します。Cloudflareは、DLP、CASB、ゼロトラストを内蔵した環境で、いかなる場所の機密データも自動的に検出して保護します。

Cloudflareは、ポスチャ管理をインフラストラクチャからその内部のデータ自体にまで拡張します。設定ミスを検出し、一貫性のあるセキュリティポリシーを適用し、機密データがどこに移動しても、状況に応じて安全に保護されるようにします。Cloudflareは、データを主体としたゼロトラストアプローチにより、急速に進化するAIや開発環境においても、パフォーマンスやイノベーションを損なうことなく、組織がリスクを軽減することを可能にします。

その結果、セキュリティおよびIT担当者は、運用を簡素化しつつ、データセキュリティ体制を最新化できます。Cloudflareは、グローバルに分散された単一のネットワークを通じて、組織が継続的なコンプライアンスを達成し、リスクを軽減し、あらゆる場所にあるデータを保護できるよう支援します。

Cloudflareがどのように機密データを保護するかをご覧ください。

よくある質問

データセキュリティポスチャ管理（DSPM）とは？

DSPMは、散在するデータを保護するために設計された、データを主体とした最新のセキュリティアプローチで、Infrastructure as a Service（IaaS）、Platform as a Service（PaaS）、Software as a Service（SaaS）環境全体に散在する機密データのセキュリティ体制を自動的に検出、分類、評価します。

DSPMが必要な主なセキュリティ上の課題は？

DSPMは現代のデータセキュリティが抱える問題である、「データスプロール」、「シャドーデータ」（未承認または放置されたままのデータ）、「特権クリープ」、「従来のデータ保護ツールの限界」などへの対処に不可欠です。

DSPMの仕組みは？

DSPMは、「データ検出」、「データ分類」、「リスクとポスチャの評価」、「修復と継続的監視」という4つの主要なフェーズで動作します。

DSPMとCSPMの違いは？

クラウドセキュリティ体制管理（CSPM）はデータの保管場所であるインフラストラクチャ（ストレージバケットなど）を保護するのに対し、DSPMはデータ自体を保護します。

DSPMとSSPMの違いは？

SaaSセキュリティ体制管理（SSPM）はSaaSプラットフォームの構成（ユーザーロールやセキュリティ設定など）の状態に焦点を当てているのに対し、DSPMはデータ自体を保護することに重点を置いています。

DSPMツールの主な活用例（ユースケース）は？

活用例には、シャドーデータの検出、最小特権アクセスの実施、コンプライアンスの強化、AIとデータ活用の管理などがあります。

CloudflareはDSPM戦略をどのように支援するか？

Cloudflareのデータ保護サービスは、DSPM の考え方をそのまま実践できるように設計されており、SaaS、クラウド、オンプレミス、AIを使用した活動を可視化、制御、保護する統合環境を提供します。Cloudflareのプラットフォームには、データ損失防止（DLP）、クラウドアクセスセキュリティブローカー（CASB）、ゼロトラストの機能が統合されており、機密データの自動検出・保護に加え、設定ミスの検出、一貫したセキュリティポリシーの適用、データを主体としたゼトトラストアプローチでリスクを軽減します。