用語比較
DLPとCASBの違い
一言でいうと
DLPは機密データの利用・送信をポリシーで保護し、CASBはクラウド利用の可視化と制御を担います。メール・端末・SaaSのデータ取扱いが課題なら対応するDLP、SaaS利用や外部共有の把握が課題ならCASB機能を確認します。CASBのAPI検査と、通過中の通信を制御する機能を分け、対象経路・遅延・検査上限で使い分けます。
DLPとCASBの違いを、保護するデータ、SaaSの可視化、API連携とセッション制御で比較。Microsoft製品の機能例を使い、検査できないファイル、反映遅延、端末・ブラウザの対象範囲を解説します。分類・例外承認・受入試験から導入条件を整理できます。
- 難易度
- 中級
- 想定読者
- 情報漏えい対策を設計する情シス・SaaS管理者・SecOps
- 所要時間
- 約12分
- 最終確認
- 2026-11-08
- 1｜データと操作を決める
所有者、分類、共有先、許可する業務を整理。
- 2｜検査と制御の場所を選ぶ
API、端末、メール、セッションの範囲を確認。
- 3｜許可・拒否を照合
ログと対象側の結果を比べ、例外と再評価日を残す。
DLPとは
Data Loss Prevention。機密情報の分類や内容、利用者の操作を条件として、監視・警告・制限などを行います。対応する保存場所・端末・送信経路と、実際に適用する処理を確認します。
CASBとは
Cloud Access Security Broker。クラウドサービスの利用を可視化し、ポリシーに基づいて制御する仕組みです。API連携、通信の仲介、データ保護などの対応は製品と接続方式で異なります。
違いの比較表
| 比較軸 | DLP | CASB |
|---|---|---|
| 中心となる課題 | どの機密情報を、誰がどこへ送信・利用できるか | どのSaaSを使い、どの共有・活動を制御するか |
| 対象の確認 | メール、端末、SaaS等。場所と操作ごとに確認 | 連携アプリ、テナント、対象セッションとAPI権限 |
| 処理の例 | 監査、警告、制限、例外承認 | 利用可視化、ファイル検査、共有の是正、セッション制御 |
| 検査の条件 | 分類、形式、サイズ、暗号化状態、対応操作 | APIの取得制限と遅延、通過経路、ブラウザやクライアント |
| 受入試験 | 正常業務と機密扱いの合成データで期待動作を比較 | APIとセッションを分け、検査・制御と対象側の状態を照合 |
| 費用の単位 | 保護対象者・場所・端末、追加機能と運用 | 対象者・SaaS連携・セッション機能・ログと保守 |
制御条件を決める前に、データの分類をそろえる
データの所有者、分類、共有先、例外期限を整理してから制御を試す。判断表で不足した条件を、次の記録へ引き継げます。
無料のデータ分類10項目を確認する使い分け
- メールや端末からの送信を制御したい場合は、その場所と操作に対応したDLPを候補にし、分類から条件を決めます。
- SaaS内の既存ファイルと外部共有を点検したい場合は、対応するAPI連携と、取得・是正できる項目を確認します。
- 未管理端末からのダウンロードを制御したい場合は、対象ブラウザとセッションを仲介する機能を試し、ネイティブアプリの扱いも確認します。
API型とセッション制御の違い・使い分け
Microsoft Defender for Cloud AppsのAPIコネクターは接続先サービスのAPIを使います。公式資料では、取得制限やデータ量のため一部のポリシー処理に数時間から数日かかる例が説明されています。これは全製品共通の遅延ではなく、送信前の遮断をAPI検査だけへ任せないための確認事項です。
同製品の条件付きアクセスアプリ制御は、対応するブラウザセッションを制御します。Microsoft Edgeではブラウザ内保護、ほかのブラウザではリバースプロキシを使う構成が案内されています。アプリ、IdP、ブラウザ、ライセンス、ネイティブクライアントの扱いを導入前に確認します。
30 MB・50 MBの意味と、検査不能データの扱い
2026年11月8日に確認したMicrosoftの条件付きアクセスアプリ制御の資料では、一般のセッションポリシーは最大50 MB、内容検査は30 MB未満かつ100万文字未満という別の条件があります。全DLP製品の共通上限ではありません。大きいファイル、暗号化されたファイル、対象外形式は個別に扱います。
検査できないデータや50 MBを超えるファイルに対する許可・制限は、該当する設定で決まります。合成データによる20 MB・40 MB・60 MBの3例で、内容検査、ログ、実際の送受信が期待どおりか確認します。機密データを試験用に公開サービスへアップロードしません。
DLP導入手順・誤検知を減らす4条件の受入試験
Microsoft Purviewの公式資料は、制御を強める前にシミュレーションで業務影響を評価する手順を示しています。所有者と分類を決め、監視対象・警告文・制限・例外承認をそれぞれ設計します。シミュレーションで定義した処理は実行されないため、検知の確認と遮断の試験を分けます。
編集部の受入例は、①公開可データの許可された送信、②機密扱いの合成データの制限対象送信、③承認済み例外、④検査不能ファイルの4条件です。各条件で期待する許可・警告・制限と実測を記録し、誤遮断や見逃し、ログ欠損があれば本番対象を広げません。
導入費用・例外・漏えい疑いの対応を決める
見積もりは同じ利用者数、保護する場所、端末、SaaS、必要な操作で比べます。API連携の管理者権限、追加ライセンス、ログ保持、例外審査、利用者への説明に要する工数も項目に入れます。無料試用で動いた機能が正式契約にも含まれるか確認します。
例外には所有者、対象データ、相手、目的、期限、代替策を付けます。機密情報の外部共有や不審なダウンロードが見つかった場合は、通常の導入試験と分けて社内窓口へ報告し、承認済みの保護・停止と記録を並行します。APIの全件検査が終わるまで放置しません。
よくある誤解
- API連携で保存済みファイルを後から検査できても、送信前の全通信を必ず止められるとは限りません。
- 検査できなかったファイルを機密情報なしと扱いません。サイズ・形式・暗号化の制約を記録します。
- DLPの監査やシミュレーションで一致を確認できても、実際の遮断が有効になった証明にはなりません。
よくある質問
DLPとCASBは両方必要ですか？
保護するデータと、SaaS利用や共有の統制の両方が必要なら、対応する機能を組み合わせます。CASBにDLPが含まれる場合も、場所・操作・契約・検査範囲を個別に確認します。
API型CASBでアップロード前に止められますか？
保存後のデータ取得・検査を行うAPI連携だけでは、すべての送信前遮断を保証できません。送信時の制御が必要なら、対象端末・メール・セッション等の対応機能を確認します。
DLPは50 MBまでのファイルをすべて内容検査できますか？
上限は製品・機能で異なります。Microsoftの条件付きアクセスアプリ制御では最大50 MBのセッションポリシーと、30 MB未満かつ100万文字未満の内容検査を区別します。
監査モードで検知できれば導入完了ですか？
検知と、実際の制限は別に確認します。正常業務、制限対象、承認済み例外、検査不能ファイルで試し、ログと実際の操作結果を照合してください。
編集・確認情報
CyberLens編集部がMicrosoft PurviewとDefender for Cloud Appsの現行資料を照合しました。反映遅延・ファイル上限は当該製品の機能例です。ファイルサイズと受入条件は編集部の試験例で、製品の実機検証や専門家監修は実施していません。 最終確認日は 2026-11-08 です。
参考資料は用語・設計・機能例の確認先です。製品ごとの範囲は異なり、特定製品の推奨や比較全体の公式認定ではありません。資料の公開時点と現行の公式案内も合わせて確認してください。
新しい解説を見逃さない
CVE・KEVの初動対応や実務チェックリストは随時追加しています。使いやすい方法で更新を受け取れます。