DLP（Data Loss Prevention）は、機密情報の不適切な共有や持ち出しを防ぐための対策です。たとえばMicrosoft Purviewでは、情報の内容やポリシー条件に応じて、警告、共有の遮断、理由を記録したうえでの例外的な続行などを設定できます。Microsoft Learn：DLPの概要
導入を判断するときは、「何の情報を、どの経路で、誰が持ち出す場合に、どの動作を行うか」を一組で確認しましょう。USBへのコピーを制限したいのか、メールでの外部送信を止めたいのかでは、確認する設定が異なります。
この記事では、公開仕様の例と、導入担当者向けの確認案を分けて整理します。特定製品の機能を、すべてのDLP製品に共通する仕様として扱うものではありません。
DLPの対象を「情報・経路・動作」で整理する
Microsoft PurviewのDLPは、Exchange、SharePoint、OneDrive、Teamsや端末などを対象にできます。検出にはキーワード、正規表現などの方法が使われます。対象となる場所と条件を定義して保護する仕組みです。Microsoft Learn：対象と検出の仕組み
まずは「社外秘を守る」という方針を、試験できる単位に分けます。以下は要件を整理するための記入例であり、製品の対応保証ではありません。
| 守る情報の例 | 持ち出し経路 | 決める動作 | 導入前に確かめること |
|---|---|---|---|
| 顧客一覧 | 社外宛てメール・添付 | 警告または遮断 | 本文と添付の対象、宛先条件、正当な送付の例外 |
| 設計資料 | クラウド上の外部共有 | 共有の制限 | 対象サービス、共有相手、既存リンクの扱い |
| 見積・契約資料 | USB・ネットワーク共有へのコピー | 記録または遮断 | 対象端末、利用者、保存先の区別 |
| 社内文書 | Webへのアップロード | 警告または遮断 | ブラウザー、送信先ドメイン、アプリ経由の操作 |
| 機密文書の一部 | コピー・印刷 | 記録または制限 | 操作元アプリ、コピー先、印刷経路 |
情報の分類は、業務責任者と一緒に決めることを提案します。「顧客一覧」なら、どの列を含むと機密扱いにするのか、公開済みのサンプルは除くのかまで具体化すると、試験の期待結果を書けます。
端末のDLPで確認する範囲と制約
Microsoft Purview Endpoint DLPでは、USBやネットワーク共有へのコピー、印刷などに対して、監査・警告・遮断を設定できます。ただし、利用者と端末の両方がポリシーの対象に含まれる必要があります。対応状況にはOSや操作による違いもあります。Microsoft Learn：Endpoint DLPの適用範囲と操作
そのため、製品説明の「USB対応」だけで導入可否を決めず、自社の端末と操作で確認してください。たとえば「営業部の管理端末から、顧客一覧を私物USBにコピーする」という一連の操作を試験項目にします。
また、同製品の仕様では、ローカル端末のファイルに一度も保存されていないデータはスキャン・分類できません。対応拡張子以外への制限には、内容をスキャンしない方式もあります。ファイルの操作を制限できることと、内容を機密情報として判定できることは区別が必要です。Microsoft Learn：未保存ファイルと対応形式
この違いを踏まえ、次の条件を製品候補ごとに確認することを提案します。
- 管理端末・私物端末・委託先端末を、それぞれ対象にできるか。
- 通常の文書だけでなく、画像・暗号化ファイル・圧縮ファイルをどう扱うか。
- ブラウザーや専用アプリを変えたときも、必要な操作を検知・制御できるか。
- ネットワーク未接続時やポリシー更新中の動作が、要件に合うか。
これらは確認項目です。仕様を確認していない条件を「防止できる」として稟議や委託要件に書かないようにします。
検知・警告・遮断を別々に判定する
運用設計では、次の三つを別の合格条件にすることを提案します。
| 判定すること | 試験で残す証跡 | 確認する担当 |
|---|---|---|
| 検知できたか | 対象データ、操作、適用ルール、検知イベント | 社内IT担当 |
| 利用者に伝わったか | 警告の文面、問い合わせ先、続行可否 | 業務担当 |
| 持ち出しを止めたか | 操作結果と送信・保存先の状態 | 社内ITと業務担当 |
警告を見せる設計でよいのか、例外を認めず止める必要があるのかは、情報ごとに決めます。例外を認める場合は、承認者、対象者、送付先、期限、理由の記録先を先に定めましょう。
なお、Microsoft Purviewのシミュレーションモードは、実際に制限を適用せずにポリシーの影響を確認するための機能です。そこで一致した記録だけを見て、遮断試験にも合格したと判断しないことが大切です。Microsoft Learn：シミュレーションモード
導入は対象を絞って試験し、段階的に広げる
Microsoftは、ポリシーの展開をシミュレーションから始め、段階的に制限を適用する方法を案内しています。Microsoft Learn：DLPポリシーの作成と展開
実務では、次の順番で進めることを提案します。
- 一つの部門と情報を選び、禁止する持ち出しと許可する業務を列挙する。
- 実在する顧客情報を使わず、判定条件に合うダミーデータと条件に合わないデータを用意する。
- シミュレーションや監査で、検知結果と業務上の意図を照合する。
- 限定した対象で遮断を有効にし、操作結果と例外処理を確認する。
- 業務責任者が結果を確認してから対象を広げる。
試験表には、少なくとも次の組み合わせを用意します。
| 試験ケース | 期待結果の例 | 不一致のときに調べること |
|---|---|---|
| 機密扱いのダミー一覧を禁止先へ送る | 検知し、指定どおり遮断 | データの判定条件、対象者、送信経路 |
| 公開資料を通常の業務先へ送る | 業務を妨げず許可 | 条件が広すぎないか |
| 承認された例外で送る | 定めた範囲で許可し理由を記録 | 例外の対象・期限・記録方法 |
| OSやアプリを変えて同じ操作をする | 要件どおりの結果、または対象外を明示 | 製品仕様と適用設定の差 |
合否は件数だけで決めず、「禁止すべき操作を止めたか」「必要な業務を止めなかったか」「対象外を説明できるか」で評価します。目標値を置く場合も、根拠のない共通基準を使わず、自社の試験条件と業務上の許容範囲を記録してください。
通知後の対応と委託範囲まで決める
本番運用の要件には、通知の受け手、確認期限、誤検知時の連絡先、例外の見直し担当を含めることを提案します。調査に必要なログについても、閲覧できる人と保存期間を決めます。通知から初動までの整理には、監視アラートの設計手順も参照できます。
外部へ導入・運用を委託する場合は、「DLPを導入する」だけでなく、対象情報・経路の一覧、試験結果、未対応条件、例外の管理方法を成果物として指定しましょう。誰が機密情報を定義し、誰が設定を変更できるかも分担表に残します。クラウド側と自社側の担当整理には、クラウドの責任共有モデルを併せて確認してください。
DLPの導入判断は、必要な持ち出し経路で期待どおりに動作し、対象外と例外の扱いまで説明できる状態を目標に進めましょう。