エンドポイントデータ損失防止

Netskopeエンドポイント データ損失防止 (エンドポイント DLP) は、 Netskopeのクラウド DLP 機能を利用してエンドポイントでデータ保護を提供します。 エンドポイント DLP を使用して、エンドポイントに接続されている USB ストレージ デバイスとプリンターを監視および管理できます。 エンドポイント DLP はNetskope Clientへのオプションのアドオン機能であり、エンドポイント上に別個のクライアントやエージェントを展開して管理する必要はありません。

エンドポイント DLP を使用すると、デバイス コントロールとコンテンツ コントロール ポリシーを作成できます。 デバイス制御ポリシーにより、どのデバイスが許可され、どのユーザーがそれらにアクセスできるかを詳細に制御できます。 一方、コンテンツ コントロール ポリシーでは、 Netskope DLP エンジンを最大限に活用して、エンドポイントと USB 大容量ストレージ デバイスまたはプリンタ間のデータ移動を検査および制御できます。

エンドポイント DLP を使用すると、エンドポイントを管理および制御して、機密コンテンツが USB ストレージ デバイス、プリンター、Bluetooth、またはネットワーク ファイル共有に転送されるのを防ぐことができます。 あなたはできる：

• デバイス コントロール、コンテンツ コントロール、およびファイル生成元ポリシーを作成して、エンドポイント デバイスを管理します。
• エンドポイントのアクティビティを監視し、ユーザーがUSBストレージデバイスを挿入または取り外したり、機密ファイルをUSBストレージデバイスに転送したり、プリンターを設定および構成したり、ドキュメントを印刷したりする際に、ブロックしたりアラートをトリガーしたりします。
• インシデントに対応し、ユーザーにその操作を通知する。
• ユーザーが自分の行動を正当化したり、キャンセルしたりできるように、カスタム通知メッセージを通じてユーザーを誘導する。

参照:エンドポイント DLP デバイスとコンテンツ コントロールのポリシー

メリット

エンドポイント DLP には次の利点があります。

• エンドポイントにおけるリソース使用量を最小限に抑え、ユーザーエクスペリエンスを向上させます。
• セキュリティ体制を強化するため、DLP違反がないかコンテンツを検査します。
• DLP ポリシー フレームワークを利用してアラートとインシデントを生成します。

要件

エンドポイント DLP は Windows または macOS 上で動作します。

Windows の場合、エンドポイント DLP には 64 ビット プロセッサ上の Windows 10 または Windows 11 が必要です。 Windows 11 Enterpriseのマルチセッションはサポートされていません。

Windows版Adobe AcrobatおよびAdobe Acrobat Readerは、 Adobeがサポートするバージョンに限り対応しています。

macOS の場合、エンドポイント DLP には、Intel x64 または Apple Silicon およびフル ディスク アクセスで実行されている macOS 14、15、または 26 (Sonoma、Sequoia、Tahoe) が必要です。

エンドポイント DLP を構成する前に、必ず次のことを行ってください。

• Netskope Clientのユーザーをプロビジョニングします。
• Netskope Client構成に対してエンドポイント DLP を有効にします。

macOS のクライアントでエンドポイント DLP を有効にする

macOS 上のエンドポイント DLP が正しく機能するには、 Full Disk Accessが必要です。以下の手順に従って、プロセスにFull Disk Accessを提供してください。クライアントマシンがMDMプロファイルで管理されていない場合、ユーザーはEPDLPクライアントにFull Disk Access手動で提供する必要があります。

Full Disk Accessに関する情報については、 macOS でのアプリによるファイルへのアクセス制御に関する Apple のドキュメントを参照してください。

フルディスクアクセスワークフローは、以下のMDMソリューションでサポートされています。

1. テストマシンにDLPを一度インストールします。

2. ターミナルを開き、以下のコマンドを実行します。

codesign -dr - /Library/Application\ Support/Netskope/EPDLP/Netskope\ Endpoint\ DLP.app

3. これにより、以下の出力が生成されます。

Executable=/Library/Application Support/Netskope/EPDLP/Netskope Endpoint DLP.app/Contents/MacOS/Netskope Endpoint DLP
designated => anchor apple generic and identifier "com.netskope.epdlp.client" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")

4. 「指定された =>」部分の後のサブストリングをコピーします。例えば、

anchor apple generic and identifier "com.netskope.epdlp.client" and (certificate leaf[field.1.2.840.113635.100.6.1.9] /* exists */ or certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "24W52P9M7W")

詳細についてはJAMFを参照してください。

5. JAMFダッシュボードを開き、[コンピュータ] > [構成] に移動して、NSclient用に作成された構成を開きます。

6. Privacy Preference Policy Controlを検索します。

7.「 Netskope 」を使う Identifierには「Bundle ID」、 Identifier Typeにはステップ 4 でコピーした部分文字列、 Code Requirementにはそれらを使用します。

8. APP OR SERVICEの下にある「SystemPolicyAllFiles」 Select 、「アクセス」の下にある「許可」を選択します。

9. 設定プロファイルを保存します

詳細については、 「macOS でクライアントを使用する Workspace ONE を展開する」を参照してください。

5. Resources > ProfilesとBaselines > Profilesに移動します。

6. Privacy Preferencesで、「com. Netskope .epdlp.client」を使用します。 Identifierには「Bundle ID」、 Identifier Typeにはステップ 4 でコピーした部分文字列、 Code Requirementにはそれらを使用します。System Policy All Files 「許可」に設定してください。

詳細は macOS 使う Intune の Deploy Client をご覧ください

5. Dashboard > Devices | macOS > Configuration Profilesに移動します。

6. 「 Netskope 」でIdentifierを作成します。

7. Allowed 「True」に設定します。「ステップ4でコピーした部分文字列（ Code Requirement用）とバンドルID（ Identifier Type用）」。 System Policy All Files 「許可」に設定してください。

5. Privacy Policyに移動します。

6.「 Netskope 」を使う Identifierには「Bundle ID」、 Identifier Typeにはステップ 4 でコピーした部分文字列、 Code Requirementにはそれらを使用します。System Policy All Files 「許可」に設定してください。

EPDLPクライアントでフルディスクアクセスが有効になっていない場合、EPDLPパッケージのインストール後に次のエラーメッセージが表示されることがあります。 STAgent.pkg

Proceedボタンをクリックすると、 System Preferencesのフルディスクアクセス設定が開き、EPDLPクライアントを追加して有効にできます。

フル ディスク アクセス設定で「 Netskopeエンドポイント DLP」を追加して有効にすることで、EPDLP クライアントへのフル ディスク アクセスを有効にします。

System Preferences -> Security & Privacy -> Privacy -> Full Disk Access

オリジナルファイルアクセス

DLPインシデントと同様に、EPDLPインシデントが作成されると、インシデントの原因となった元のファイルがWebUIからダウンロードできるようになります。
これはDLPコンテンツスキャンインシデントにのみ適用され、「フォレンジックを有効にする」設定が有効になっている必要があります。

.

オリジナルファイルへのアクセスに関する詳細については、以下のリンクを参照してください:フォレンジックプロファイルの有効化とDLPファイルのダウンロード