コンテンツにスキップ

DLP（Data Loss Prevention）とは？SASEとPurviewの使い分け

2026-10-28 更新約6分で読めます

最終確認: 2026-09-29
SASEの全体像に戻る ・ Purviewの全体像

30秒で復習

  • DLP（ディーエルピー）＝機密情報が、意図せず・不正に社外へ出ていくのを見つけて止める仕組み。 日本語では「データ損失防止」「情報漏えい対策」。
  • 仕組みは「見つける（検出）」と「止める・知らせる（アクション）」の2段階。
  • 検出方法：マイナンバー・クレジットカード番号などのパターン、キーワード、登録した文書との一致、機械学習、秘密度ラベル。
  • アクション：記録だけ → 警告（理由を書けば続行可）→ ブロック、と段階的に強くできる。
  • DLPは単独の製品というより「機能」。PC・メール・M365・SASE（SWG/CASB）など、通信やデータが通る場所ごとに入っている。
  • 導入はいきなりブロックせず、記録だけのモードから始めて誤検知を調整するのが定番。

こんな場面で出会う

  • メールを送ろうとしたら「機密情報が含まれている可能性があります」と警告が出る
  • マイナンバーやカード番号の入ったファイルが社外に送られていないか確かめたい

質問：DLPとは？

答え： 社員のうっかりミス（宛先を間違えたメール、個人のクラウドストレージへのアップロード）や、退職予定者による持ち出しなどから、機密情報が外へ出ていくのを防ぐ仕組み。「データの中身」を見て判断するのが、URLやIPアドレスで判断するSWG・FWaaSとの違い。

仕組み：見つける → 止める

データが動く 送信・アップロード コピー・共有 ① 見つける マイナンバー・カード番号 キーワード・秘密度ラベル ② アクション 記録・警告・ブロック 暗号化・管理者に通知 強さは段階的に： 記録だけ 警告 理由を書けば続行 ブロック 弱 強 
データが動く（送信・アップロード・コピー・共有）
      ↓
① 見つける：中身に機密情報が含まれるか？（マイナンバー、カード番号、「社外秘」ラベル…）
      ↓ 含まれていたら
② アクション：記録する／警告する／ブロックする／暗号化する／管理者に通知する

見つける方法

方法 内容 例
パターン一致 決まった形式の番号を探す（チェックデジットなども確認） マイナンバー、クレジットカード番号、口座番号
キーワード 特定の単語を探す 「社外秘」「極秘」「プロジェクト名」
文書の指紋（フィンガープリント） 登録したひな形や文書に似ているかを見る 契約書のひな形、設計書
データの完全一致（EDM） 顧客名簿などのデータベースと一致するかを見る 顧客リストの一部を貼り付けた
機械学習の分類 文書の種類を学習済みモデルで判定する 履歴書、ソースコード、財務書類
秘密度ラベル 付いているラベルで判断する 「機密」ラベルのファイルは社外へ送れない

アクション（段階的に強くできる）

強さ アクション 利用者から見ると
弱 記録（監査）だけ 何も起きない。管理者がログで確認する
中 警告（ポリシーヒント） 「機密情報が含まれています」と表示される
中 警告＋理由を書けば続行 業務上必要なら理由を書いて送れる（記録が残る）
強 ブロック 送信・アップロードができない

質問：DLPはどこで動く？

答え： データや通信が通る場所ごとにDLPがある。1か所だけでは抜け道が残るので、組み合わせて使う。

Purview が得意 SASE（SWG・CASB）が得意 機密データ 顧客リストなど PC（エンドポイント） USB・印刷・貼り付け メール 添付ファイル・本文 M365の中 SharePoint・Teams等 通信の途中 Web・他社SaaSへ SaaSの中（API） Box等の共有設定 生成AIへの貼り付け 顧客情報のパターン
場所 見張るもの 代表例
PC（エンドポイントDLP） USBメモリへのコピー、印刷、PC上のアプリへの貼り付け、ブラウザからのアップロード Purview エンドポイントDLP
メール 添付ファイルや本文に機密情報を含むメールの送信 Purview（Exchange Online）
M365の中（保存場所） SharePoint・OneDrive・Teamsでの外部共有 Purview DLP
通信の途中（SASE） Webへのアップロード、フォーム送信、他社SaaSへの送信 SWG・CASB（インライン型）のDLP
SaaSの中（API） Box・Salesforce等に保存済みのファイルの共有設定 CASB（API型）のDLP

質問：Purview の DLP と SASE の DLP はどう使い分ける？

答え： 得意な場所が違う。M365の中とPCはPurview、M365以外への通信はSASEが基本の分担。

観点 Purview DLP SASE（SWG・CASB）のDLP
得意な場所 M365の中（メール・SharePoint・OneDrive・Teams）、Windows/MacのPC インターネット・M365以外のSaaSへの通信
判断材料 秘密度ラベルと連携しやすい。暗号化されたファイルの中身も分かる 通信の中身（SSL/TLS検査が前提）
苦手なこと M365以外のサービスへの送信（ブラウザ経由はエンドポイントDLPで一部対応） SSL検査の対象外にした通信、PC上の操作（USB・印刷）
例 「機密」ラベルのファイルを社外の人と共有させない 個人のGoogleドライブや生成AIサービスへ顧客リストを貼り付けさせない

注意： 両方に同じようなルールを作ると、二重にブロックされたり、ログが2か所に分かれて調査が大変になったりする。どちらで止めるかを決め、判断基準（何を機密とするか）はそろえる。秘密度ラベルを共通の目印にすると、両方で同じ基準を使いやすい（SASE製品がラベルを読めるかは要確認）。

質問：導入するときの注意点は？

  • 誤検知が必ず出る：たとえば12桁の数字がすべてマイナンバーとは限らない。最初は「記録だけ」で動かし、ログを見てルールを調整してから警告・ブロックへ進める。
  • SASEのDLPはSSL/TLS検査が前提：HTTPSの中身が見えないとDLPは効かない。検査の対象外にしたサイトは素通りになる。
  • 止めすぎると業務が止まる：ブロックしすぎると、社員が抜け道（私物スマホで撮影など）を探し始める。「警告＋理由を書けば続行」を上手に使う。
  • 「何を守るか」を先に決める：個人情報、顧客リスト、設計書など、守りたい情報と、その情報がどこにあるかを先に洗い出す。技術より先に、情報の分類ルールが必要。
  • DLPでも防げないもの：画面の撮影、紙への書き写し、暗号化・圧縮で中身を隠したファイル（パスワード付きZIPなど）。ブロックや監視を組み合わせる。

具体例

営業のAさんが、顧客リスト（Excel、「社外秘」ラベル付き）を扱う場合：

  1. 社外の取引先にメールで送ろうとする → Purview：「社外秘のファイルです」と警告し、送信をブロック
  2. 個人のGoogleドライブにブラウザからアップロードしようとする → SASE（CASB/SWG）：個人アカウントへのアップロードとしてブロック
  3. USBメモリにコピーしようとする → Purview エンドポイントDLP：ブロック
  4. 中身をコピーして生成AIサービスに貼り付けようとする → SASE（または エンドポイントDLP）：顧客情報のパターンを検出してブロック
  5. どの操作もログに残るので、あとから誰が何をしようとしたかを確認できる

確認したいこと

  • 自社で「機密」とする情報は何か。秘密度ラベルの運用はどこまで進んでいるか
  • Purview DLP のライセンス（エンドポイントDLPを含むか）と、今のルールの状況
  • 導入するSASEにDLP機能があるか、秘密度ラベルを読めるか
  • 生成AIサービスへの貼り付けをどう扱うか（禁止か、会社契約のサービスだけ許可か）

参考資料