データ漏洩防止ルールの設定

選択したセキュリティ ポリシーにデータ漏洩防止 (DLP) ルールを設定する方法について詳しく説明します。

始める前に

セキュリティ ポリシーを設定するには、最初にセキュリティ ポリシーを作成する必要があります。セキュリティ ポリシーを作成する具体的な手順については、セキュリティ ポリシーの作成を参照してください。

設定手順

DLP ルールを設定するには、次の手順を実行します。

1. [Cloud Web Security] > [設定 (Configure)] > [セキュリティ ポリシー (Security Policy)] の順に移動します。
2. DLP ルールを設定するセキュリティ ポリシーを選択し、[DLP] タブをクリックします。
3. [セキュリティ ポリシー (Security Policies)] 画面の [DLP] タブで、[+ ルールの追加 (+ ADD RULE)] をクリックします。

   

   [送信元の選択 (Select Source)] 画面が表示されます。

4. [送信元の選択 (Select Source)] 画面で、[すべてのユーザー グループ (All Users Groups)] チェックボックスをオンにしてすべてのユーザーとグループにルールを適用するか、このチェックボックスを選択解除してユーザーとグループを指定します。デフォルトでは、[すべてのユーザー グループ (All Users Groups)] が送信元に選択されています。

   

   注： [すべてのユーザー グループ (All Users Groups)] は、Workspace ONE や Azure Active Directory (AD) などの ID プロバイダ (IdP) が Cloud Web Security 用に設定されていないカスタマーの唯一のオプションです。
   注： 特定のユーザーおよびグループを機能させるには、Workspace ONE や Azure Active Directory (AD) などの ID プロバイダ (IdP) を使用して Cloud Web Security を設定する必要があります。

   [次へ (Next)] をクリックすると、[コンテンツ タイプの選択 (Select Content Type)] 画面が表示されます。

5. [コンテンツ タイプの選択 (Select Content Type)] 画面で、DLP インスペクション機能によってトリガされるコンテンツのタイプを設定できます。コンテンツ タイプに対して設定できるパラメータは 3 つあります。

   

   1. DLP ルールで [テキスト入力の検査] を行うかどうかを選択します。このオプションのデフォルトは [オフ (Off)] です。[オン (On)] に切り替えると、ネットワーク送信が要求されたときに、ユーザーのテキスト入力が DLP インスペクションを通過します。
      注： テキスト入力は、フォーム POST またはテキスト メッセージのようなものです。テキスト入力は、アップロードに添付された実際の .txt であるテキスト ファイルとは異なります。
   2. [最大ファイル サイズ (Maximum File Size)] を使用すると、検査する最大ファイル サイズを定義してファイルのアップロードを検査するかどうかを選択できます。このオプションのデフォルト設定は 50 MB で、[最大ファイル サイズ (Maximum File Size)] の値を数値で設定することも、ストレージの単位（バイト [(B)]、キロバイト [(KB)]、メガバイト [(MB)]、またはギガバイト [(GB)]）で設定することもできます。アップロードされたファイル サイズが設定された [最大ファイル サイズ (Maximum File Size)] の値を超えた場合、ファイルは DLP によって検査されず、そのまま許可されます。
      注： [最大ファイル サイズ (Maximum File Size)] の数値は、Orchestrator で 1 ～ 1000 の数値として設定できます。数値 0 は、このフィールドでは有効ではありません。
      重要： 極端に小さい値と大きな値を設定することは可能ですが、DLP の最大ファイル サイズの上限は 5 GB です。これより大きな値を設定しても、その値は 5 GB を超えるものとして考慮されません。DLP には、次のようなサポートされる最小コンテンツ サイズもあります。

      表 1. サポートされる最小コンテンツ サイズ

      ユーザー入力	ファイル入力
      1,024 バイト	5,120 バイト

   3. [ファイル タイプの選択 (Select File Types)] では、検査する特定のファイル タイプを選択できます。デフォルト設定では、[サポートされているすべてのタイプ (All Supported Types)]（合計 36 個）が検査されます。[すべてのサポートされているファイル タイプ (All Supported File Types)] をオフに切り替えると、11 のカテゴリで並べ替えられた 36 個すべてのファイル タイプの完全なメニューが表示されます。
      • [アーカイブおよび圧縮パッケージ (9) (Archives and Compressed Packages (9))]：7-Zip、ARJ、BZIP、CAB、GZIP、LZH、RAR、TAR、ZIP
      • [カレンダー (1) (Calendar (1))]：ICS 会議の招待
      • [エンジニアリング アプリケーション (2) (Engineering Applications (2))]：AutoCAD、Visio
      • [マルチメディア (2) (Multimedia (2))]：オーディオ ファイル、ビデオ ファイル
      • [その他のドキュメント (1) (Miscellaneous Documents (1))]：RTF
      • [その他のファイルとドキュメント (1) (Other Files and Documents (1))]：不明な種類のその他のファイルとドキュメント
      • [プレゼンテーション ツール (2) (Presentation Tools (2))]：OpenOffice プレゼンテーション、PowerPoint
      • [生産性 (2) (Productivity (2))]：Microsoft OneNote、Microsoft Project
      • [スクリプトと実行可能ファイル (6) (Scripts and Executables (6))]：Android 実行可能ファイル、JAR、Linux 実行可能ファイル、Mac 実行可能ファイル、テキストベースのスクリプト ファイル
      • [スプレッドシート (3) (Spreadsheets (3))]：CSV、Excel、OpenOffice スプレッドシート
      • [ワープロ (7) (Word Processors (7))]：Hangul、一太郎、OpenOffice Text、PDF、Word、Word Perfect、XPS
   ファイル カテゴリで複数またはすべての [ファイル タイプ (File Types)] を選択できます。選択した [ファイル タイプ]の数がそのカテゴリで使用可能なすべての [ファイル タイプ]よりも少ない場合、ファイル カテゴリ名は青で表示され、使用可能な合計数のうち選択されている [ファイル タイプ]の数が表示されます。

   

   カテゴリのすべての[ファイル タイプ]を選択する場合は、上部の選択ボックスをクリックすると、すべての[ファイル タイプ]が選択されます。これを行うと、カテゴリ ヘッダーが緑色になり、そのカテゴリに対してすべての[ファイル タイプ]が選択されていることが示されます。

   

   ルールの DLP コンテンツ タイプ設定を選択した後、[次へ (Next)] をクリックします。[宛先を選択 (Select Destinations)] 画面が表示されます。

6. [宛先を選択 (Select Destinations)] 画面で、DLP インスペクションを実行するドメインまたはカテゴリ、あるいはその両方を指定できます。デフォルト設定は [すべてのドメインとカテゴリ (All Domains and Categories)] です。つまり、DLP はすべての[ドメイン]および 84 個の[カテゴリ]を検査します。

   

   [すべてのドメインとカテゴリ (All Domains and Categories)] のチェックボックスをオフにする場合は、カスタマイズされた [ドメイン (Domains)] および [カテゴリ (Categories)] を設定する必要があります。

   [ドメイン (Domains)] フィールドでは、監査者アラートをトリガする完全修飾ドメイン名 (FQDN)、IP アドレス、または IP アドレス範囲を指定できます。FQDN、IP アドレス、IP アドレス範囲の組み合わせを指定できます。

   

   [カテゴリ (Categories)] フィールドでは、ファイルと一致する、DLP インスペクションが必要な最大 84 個の異なるカテゴリから選択できます。左上のチェック ボックスをオンにして、すべてのカテゴリを一度に選択することもできます。

   

   ルールの DLP 宛先を選択した後、[次へ (Next)] をクリックします。[辞書を選択 (Select Dictionaries)] 画面が表示されます。

7. [辞書を選択 (Select Dictionaries)] セクションで、ルールに関連付ける辞書を少なくとも 1 つ選択する必要があります。辞書には、カスタム辞書と事前定義済み辞書があり、それらを組み合わせて使用することもできます。選択したすべての辞書が評価され、それぞれの辞書で指定された基準に基づいてアクションが実行されます。

   

   ユーザーが作成できるカスタム辞書に加えて、340 個を超える事前定義済み辞書があります。各列の上部にある 1 つ以上のフィルタを使用して辞書オプションを絞り込む必要があります。この例では、カテゴリの用語「HIPAA」に一致する辞書をフィルタリングし、すでに作成したカスタム辞書にリンクしています。

   

   ルールに適用する DLP 辞書を選択した後、[次へ (Next)] をクリックします。[アクションの選択 (Select Action)] 画面が表示されます。

8. [アクションの選択 (Select Action)] 画面で、定義された基準を満たしたときに実行するアクションを決定できます。アクションは、[ブロック (Block)]、[ログ (Log)] または [インスペクションをスキップ (Skip Inspection)] に設定できます。[アクションの選択 (Select Action)] のデフォルト設定は [ブロック (Block)] で、[監査 E メール (Audit Email)] は送信されず、[検査するプロトコル (Protocols to Inspect)] として [HTTP] と [HTTPS] の両方がオンになっています。

   

   [監査 E メールの送信 (Send Audit Email)] を [はい (Yes)] に切り替える場合は、監査 E メールを受信する [監査者プロファイル (Auditor Profile(s))] も選択する必要があります。この場合、[監査者 (Auditors)] セクションで以前に設定した監査者プロファイルを選択します。

   

   ルールに対して実行するアクションを設定したら、[次へ (Next)] をクリックします。

9. [名前/タグ/説明を入力 (Enter Name /Tags / Description)] 画面で、DLP ルールに一意の [名前 (Name)] を設定する必要があります。ユーザーは、ルールに [タグ (Tags)]、[通知 (Notification)]、および [理由 (Reason)] を設定することもできます。

   

10. [完了 (Finish)] をクリックします。DLP ルールが作成され、セキュリティ ポリシーの DLP ルール セクションに一覧表示されます。
11. DLP ルールをこのセキュリティ ポリシーで有効にするには、[公開 (Publish)] をクリックします。
    注： DLP ルールは、ユーザーが公開してから有効になるまでに約 5 分かかります。セキュリティ ポリシーを公開すると、ユーザーは セキュリティ ポリシーを適用できます。

    

    公開後、DLP ルールは最初に作成したのと同じ方法で、必要に応じて編集および再公開できます。

DLP エンタープライズ設定の詳細については、データ漏洩対策を参照してください。