機密データの所在を特定し、分類する取り組みは、企業の間で着実に進んでいます。
2025 Thales Data Threat Reportによると、回答者の87%が少なくともデータの半分を分類できています。
しかし、環境は依然として分断されています。約61%がデータの検出・監視・分類に5つ以上のツールを使用しており、76%が2つ以上のクラウドにまたがって運用し、64%が26社以上のSaaSベンダーを利用しています。
企業はデータをコパイロットやAIモデルに接続しつつあります。アプリケーションやAPI、自律型エージェントによって、機密情報へ到達する新たな経路も生まれています。
同時に、規制やデータ主権の要件によって、データの保管場所や保護の方法が決まることもあります。量子コンピューティングのような新たなリスクも、長期的なデータ保護において考慮すべき要素となっています。
CISOにとって、機密データの所在を把握することは必要ですが、それだけではより重要な問いには答えられません。「どのエクスポージャーが最大の事業リスクをもたらすのか」という問いです。
「可視化をゴールだと考えてしまうことが、よくある間違いです」と、Thalesのチーフ・トラスト・オフィサー、ジェイ・サーストン氏は語ります。「機密データを見つけることは重要ですが、2万件の潜在的な問題を発見したところで、必ずしも安全になるわけではありません。場合によっては、膨大な作業キューを作っただけになってしまいます」
この問いに答えるには、データの機密性、保護状況、アクセス、移動に関するコンテキストが必要です。それがあって初めて、セキュリティ責任者は侵害が事業に何をもたらすかを評価できます。
AIの登場によって、この評価はいっそう複雑になっています。アクセスの主体が人だけではなくなったためです。アプリケーションやAPI、AIエージェントも企業データにアクセスできるため、組織はそのアクセスが適切かどうかを見極める必要があります。
リスクを見つけることは、仕事の半分にすぎません。CISOは、どのエクスポージャーが最も重要かを判断し、対処したうえで、その対応によってリスクが下がったことを検証しなければなりません。データセキュリティ態勢管理（DSPM）は、可視化とこうした判断・対応を結びつけるものです。
DSPMはデータの検出結果をリスクに基づく優先順位と対応へ変えるべき
すべてのデータエクスポージャーが同じレベルのリスクをもたらすわけではありません。機密データを発見したら、セキュリティチームはどの検出結果に即時の対応が必要で、どれが事業に影響を及ぼす可能性が低いのかを見極める必要があります。
技術的な深刻度だけでは、その答えは得られません。対象データの機密性の高さや、外部に露出しているかどうかを考慮する必要があります。誰が、あるいは何がそのデータにアクセスできるのか、暗号化などの保護策がすでに講じられているのかも把握しなければなりません。事業上の重要度も、判断材料の一つとなります。
データエクスポージャーの優先度を高める要因には、次のようなものがあります。
- 機密性が高い、または事業上重要なデータ
- 外部への露出、またはその他の不要な露出
- 過剰なアクセス権限
- 保護策の欠如または不備
- 事業への重大な影響の可能性
「技術的に同一の検出結果が二つあるとします。一方は公開されたマーケティング情報に関するもので、もう一方は権限過剰なアカウントから数百万件の顧客レコードにアクセスできる状態だとすれば、両者のリスクは同等ではありません」と、サーストン氏は述べています。
DSPMはこうしたコンテキストを統合し、チームが単にキューを順番に処理するのではなく、潜在的な影響に基づいて検出結果の優先順位を付けられるようにします。そのうえで、リスクそのものに対処する必要があります。過剰な権限は取り除き、機密データには暗号化、トークン化、マスキングが求められる場合があります。設定の修正が必要なこともあれば、事業上の目的がなくなったデータの削除が必要なこともあります。
「目的は、最も多くの検出結果をクローズすることではありません。事業から最も意味のあるリスクを取り除くことです」と、サーストン氏は話します。
この原則は、DSPMプログラムを評価するうえでもより適切な視点を与えてくれます。検出件数やクローズ件数は運用上の指標にすぎません。CISOにとってより重要な指標は、意味のあるエクスポージャーがどれだけ残っているかです。
DSPMは環境全体でデータセキュリティを継続的なものにする
DSPMプログラムは、多くの場合「機密データはどこにあるのか」という基本的な問いから始まります。そこから、セキュリティチームは誰にアクセス権があるのか、データがどこに露出しているのか、どのエクスポージャーが最大の事業リスクをもたらすのかを調べられます。さらに、是正措置によってリスクが下がったかどうかも判断できます。
これは定期的なアセスメントだけでは実現できません。データは絶えず作成され、コピーされます。システム間を移動し、さまざまなユーザーやサービスからアクセスされます。クラウドとAIがこうした変化を加速させ、データの態勢は常に動き続ける標的となっています。
「成熟したDSPMプログラムは、四半期ごとのスキャンではありません。継続的に行われるものです」と、サーストン氏は言います。「成熟した組織は、検出、分類、ID・アクセス管理、監視、保護、是正を一つの継続的なサイクルとして結びつけています」
このサイクルを回し続けるには、明確な責任の所在が必要です。セキュリティ部門がリスクを特定しても、解決する責任はデータオーナーやアプリケーションオーナー、あるいは別のチームにある場合があります。責任を割り当てることで、重大なエクスポージャーが放置されるのを防げます。
このアプローチでは、データの所在も考慮に入れなければなりません。「セキュリティモデルは、データに追従する必要があります」と、サーストン氏は指摘します。
SaaSの運用面での簡便さを優先する組織もあります。一方で、規制やデータ主権、社内要件のために、データやセキュリティテレメトリをより厳密に管理したい組織もあります。大企業の場合、多くはクラウドとオンプレミスの両環境への対応が必要になります。
導入モデルにかかわらず、組織には一貫した可視性とポリシーが必要であり、機密データがどこにあっても適切な保護を適用しなければなりません。Thalesは、クラウド、オンプレミス、ハイブリッドの各環境でDSPMをサポートしており、単一の導入モデルに縛られることなく、既存のインフラ内でこれらの機能を適用できます。
こうした取り組みが整えば、DSPMは継続的なデータリスク管理プログラムの一部となります。セキュリティチームは、エクスポージャーの変化を把握し、是正の責任者を割り当て、その対応の効果を長期的に追跡できます。
DSPMの真の指標は、重大なデータリスクが減少しているかどうか
CISOにとって、DSPMは最終的に単純な問いに答えるものであるべきです。組織のデータリスクは減っているのか、という問いです。
生成されたアラートの数や検出されたリポジトリの数といった運用指標は、プログラムの管理に役立ちます。しかし、最も重大なエクスポージャーが減っているかどうかまでは示せません。
「取締役会が知りたいのは、DSPMが何件のアラートを生成したかではありません。自社のエクスポージャーが、明確で説明可能な分母に基づいて改善しているのか、悪化しているのかを知りたいのです」と、サーストン氏は述べています。
リスクの変化を示すDSPM指標
- インターネットに露出している機密リポジトリ
- 重要データへの過剰なアクセス
- 暗号化またはトークン化で保護されている高価値データ
- 重大なエクスポージャーの是正にかかる時間
- 組織が保持している不要な機密データ
CISOは、個別のエクスポージャーに紐づいた測定値によって、こうした変化を示せます。インターネットからアクセス可能な機密リポジトリが減っているか、重要データへの過剰なアクセスが減少しているかを追跡できます。暗号化やトークン化されている高価値データの量も測定できます。重大なエクスポージャーの是正にかかる時間や、不要な機密データの削減も、進捗を示す追加の指標となります。
こうした改善は、ビジネスの言葉に置き換えることもできます。重要データへのアクセスを制限すれば、侵害の影響を抑えられる可能性があります。保護を拡充すれば、規制上のリスクを低減し、監査対応の負担を軽くできます。是正が早まれば、機密データがリスクにさらされる時間も短くなります。こうした成果は、組織がクラウドやAIの利用を拡大するうえで、経営陣の信頼を高めることにもつながります。
Thalesのレポートの調査結果は、こうした成果重視の姿勢にさらに広い文脈を与えています。過去12カ月以内に侵害を報告した回答者の割合は、2021年の23%から2025年には14%に低下しました。レポートはこの低下を特にDSPMによるものとしているわけではありませんが、ThalesのHalo Effect調査は、ベストプラクティスと実際の成果との間にあるギャップを浮き彫りにしています。複雑なデータ環境全体で、リスクの特定とポリシーの適用を統合する必要性を示すものです。
したがって、可視化はあくまでインプットであり、成果ではありません。成熟したDSPMプログラムは、チームが何を発見し、何を修正したかだけでなく、それ以上のことをCISOが示せるようにするものです。重要なのは、重大なデータエクスポージャーが減少しているかどうかです。
Thales CipherTrust DSPMが組織のデータエクスポージャー低減をどう支援するのかを紹介しています。また、より優れたデータ管理がいかに強力なセキュリティ成果につながるかについては、Thalesの Halo Effect調査をご覧ください。
