セキュリティの本質はデータ保護
Cloudflare Oneがここ数年でネットワークトラフィックセキュリティからエンドポイントやSaaSアプリケーション全体へと領域を拡大した理由は一つです。データセキュリティこそがエンタープライズセキュリティのすべてだからです。
セキュリティコントロールは単にルールを強制するために存在するわけではありません。最終的にはマルウェア感染、認証情報の窃取、セッションハイジャック、そして最も深刻な機密データの外部流出を防ぐためのものです。単純なアクセスポリシーが連鎖的にインシデント対応、顧客影響、レピュテーション損害へとつながる可能性があります。
Cloudflare Oneのデータセキュリティビジョンは次のように要約できます。データが移動するあらゆる場所を単一モデルで追跡し保護することです。もはや分断されたコントロールツールの集合ではありません。
- 転送中の保護（インターネット + SaaSアクセス）
- 保存データの可視性と制御（SaaS内部）
- 使用中のデータ保護（エンドポイント）
- プロンプトレベルの保護（AIがエンタープライズデータの新しいインターフェースとなるにつれて）
これら4つが一つに接続されたシステムです。可視性は何が起きているかを教え、制御はデータが移動できる範囲を制限し、強制措置はコンテンツがアプリを離れる際の最後のギャップを埋めます。ポリシーはツールではなくデータに従う必要があります。
本記事では、このビジョンを実現する最新アップデート4つを紹介します。
主要アップデートの分析
1. ブラウザベースRDPクリップボード制御：データ漏洩のないリモートアクセス
管理されていないエンドポイント（契約社員、パートナー、一時アクセス）にリモートアクセスを提供する場合、ブラウザベースRDPは実用的な方法です。Cloudflare Oneはこれに可視性とポリシー制御を追加しました。今回クリップボード制御機能が新たに追加され、管理者がユーザーのローカルデバイスとブラウザベースRDPセッション間でのコピー/ペーストの可否を決定できるようになりました。
クリップボード制限は生産性とセキュリティの間の典型的なトレードオフです。ユーザーが依存するワークフローでコピー/ペーストを禁止すると、スクリーンショット、再入力、非管理ツールの使用など迂回経路を見つけることになります。クリップボード制御により、安全な場所ではワークフローを許可し、危険な場所ではブロックすることができます。
例えば、カスタマーサポートポータルにアクセスする際、セッション内へのコピー/ペーストは許可するが、セッション外へのコピー/ペーストはブロックして、機密データが管理されていないエンドポイントに流出するのを防ぐことができます。
2. ログにおけるオペレーションマッピング：推測不要の可視性
リモートアクセス制御だけでは十分ではありません。ユーザーがSaaSアプリ内で具体的にどのような操作を行っているかを理解して初めて、ポリシーを微調整できます。
Cloudflare Oneはオペレーションマッピングというプロセスを通じて、HTTPリクエストの様々な要素を単一の操作（例：ChatGPTの'SendPrompt'）として解釈します。類似の操作を'Share'や'Upload'などのアプリケーションコントロールにグループ化し、HTTPポリシービルダーでシンプルなポリシー作成を可能にします。
今回、このマッピングがロギングまで拡張されました。追加設定なしで、オペレーションとアプリケーションコントロールがログイベントに表示されるようになります。ログ詳細でアプリケーションコントロールグループと特定のオペレーション（例：ChatGPTのSendPrompt）の両方を確認できるため、調査とポリシーチューニングが迅速化します。
3. エンドポイントDLP：オンデバイスデータ保護
機密情報は管理されたアプリケーションから管理外のコンテキスト（特にクリップボード経由）へ頻繁に移動します。リスクはファイル流出だけでなく、プロプライエタリコードの断片や顧客記録が未承認のLLMや個人ツールに貼り付けられるケースも含まれます。
Cloudflare Oneは既にGatewayとDLPで転送中のデータを保護し、CASBで保存データの可視性と制御を提供しています。今回Cloudflare One ClientにエンドポイントDLPを追加し、使用中のデータまで保護範囲を拡大しました。機密データがブラウザタブを離れてOSクリップボードに到達しても、「ポリシーなし」のコンテンツにはなりません。
# エンドポイントDLPポリシー例（概念コード）
# Cloudflare One Clientがクリップボード内容をスキャンし、機密データ検出時にブロック
policy_rules = [
{
"name": "金融情報流出防止",
"data_type": "credit_card",
"action": "block", # ブロック
"direction": "outbound" # セッション外への方向
},
{
"name": "ソースコード保護",
"data_type": "source_code",
"action": "alert", # アラートのみ
"direction": "both"
}
]
4. M365 Copilotセキュリティスキャン：AI可視性の死角解消
昨年Cloudflare OneとAPI CASBはOpenAI ChatGPT、Anthropic Claude、Google GeminiへのAPI統合を初めて提供しました。今回Microsoft 365 Copilotもサポート対象となりました。
API CASBを通じて、M365 CopilotアクティビティからDLP検出プロファイルに一致するチャットやアップロードを分析できます。Copilotの結果はファイル参照、プロファイル一致、インタラクションメタデータなどのリッチなコンテキストと共に提供されるため、生の監査ログを調べる必要なく迅速なトリアージが可能です。
例えば、ユーザープロンプト、Copilot応答、アップロードされたファイルに機密データが含まれているかを即座に確認できます。Microsoft 365統合を既に使用している場合は、ダッシュボードで接続を更新するだけでCopilotの結果を受け取ることができます。
技術の限界と注意点
これらの強力な機能にも、いくつか考慮すべき点があります。
-
クリップボード制御の迂回可能性：ユーザーがスクリーンショットを撮ったり、データを手動で再入力することでポリシーを迂回する可能性があります。完全なブロックよりもユーザー教育と併用することが効果的です。
-
オペレーションマッピングの精度：HTTPリクエストを単一の操作として解釈する過程で誤検知（False Positive）が発生する可能性があります。特に複雑なSaaSアプリケーションの場合、マッピングが完全ではない可能性があるため、ポリシー適用前に十分なテストが必要です。
-
エンドポイントDLPのパフォーマンス影響：クリップボード内容をリアルタイムでスキャンする過程で若干の遅延が発生する可能性があります。高性能が重要なワークフローでは、パフォーマンス影響を事前に評価する必要があります。
-
AIセキュリティスキャンの限界：CopilotのようなAIツールは継続的に変化するため、API統合がすべての新機能やアップデートを即座に反映できない場合があります。定期的な統合アップデートが必要です。
実務適用のアドバイスとまとめ
Cloudflare Oneの今回のアップデートは、データが移動するあらゆる地点で一貫したセキュリティを提供するというビジョンの具体的な実行です。日本企業の環境でも、特に以下のようなシナリオで有用に適用できます。
- テレワーク・ハイブリッド環境：管理されていない個人PCから会社システムにアクセスする必要がある場合、ブラウザベースRDPとクリップボード制御により安全なリモートワーク環境を構築できます。
- 金融・医療の規制準拠：機密性の高い個人情報を扱う業種で、エンドポイントDLPによりデータ漏洩を事前にブロックし、規制要件を満たせます。
- AI導入に伴うデータセキュリティ：M365 CopilotなどのAIツール導入時に発生し得る機密データ露出リスクを、API CASBを通じて監視できます。
合わせて読みたい記事
次のステップ学習の方向性
- Cloudflare Oneの公式ドキュメントで各機能の詳細な設定方法を学びましょう。
- 実際の環境に適用する前に、PoC（概念実証）を通じて組織のワークフローとの互換性をテストしてください。
- データセキュリティポリシーを策定する際は、「完全なブロック」よりも「リスクベースアプローチ」の方が効果的であることを覚えておきましょう。