【なぜ重要か】
GDPRやHIPAAなどの規制に基づき、企業は保有する機密データの所在と公開状況を正確に把握する責任を負う。しかし現実には、個人情報（PII）はAPIやデータベース、AIプロンプトなど複数のシステムを横断して伝播するため追跡が困難だ。IBMの2025年調査によると、複数環境にまたがる情報漏えいの平均被害額は505万ドル、発見・封じ込めまでに平均276日を要する。
【ポイント】
- DSPMの2分類: 「ストレージ型」はデータベースやバケットに直接接続してデータを読み取る。保管中のPIIや放置されたデータを発見できるが、本番データへの読み取りアクセス権が必要で、そのデータを生み出したコードの特定やコードレベルの修正には対応できない。一方「コード型」はソースコードを解析してデータの流れを追跡し、本番データに一切アクセスしない。フィールド名やスキーマを読み取るため誤検知が少なく、露出を引き起こした正確なコードパスと修正方法を特定できる。
- Aikido Security（コード型）: LLMエージェントでコードを解析し、APIの過剰なフィールド返却・安全でないロギング・過剰な第三者データ共有・URLへのトークン埋め込み・不適切な暗号化・不完全な削除フローなどを検出。本番データへのアクセス不要で、発見ごとに該当ファイルと行番号を明示し、AutoFixがレビュー可能なプルリクエストを自動生成する。CSPM・コンプライアンス機能とも統合されており、GDPR・HIPAA・PCI DSSへの対応証跡として活用できる。
- Cyera（専用DSPMプラットフォーム）: エージェントレスかつAIネイティブで、クラウド・SaaS・オンプレミス環境のデータを迅速に可視化・分類できる。ただし本番データへのアクセスが必要で、検出結果を修正に結びつけるにはユーザー側の成熟したデータガバナンス体制が前提となる。レポート機能の弱さも指摘されている。
- Varonis: ファイルやM365上のデータへのアクセス権を詳細にマッピングし、誰が何にアクセスできるかを可視化するアクセスガバナンスに強みを持つ。オンプレミス起源のツールのため、クラウドネイティブ環境でのカバレッジは他ツールに劣り、導入・運用のコストと複雑さも高い。
- WizおよびOrca（統合クラウドプラットフォーム内のDSPMモジュール）: Wizはアイデンティティ・ネットワーク露出と連携したデータ検出を提供するが、DSPMは機能の一部であり専用製品より対応ストアの幅が狭い。OrcaはDSPMをアタックパスによるリスク優先順位付けと組み合わせるが、エージェントレスモデルのためリアルタイム検知には別途センサーが必要。
【まとめ】
DSPMツールの選択は「データ露出の根本原因をコードで修正したいか」「既存データストアの棚卸しを優先するか」によって分かれる。コードレベルで露出を検出・修正しGDPR等の規制対応も一元管理したいチームにはAikido Security、データの可視化・分類を素早く広範に行いたいチームにはCyeraやWiz・Orcaが選択肢となる。まず自社のデータフローとガバナンス成熟度を確認した上で、各ツールの無償評価やデモを活用して適合性を検証することを推奨する。