情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問13

DLP（情報漏えい防止）【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で重要な語句を探す：今回は「秘密情報を判別」「警告」「操作を自動的に無効化」。
2. それが“データの中身を見て制御する機能”を表すか確認する。
3. 選択肢を機能ベースで照合する：
   • DLP → データ内容の検査と制御（合致）
   • IDS/IPS → ネットワーク攻撃の検知・防御（内容検査ではない）
   • DMZ → ネットワークの区画（制御機能ではない）
4. 最も合致するものを選ぶ（この問題では ア）。

選択肢別の誤答解説

• ア DLP
  データの中身（例：顧客情報、個人情報、機密文書など）を識別し、ポリシー違反時に警告表示や送信ブロック、ファイル隔離などを行います。設問の要件に完全に一致します。
• イ DMZ（Demilitarized Zone：非武装地帯）
  公開サーバ（Webやメールなど）を外部と内部ネットワークの間に置くためのネットワーク区画です。ネットワーク構成の概念であり、秘密情報の中身を判別して警告・無効化する機能はありません。
• ウ IDS（Intrusion Detection System：侵入検知システム）
  ネットワークやホストの通信・ログを監視して不正な活動を検知し、管理者にアラートを出します。検知は行いますが、通常は自動で操作を「無効化」する（遮断する）機能は持たない点が異なります。また、データの内容を深く解析して機密情報の流出を直接判別する用途には向きません。
• エ IPS（Intrusion Prevention System：侵入防止システム）
  IDSの検知に加え、通信を遮断して攻撃を防ぐ装置です。通信単位での遮断やフィルタリングは得意ですが、「ファイルの中身が機密かどうか」を判定してその操作（例：メール送信）を無効化することが主目的ではありません。

よくある誤解

• DLPは「すべての漏えいを完全に止める」わけではない
  暗号化されたファイルや許可されたクラウドサービス経由の流出など、検出・制御が難しいケースがあります。運用で補う必要があります。
• IDSとIPSとDLPを混同しがち
  IDS/IPSは「攻撃や不正通信の検知・遮断」が主眼で、DLPは「データそのものの流出防止」が主眼です。目的と検査対象（通信かデータ内容か）を意識すると見分けやすいです。

補足コラム

• メールで個人情報を添付しようとするとポップアップで警告が出る。
• 業務PCからUSBメモリに機密ファイルをコピーしようとすると自動でコピーを拒否する。
• クラウドストレージへアップロードされたファイルをスキャンし、機密情報が含まれていればアップロードを保留して管理者に通知する。

FAQ