IBMニュースレター
The DX Leaders
AI活用のグローバル・トレンドや日本の市場動向を踏まえたDX、生成AIの最新情報を毎月お届けします。登録の際はIBMプライバシー・ステートメントをご覧ください。
ニュースレターは日本語で配信されます。すべてのニュースレターに登録解除リンクがあります。サブスクリプションの管理や解除はこちらから。詳しくはIBMプライバシー・ステートメントをご覧ください。
データ・セキュリティーとは、デジタル情報をそのライフサイクル全体を通して、不正アクセス、破損、盗難から保護するためのプラクティスです。これは、オンプレミス・システム、モバイル・デバイス、クラウド・プラットフォーム、サード・パーティー・アプリケーションなど、物理環境とデジタル環境の両方に及びます。
データ・セキュリティーの主な目的は、安全かつ効率的なデータ使用を維持しながら、ランサムウェア、マルウェア、内部脅威、人的エラーなど、今日増加しているさまざまなサイバー脅威からデータを防御することです。
この目標を達成するには、複数の防御層が必要です。データ・マスキングや暗号化などの技術は機密情報の保護に役立ち、アクセス制御と認証プロトコルにより、許可されたユーザーのみが情報にアクセスできることが保証されます。
これらの対策を組み合わせることで、より広範な情報セキュリティ（InfoSec）戦略のバックボーンが形成され、組織は機密データへの安全で信頼性の高いアクセスを維持しながらリスクを軽減できるようになります。最新のデータ・セキュリティー戦略は、リアルタイム監視や自動化されたセキュリティー・ツールなどの機能を備えたこの基盤の上に構築されます。
データ・セキュリティーとデータ・プライバシーは深く相互に関連していますが、異なる概念です。
データ・セキュリティーは、ファイアウォール、データ損失防止（DLP）ツール、暗号化、認証プロトコルを使用して、機密データをどのように保護するかに重点を置いています一方、データ・プライバシーは、そのデータがどのように収集、保管、処理、共有されるかを対象としています。
一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）などのプライバシー規制では、組織が個人データを使用する方法と、個人に自身の情報に関する権利を付与する方法の透明性確保が義務付けられています。データ・セキュリティー対策では、許可されたユーザーのみが個人情報（PII）にアクセスできるようにし、このデータが安全かつコンプライアンスに沿った方法で処理されるようにすることで、これらの要件に対する取り組みをサポートします。
つまり、データ・セキュリティーはデータを保護し、データ・プライバシーは、その使用について規定します。
IBMお客様事例
お客様のビジネス課題（顧客満足度の向上、営業力強化、コスト削減、業務改善、セキュリティー強化、システム運用管理の改善、グローバル展開、社会貢献など）を解決した多岐にわたる事例のご紹介です。
デジタル・トランスフォーメーションにより組織は進化を続け、現在では分散したシステムやクラウド環境全体で膨大な量のデータが生成、管理、保管されています。毎日4億274万テラバイト以上のデータがが生成され、米国だけで2,700を超えるデータセンターが設置されています。
知的財産やPIIなどの機密データは、現在、膨大な数のエンドポイント、アプリ、ノートPC、クラウド・プラットフォームに分散されています。今日のコンピューティング環境は、パブリッククラウド、エンタープライズ・データセンター、そしてIoT（モノのインターネット） センサー、ロボット、リモート・サーバーなどの エッジ・デバイスにまで及び、これまで以上に複雑になっています。この分散により攻撃対象領域が拡大し、セキュリティ・インシデントのリスクが高まります。
データ保護に失敗すると、データ侵害、経済的損失、評判の失墜、増加するデータ・プライバシー法への不遵守など、多大な損失が発生する可能性があります。実際、2025年のデータによれば、データ侵害による世界的な平均コストは440万ドルとなっています。
GDPRやCCPAなどの規制では、企業が個人データを保存、送信、保護する方法について厳格な要件を課しています。これらのフレームワークは、電子医療記録を保護する医療保険の相互運用性と説明責任に関する法律（HIPAA）や、財務報告と内部統制を規定するサーベンス・オクスリー（SOX）法に対するコンプライアンスなどの長年にわたる規則に加わるものです。
堅牢なデータ・セキュリティーは、コンプライアンスを確保するだけでなく、より広範なサイバーセキュリティーの取り組みを強化します。生体認証、多要素認証（MFA)、自動監視などのテクノロジーが支援する強力なセキュリティー体制は、データ・ガバナンスの実現と顧客の信頼構築に役立ちます。適切に管理されている場合、安全なデータ・アクセスにより、機密データが責任を持って使用されることが保証され、侵害や悪用の可能性が最小限に抑えられます。
組織のデータはさまざまなセキュリティ脅威に対して脆弱であり、その多くは人間の行動、システム構成ミス、または見落とされたエンドポイントを悪用するものです。主な例としては、次のようなものがあります。
- マルウェア：データを破損、破壊、または盗むことを目的として設計された悪意のあるソフトウェア。これは、感染したダウンロードファイル、侵害されたWebサイト、またはEメールの添付ファイルを通じて配信される可能性があります。
- フィッシング：攻撃者が信頼できるソースを偽装し（多くの場合、Eメールやメッセージ・アプリ経由）、ユーザーを騙して資格情報や機密情報を開示させるソーシャル・エンジニアリングの一形態。
- ランサムウェア：重要なファイルを暗号化し、復号化のために支払いを要求するマルウェアの一種。ランサムウェア攻撃は、重大なデータ損失、運用のダウンタイム、経済的損害につながる可能性があります。
- 内部脅威：従業員や請負業者などの許可されたユーザーによる、意図的または偶発的なアクセスの不正使用。内部脅威は正当な認証情報から発生することが多いため、特に困難です。
- 不正アクセス：認証または権限のギャップにより、権限のないユーザーによるシステムへの侵入を許す場合です。脆弱なパスワード、効果のないMFA、不十分なアクセスとセキュリティ制御が、この脆弱性の原因となります。
- 設定ミス：意図しない脆弱性を生み出すクラウドまたはオンプレミスシステムのエラー。エラーには、不適切な設定、オープン・ポート、または機密データを露出させる過剰なパーミッションなどが含まれる可能性があります。
- ヒューマン・エラー：誤った削除、パスワード管理の不備、セキュリティー・ポリシーへの不遵守なども、意図しないデータ漏洩につながる可能性があります。
- 自然災害：データセンターの可用性とデータ・レジリエンスを損なう火災、洪水、地震、または停電など。
これらの脅威から、プロアクティブなリスク管理と、検知、防止、修復を組み合わせた多層防御ストラテジーの必要性が明らかになっています。
組織は、ライフサイクル全体にわたって機密情報を保護するために、次のような幅広いデータ・セキュリティー対策を施行しています。
- データ暗号化
- データ消去
- データ・マスキング
- データ・レジリエンス
データ暗号化
データ消去
安全な削除により、特にストレージ・デバイスを廃棄する場合に、データが完全に上書きされ、復元不可能であることが保証されます。この手法は、基本的なデータ消去よりも徹底的であり、廃棄後の不正アクセスの防止に役立ちます。
データ・マスキング
データ・マスキングは、PIIやクレジットカード番号などの機密データ要素を架空ではあるものの構造的には類似したデータに置き換えることで、そういったデータ要素を隠します。これにより、開発者とテスターは、プライバシー規制に違反することなく、本番環境のようなデータセットを使って作業できるようになります。
データ・レジリエンス
データ・レジリエンス対策は、サイバー攻撃、ハードウェア障害、自然災害など、インシデントから組織が迅速に回復する能力をサポートします。ダウンタイムを最小限に抑えるには、バックアップの可用性と冗長性を確保することが重要です。
今日の組織には、クラウド環境、オンプレミス・インフラストラクチャー、エンドポイント全体でデータを保護できる、次のようなスケーラブルで適応性のあるセキュリティー・ツールが必要です。
これらのプロセスは、ファイルに誰がアクセスし、データがどのように動き、異常がいつ発生したかを追跡します。セキュリティー・チームは、大規模なダウンロード、予期しないデータの削除や転送などの異常なパターンを検知し、調査のためにリアルタイムのアラートをトリガーできます。
これらのツールは、インフラストラクチャとアプリケーションをスキャンして、古いソフトウェア、脆弱なアクセス制御、または構成ミスを特定します。優先順位が付けられた洞察により、ITチームとセキュリティー・チームは、ハッカーやサイバー犯罪者に悪用される前に脆弱性に対処できます。
これらのセキュリティ・プラットフォームは、監査の準備をサポートし、GDPR、HIPAA、PCI DSSなどのフレームワークやその他の規制コンプライアンス要件に準拠したドキュメンテーションを生成します。これらのレポートはレビューを合理化し、コンプライアンスチームの負担を軽減します。
DSPMは、リアルタイムのダッシュボードを提供し、シャドウ・データ、構成のギャップ、不正アクセスの試みについて継続的に監視します。また、組織はセキュリティー体制をファイン・チューニングし、環境全体でリスクベースのデータ・セキュリティー戦略を実装することもできます。
強力なデータ・セキュリティー戦略は、セキュリティー・テクノロジーを組織のプロセスに統合し、InfoSecを日常のワークフローに埋め込みます。効果的なデータ・セキュリティーのストラテジー要素には、以下のようなものがあります。
- 物理的なセキュリティー
- アクセスとID管理
- アプリケーションのパッチ適用と脆弱性の修正プログラム
- データのバックアップとリカバリー
- 従業員のトレーニングとアウェアネス
- エンドポイントとネットワークのセキュリティ
物理的なセキュリティー
多くの場合、組織はデジタル資産と物理的資産の両方を保護する必要があります。データセンターを運用する場合でも、個人所有デバイスの業務使用（BYOD）の実践をサポートする場合でも、施設が侵入に対して保護され、防火や温度制御などの環境的保護が備えられていることが重要です。
アクセスとIDの管理
IBM® X-Force 2025 Threat Intelligence Indexによると、IDベースの攻撃が侵入全体の30%を占めています。最小権限の原則（ユーザーに職務の遂行に必要なアクセス権限のみを付与する）は、ユーザーの役割に基づいてアクセスを制限するためにシステム全体に一般的に適用されます。権限のレビューを定期的に行うことで、特権クリープのリスクを軽減することもできます。
アプリケーションのパッチ適用と脆弱性の修正プログラム
脆弱なアプリは、攻撃者にとって魅力的なターゲットとなる可能性があります。攻撃の25％は、公開アプリケーションを悪用しています。アプリケーションを常に最新の状態に保ち、安全な開発手法を取り入れることで、既知のエクスプロイトや新たな脅威にさらされる機会を減らすことができます。
データのバックアップとリカバリー
データのバックアップ・ストラテジーには、多くの場合、地理的に分散されたコピーと意図的に冗長化されたコピーが含まれます。暗号化はバックアップ・データの保護に使用されることもあり、復元プロトコルは通常、ランサムウェア攻撃や自然災害に直面したときのレジリエンスを確保するためにテストされます。
従業員のトレーニングとアウェアネス
人員は、あらゆるセキュリティー戦略において重大なリスク要因となる可能性があります。多くの組織では、ソーシャル・エンジニアリングや人的エラーの可能性を減らすために、フィッシング、MFAの使用、データ・プライバシー、モバイル・デバイスとアプリの安全な使用に関するトレーニングを導入しています。
エンドポイント、ネットワーク、クラウドのセキュリティー
クラウド・セキュリティに対する包括的なアプローチには、ノートPCやモバイル・デバイスなどのエンドポイントの監視と管理が含まれる場合があります。データ損失防止（DLP）ツール、ファイアウォール、アンチウイルス・ソフトウェアを使用すれば、機微情報をリアルタイムで保護できます。
グローバルな規制環境は、データがビジネス・オペレーションにとってより重要になる（そしてサイバー犯罪者にとってより貴重になる）につれ、拡大し続けます。主なフレームワークには、次のようなものがあります。
- GDPR：一般データ保護規則（GDPR）では、データ管理者とデータ処理者に、欧州連合内の個人の個人データを保護するセキュリティ対策を実施することを義務付けています。
- CCPA：California Consumer Privacy Act（CCPA）は、消費者に、自身に関するどのような個人情報が収集されているかを知る権利、その削除を要求する権利、およびその販売を拒否する権利を与えています。コンプライアンスには、確立されたデータ検出、アクセス制御、および削除ワークフローが必要です。
- HIPAA：医療保険の相互運用性と説明責任に関する法律（HIPAA）は、医療従事者、保険会社、およびそのビジネス関係者による医療情報の保護を義務付けています。
- PCI DSS：The Payment Card Industry Data Security Standard（PCI DSS）は、データの暗号化やMFAを使用して安全なストレージを維持するなど、クレジットカードのデータを保護するための制御について概説しています。
- SOX：サーベンス・オクスリー法（SOX）では、上場企業に財務報告の正確性と完全性を確保する内部統制の導入を義務付けています。コンプライアンスには、財務システムの保護、アクセス制御の実施、監査に対応したデータ証跡の維持が含まれます。
これらの規制を遵守しない場合、厳しい罰則が科される可能性があります。2024年には総額12億ユーロの罰金が科せられました。そのため、法規制の遵守は単なる確認事項としてではなく、データ・セキュリティーの実践を継続的に改善する要因として捉える必要があります。
データ保護のランドスケープは絶えず変化しています。現在のトレンドには、次のようなものがあります。
AIとオートメーション
マルチクラウド・セキュリティー
クラウド・ファースト・ストラテジーを採用する組織が増えるにつれて、プロバイダー間で一貫したポリシーの必要性が高まります。クラウド環境は、統合された可視性、自動化された制御、堅牢なキー管理によって保護される必要があります。
量子コンピューティング
量子コンピューティングはまだ新興技術ですが、脅威と機会の両方をもたらします。従来の暗号化アルゴリズムは量子攻撃に対して脆弱になる可能性があるため、ポスト量子暗号のイノベーションが推進されています。
セキュリティ・メッシュ・アーキテクチャー
分散型で動的な環境により、組織はID、コンテキスト、ポリシーの施行について、境界ではなくデータに従うアーキテクチャーへと後押しされています。
ゼロトラストの導入
ゼロ・トラスト・セキュリティ・モデルは、どのようなユーザーやシステムも本質的に信頼できないことを前提とします。アクセスは継続的に検証され、リスク・レベルに基づいて権限が動的に適用されます。
最終的に、効果的なデータ・セキュリティーには、ストラテジー、テクノロジー、組織文化の組み合わせが必要です。エンドポイントの保護やデータの暗号化から、グローバルなプライバシー規制の遵守まで、データ・セキュリティー対策をデジタル・ファブリックに織り込んだ組織は、今日のデータ主導の世界における脅威への対応と信頼の構築において、優れた備えをしています。