「業務フローを止めずに情報保護を実現」とVerdasys

一律にアクセスを禁止するのではなく、情報の重要度やリスクに応じて制御できる点が特徴だとVerdasysは説明する。

» 2007年03月02日 17時07分 公開
[高橋睦美,ITmedia]

 企業向けの情報漏洩対策システムを開発、提供している米Verdasysは3月2日、日本国内での販売を強化する方針を明らかにした。

 同社の製品「Digital Guardian」は、サーバやワークステーション、クライアントPCなどに導入するエージェントと管理サーバから構成されている。管理サーバで指定したポリシーに沿って、端末でのファイル操作や印刷、保存やアプリケーションの利用、メールへのファイル添付といった操作をエージェントが制御する。同時に、一連の操作ログを収集してサーバに集約し、レポートを生成する仕組みだ。

「焦点は、これまで提供されてきたインフラの保護からデータそのものの保護に移っている」と述べた米VerdasysのCEO、セス・N・バーンバウム氏

 個人情報保護の観点から、同様のアーキテクチャでクライアントの操作をコントロールし、ログを収集するツールはほかにも存在する。またファイル単位で保護を行うDRMのような仕組みも提供されている。

 「Digital Guardianでは、誰が、どんな目的で、どこからアクセスするのかというコンテキスト(文脈)とコンテンツの両方に基づいてデータを分類し、情報の流れ全体をモニターしたうえで警告や操作のブロック、暗号化といった処理を行う。リスクに基づいてあらゆる制御を行う点が特徴だ」と米VerdasysのCEO、セス・N・バーンバウム氏は述べた。

 例えば、ある操作を一律に禁止するのではなく「別部門へのアクセスについては、それが必要な理由を入力した上で許可する」「外部にデータを持ち出すときには、自動的に暗号化する」「絶対に持ち出していけないデータは、いかなるユーザーであっても保存を拒否する」といった具合に、段階的に制御することが可能だ。情報の重要度に応じて制御することにより、今の業務フローを阻害しない形で情報保護を実現するという。

 「既存の対策のほとんどは、アクセスそのものをブロックしてしまう。つまり業務プロセス、フロー自体を止めてしまう。ただ情報を漏洩させないのではなく、いかにフローを止めずに情報を守るかということが重要だ」と同社日本支社長の津村英樹氏は述べた。

 Verdasysによると、顧客の8割は操作そのものの禁止にまでは至らず、「その操作がポリシーに反していることを警告するポップアップを表示するだけ」というソフトな形で運用している。だが、ポップアップ画面を通じてユーザーの意識啓発に努めた結果、情報漏洩リスクにつながる操作は9割以上減少したという。

 Digital Guardianは数千台クラスの大規模システムに対応しており、Active DirectoryやLDAPなどとの連携が可能だ。管理コンソールでは、はじめから生のログを羅列する代わりに、グラフ形式のレポートからドリルダウンするインタフェースを提供することで、インシデント発生時の調査を容易に行えるようにした。

 Verdesysでは今後、シトリックス・システムズの「Citrix Presentation Server」向けに機能を絞ったエントリーパッケージ「DG-CX」のキャンペーンを展開するなどの形で、国内での販売を強化。2007年は約6億円の売り上げを目指すという。

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ