Proofpoint Data SecurityとProofpoint ITM(Insider Threat Management)を米連邦政府機関にも提供へ
米連邦政府機関では、データの活用、共有、保護のあり方が大きく変わりつつあります。クラウドやAI、コラボレーション プラットフォームは、ミッション遂行を前進させる新たな機会を生み出しています。その一方で、機密情報が露出する経路や、信頼されたユーザーが意図の有無にかかわらずリスクを生み出す経路も増えています。
FedRAMPの2026年版統合ルール（Consolidated Rules for 2026）で、米国政府は「High」の基準を引き上げました。従来のインパクトレベルは認証クラスA〜Dに置き換えられ、FedRAMP HighはクラスDに相当します。クラスDの対象は、侵害されると国家安全保障、法執行、重要インフラに深刻または壊滅的な被害が及ぶシステムに限られます。置き換え前の区分よりも高く、より厳格に検証される基準です。
そこでプルーフポイントは、FedRAMP High（クラスD）認可の取得を進めています。対象はProofpoint Data SecurityとProofpoint ITMで、完了目標は2027年です。この取り組みは、先週発表したProofpoint Agentic Data & AI Security Systemと、これまでの経験を土台としています。
対象範囲には、Proofpoint DSPM（データセキュリティ態勢管理）、Proofpoint Enterprise DLP（マルチチャネル対応の情報漏えい対策）、Proofpoint ITM（内部脅威管理）を含める予定です。これは、FedRAMP Moderateの要件を満たしてきた経験を生かすものです。Moderateの実績があるのは、Proofpoint Email Protection、Proofpoint TAP(Targeted Attack Protection)、Proofpoint Enterprise Archiveの各ソリューションです。
インサイダーリスク対策は「ベストプラクティス」ではなく「義務」
米連邦政府機関や、機密取扱資格をもつ請負業者にとって、インサイダーリスクの管理は任意ではありません。大統領令13587号（Executive Order 13587）により、インサイダー脅威の抑止、検知、軽減を目的とする政府全体のプログラムが設けられました。機密取扱資格をもつ請負業者にも、国家産業保安プログラム運用マニュアル（NISPOM）を通じて同様の要件が課されています。その実施状況は、国防防諜保安局（DCSA）が定期的なセキュリティ審査で評価します。
米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は今年9月、「Insider Threat Mitigation Guide: 2026 Edition」を公開しました。この最新版ガイドは、前述の義務をさらに明確にしています。ハイブリッドワークやリモートワークによるリスクに加え、AIがインサイダーリスクをどう変えつつあるかについての指針が新たに盛り込まれました。影響はコンプライアンスの枠にとどまりません。内部関係者は、機密指定情報や管理対象非機密情報（CUI）、機密性の高いシステムなどの国家安全保障資源に、正当なアクセス権をもつ場合があります。そのアクセスが悪意の有無にかかわらず悪用されると、不正な開示やスパイ活動、詐欺や妨害工作、重要な能力の低下を招くおそれがあります。CUIをさらに保護するため、DFARS 252.204-7012は、防衛産業基盤（DIB）にFedRAMP ModerateまたはHighのSaaSソリューションの利用を求めています。国際武器取引規則（ITAR）や輸出管理規則（EAR）の規制対象データを扱う顧客にとっても、FedRAMP Highは重要です。データを米国内のデータ センターにとどめ、サポート時のアクセスを米国の担当者に限定できるからです。
この義務を果たすには、ユーザーの行動を監視するだけでは足りません。日常業務と本当に注意すべきリスクを見分け、被害が生じる前に対処できるだけの証拠を積み上げる必要があります。
プルーフポイントは、従来のユーザー行動監視の枠を超えた対策を提供します。ユーザーの行動に対する深い可視性に、データのコンテキストと、コミュニケーションから導き出す動機に関する洞察を組み合わせています。関連する行動やイベントを時系列で結びつけ、個々のシグナルでは見逃しがちなリスクを明らかにします。ユーザーが何をしているかだけでなく、それがなぜ問題なのかも説明できます。さらなる調査が必要な場合は、監視の強化やスクリーンキャプチャを含め、段階的により強力な証拠を収集できます。これにより、懸念される行動が情報漏えいや詐欺、妨害工作、スパイ活動などの被害に発展する前に介入できます。
AIと内部関係者の変化に追いつくデータセキュリティを
「内部関係者」の定義が広がりつつあります。連邦政府の指令やセキュリティ指針では、設定ミスのあるAIシステムや合成ID、シャドーAIの利用そのものをインサイダー脅威として扱う傾向が強まっています。いずれも、悪意をもつ人間が関与しなくても、マシンスピードで機密データを漏えいさせるおそれがあるためです。（この変化については、「How AI Is Becoming the Next Insider Threat」で詳しく解説しています。）
米連邦政府機関が生み出す機密データも増え続けています。保存場所は多岐にわたり、多くの機関では棚卸しが追いつかない速さで増えています。管理されていないSharePointサイトやTeamsチャネル、クラウドストレージは拡大を続けますが、アクセスできる人の見直しは追いついていません。米行政管理予算局（OMB）のゼロトラスト戦略（M-22-09）は、これを最優先の課題と位置づけています。周辺のネットワークやIDを保護するだけでなく、機密データの所在、アクセスできる人、そのアクセスの管理方法を把握するよう各機関に求めています。
米連邦政府機関や防衛関連の請負業者は、CUIや個人を特定できる情報（PII）、調達データ、ミッション データといった機密情報も保護しなければなりません。保護すべき範囲は、オンプレミスのシステムやクラウドサービス、コラボレーション環境から、エンドポイントやミッションパートナーにまで及びます。AIによって、情報へのアクセス、共有、活用の方法は広がっています。ユーザーに代わって動作するAIエージェントやAIアシスタントによるものも含まれます。そのためセキュリティチームには、アクセスが発生するその時点で適切な状態が保たれているという確信が求められます。過剰なアクセス権、設定ミス、不適切な共有は、従来のセキュリティ対策では想定されていなかった露出を生み出します。
米連邦政府の組織にとって、こうした課題はセキュリティ上の優先事項にとどまらず、コンプライアンス要件でもあります。連邦情報セキュリティ近代化法（FISMA）やNIST Special Publication 800-53、連邦政府のゼロトラスト戦略は、データ中心のアプローチを後押ししています。このアプローチは、機密情報の特定、アクセスの制御、継続的なリスク管理を軸としています。サイバーセキュリティ成熟度モデル認証（CMMC）も同様に、防衛産業基盤の組織にCUIの保護を求めています。各要件を満たすには、状況が変化しても保護の有効性が保たれていることを示す必要もあります。
プルーフポイントは、データの検出、アクセスガバナンス、防御をクローズドループで結びつけます。AIによる分類で、各機関が探すべきだと認識していなかった機密情報まで特定できます。また、実効アクセス分析により、どのユーザーやシステムが実際にその情報にアクセスできるかを示します。各機関は、アクセス権の一括修復や委任による修復で露出を減らせます。さらに、DSPMで得た機密データの理解をそのまま生かし、DLPで直接保護できます。保護の対象はメールやクラウド、エンドポイント、コラボレーション、AIにまで及びます。
データセキュリティとインサイダーリスク管理は組み合わせてこそ強くなる
Proofpoint Data SecurityとProofpoint ITMは、リスクについて同じ理解を共有して動作することで、より大きな力を発揮します。
Proofpoint Data Securityは、情報そのものに関する洞察を提供します。何が機密なのか、どこに保存されているのか、どのユーザーやシステムがアクセスできるのかを明らかにします。一方、Proofpoint ITMは行動やアクティビティ、コンテキスト、動機を結びつけます。そして、何が本当に注意すべきリスクで、なぜそうなのかを判断します。
この組み合わせこそ、プルーフポイントが先週Proofpoint Agentic Data & AI Security Systemで実現したものです。AIアシスタントがユーザーに代わって機密情報を取得し、AIエージェントが企業システム全体で動作するようになるほど、その重要性は増していきます。こうしたやり取りの量と速度が増すなか、各機関はデータやID、アクセス、行動を個別にではなくまとめて評価する必要があります。このアプローチは、CISAのゼロトラスト成熟度モデル（Zero Trust Maturity Model）とも合致しています。同モデルは、成熟度の高いセキュリティ運用の特徴として、複数のソースにまたがる情報の相関分析を挙げています。コンテキストを活用したオーケストレーションと対応の自動化も、その特徴の1つです。
今後に向けて
AI導入の加速か、もっとも機密性の高い情報の管理か。米連邦政府機関がその二者択一を迫られるべきではありません。プルーフポイントの目標は、各機関がそうした情報を保護し、その周辺にあるインサイダーリスクを把握して低減できるよう支援することです。そこにはAI自体がもたらすリスクも含まれます。そして、政府の働き方を変えるテクノロジーを各機関が安全に取り入れられるよう後押しします。
FedRAMP High（クラスD）認可の取得は、この目標の実現に向けた次のステップです。FedRAMP Moderateで培った経験を土台に取り組みます。認可プロセスの進捗に応じて、最新情報をお知らせします。プルーフポイントのロードマップの詳細は、プルーフポイントのアカウントチームまでお問い合わせください。米連邦政府機関や防衛産業基盤の組織のセキュリティ要件とコンプライアンス要件を、プルーフポイントがどう支援しているかについてもお答えします。
本ブログは英語ブログ「Proofpoint Invests in FedRAMP High Authorization for Data Security & Insider Threat Management」の日本語訳です。英語原文との間で内容に齟齬がある場合には、英語原文が優先します。