DLP が実際の漏えい経路を止められるか検証しましょう
従業員が日常的に使うチャネルで合成データを送信し、DLP が転送を検出またはブロックするかを確認します。
米国・EU・APAC の SSN、IBAN、カード番号、文書など、監視対象になりやすいデータを用意しています。ブラウザーのフォーム、ファイルのアップロード、メール、FTP、クラウドのオブジェクトストレージ、クリップボードなど、ユーザーと同じ方法で送信してください。
curl
curl -sS -X POST https://dlpbench.com/api/http-post/ -F "message=Hello world, I love DLP. This is my powerful smoke test of the DLP system: a short story with ordinary words and no identifiers. If this request arrives, the path is open." # 識別子を含まないプレーンテキスト: リクエストは到達するはずです。失敗する場合は、ネットワークまたは厳しすぎるポリシーを確認してください。
curl -sS -X POST https://dlpbench.com/api/http-post/ -F "ssn=478-21-3344" -F "card=4111111111111111" # テスト用の SSN とカード: DLP を設定していれば、リクエストは外部へ出ないはずです。ok が返った場合、チャネルはブロックされていません。
200 と {"ok":true} が返った場合、データはネットワークの外に出ています。DLP がイベントを記録したか確認してください。
テスト
以下の各ページは、実際の送信経路に対応しています。ペイロードを送信して、DLP の反応を確認してください。お手元のファイルやテキストのほか、このサイトのライブラリやジェネレーターで用意したデータも使えます。
ほとんどのページで結果をすぐに確認できます。サーバーがリクエストを受信したか、受信しなかったかです。同じデータセットを複数の方法で試してください。Web、メール、FTP では挙動が異なることがよくあります。クリップボードでは、ワークステーション上のエンドポイント制御が機能しているかを確認できます。ルールの変更後、エージェントの更新後、ユーザーに新しいファイル転送手段が提供されたときは、再テストしてください。詳細は各テストページをご覧ください。
テストデータ
米国・EU・APAC の個人情報と決済データの典型例をまとめたパックです。ライブラリには、DLP が認識すべき SSN、IBAN、パスポート項目、カード、銀行情報などを含むテーブルとファイルが揃っています。
ここにあるデータは、文書画像を含め、実在の登録情報や実在の人物に由来するものではありません。パックをダウンロードまたは生成し、上記の任意のテストページから送信してください。詳細はライブラリ、文書、ジェネレーターの各ページをご覧ください。
ツール
DLP の設定に役立つ無料の追加ツールです。お使いの製品が正規表現に対応していても既成テンプレートがない場合は、当サイトのパターンを使って、実際のユーザーのテキスト中の SSN、IBAN、パスポート番号を検出させることができます。MCP サーバーは、AI コーディング環境からの自動チェック用です。
例と詳細は各ツールのページにあります。
よくある質問
このサイトは DLP システムの検証にどう役立ちますか？
一般的な送信経路で合成データを送り、結果を確認します。リクエストが当サイトのサーバーに届いた場合、そのポリシーでは送信を止められなかったことになります。接続が切断された場合は、DLP コンソールで該当するイベントを探してください。ほとんどの Web テストでは、当サイトが受信した内容もページ上で確認できます。
検出とブロックの違いは何ですか？
モニター／検出モードでは、DLP はイベントを記録します（そのチャネルが対象の場合）。ブロックモードでは、ポリシーが正しく設定されていれば転送が遮断されます。同じペイロードを両方の設定で試すと、検出が機能しているか、強制が機能しているかをすぐに確認できます。
どの送信経路をテストできますか？
HTTPS（テキストフォームと、複数の方式によるファイルアップロード）、FTP、S3 PUT、メール、クリップボードです。
テスト用のデータはどこで入手できますか？
お手元のファイルのほか、テストデータにある既成パック（サンプルライブラリ、文書画像、機密データジェネレーター）も使えます。
実在の個人データが含まれていますか？
いいえ。パックはテスト専用に作成されています。アプリケーションや本番システムでは使用しないでください。詳しくは利用規約をご覧ください。
どの DLP 製品でも使えますか？
はい。このサイトはベンダー中立です。導入時、パイロット、製品比較の際に、選んだ経路でポリシーがどう反応するかを確認してください。
ブロックされるはずの送信が通ってしまいました。何を確認すべきですか？
ポリシーがアラートのみになっている、宛先が除外されている、ルールが誤ったデータ種別を対象にしている、といった可能性があります。DLP ではなく、プロキシ、CASB、ゲートウェイがリクエストを遮断している場合もあります。タイムスタンプをコンソールと突き合わせてください。サーバーからの応答も DLP のイベントもない場合は、検出エンジンがそもそも動作していない可能性が高いです。
どのくらいの頻度で再テストすべきですか？
ルールの変更後、エージェントやゲートウェイの更新後、ユーザーに新しいファイル転送手段が提供されたときです。変化の少ない環境であれば、四半期ごとに SSN、IBAN、カード、主要な送信経路を短時間で確認すれば通常は十分です。
ネットワークモニター（ミラー／SPAN）はどうテストしますか？
センサーのカウンターで、正しいセグメントが実際にアプライアンスへ到達していることを確認します。パッシブミラーの場合は、FTP が便利です。平文のプロトコルなので、合成ファイルの内容をセンサー上で簡単に読み取れます。SPAN モニターは通常、検出のみでブロックの証明はできません。強制するにはインラインの経路（プロキシ、エージェント、ゲートウェイ）が必要です。
このサイトには平文 HTTP の Web フォームはありません。UI は HTTPS POST に移行しました。センサーでプレーンな HTTP が必要な場合は、http://no-ssl.dlpbench.com/api/http-post/ へプログラムから送信してください（サービス利用規約）。
データセンターのミラーが実際に観測できるトラフィックは、TLS、リモートワーク、クラウドアプリの普及で減り続けています。これはアーキテクチャ上の限界であり、特定のルールの設定ミスではありません。
ディスクやクラウド上のディスカバリーはどうテストしますか？
生成 AI チャットツールはどうテストしますか？
ChatGPT、Copilot、Gemini などのアプリへの貼り付けは、よくある情報流出経路です（GenAI／シャドー AI）。ポリシーで URL とアプリの一覧を固定してください。テスト用ワークステーションから、テストデータの合成コンテンツを貼り付けるか、クリップボードページを使います。サービスがファイルを受け付ける場合は、ライブラリのファイルをアップロードしてください。モニターとブロックの両方を確認し、ユーザーに表示されるメッセージが拒否の理由を説明しているかも確かめます。
AI エージェントからの外向き HTTPS 通信は、別のチャネルです。そのために、このベンチには MCP サーバーがあります。DLP には、リクエストやレスポンスに合成フィールドを含む通常の HTTPS として見えるだけで、「MCP 特有の何か」が見えるわけではありません。すべての製品がこれを AI として扱うとは限らず、Web として検出するだけの製品もあります。クライアントやサービスのドメインが変わったら、再テストしてください。
macOS では何を確認すべきですか？
多くのベンダーでは、Mac の対応チャネルが Windows より少なくなっています。ブロックを信頼する前に、エージェントに必要な権限があるか（多くは MDM 経由）、ユーザーが実際に使っているブラウザー、AirDrop、iMessage、iCloud Drive、リムーバブルドライブの挙動を確認してください。
Mac の Web、FTP、メール、クリップボードも、同じベンチのページ（HTTPS POST、FTP、メール、クリップボード）でテストできます。Windows の結果を、別途テストせずに Mac に当てはめないでください。ギャップはカバレッジマップに記録します。