アラート疲れを超えて：Zscaler Workflow Automationによる次世代データ セキュリティの構築

情報漏洩防止(DLP)担当アナリストに日々の運用上の課題について尋ねると、通常はアラート疲れがまず挙がります。組織がクラウド アプリケーション、エンドポイント、組織メールに展開を拡大するなかで、データ保護インシデントの件数は急増しています。

従来の「ブロックして記録する」アーキテクチャーは、手動によるトリアージに大きく依存しています。そのため、セキュリティ部門はエンドユーザーを追跡して「これは意図した共有であったのか、ビジネス上の正当な理由は何か」と尋ねることを強いられてしまいます。

真のデータ保護は、IT部門やSOC部門だけの責任であってはなりません。セキュリティは誰もが活用できるものでなければなりません。

Zscaler Workflow Automationを活用すれば、組織はデータ セキュリティ インシデントの処理方法を変革できます。

Workflow AutomationはZscaler Internet Access (ZIA)やEndpoint DLPと直接統合され、トリアージの責任をデータ所有者に戻し、煩雑な例外管理を自動化するとともに、セキュリティ担当者が真の内部脅威やデータ持ち出しの試みに集中できるよう支援します。

今回は、この変革を可能にする技術的な機能について詳しく解説します。

トリアージの分散化：エンドユーザー正当化のワークフロー

Workflow Automationは、IT担当者を介することなく、エンドユーザーとリアル タイムで直接やり取りできます。インラインDLPポリシーがトリガーされると、システムはインシデントをシームレスに取得し、きめ細かなロールベース アクセス制御(RBAC)を通じて機密性の高いトリガー データや証跡を保護するとともに、自動化対応ワークフローを開始します。

このプラットフォームは、SIEMで静的アラートを生成するのではなく、マルチチャネル対応の通知テンプレートを活用し、Slack、Microsoft Teams、メールなど、ユーザーが普段利用しているチャネルへ直接通知します。

通知は、エンドユーザーに理由の入力を求めるアンケートを提供します。管理者はこれらのアンケート テンプレートを作成、複製、カスタマイズ、翻訳することで、世界中の従業員をサポートできます。

図1:エンドユーザーに理由の入力を求めるアンケートにより、ユーザーがトランザクションを許可すべき理由を特定できます。

ユーザーによる相方向の回答に応じて、自動化エンジンはインシデントを動的にルーティングします。

• 誤検知やミスの自動修復：ユーザーが自身のミスに気付いて転送をキャンセルした場合、インシデントはタグ付けされて自動的にクローズされます。
• 管理者へのエスカレーション：アイデンティティー プロバイダーを通じてユーザーを直属の管理者に関連付けることで、ワークフローは特定の理由説明を伴う申請を管理者に回付し、二次承認を受けられるようにできます。

• アナリスト向けの情報拡充：操作が重大度の高いしきい値に達した場合は、ユーザーが入力した理由説明やコンテキスト情報がイベントに追加されます。ZscalerはServiceNowやJiraなどのITSMプラットフォームとネイティブに連携し、コンテキスト情報を付加したチケットを自動的に作成するため、アナリストはフォレンジック調査に必要な情報を即座に把握できます。

   

ゼロタッチIT:例外管理の自動化

これまで、エンドユーザーがDLPポリシーと相反する正当かつ緊急のビジネス ニーズを抱えている場合、運用上の負担が非常に大きなものでした。ITチケットを提出し、セキュリティ管理者が手作業でポリシー例外(多くはIPアドレスやURL単位)を設定するのを待ち、さらにポリシーの肥大化を防ぐために後でその例外を取り消すカレンダー リマインダーまで設定する必要がありました。

Zscaler Workflow Automationは、この手作業を大幅に削減します。ワークフローがユーザーにコンテキストを求める指示を出し、事前定義された許容基準または指定された承認者を通じてリクエストが承認されると、システムは例外を動的に管理します。

図2:ワークフロー モデリングでは、ユーザーへの通知、その回答の取得、その後の管理者への通知を実行します。この機能により、管理者は例外を作成し、最後には自動的に終了処理を実行できるため、DLP部門の担当者がプロセスに関与する必要はありません。

トランザクションは業務上の理由とともにすべて記録されたうえで許可されるため、基礎となるDLPポリシーを手動で変更する必要はありません。これにより、基本的なセキュリティ態勢を健全な状態に保ち、ネットワークとエンドポイントのポリシーの複雑化も避けられます。

シームレスなメール セキュリティ：隔離メールの解除を自動化

メールは依然として偶発的なデータ漏洩の主要な経路となっていますが、メールの隔離メールの管理には膨大な時間が費やされています。従来、送信メールが機密データに関するルールに抵触した場合、そのメールは隔離され、ヘルプ デスクへのチケットが発行されていました。その後、管理者がメールの内容を手作業で確認してから、隔離を解除しなければなりませんでした。

Zscalerは高度なインシデント情報インターフェイスを通じて、この状況を根本的に変革します。送信元DLPタイプがEmailの場合、管理者は「メール隔離の解除」の操作を手動で行ってメッセージをすべての受信者に配信できます。または、プラットフォームから特定の受信者のみを選択して解除することも可能です。

高度なインシデント情報インターフェイスは管理者にとって価値がありますが、真に変化をもたらすのは高度なアカウント設定にある「エンドユーザーによるメール隔離解除の有効化」機能です。

この機能を有効にすると、IT部門の負担が軽減されます。メールが隔離される場合、ユーザーにはポリシー違反の説明が瞬時に通知されます。その後、ユーザーには正当性の説明を求めるワークフローが提示されます。

ユーザーが許容されるビジネス上の理由を提供するか、統合された管理者の承認を得ると、自身で隔離されたメッセージを解除できます。その後、システムが自動的にメールをMTAに送信し、配信を実行します。

ITチケットは0件となり、手動によるレビューは不要で、重要な業務コミュニケーションの遅延も発生しません。

自己修復型セキュリティ態勢の設計

データ セキュリティは、ビジネスのボトルネックやSOCの疲弊と同義であってはなりません。Zscaler Workflow Automationを活用することで、セキュリティ アーキテクトは高度に応答性が高く自己修復可能なDLPアーキテクチャーを構築できます。

SlackやTeamsのようなプラットフォームにカスタム ワークフローを直接統合し、例外管理を完全に自動化するとともに、エンドユーザー自身が管理された条件下でメールの隔離を管理できるようにすることで、これまでデータ保護に伴って発生していた手作業を削減できます。

その結果、組織のレジリエンスを強化し、インシデント キューを削減しながら、セキュリティ部門は真の脅威ハンティングに集中できるようになります。

Zscalerが次世代データ セキュリティを支援する方法の詳細は、製品データシートを確認し、デモを依頼してください。

よくある質問

DLPアラート疲れとは何ですか？また、Zscaler Workflow Automationはどのように解決しますか？

DLPアラート疲れとは、セキュリティ部門が大量の情報漏洩防止アラートにさらされることで、どのインシデントに即時対応が必要なのか特定が困難になる状態です。アラートが繰り返し発生するもののリスクが低い場合や明確なビジネス コンテキストが欠けている場合、アナリストは徐々にそうした状態に慣れてしまいます。その結果、調査が遅れ、重要なアラートを見落とす可能性が高まります。
Zscaler Workflow Automationは、DLPインシデントを自動的に強化、優先順位付け、ルーティングすることで、この課題の解決を支援します。これにより、セキュリティ部門はノイズの中から選別する時間を減らし、意味のあるリスクに対応する時間を増やせます。さらに、自動化されたワークフローでは、インシデントの確認や対応を手作業で行う必要がなくなります。この自動化により、DLP部門はノイズを分離し、本当に重要なことに集中できます。その結果、効率が向上し、対応が迅速化され、担当部門がより一貫した意思決定を行うことができます。

Zscaler Workflow AutomationはどのようにDLPインシデントのトリアージを自動化しますか？

Zscaler Workflow Automationは、アラートの調査やルーティングにかかる手作業を削減することで、DLPインシデントのトリアージを自動化します。関連するコンテキスト情報をインシデントに付加し、意思決定ロジックに基づいて承認を開始し、対応を割り当てたうえで、各インシデントを適切な部門やワークフローへ振り分けることができます。これにより、組織は日常的なインシデントを効率的に処理しつつ、リスクの高いイベントに対してより迅速に対応できるようになります。

Zscalerでは、エンドユーザー自身が隔離されたメールを解除できますか？

はい、組織はZscaler Workflow Automationを通じてエンドユーザー自身が隔離されたメールを解除できるように設定できます。この機能は制御された形で設定できるため、特定のメッセージのみをユーザー自身による解除の対象とし、より機密性の高いケースについては追加の確認や承認を求めるように設定できます。このアプローチにより、管理者による監視を維持したまま、ユーザー エクスペリエンスを向上できます。

自動化された例外管理と従来のDLPポリシー例外の違いは何ですか？

従来のDLPポリシー例外は通常、ポリシー内で直接行われる静的な変更であり、積極的に見直さなければ、意図した以上に長期間そのまま残ってしまう可能性があります。自動化された例外管理は、より動的で制御されたアプローチです。これにより、組織は、定義された条件下で特定の操作を許可でき、期間限定で付与され、承認プロセスや監査証跡とともに管理されます。

Zscaler Workflow AutomationはどのようにSlack、Microsoft Teams、Jira、ServiceNowと連携してデータ セキュリティ インシデント管理を行っていますか？

Zscaler Workflow Automationは、Slack、Microsoft Teams、Jira、ServiceNowと連携し、組織がすでに利用しているプラットフォームを通じてデータ セキュリティ インシデントを管理できるよう支援します。通知の送信、承認の要求、回答の収集、記録の更新、主要な関係者間でのインシデント対応の連携維持などが可能です。Zscalerにより、組織は対応時間を短縮し、より一貫性があり監査可能なインシデント管理プロセスを構築できます。

免責事項：このブログは、Zscalerが情報提供のみを目的として作成したものであり、「現状のまま」提供されています。記載された内容の正確性、完全性、信頼性については一切保証されません。Zscalerは、ブログ内の情報の誤りや欠如、またはその情報に基づいて行われるいかなる行為に関して一切の責任を負いません。また、ブログ内でリンクされているサードパーティーのWebサイトおよびリソースは、利便性のみを目的として提供されており、その内容や運用についても一切の責任を負いません。すべての内容は予告なく変更される場合があります。このブログにアクセスすることで、これらの条件に同意し、情報の確認および使用は自己責任で行うことを理解したものとみなされます。