DLP（Data Loss Prevention）とは？ SASEとPurviewの使い分け¶
最終確認: 2026-09-29
SASEの全体像に戻る ・ Purviewの全体像
30秒で復習¶
- DLP（ディーエルピー）＝機密情報が、意図せず・不正に社外へ出ていくのを見つけて止める仕組み。 日本語では「データ損失防止」「情報漏えい対策」。
- 仕組みは「見つける（検出）」と「止める・知らせる（アクション）」の2段階。
- 検出方法：マイナンバー・クレジットカード番号などのパターン、キーワード、登録した文書との一致、機械学習、秘密度ラベル。
- アクション：記録だけ → 警告（理由を書けば続行可）→ ブロック、と段階的に強くできる。
- DLPは単独の製品というより「機能」。PC・メール・M365・SASE（SWG/CASB）など、通信やデータが通る場所ごとに入っている。
- 導入はいきなりブロックせず、記録だけのモードから始めて誤検知を調整するのが定番。
質問：DLPとは？¶
答え： 社員のうっかりミス（宛先を間違えたメール、個人のクラウドストレージへのアップロード）や、退職予定者による持ち出しなどから、機密情報が外へ出ていくのを防ぐ仕組み。「データの中身」を見て判断するのが、URLやIPアドレスで判断するSWG・FWaaSとの違い。
仕組み：見つける → 止める¶
データが動く（送信・アップロード・コピー・共有）
↓
① 見つける：中身に機密情報が含まれるか？（マイナンバー、カード番号、「社外秘」ラベル…）
↓ 含まれていたら
② アクション：記録する／警告する／ブロックする／暗号化する／管理者に通知する
見つける方法¶
| 方法 | 内容 | 例 |
|---|---|---|
| パターン一致 | 決まった形式の番号を探す（チェックデジットなども確認） | マイナンバー、クレジットカード番号、口座番号 |
| キーワード | 特定の単語を探す | 「社外秘」「極秘」「プロジェクト名」 |
| 文書の指紋（フィンガープリント） | 登録したひな形や文書に似ているかを見る | 契約書のひな形、設計書 |
| データの完全一致（EDM） | 顧客名簿などのデータベースと一致するかを見る | 顧客リストの一部を貼り付けた |
| 機械学習の分類 | 文書の種類を学習済みモデルで判定する | 履歴書、ソースコード、財務書類 |
| 秘密度ラベル | 付いているラベルで判断する | 「機密」ラベルのファイルは社外へ送れない |
アクション（段階的に強くできる）¶
| 強さ | アクション | 利用者から見ると |
|---|---|---|
| 弱 | 記録（監査）だけ | 何も起きない。管理者がログで確認する |
| 中 | 警告（ポリシーヒント） | 「機密情報が含まれています」と表示される |
| 中 | 警告＋理由を書けば続行 | 業務上必要なら理由を書いて送れる（記録が残る） |
| 強 | ブロック | 送信・アップロードができない |
質問：DLPはどこで動く？¶
答え： データや通信が通る場所ごとにDLPがある。1か所だけでは抜け道が残るので、組み合わせて使う。
| 場所 | 見張るもの | 代表例 |
|---|---|---|
| PC（エンドポイントDLP） | USBメモリへのコピー、印刷、PC上のアプリへの貼り付け、ブラウザからのアップロード | Purview エンドポイントDLP |
| メール | 添付ファイルや本文に機密情報を含むメールの送信 | Purview（Exchange Online） |
| M365の中（保存場所） | SharePoint・OneDrive・Teamsでの外部共有 | Purview DLP |
| 通信の途中（SASE） | Webへのアップロード、フォーム送信、他社SaaSへの送信 | SWG・CASB（インライン型）のDLP |
| SaaSの中（API） | Box・Salesforce等に保存済みのファイルの共有設定 | CASB（API型）のDLP |
質問：Purview の DLP と SASE の DLP はどう使い分ける？¶
答え： 得意な場所が違う。M365の中とPCはPurview、M365以外への通信はSASEが基本の分担。
| 観点 | Purview DLP | SASE（SWG・CASB）のDLP |
|---|---|---|
| 得意な場所 | M365の中（メール・SharePoint・OneDrive・Teams）、Windows/MacのPC | インターネット・M365以外のSaaSへの通信 |
| 判断材料 | 秘密度ラベルと連携しやすい。暗号化されたファイルの中身も分かる | 通信の中身（SSL/TLS検査が前提） |
| 苦手なこと | M365以外のサービスへの送信（ブラウザ経由はエンドポイントDLPで一部対応） | SSL検査の対象外にした通信、PC上の操作（USB・印刷） |
| 例 | 「機密」ラベルのファイルを社外の人と共有させない | 個人のGoogleドライブや生成AIサービスへ顧客リストを貼り付けさせない |
注意： 両方に同じようなルールを作ると、二重にブロックされたり、ログが2か所に分かれて調査が大変になったりする。どちらで止めるかを決め、判断基準（何を機密とするか）はそろえる。秘密度ラベルを共通の目印にすると、両方で同じ基準を使いやすい（SASE製品がラベルを読めるかは要確認）。
質問：導入するときの注意点は？¶
- 誤検知が必ず出る：たとえば12桁の数字がすべてマイナンバーとは限らない。最初は「記録だけ」で動かし、ログを見てルールを調整してから警告・ブロックへ進める。
- SASEのDLPはSSL/TLS検査が前提：HTTPSの中身が見えないとDLPは効かない。検査の対象外にしたサイトは素通りになる。
- 止めすぎると業務が止まる：ブロックしすぎると、社員が抜け道（私物スマホで撮影など）を探し始める。「警告＋理由を書けば続行」を上手に使う。
- 「何を守るか」を先に決める：個人情報、顧客リスト、設計書など、守りたい情報と、その情報がどこにあるかを先に洗い出す。技術より先に、情報の分類ルールが必要。
- DLPでも防げないもの：画面の撮影、紙への書き写し、暗号化・圧縮で中身を隠したファイル（パスワード付きZIPなど）。ブロックや監視を組み合わせる。
具体例¶
営業のAさんが、顧客リスト（Excel、「社外秘」ラベル付き）を扱う場合：
- 社外の取引先にメールで送ろうとする → Purview：「社外秘のファイルです」と警告し、送信をブロック
- 個人のGoogleドライブにブラウザからアップロードしようとする → SASE（CASB/SWG）：個人アカウントへのアップロードとしてブロック
- USBメモリにコピーしようとする → Purview エンドポイントDLP：ブロック
- 中身をコピーして生成AIサービスに貼り付けようとする → SASE（または エンドポイントDLP）：顧客情報のパターンを検出してブロック
- どの操作もログに残るので、あとから誰が何をしようとしたかを確認できる
確認したいこと¶
- 自社で「機密」とする情報は何か。秘密度ラベルの運用はどこまで進んでいるか
- Purview DLP のライセンス（エンドポイントDLPを含むか）と、今のルールの状況
- Verona のDLP機能の有無と、秘密度ラベルを読めるか（Veronaの概要）
- 生成AIサービスへの貼り付けをどう扱うか（禁止か、会社契約のサービスだけ許可か）