機密情報を含むファイルが判定条件に該当せず社外へ送信される
実際の業務データの書式や格納場所が判定条件に合わなければ、機密情報を含むファイルは検知されません。検知されないまま社外へ送信されます。
GENZ, Inc.
自社の業務データで
DLPの
自社の業務データで
DLPのポリシー設定が意図どおり働くか第三者視点で検証
ポリシー設定が業務データへ意図どおり働くかは、製品の機能とは別の確認です。GENZは第三者の視点で検証範囲を整理し、テスト設計から実行まで担います。
支援事例
支援実績5,000件以上
DLPツールでよくある不具合
DLPツールの不具合は、製品そのものの欠陥よりも、ポリシーの設定値と実際の制御動作の不整合として現れます。導入・更改の検証で見つけておきたい不具合の型を挙げます。
機密情報を
業務で必要な送信が誤って遮断され、提出が期限内に完了しない
判定条件を広げすぎると、見積もりや納品物の送信まで遮断の対象になります。例外許可の申請と復旧は手作業での対応となり、提出期限に間に合いません。
判定条件の優先順位が競合し、意図した制御動作とは別の動作が適用される
複数のポリシーが同じデータに該当すると、優先順位の高い側の動作だけが適用されます。意図した遮断や警告が働かず、設定値の確認では気づけません。
全角と半角・異体字の違いで同じ機密情報が検知されない
社内の帳票は、全角と半角や異体字の表記が統一されていないことがあります。判定条件が一方の表記しか対象にしないと、同じ機密情報が検知されません。
ポリシーの再配布が一部の端末に届かず、保護されていない端末が残る
ポリシーの変更は管理サーバーから各端末へ配布されますが、停止中の端末や通信が切れた端末には届きません。古い設定のままの端末に制御が働きません。
残存した不具合により生じる問題
DLPツールは導入しただけでは、どの経路をどこまで止められるかが示せません。検証で確かめ切れなかった不具合が残ると、以下の問題が発生します。
静的テスト（レビュー）でおさえるべき観点
DLPツールのポリシーは、設定画面の値だけでは正しさを判断できません。導入・更改の段階でレビューしておくべき観点を、照合先の資料とともに整理します。設計時の確認を省くと、検証範囲を絞り込む根拠を持てません。
規程とポリシーの差異を放置すると、保護義務のあるデータが制御の対象外となり、監査で設定と実態の不整合を指摘されるおそれがあります。
保護対象データの定義を、社内の情報分類規程と照合する
保護対象とする情報の種類が、社内の情報分類規程の等級と一致しているかを照合します。規程で「機密」とされる区分がポリシーの対象から外れていると、保護義務があるのに制御が働かない範囲が残ります。
確認する資料
- 情報分類規程
- 保護対象一覧
- ポリシー設計書
標準パターンのまま運用を始めると、自社の帳票が検知されずに通過し、漏洩事象が判明した段階で設定起因か製品起因かの切り分け材料を欠きます。
判定条件の一覧を、実際の業務データの項目と照合する
パターンマッチングの条件やデータ分類ラベルが、業務データの項目名と記載形式に対応しているかを確認します。製品の標準パターンのままでは自社の帳票の表記に合わず、検知すべきデータが通過します。
確認する資料
- 判定条件一覧
- 業務データ実例
- 帳票サンプル
例外許可の積み上がりで制御が外れる範囲が広がり、どの例外がどの保護を無効にしたかを説明できない状態になるおそれがあります。
制御動作の割り当てと優先順位を、例外許可の運用ルールと照合する
印刷・コピー・画面キャプチャ・外部送信ごとの制御動作の割り当てが、例外許可の運用ルールと矛盾していないかを照合します。優先順位によって既存の制御が無効になる範囲も、この段階で洗い出します。
確認する資料
- 制御動作一覧
- 例外許可規程
- 優先順位表
検査点の外側に送信経路が残ると、その経路からの送信は検知されず、導入済みであることだけが残って実効性を示せません。
導入範囲と検査点の位置を送信経路の一覧と照合する
エージェント型・ネットワーク型・クラウド型のどこに検査点を置くかが、想定する送信経路をすべて通る配置になっているかを確認します。経路の一覧と配置図を突合し、検査点の外側を明確にします。
確認する資料
- 送信経路一覧
- システム構成図
- 配置設計書
ログの項目や保管期間が要件に足りないと、年次のシステム監査で統制の有効性を示す証跡を提出できず、是正要求の対象となります。
検知ログの記録項目を、監査への提出要件とログ保管の設計と照合する
検知ログに残る項目が、監査への提出要件とログの保管期間・保存先の設計に足りているかを照合します。制御が設定どおり働いた証跡として提出できるかは、記録項目の設計で決まります。
確認する資料
- 監査提出要件
- ログ保管設計
- ログ項目定義
- 保存容量計算
動的テストの設計・実行のポイント
DLPツールの動的テストは、ユニットテストから回帰テストまでの工程で進めます。各工程の対象と残すべき記録を整理します。
STEP 01
ユニットテスト判定条件ごとの検知の正しさを確認します
どう確かめるか
判定条件ごとに境界値のデータを用意して検知を確かめる
ポリシーの判定条件ごとに、条件のすぐ内側と外側の境界値となるデータを用意します。検知されるべきデータが検知され、検知されてはならない業務データが通ることを、実データを当てて確認します。
- 01保護対象データの種類ごとに判定条件を洗い出します
- 02条件の内側と外側の境界値データを用意します
- 03検知結果と設定値の突合を記録します
OUTPUT判定条件の検知結果一覧
STEP 02
統合テスト製品間の連携で検知から遮断までを確かめます
どう確かめるか
エージェントと管理サーバー、メールの連携で検知から遮断までを確認
エージェントと管理サーバー、メール送信の連携を通し、検知の記録がダッシュボードへ載り、設定どおり遮断・警告が働くことを端から端まで確認します。通信断時の挙動もあわせて確かめます。
- 01エージェントから管理サーバーへの通知を確認します
- 02メール送信の検知から遮断までを確かめます
- 03通信断時の挙動を意図的に発生させて検証します
OUTPUT検知から遮断までの動作記録
STEP 03
システムテスト業務シナリオと異常系の挙動を検証します
どう確かめるか
業務シナリオに沿って送信や書き出しを行い、異常系まで確かめる
見積もり送付や契約書の送信など、実際の業務シナリオに沿って操作を行い、誤って遮断されないことを検証します。エージェント停止時や容量不足時など異常系のテスト観点まで対象に含めます。
- 01業務の送信・印刷・コピーの操作手順を定義します
- 02誤って遮断されないことを実データで検証します
- 03エージェント停止時や容量不足時の挙動を確かめます
OUTPUT業務シナリオの検証結果
STEP 04
受け入れテストと回帰テスト本番相当の条件で確認し、変更後の影響を確かめます
どう確かめるか
ポリシー変更後に、影響範囲の回帰テストを実施してリリース判断の材料を整える
ポリシー変更後は、変更した判定条件と優先順位が影響する制御動作の範囲で回帰テストを実施します。確認済みの範囲と未確認の範囲を区分し、リリース判断の材料として提出できる形に整えます。
- 01本番相当のポリシーで受け入れテストを実施します
- 02変更が影響する制御動作の範囲で回帰テストを行います
- 03確認済みと未確認の範囲を区分して報告書にまとめます
OUTPUT回帰テスト結果と判断材料
GENZが代行するDLPツールのテスト
固定費を抱えない人日単位のアサイン、監査にも使える独立した検証の記録、育成期間なしに活かせる専門ノウハウなど、第三者へのアウトソースには複数のメリットがあります。
OUTSOURCING RATIONALE
THIRD-PARTY VERIFICATION
01
必要な時に必要な分だけ
人日単位のアサインで固定費を抱えず、繁忙期に増減できます。
02
独立した視点で品質を底上げ
独立した検証で偏りを排し、監査に使える客観的な記録を残せます。
03
専門ノウハウを即戦力で
JSTQB認定エンジニアが在籍し、対象領域固有の検証知見を育成期間なしに活用できます。
専門知識を持ったテストエンジニアが、第三者の視点でテストするメリット
- 検証範囲の優先順位を根拠とともに整理します
- テスト設計から不具合票の起票まで代行します
- 監査と役員へ提出できる報告書を作成します
- 設定変更後の回帰テストの対象を定型化します
検証範囲の決め方から示すGENZの支援
DLPのテストで難しいのは、自社のポリシー設定と業務データの組み合わせのどこから確かめるかの判断です。GENZは検証範囲の決め方から示し、テスト設計から報告までを切り出して請け負います。
ポリシーと業務データからテスト設計
ご担当者様が定めたポリシー設定と業務データの対応を起点に、優先する検証範囲を根拠とともに提示し、テスト項目書へ展開します。
検知漏れと誤検知の両側を同じ検証範囲で扱う
検知されるべきものが検知される確認と、業務データが誤って遮断されない確認は別の検証です。両側を同じ検証範囲に組み入れます。
既存の進め方に合わせて入れる
発注側主導・ベンダー主導のいずれでも、品質保証の担当が専任でも兼務でも、既存の工程と役割分担に合わせて検証を組み込みます。
検証結果の報告書と不具合票を納品
ポリシー設定値と確認した制御挙動を対応づけた報告書と不具合票を納品します。監査への提出とリリース判断の材料にそのまま使えます。
ご相談から納品までの流れ
検証範囲の整理から報告書の納品まで、既存の開発ベンダーや監査部門との役割分担を確認しながら進めます。
ヒアリング
DLPのポリシー設定や保護対象データ、検証範囲の素案をお伺いします。
テスト設計と見積もり
判定条件と制御動作に沿ってテスト項目を設計し、範囲と工数を見を見積もります。
テストの実施と結果の共有
検知・遮断の挙動を意図的に発生させて検証し、結果を共有します。
報告書の納品と再確認
ポリシー設定値と検証結果を対応づけた報告書を納品し、内容を再確認します。
設定の正しさを第三者が検証します
DLPツールの検証範囲と優先順位をGENZへご相談ください
ご相談では、検証範囲の整理と優先順位の決め方を、既存のベンダー体制を維持したままお示しします。ポリシーが意図どおり働くことを、リリース判断と監査提出に使える成果物で確認できます。