DLPポリシー違反者の報告

DLPポリシー違反者の報告

医療機関では、DLPソリューションであるDigital Guardianを使用しています。設定されたルールに基づき、PHI（個人情報）またはPII（個人情報）が含まれていると検出されたメールは、ユーザーが暗号化を開始していなくても暗号化されます。PIIまたはPHIを含むメッセージが暗号化されていない場合は、アラートが送信されます。その後、違反者にメールを送信し、CISOやコンプライアンス担当チーフなどの担当者にも報告を求めます。これは必要なのでしょうか？密告者になりたくはありませんが、セキュリティポリシー違反も避けたいと考えています。ユーザーにメール暗号化の重要性を教育したり、ユーザーを非難することなくコンプライアンス部門に違反者を報告するなど、より良い方法はないでしょうか。