DSPMとは何か？コードベースDSPMが従来型と何が違うのか

【なぜ重要か】 現代のアプリケーションでは、顧客メールアドレスやトークンなどの機密データがAPI・ログ・データウェアハウス・SaaSツール・AIワークフローなど複数の場所を横断して移動する。どこに機密データが存在するかだけでなく、「なぜそこにあるのか＝どのコードパスが露出を生んだのか」を把握しなければ、開発者は根本的な修正を行えない。DSPMはこの可視性の問題を解決するための考え方であり、そのアプローチの違いが実務上の有効性を大きく左右する。

【ポイント】

• 従来型DSPMの役割と限界：S3バケット・データベース・SaaSアプリなどのストレージをスキャンしてPIIや機密データを検出・分類し、権限・露出状況を把握する。忘れられたバックアップや過剰に公開されたストアを発見できる点で有用だが、「そのデータがなぜそこにあるのか」というコードパスまでは追跡できない。
• コードベースDSPM（Data Exposure Audit）の仕組み：ストレージに直接接続してデータをスキャンするのではなく、機密データを生成・移動させるコード自体を解析する。API・ORMモデル・ログ呼び出し・キュー・CI/CDワークフロー・AI統合などを対象に、機密データがどこから入り、どこへ流れ、どこで誤って扱われるかをコードから特定する。
• 精度・速度・導入コストの優位性：本番データストアへのアクセス権限を必要とせず、クロールも不要なため導入が速い。また「9桁の数字はすべてSSN」のような推測ではなく、フィールドの実際の使われ方をコードから読み取るため、誤検知が少なく精度が高い。
• 開発者向けの具体的な修正まで提示：例えば「チェックアウトコントローラーが決済失敗時にbillingDetailsオブジェクト全体（メール・電話番号・請求先住所・カード末尾4桁）をログ出力しており、そのログはDatadogに送信されている。修正方法はログ前にこれらのフィールドをマスクし、顧客IDと決済インテントIDとエラーコードのみを残すこと」というレベルの情報を提供する。「PIIがログに存在する」という指摘にとどまらず、コードパス・露出リスク・修正箇所をセットで示す。
• セキュリティ・コンプライアンスへの接続：トークンの誤処理は認証管理・最小権限・監査ログ保護に影響し、PIIの無マスクログはデータ最小化・保持ポリシーに影響し、削除リクエスト後もデータが残存すればGDPRやCCPAの違反につながる。コードベースDSPMはこれらの制御上のギャップをコード上の具体的な箇所と紐づけて提示できる。

【まとめ】 従来型DSPMは「機密データがどこにあるか」を見つけ、コードベースDSPMは「どのコードパスが露出を生んでいるか」を特定する。AikidoのData Exposure Auditはこの両者のギャップを埋め、データフロー・制御上の欠陥・修正コードをセットで開発者に提供する。開発者・AppSecチームは、まずAikidoのAIコード解析機能を使ってData Exposure Auditを実施し、データベース接続なしに自社コードの機密データ露出リスクを把握することから始めるとよい。