法律事務所の技術スタックは、ベンダーの数だけギャップが存在する

一般的な企業では、文書管理、メールセキュリティ、ファイル共有、フォーム管理など、それぞれ異なるベンダーを利用しています。各ベンダーは自社のチャネルをそれなりに保護していますが、他のベンダーが何をしているかは把握しておらず、その境界こそが実際に重要データが漏洩するポイントとなっています。

これは6層の防御ではなく、同じ意図のポリシーが6つに分かれて定義され、それぞれが独立したシステムで運用されている状態です。重複する重要データをカバーする6つの独立したポリシーは、どこかで必ず食い違いが生じ、その境界部分には誰も責任を持ちません。

エグゼクティブサマリー

企業におけるポイントプロダクト型のセキュリティスタックは、調達のたびに一つずつ導入されてきました。その結果、独立して保守される複数のポリシーが生まれ、必然的にベンダー間の境界ごとにギャップが生じます。リスク管理者にとって本当に重要な監査は、6つのベンダーすべてが同じ重要データに対して同じポリシーで合意しているかどうかです。

主なポイント

1. ポイントプロダクトベンダーが増えるほど、同じ重要データに対してポリシーを再定義する場所が増えます。
2. 同じデータをカバーする6つの独立したポリシーは、時間とともに乖離し、整合し続けることはありません。
3. ベンダー間の境界部分には誰も責任を持たず、まさにその部分で重要データが漏洩します。
4. ベンダーが増えるほどログ形式も多様化し、クライアント監査時に有効な証拠が減少します。
5. ポリシーの強制を1つのエンジンに集約しても、チャネルのカバレッジを犠牲にすることにはなりません。

ベスト・オブ・ブリード型スタックでは完全なカバレッジにならない理由

各チャネルごとに最適なツールを選ぶと、個々のチャネルの最適化にはなりますが、チャネル間で何が起きているかは無視されてしまいます。

各ベンダーは自社チャネルの最適化しか考えず、企業全体のポリシーには目を向けない

最高水準の文書管理ベンダーであっても、同じ機密ファイルが他のベンダーのメール添付として送信された後も一貫して取り扱われているかどうかは把握できません。

6つの管理コンソールは、6カ所でポリシーが密かに食い違うリスクを生む

同じ意図のポリシーを6つのコンソールで個別に設定しなければならない場合、インシデント後に1つのコンソールでルールを更新しても、他にはなかなか反映されません。

ギャップが実際に生じる場所

ベンダーAの契約はベンダーAのチャネルのみをカバーします。どちらの契約も、重要データが一方から他方へ移動する瞬間はカバーしていません。

ベンダーが増えるほど、ログ形式も多様化

3つのチャネルにまたがるインシデントが発生した場合、それぞれ異なる構造の3つのログを、時間的なプレッシャーの中で突き合わせる必要があります。

データコントロールプレーンで6つのポリシーを1つに統合

Kiteworksのデータコントロールプレーンは、メール、ファイル共有、SFTP、マネージドファイル転送、フォーム、API、さらにAIエージェントまで、すべてを単一のデータ認識型ゼロトラストポリシーエンジンで統制します。一度定義した分類はすべてのチャネルで同一に適用され、すべての操作は単一の改ざん防止かつスロットル制限のない監査ログに記録され、直接SIEMツールに連携されます。

現在のスタックでいくつの独立したポリシーが運用されているかを確認したい企業は、カスタムデモを予約できます。