組織は、機密データの所在を特定し、分類する取り組みで着実に前進してきた。
「2025 Thales Data Threat Reportによると、回答者の87%は少なくとも半分のデータを分類できている。
しかし、環境は依然として分断されている。データの検出、監視、分類に5つ以上のツールを使っている組織は約61%に上り、76%は2つ以上のクラウドにまたがって運用し、64%は26社以上のSaaSベンダーを利用している。
組織は企業データをコパイロットやAIモデルに接続している一方、アプリケーション、API、自律型エージェントが機密情報への新たな経路を生み出している。
同時に、規制やデータ主権に関する要件によって、データの保存場所や保護方法が定められることもある。量子コンピューティングなどの新たなリスクも、長期的なデータ保護における検討事項となる。
CISOにとって、機密データがどこに存在するかを把握することは必要だ。しかし、それだけでは、より重要な問いには答えられない。どの露出が事業上最大のリスクを生み出すのか。
「私が目にする間違いは、可視化をゴールとして扱うことです」と、ThalesのChief Trust OfficerであるJay Thurston氏は語った。「機密データを見つけることは重要ですが、潜在的な問題が2万件あると判明したからといって、必ずしも安全性が高まるわけではありません。場合によっては、非常に大きな作業キューを作っただけです」
この問いに答えるには、データの機密性、保護状況、アクセス、移動に関するコンテキストが必要になる。セキュリティリーダーは、侵害が起きた場合に事業へどのような影響があるかを評価できるようになる。
AIによってこの評価は複雑になる。アクセスできるのは、もはや人だけではないからだ。アプリケーション、API、AIエージェントも企業データにアクセスできるため、組織はそのアクセスが適切かどうかを判断する必要がある。
リスクを見つけることは仕事の半分にすぎない。CISOは、どの露出が最も重要かを判断し、対処し、その対応によってリスクが低減したことを検証する必要がある。データセキュリティポスチャ管理（DSPM）は、可視化をこうした判断や対応につなげる。
DSPMはデータに関する検出結果を、リスクに基づく優先順位と対応に変える
すべてのデータ露出が同じレベルのリスクを生むわけではない。機密データが見つかったら、セキュリティチームは、直ちに対応すべき検出結果と、事業に影響を及ぼす可能性が低いものを見極める必要がある。
技術的な重大度だけでは、その答えは出せない。チームは、影響を受けるデータがどの程度機密性の高いものか、外部に露出しているかを考慮する必要がある。また、誰が、あるいは何がそのデータにアクセスできるのか、暗号化などの保護策がすでに講じられているかも把握しなければならない。事業上の重要性も、別のコンテキストを加える。
データ露出の優先度を高める要因には、次のようなものがある：
- 機密性または事業上の重要性が極めて高いデータ
- 外部に露出している、あるいはその他の理由で不要な露出
- 過剰なアクセス権限
- 保護策の欠如または不十分な保護策
- 事業に重大な影響を及ぼす可能性
「技術的には同じ検出結果が2つあったとしても、一方が公開マーケティング情報に関するもので、もう一方が過剰な権限を持つアカウントからアクセス可能な数百万件の顧客記録に関するものなら、同じリスクではありません」とThurston氏は語った。
DSPMはこうしたコンテキストを集約し、単にキューを順番に処理するのではなく、潜在的な影響に基づいて検出結果の優先順位付けを支援できる。その後の対応では、リスクそのものに対処すべきだ。過剰な権限は削除し、機密データには暗号化、トークン化、マスキングが必要になる場合がある。設定の修正が必要なこともある。もはや事業上の目的を果たしていないデータは、削除する必要があるかもしれない。
「目標は、最も多くの検出結果を解消することではありません」とThurston氏は語った。「事業から最も意味のあるリスクを取り除くことが目標です」
この原則は、DSPMプログラムを評価するより良い方法にもつながる。検出数や解消数は運用上の指標だ。CISOにとって、より重要な指標は、意味のある露出がどれだけ残っているかである。
DSPMは環境全体のデータセキュリティを継続的なものにする
DSPMプログラムは、多くの場合、「機密データはどこにあるのか」という基本的な問いから始まる。そこからセキュリティチームは、誰がアクセスできるのか、データがどこに露出しているのか、どの露出が事業上最大のリスクを生むのかを調べられる。そして、是正によってそのリスクが低減したかどうかを判断できる。
これを定期的な評価だけで実現することはできない。データは常に作成され、コピーされている。システム間を移動し、さまざまなユーザーやサービスからアクセスされる。クラウドとAIによってこうした変化は加速し、データのセキュリティポスチャは常に変化する対象となっている。
「成熟したDSPMプログラムは、四半期ごとのスキャンではありません。継続的なものです」とThurston氏は語った。「成熟した組織は、検出、分類、IDとアクセス、監視、保護、是正を継続的なサイクルとしてつなげています」
このサイクルを回し続けるには、責任の所在を明確にする必要がある。セキュリティ部門がリスクを特定し、データ所有者やアプリケーション所有者、その他のチームが解決を担うこともある。責任を割り当てることで、重大な露出が未解決のまま残るのを防ぎやすくなる。
このアプローチでは、データがどこに存在するかも考慮しなければならない。「セキュリティモデルはデータに追随する必要があります」とThurston氏は語った。
SaaSの運用上のシンプルさを優先する組織もある。一方、規制、主権、社内要件を理由に、データやセキュリティテレメトリーをより厳格に管理する必要がある組織もある。大企業の場合、それは多くの場合、クラウド環境とオンプレミス環境の両方をサポートすることを意味する。
導入モデルにかかわらず、組織は一貫した可視化とポリシーを確保し、機密データがどこに存在していても適切な保護を適用する必要がある。Thalesは、クラウド、オンプレミス、ハイブリッド環境全体でDSPMをサポートしており、単一の導入モデルを採用するのではなく、既存のインフラ内でこうした機能を適用できるようにしている。
こうした取り組みを整備すると、DSPMは継続的なデータリスク管理プログラムの一部となる。セキュリティチームは、露出の変化を特定し、是正の責任を割り当て、対応の効果を時間の経過とともに追跡できる。
DSPMの真の指標は、実質的なデータリスクが低下しているかどうかだ
CISOにとって、DSPMが最終的に答えるべき問いは単純だ。組織のデータリスクは低下しているのか。
生成されたアラート数や発見したリポジトリ数などの運用指標は、プログラムの管理に役立つ。しかし、最も重大な露出が低減しているかどうかは示さない。
「取締役会が、私のDSPMが何件のアラートを生成したかを知る必要はありません」とThurston氏は語った。「既知で、説明可能な分母に基づいて、会社の露出が改善しているのか悪化しているのかを知る必要があります」
リスクの変化を示すDSPM指標
- インターネットに露出している機密リポジトリ
- 重要データへの過剰なアクセス
- 暗号化またはトークン化によって保護された価値の高いデータ
- 重大な露出の是正に要する時間
- 組織が保持している不要な機密データ
CISOは、特定の露出にひも付いた測定によって、こうした変化を示せる。インターネットからアクセス可能な機密リポジトリが減っているか、重要データへの過剰なアクセスが減少しているかを追跡できる。暗号化またはトークン化されている価値の高いデータの量も測定できる。重大な露出の是正に要する時間や、不要な機密データの削減も、進展を示す指標となる。
こうした改善は、ビジネス上の言葉に置き換えることもできる。重要データへのアクセスを制限すれば、侵害による潜在的な影響を抑えられる。保護を拡大すれば、規制上の露出を低減し、監査への対応負担を軽減できる。是正を迅速化すれば、機密データがリスクにさらされ続ける時間を短縮できる。こうした成果は、組織がクラウドやAIの利用を拡大する際に、経営陣の信頼を高めることにもつながる。
Thalesのレポート結果は、成果に焦点を当てることの背景をより広く示している。過去12カ月以内に侵害を経験したと回答した人の割合は、2021年の23%から2025年には14%に低下した。レポートはこの低下をDSPMに直接結び付けてはいないが、ThalesのHalo Effect researchは、ベストプラクティスと現実の成果の隔たりを浮き彫りにし、複雑なデータ環境全体でリスクの特定とポリシー適用を統合する必要性を強調している。
したがって、可視化は成果ではなく入力である。成熟したDSPMプログラムは、チームが何を発見したか、何を修正したかだけでなく、それ以上のことをCISOが示せるようにすべきだ。重要なのは、実質的なデータ露出が減少しているかどうかである。
詳しくは Thales CipherTrust DSPMが組織のデータ露出低減にどう役立つかをご覧いただき、Thalesの Halo Effect researchで、データ管理の改善がより強固なセキュリティ成果をもたらす仕組みについての知見をご確認ください。