M365がカバーする範囲はここまでですが、お客様のデータはそれにとどまりません。

中堅企業のほとんどを訪れてみると、同じようなセキュリティ環境が見られます： Microsoft 365に、ある程度のPurviewの適用範囲、場合によってはDefenderが導入されており、最後の監査アンケートでは「データ保護」の横にあるチェックボックスにチェックが入っているという状況です。 

そこで、実際のSaaSの利用状況を調べてみてください。 

Confluence。 Salesforce。Box。GitHub。Jira。Slack。Workday。Notion。Zendesk。DocuSign。Asana。そして、IT部門の誰も承認したことを覚えていない、いくつかの部門別ツールです。 

今や、機密データは実際にこうした場所に存在しています。 そして、多くの中堅企業のセキュリティチームにとって、そこはブラックホールのような存在です。 

Purviewが実際にカバーする範囲 

Purviewは、Microsoft 365向けのデータガバナンスおよびDLPレイヤーという役割においては、妥当なツールです。 適切なライセンス階層（通常はE5またはスタンドアロンのコンプライアンスアドオン）をお持ちであれば、SharePoint、OneDrive、Exchange、Teams内のデータを分類できます。DLPポリシーを作成することも可能です。一部の機密ラベルが反映される様子を確認することもできます。

Purviewは、Salesforceのパイプラインをカバーしていません。 財務部門が四半期予測を保存するBoxフォルダーに、誰が常時アクセス権を持っているかを知ることはできません。また、人事ツール、採用ツール、サポートツール、その他機密データが存在する十数カ所の場所も把握できません。 

データがMicrosoft内にのみ存在するのであれば、これで問題ありません。 しかし、データは Microsoft 365 内にのみ存在するわけではありません。

中堅企業における実際のシステム構成

従業員数 500 人から 3,000 人の典型的な企業では、50 から 200 程度の SaaS アプリケーションが稼働しています。 そのうちの相当な割合が、顧客の個人識別情報（PII）、財務情報、ソースコード、人事記録、健康情報、契約書、認証情報といった機密データを保持しています。 

そのデータの大部分は、次のような状態です： 

• デフォルトで広く共有されています（SaaSアプリケーションは、最小権限の原則ではなく、コラボレーションを最適化するように設計されているため） 
• 誰もが想像するよりもはるかに多くの人々がアクセス可能です 
• 企業がすでに保有しているセキュリティツールでは検知できません 
• 四半期ごとにその量と機密性が増加しています 

誰もこれを計画したわけではありません。 セキュリティ部門がツールの棚卸しを行うよりも早く、ビジネスチームがツールを購入してしまったこと、そして、Microsoft 以外の SaaS に関するガバナンスの問題は、常に「他者の問題」と見なされてきたことが原因です。 

既存の DSPM では解決できない理由 

当然の答えは DSPM です。 これらのプラットフォームは、SaaS、IaaS、および非構造化ストレージにまたがるデータを検出、分類、およびガバナンスするために特別に存在しています。 

問題はここにあります。これらのプラットフォームはどれも、中堅企業向けに構築されたものではないのです。 

これらは、6桁の予算を持ち、専任のデータセキュリティチームを擁し、長期にわたる導入を遂行できる十分な余裕を持つフォーチュン500企業の購入者を対象に構築されたものです。 従業員400人の企業に、エンタープライズ向けDSPMベンダーの導入を依頼すると、通常、次の3つの反応が順に返ってきます。見積もりの提示、沈黙、そして丁重な断りです。 

具体的な障壁は以下の通りです： 

• コストです。 ほとんどのDSPMプラットフォームは、年間6桁半ばから始まります。 中堅企業のセキュリティ予算において、これはツール関連の予算項目全体に相当します。 
• 導入の複雑さ。 すべての SaaS アプリケーションには統合が必要であり、すべての統合には認証情報とスコープが必要であり、すべてのスコープにはセキュリティレビューが必要です。 人員が限られているチームでは、四半期を費やしてコネクタの接続作業を行うことはできません。 
• 運用上のオーバーヘッドです。 DSPM は検出結果を生成します。 検出結果にはトリアージが必要です。トリアージにはアナリストが必要です。中堅企業のチームにはアナリストがいません。セキュリティ担当者は1人しかおらず、その担当者はIAMの管理、サーバーへのパッチ適用、フィッシング対策トレーニングプログラムの運営も兼任しています。&
• 製品に組み込まれたエンタープライズ志向です。 UIは、データセキュリティアナリストが画面を確認することを前提としています。 ポリシーは、それらを調整するチームが存在することを前提としています。アラートは、誰かが調査する時間があることを前提としています。 

その結果、中堅企業は、運用できないエンタープライズ向けツールに費用を支払うか、あるいはツールを使わずに運を天に任せるかのどちらかになります。 

このリスクは単なる理論上の話ではありません 

私はこのパターンを繰り返し目にしてきました： 

• IdP非対応アプリのアクセス権限解除チェックリストを管理する担当者がいないため、契約終了から90日後も請負業者がSalesforceへのアクセス権を維持してしまうケースがあります。&
• あるエンジニアが、「オフラインで作業するため」という理由で、HubSpotから顧客リストを個人のGoogleドライブにエクスポートしてしまいます。 
• 退職する営業担当者が、最終出勤日前にGongから3年分のアカウントデータをダウンロードしてしまいました。 
• SOC 2 の証拠資料が含まれている Box のフォルダの設定に誤りがあり、14 か月間「リンクを知っている全員」と共有されたままになっていました。 

これらの事象はいずれも、Purviewでは検出されません。 誰も手が回らないようなカスタマイズ作業を行わない限り、SIEMでもこれらはいずれも検出されません。また、既存のDSPMでもほとんどは検出されないでしょう。そもそも、そのSaaSアプリに対してDSPMを導入する余裕が顧客にはなかったからです。 

これらは架空の攻撃ではありません。 これらは、中堅企業がひっそりと対処している実際のインシデントであり、ダッシュボードではなく事後分析で明らかになるような事例です。 

なぜ未解決のままなのか 

従来のDSPMモデルでは経済性が成り立たないため、このギャップは解消されません。 スキャナーを構築し、コネクタを維持し、APIのレート制限を処理し、大規模にデータを分類することは、コストのかかるエンジニアリング作業であり、ベンダーもそれに応じて価格を設定しています。 中堅企業の購入者は価格面で参入できなくなり、ベンダーはより大きな取引を求めて上位市場へと進出します。このサイクルは続いています。 

その一方で、SaaSの導入範囲は拡大し続けています。新しい部門用ツールが導入されるたびに、買収が行われるたびに、「チームのためにこれが必要だ」という理由での購入が行われるたびに、誰も監視していない機密データの新たな集積場所が追加されていきます。 このギャップは埋まるどころか、ますます広がり続けています。 

中堅企業のセキュリティチームは、この実情を熟知しています。彼らは決して無知ではありません。他者向けに価格設定されたツールと、悪化の一途をたどる問題との板挟みになっているのです。 その多くは、修正する余裕のないリスクと折り合いをつけるのと同じように、この状況を受け入れています。つまり、問題を文書化し、事態が好転することを願い、次に進むのです。 

これが、Microsoft 365 以外の領域における、中堅企業のデータセキュリティ態勢管理の率直な実情です。解決されていません。解決の兆しも見えません。 そして、Purviewがこれを解決するものでもありません。