第3章の最後は、データそのものを守る2つの機能、DLPとCASBです。ここまでの構成で、人（Access）・経路（Tunnel）・端末と通信（WARP＋Gateway）は守れるようになりました。しかし、正しい人が正しい端末から行う操作でも、情報漏えいは起きます。顧客名簿をうっかり外部サービスに貼り付ける、共有リンクを「全員に公開」で発行してしまう、といった事故です。
DLPとCASBは、この「正規の操作による漏えい」に対する防御です。2つはよくセットで語られますが、見ている場所が異なります。このページでその役割分担を整理し、章全体を締めくくります。
このページで分かること
- DLP（Data Loss Prevention）とは何か、何を検出できるか
- CASB（Cloud Access Security Broker）とは何か、何を点検できるか
- 「動いているデータ」と「置かれているデータ」という整理
- Cloudflare Oneでの位置づけと利用できるプラン
- 初心者が押さえるべき現実的な距離感
DLPとは：動いているデータを検問する
送信の瞬間に「中身」を見る
DLP（Data Loss Prevention：データ損失防止）は、端末から外へ送信されるデータの中身を検査し、機密情報が含まれていたら記録・ブロックする仕組みです。前々ページのGatewayで学んだHTTPフィルタリング（TLSインスペクション）の上で動きます。つまり、Gatewayが「どこへ行くか」を見るのに対し、DLPは「何を持ち出そうとしているか」を見る機能です。
検出のやり方は主に次の3つです。
- 定義済みプロファイル：クレジットカード番号・銀行口座・各国の個人識別番号・認証情報（パスワードやAPIキー）・ソースコードなど、よくある機密データのパターンをCloudflareが用意しています。選んで有効にするだけで使えます
- カスタム検出：自社特有のパターン（社員番号の形式、社外秘の文書番号など）を正規表現で定義できます
- 高度な照合（Enterprise向け）：「実在する顧客データそのもの」との突き合わせ（Exact Data Match）など、誤検知を減らす精密な方式も用意されています
適用対象はファイルのアップロード、フォーム送信、チャットへの貼り付けなど、Webを通る送信全般です。近年重要になっているのが生成AIへの持ち出し検査で、「AIチャットに顧客情報を貼り付けたらブロック」という制御は、DLPの代表的な新しい使いどころです（CloudflareのAI Gatewayとの連携もあります。第7章で扱います）。
CASBとは：置かれているデータを点検する
SaaSの中を「巡回点検」する
CASB（Cloud Access Security Broker：キャスビー）は、Google WorkspaceやMicrosoft 365などのSaaSにAPIで接続し、その中に置かれたデータと設定を定期的にスキャンする仕組みです。通信の瞬間を見るDLPと違い、すでにSaaS内にあるものを巡回点検します。
CloudflareのCASBは、対象のSaaSに読み取り専用の権限で接続し、初回スキャン後はおおむね1〜24時間ごと（サービスにより異なる）に自動で再スキャンします。見つけてくれるのは、たとえば次のような問題です。
- 危険な共有設定：「リンクを知っている全員が閲覧可能」になっている機密ファイル、社外ドメインと共有されたフォルダー
- 認証情報の露出：GitHubリポジトリにうっかりコミットされたAPIキーやパスワード
- 設定ミス：多要素認証が無効な管理者アカウント、退職者の残存アカウント、危険なサードパーティ連携アプリ
対応するSaaSは、Google Workspace・Microsoft 365・Slack・GitHub・Salesforceなど主要どころが揃っています。検出結果は「発見（Findings）」として重大度つきで一覧化され、管理者が対処します。CASB自体が設定を勝手に直すことはありません。
2つの役割分担
セキュリティの用語で、転送中のデータを data in motion、保存されたデータを data at rest と呼びます。DLPは動いているデータの検問、CASBは置かれているデータの点検。この対比で覚えるのがいちばん確実です。2つは連携もします。CASBがSaaS内のファイルをスキャンする際、その中身の判定にDLPのプロファイル（クレジットカード番号など）を使う、という組み合わせです。
どのプランで使えるか
DLPとCASBは、この章で学んだ他の機能と違い、フル機能はEnterprise（Contract）契約が中心です（2026年8月時点）。
- Free / Pay-as-you-go：DLPは金融情報などの一部プロファイルを限定的に利用可能。まず動きを試すには十分です
- Enterprise＋追加契約：DLPのフルプロファイル・Exact Data Match、CASBの本格利用など
個人や小規模チームでは「AccessとGatewayは常用、DLP・CASBは必要になったら」という距離感が現実的です。一方、企業で顧客情報や個人情報を扱うなら、この2つが導入検討の本丸になります。
初心者が注意するポイント
- DLPは定義したものしか見つけない：「機密データとは何か」を決めるのは人間です。プロファイルの選定と自社データの定義があいまいなままでは、検知は働きません
- DLPはTLSインスペクションが前提：通信の中身を見る機能なので、Gatewayのページで説明したルート証明書の配布が先に必要です
- CASBは読み取り専用の点検係：発見された問題を直すのは管理者の仕事です。「入れれば安全になる」ではなく「問題が見えるようになる」機能だと理解してください
- 運用ルールとセットで：社員の送信内容を検査することにはプライバシー面の配慮が必須です。Gatewayの章でも触れたとおり、何を検査するかの明文化と周知が導入の前提です
- 最初の一歩は棚卸し：どのSaaSを使っていて、どこに機密データがあるのか。この把握なしにDLP・CASBを設定することはできません。API Securityのページで学んだ「守る対象の台帳を作る」発想と同じです
関連サービス
- Cloudflare Gateway：DLPの実行基盤（HTTPフィルタリング・TLSインスペクション）
- Cloudflare Access：SaaSへのログイン自体を制御する門番。CASBの点検と補完関係
- AI Gateway：AIアプリの通信管理。DLPと組み合わせてAIへの機密データ流出を防ぐ（第7章）
- API Security：APIキー管理・可視化の考え方はCASBの発見機能と地続きです（第2章）
まとめ
- DLPは「動いているデータ」の検問。送信の中身を検査し、クレジットカード番号などの機密データの持ち出しを検知・ブロックする
- CASBは「置かれているデータ」の点検。SaaSにAPI接続し、危険な共有・露出した認証情報・設定ミスを定期スキャンで発見する
- 2つは連携し、CASBのスキャンにDLPの検出プロファイルが使われる
- フル機能はEnterprise中心。無料枠では一部プロファイルで動きを試せる
- 技術より先に「何が機密で、どこにあるか」の定義と棚卸しが必要
これで第3章「Zero Trust」は完結です。境界型防御の限界から出発し、Cloudflare Oneの見取り図、認証（Access）、経路（Tunnel）、出口の検査（Gateway）、端末（WARP）、そしてデータ（DLP・CASB）と、Zero Trustの部品一式を一巡しました。次章は視点をネットワークの土台に移し、企業ネットワーク向けのサービス群を概観します。
次に読む
※本記事の情報は 2026年8月時点のものです。