「適応型DLP」で電子メールの セキュリティリスクを自動排除 ～業務の流れは止めずに、機密情報の流出・流入を阻止

「情報」の中身を分解・解析

サイバーセキュリティーソリューションをグローバルに展開するクリアスウィフトは、本拠地の英国のほか、米国、オーストラリア、ドイツ、日本に拠点を構える。1996年に「Deep Content Inspection Engine（初版）」の開発に成功以来、セキュアコンテンツや電子メール、WEBセキュリティの分野で20年以上の実績を持つ。

「2019年11月12日現在、70以上の国・地域の3000以上のお客様と取引があり、700万以上のライセンスが稼働中です。ユーザーの業界別比率では、とりわけ高度な情報漏えい対策が求められる防衛、政府、金融の3つが7割以上を占めます」（クリアスウィフトリージョナルディレクターの杉山吉寿氏）。

クリアスウィフトの情報漏えいを防ぐDLP（Data Loss Prevention）システムの特徴は、独自に開発したアルゴリズム・プログラムが、テキストや画像、アドレスといった「情報」の中身にまで踏み込んで分解・解析。標的型攻撃メールを無害化したり、元のフォーマットを保ったまま指定の機密情報だけアスタリスク（＊）で上書きして秘匿化したりする点だ。

「これまでの一般的なDLPは、人の判断による多大な運用コストが発生するといった様々な課題がありました。当社のDLPは、ユーザー企業の情報ポリシーに違反する情報を自動的に除去し、残りの部分の宛先への通過を妨げない『アダプティブ（適応型）』タイプのため、機密情報の流出・流入を阻止するとともに、業務の流れを中断しません」（杉山氏）

メタデータや隠れた情報も除去

クリアスウィフトでは、WEB版やエンドポイント版など複数の適応型DLPのシステムを提供しているが、金融機関などからの引き合いが特に多いのが、サイバー攻撃や内部不正の手段として使われやすい電子メールのセキュリティリスクを自動排除して、自社の情報資産を確実に守る「Clearswift SECURE Email Gateway（以下、SEG〈セグ〉）」である。

SEGの具体的なセキュリティ機能は大きく3つに分けられる（図表1）。

1つが、受信した文書から、マクロなどファイルやプログラムの中に追加されるアクティブコンテンツを自動的に検知・除去して無害化する「構造サニタイゼーション」機能だ。これにより、電子メールに添付された潜在的に有害なアクティブコンテンツを従業員がうっかり開いてしまう前に、埋め込まれた文書からアクティブコンテンツだけ削除することが可能となる。

2つめが、電子メールと添付ファイル中の表示コンテンツから、ユーザー企業の情報ポリシーに違反する情報を徐々する「データリダクション」機能である（図表2）。除去の対象情報は、クレジットカード番号や顧客情報、電話番号、特定の文字列など事前にノンプラミングで任意設定できる。「メールの本文やマイクロソフトのOffice文書などからマイナンバーだけを見つけて意味のない情報に置き換えてしまうため、従業員やシステム担当部署の手を煩わせることなく漏えいや悪用を未然に防げます。画像ファイルに含まれている情報も、SEG内でOCR（光学文字認識）に変換して秘匿化できます。当社では、米国の社会保障番号制度をはじめ各国の共通番号制度への対応ノウハウを蓄積してきており、それらが機能に反映されているのも強みになっています」（杉山氏）。

最後が、マイクロソフトのOffice文書やPDFなどに含まれるメタデータおよび更新履歴などの「隠れた」情報を、企業の情報ポリシーに従って自動除去する「ドキュメントサニタイゼーション」機能だ。杉山氏は、「例えば、Office文書のプロパティには、作成者情報や更新履歴、データが作成された場所といったメタデータが含まれています。『ドキュメントサニタイゼーション』機能は、あらかじめ設定したメタデータや隠れた情報のみを自動的に除去するので、使いたいメタデータや隠れた情報は残したまま、機密情報の漏えいを未然に防ぐことができます」と説明する。

クラウド環境にも対応

これら3つの機能を備えたSEGは、日本国内でも様々な業界の企業が導入している。「ある大手金融機関では、グループ全体の共通メール基盤として運用を開始した後、大幅に利用範囲を拡大。現在は約6万ユーザーが利用中です。

同社では、外部宛てメールの添付ファイルの自動暗号化やセンシティブ情報、個人情報の検知と保留などとともに、グループ各社単位、役職単位、送信／受信者属性などの組み合わせに応じたきめ細かなアクションを適用。これにより、ビジネス上のコミュニケーションや利便性を下げずに顧客情報を確実に守り、金融機関に求められる高いコンプライアンスも実現しています」（杉山氏）。このほか大手保険会社でも約4万ユーザーが活用しているなど導入企業のすそ野はますます広がっている。

SEGは30分程度で導入でき、自動ソフトウェア更新で管理も容易なため、システム部門の人員リソースが限られた企業も使いやすい。また、業務システムを外部企業が提供するクラウド環境で動作させている企業も、当該クラウド上にSEGをインストールすることによって、「構造サニタイゼーション」「データリダクション」「ドキュメントサニタイゼーション」の3つの機能によるディープコンテンツ検査技術で情報資産を守ることができる。

「2020年春には4つめの機能として、SEGに『サンドボックス』を搭載します。電子メールに未知のマルウェアが添付されて届いた場合、業務システムから隔離したサンドボックス内に飛ばしてマルウェアを作動させて検証し、セキュリティリスク排除の精度を一層高めます。今後もバージョンアップを図り、常に最先端の適応型DLPシステムを皆様にお届けしますのでご期待ください」（杉山氏）。クリアスウィフトなら、メールやWEBのセキュリティレベルを高めたい企業にふさわしいソリューションがきっと見つかるはずだ。