デジタル時代において、データは月曜日の朝にこぼれたコーヒーよりも速いスピードで拡散していきます。
従業員が何らかの形で人事部の機密データにアクセスしてしまったり、財務報告書をCFOではなく誤って社外の第三者にメールで送信してしまったり、顧客データベースをUSBメモリに保存してしまったりすることがあります。 あるいは、さらに悪いことに、外部からの攻撃である可能性もあります。高度な手口を持つサイバー攻撃者によって、企業のデータが流出してしまうのです。
組織の内部であれ外部であれ、 機密情報 は常にリスクにさらされています。特に、 生成AI（GenAI） が業務機能に浸透するにつれ、情報漏洩が発生すると、通常は「侵害、対応、復旧」というおなじみのサイクルが繰り返され、その結果、 セキュリティへのさらなる投資 が必要となり、そのコストが消費者に転嫁されることになります。
機密データのアクセス、共有、漏洩を阻止するように設計された、従来の データ漏洩防止（DLP） システムでは、何が許可され、何が許可されないかを規定するルールやポリシーを、セキュリティチームが手動で作成しなければならないという負担が生じていました。 そのため、各チームは、進化し続ける脅威や新しいデータタイプ、変化するビジネスニーズに対応できるよう、こうしたポリシーを調整・更新する必要があります。 このルールベースのアプローチでは、誤検知率が高くなったり、 アラート疲労が生じたり、文脈に応じた脅威の見落としが発生したり、セキュリティチームに多大な管理負担がかかったりすることがよくあります。
AIは、企業が最も貴重な資産を保護する方法を、このように変革することができるのです。 の機械学習、自然言語処理、および行動分析 を活用することで、AIを活用したDLPソリューションはより適応性が高く、インテリジェントなものとなり、データへの脅威に対してより効果的に対応できるようになります。
問題は、こうしたシステムには最先端のトレーニングが必要だということです。 AIシステムが不適切なデータで学習された場合、その結果は甚大なものとなる可能性があります。 「これは、旅行に出かけた人が進路を1度ずらしてしまったという例えに似ています。1マイル先なら大したことではないように思えますが、1,000マイルも離れてしまうと、それは大きな問題になります」と、サイバーセキュリティコンサルティング会社「Nexus Cyber」の社長、エリック・ヴァンダーバーグ氏は、 Focal Point との独占インタビューで述べています。
Today, the stakes are high: According to a report by IBM and Ponemon Institute, data breach costs in 2024 reached an all-time high of $4.88 million, up 10 percent from the prior year. But the report found that organizations that apply security AI and automation lower the cost of breaches by an average of $2.2 million.
DLPの自動化は、組織にとって多くのメリットがありますが、依然として制限や課題も存在します。 知っておくべき重要な点は以下の通りです。
AIを活用したDLPのメリット
AIやGenAIといった技術は、データ漏洩を助長し、組織にセキュリティ対策の見直しを迫っている一方で、セキュリティをよりスマートなものにもしている、と、サイバーセキュリティ戦略のベテランであり、IBMでセキュリティソフトウェア部門のゼネラルマネージャーを務めたケビン・スカピネッツ氏は、昨年同社の報告書が発表された際に述べました。
「AIが試みていることは、かつて人間が行っていたこと、つまり生データを精査し、それに基づいて方針を策定することです。」TechOperatorsのジェネラル・パートナー、ケビン・スカピネッツ氏
「競争優位性を確立するためには、企業は のAIを活用した新たな防御策 に投資し、生成AIがもたらす新たなリスクや機会に対処するために必要なスキルを育成すべきです」と、現在、サイバーセキュリティに特化したベンチャーキャピタル企業TechOperatorsのジェネラルパートナーを務めるスカピネッツ氏は述べました。
まず第一に、AIは、従来のDLPではうまく処理できなかったルール作成のプロセスを効率化します。 「本質的に、AIがやろうとしていることは、かつて人間が行っていたこと、つまり生データを精査し、それに基づいて方針を策定することなのです」と彼は指摘しました。 「AIは、理解できるようになるための学習期間を経れば、それを非常に効果的に行います。」
[関連記事：データ漏洩防止とは？ 【この概念とそのメリットに関するわかりやすいガイド】
さらに、AIにより、DLPは状況や行動をより深く理解できるようになります。 従来のDLPでは、「機密」という単語が含まれているメールはすべてブロックされてしまう可能性がありますが、承認済みの文書であっても同様です。一方、AIを活用したDLPであれば、その文書が社内で安全に共有されているかどうかを判別することができます。
こうした区別により、誤検知が減少します。
「人間が大量のアラートを受け取り、そのすべてが誤検知だった場合、次に届いたアラートをきちんと確認することなく、そのままホワイトリストに登録してしまう可能性がある」とヴァンダーバーグ氏は述べています。 “「疲れていると、そういうことになるんです」と彼は言います。 「でも、AIは疲れを知りません。」
また、AIはコンテンツだけでなく、ユーザーの行動や接続パターンなど、より多くの要因を分析することで、潜在的なデータ損失の事案を特定することも可能です。 たとえば、あるユーザーが通常、週に数日はオクラホマ州の自宅オフィスから接続している場合、AIはこれを認識します。 しかし、もしユーザーが突然リベリアから接続し始めた場合、AIがそれを検知するとのことです、とヴァンダーバーグ氏は述べています。
コンプライアンス面でのメリットもあります。 AIはあらゆる意思決定を記録するため、このデータはセキュリティ対策の明確な根拠となります。これは、人間主導のプロセスではしばしば欠けている点だと、ヴァンダーバーグ氏は述べています。 また、データ漏洩への対応においても有用であり、組織が 適切な注意義務を果たし、合理的な予防措置を講じていたことを示すことで、規制当局による罰金 から身を守ることができると、同氏は付け加えています。
[関連記事：コンプライアンス管理の重要な戦略と、それが収益向上にどのように寄与するかについて学びましょう]
ヴァンダーバーグ氏によると、これらすべての要因が、セキュリティチームの運用負担を軽減するとのことです。 「AIは組織全体のセキュリティ体制を強化することができ、場合によっては、組織がリソースを再配分することを可能にします」と彼は述べています。 「DLPを常時監視する役割を担っていた人は、この業務をはるかに効率的にこなすことができます」と彼は言います。
高度なDLPには、スマートなAIトレーニングが必要です
テクノロジー・アドバイザリー企業NeuEonのCISO兼サイバーリスク・プラクティス・リードであるキャンディ・アレクサンダー氏は、AIを活用したDLPには多くのメリットがある一方で、セキュリティチームにとって重要な考慮事項もあると述べています。同氏は、 の『Focal Point』（）の との独占インタビューでこのように語りました。 まず第一に、これらのソリューションには学習が必要であるという理解が必要です。
「もし[データ]のトレーニングが当初から不適切だった場合、最初はあまり気づかないかもしれませんが、 12 ヶ月も経つと、突然、データが著しく偏り、ひどい状態になってしまいます。」ネクサス・サイバー社 社長、エリック・ヴァンダーバーグ氏
「AIは、やるべきことの雰囲気は掴んでいるけれど、正確には分かっていないインターンのようなものです」と彼女は言います。 「AIの知能は、訓練した分だけ高まるものです。そのためには、 適切なデータガバナンスが不可欠です。」
AIを効果的にトレーニングするためには、企業には 堅牢なネットワーク可視性が必要であり、それによって、どのようなデータが存在し、どこに保存されており、どのように保護すべきかを明確に把握できるようになると、アレクサンダー氏は述べています。 重要な業務データ、運用データ、および規制対象データを特定し、漏洩した場合にどのデータが最も大きなセキュリティおよびコンプライアンス上のリスクをもたらすかを評価し、DLPが機密情報を正確に検知、追跡、保護できるよう、データを適切に分類できる必要があります。
[関連記事：データプライバシーを深く掘り下げる――ISACAの 2025 番目の報告書から抜粋した5 の重要な図表]
AIの導入を検討している企業のリーダーたちが、深刻な「FOMO（取り残される不安）」を感じているこの時代において、AIを急いで導入し、後で生じる問題は何とか後回しにしようという衝動を抑えるのは難しいものです。 「慎重に進める」必要性は、必然的に のセキュリティ責任者たちに課せられることになります。彼らは、AIがもたらす長期的な影響を評価し（そして会社の経営陣に効果的に伝える）必要があります。
「AIの場合、初期のトレーニングが不十分でも、最初はそれほど気にならないかもしれませんが、 12 ヶ月も経つと、突然、結果が著しく歪んでしまい、ひどいものになってしまうのです」とヴァンダーバーグ氏は述べています。
だからこそ、これらのシステムを常に更新し、検証し続けることも極めて重要だと、彼は付け加えています。「一度設定したら、あとは放っておいていい」というわけではありません。
DLPの前提条件――人間の関与を維持すること
AIが人間の労働者に取って代わるのではないかという懸念は、AIに関するほぼすべての会話に浸透しています。 また、AIソリューションは極めて高度なものとなっていますが、少なくともDLPの分野においては、依然として人間の監視が不可欠な要件となっています。
「AIは、やるべきことの感覚はつかんでいるものの、正確には分かっていないインターンのようなものです。」NeuEonのCISO兼サイバーリスク部門責任者、キャンディ・アレクサンダー氏
「組織には依然として、人間の関与が必要なのです」とアレクサンダー氏は述べています。 「先ほどのインターンの例に戻りますが、そのインターンは信頼できるでしょうか？ 彼らは、その任務を遂行するために適切な訓練を受けてきたのでしょうか？ 「インターンには、すべてのシステムに対する管理者権限を自動的に付与するわけではありません。」
彼女は、特定の異常や誤検知を精査し、エラーを覆し、特定のポリシーを調整するためには、依然として人間の存在が必要だと述べています。
[関連記事：AI対人間――SecOpsが次の戦場になる（あるいはならない）理由]
また、AIは組織がデータ損失を防ぐ上で効率を高めるのに役立っている一方で、攻撃者が同じ技術を利用してより巧妙な脅威を作り出すため、新たな課題も生じていると、ヴァンダーバーグ氏は述べています。 「これはちょっとした猫とネズミの追いかけっこのような状況になるでしょう。私たちもAIを活用していますし、攻撃者たちもAIを活用しているのです」と彼は言います。 「攻撃者がAIシステムにゴミデータを流し込み、偽のAIアラートを発生させて、操作者の疲労を誘発しようとするような攻撃が考えられます。」 「この件について、十分な人数が目を光らせていないと、問題になる可能性があります。」
AIを活用したDLPソリューションの導入を検討している組織に対しては、従来からのアドバイスが依然として当てはまると、アレクサンダー氏は述べています。 「ご自身の要件が何であるかを理解する必要があります。具体的には、どのような機能を求めているのでしょうか？」 必要な前提条件は整っていますか？ 「御社では、データを正しく理解されていますか？」 と彼女は言います。 「重要なのは、人、プロセス、そしてテクノロジーです。 「この技術は本当に素晴らしいものですが、問題が生じやすいのは、導入やサポート体制への投資の面です。」
