秘密分散 フォー メール
「メール暗号化ってなに？」、「メールの暗号化ってどうやるの？」など、セキュリティを意識したデータ共有を考えたとき、このような疑問をお持ちになったことはありませんか？
本記事では、メール暗号化の重要性や種類、メーラーでの確認方法について記載しています。取引先からの信頼を担保するためにもぜひお読みください。
※本記事に掲載している情報は2024年9月時点のものです。
目次
秘密分散 フォー メール
カンタン・便利なのに高いセキュリティ
Outlookメールでの情報漏えいリスクを防ぎます。
メールの暗号化は、大切なデータを意図していない第三者にアクセスされないように保護することを指します。インターネット上に潜む脅威といえば、なりすまし、盗聴、改ざんなどがあります。
このような脅威に対してなにか対策をされているでしょうか？あまりメールでの連絡やデータ共有をしない場合でも、こういった情報漏えいのリスクは常に付きまといます。
会社や組織では、メールでのやり取りに対し、データ保護の義務を課しているところが多いはずです。メール暗号化の必要性や種類について見ていきましょう。
データの漏えいなどが発覚し、ニュースに取り上げられる企業があるのをみなさんも見たことがあるのではないでしょうか？
メールの暗号化だけに限られる話ではありませんが、普段からデータの暗号化など、しっかりとしたセキュリティ対策をしておかないと、会社の信頼を失ってしまったり、取引先に悪い印象を与えてしまったりすることにつながります。
ここでは、3つの項目に関連して、メール暗号化の必要性について説明していきます。
メール以外の経路を含めた情報漏えいの原因には、紛失、置き忘れ、誤操作、不正アクセスが挙げられます。近年は電子メールからの情報漏えいの事例が増加しているようです。
電子メールからの情報漏えいの原因としては、うっかりミスによるメールや添付ファイルの意図しない送付先への誤送信や、第三者からの不正アクセスによる、盗聴・改ざんなどが挙げられます。
このような、リスクを排除するために必要なのがメールの暗号化です。確実に暗号化を行い、情報漏えいを未然に防ぐことが重要です。
メール自体の暗号化に加えて、電子署名を活用することで、メールのなりすまし防止や改ざん検知を行うことができます。電子署名とは「公開鍵」と「秘密鍵」という一対の鍵を利用した公開鍵暗号基盤（PKI）によって、メールの送信者が確かに署名者（送信者）と一致することと、メールが改ざんされていないことを証明する技術です。ただし、この方法を使うには、送信側・受信側双方が電子署名に対応した電子メールを利用している必要があります。
メールの暗号化は会社や組織の信用を確保するためにも重要なセキュリティ対策です。特にメールでのやり取りは日頃から多く使われているため、個人情報の保護や、社外秘の情報の保護は社会的な義務といってもいいでしょう。
社外秘の情報には、技術的な企業秘密や顧客の情報などが挙げられます。これらの情報の漏えいは、会社の経営にも大きく影響するだけでなく、取引先との信用問題に発展する可能性もあります。
最悪の場合は、訴訟などに発展してしまうケースがあるので、一人ひとりがしっかりと情報保護について意識しておく必要があります。
「公開鍵」や「秘密鍵」という言葉が出てきましたが、これは暗号化の種類の1つです。ここでは、暗号化の2つの方式について見ていきます。
自分の環境では、どちらが使われているかや、これから暗号化を行うに当たり、どちらがいいかなど、考えながらお読みください。
「公開鍵」と「秘密鍵」と呼ばれる2つの鍵を用いるのが公開鍵暗号方式です。公開鍵は常に取得できる状態ですが、秘密鍵はメールの受信者が作成し、受信者以外には公開されません。
公開鍵は送信者がメールを暗号化するのに使われ、秘密鍵は、受信者が送られてきたメールを復号化するときに使います。公開鍵暗号方式のメールのやり取りのフローは次のとおりです。
メールを復号化する秘密鍵は、受信者しか所有していないため、情報が漏えいすることがありません。
「秘密鍵暗号方式」は別名「共通鍵暗号方式」と呼ばれます。秘密という単語が入っているので、先ほどの秘密鍵と混同しそうですが、この秘密鍵暗号方式では、共通鍵と呼ばれる鍵のみでデータの暗号化・復号化を行います。
公開鍵暗号方式と比べると鍵の作成や暗号化の手間が少ないため、低コストでデータの暗号化ができますが、公開鍵の管理を慎重に行う必要があります。
メールの暗号化に使われている技術について、説明していきます。暗号化には2つの技術があり、「SSL・TLS方式」と「PGP・S/MIME」の2つに分けることができます。それぞれの特徴や違いについて説明していきます。
インターネット上でのデータの通信を安全に行うために用いられる暗号化技術です。SSLとTLSは呼び方は違いますが同じものを指します。SSLからTLSに名称が変わりましたが、SSLの呼び名が浸透していたため、いまだSSLという名前が使われています。
この方式では、秘密鍵暗号方式と公開鍵暗号方式の両方が使われています。SSL・TLSを使うためには、第三者機関が発行するサーバー証明という電子証明書が必要になります。通信途中で送信した内容が改ざんされていないかを調べることができます。
この方式はメールだけでなく、ウェブサイトにも用いられていて、URLのはじめに「https」とついたサイトはSSLにより暗号化されていることを示しています。
以下にウェブサイトでのSSLによるデータ暗号化のフローを示します。
SSLサーバー証明書は、ウェブサイトの運営者の実在性を確認する電子証明書のことで、ブラウザとウェブサイトの間で暗号化されたデータ通信を行うために必要なものです。
この方式は、SSLと同じく、秘密鍵暗号方式と公開鍵暗号方式が用いられています。通信を暗号化しているSSLとは異なり、メールを暗号化する技術です。
PGPとS/MIMEでは、用いる公開鍵が異なるため、それぞれ区別されています。S/MIMEでは、信頼のおける第三者機関によって公開鍵の正当性が証明されますが、PGPではそういった第三者機関による保証を受けていません。
PGPの公開鍵は、「ウェブ of trust（信用の輪）」という考え方に基づき、公開鍵の正当性を保証します。もちろんどちらの方式でも公開鍵の正当性は保証されていますが、信頼のおける第三者機関に保証してもらっているS/MIMEの方が信頼性が高いことになります。
しかし、第三者機関の保証を受けるためPGPよりもコストがかかってしまいます。メルマガのように不特定多数へ向けて情報を発信する場合には、顧客の情報が漏えいするリスクが高まるため、信頼性の高いS/MIMEが使われることが多いです。
みなさんはどのメーラーを普段使っているでしょうか？メーラーとは、メールの編集や送受信を行うソフトのことです。このメーラーを使ってメールの暗号化を行うことができますが、ソフトごとにやり方が異なります。
ここでは、「Gmail」とMicrosoftの「Outlook」を使ったやり方をご紹介していきます。
Gmailでは、暗号化されていないメールサーバーを経由して送られてきたメールをやり取りしたときに、暗号化されていないことを示すマークが表示されます。暗号化されていないメールサーバーとは、SSL・TLS方式の暗号化されていない通信経路のことです。
暗号化されていないメールを受信すると送信者のアドレスの下に赤い鍵のマークが表示されます。逆三角のマークを押すと、送信者のメールアドレスなどの情報に加え、暗号化の種類も確認することができます。また、メールの送信時では、送り先のメールアドレスが暗号化されていないと、同様に赤い鍵のマークが表示されます。
Gmailでは、送受信時に相手のメールの通信経路が暗号化されているかどうかを確認することができるため、安心してメールのやり取りができます。メールが暗号化されていないときは、添付ファイルを開かないなど注意しておく必要があります。
メールが暗号化されていない場合は、メール以外でのファイル共有を申し出るなどの必要があります。また、送信時に送り先が暗号化されていないメールアドレスを使っている場合には、送り先のメールアドレスを変更してもらうか、チャットツールなど別のツールでのやり取りに切り替えを検討する必要があります。
続いてMicrosoft社のOutlookでのメールの暗号化の方法を見ていきます。会社でもこのOutlookを使っている方も多いのではないでしょうか？Outlookでもメールの暗号化の確認ができるので見ていきましょう。
Outlookを起動して「ファイル」→「情報」→「アカウント設定」の順に選択していき、「既存の接続設定を変更します。」と表示が出ている方を選択します。
登録されているアカウントの一覧が表示されるので、電子メールタブの「変更」を選択します。アカウントの詳細な情報が表示されると思いますが、右下の「詳細設定」を選択。
インターネット電子メール設定というウィンドウが開くので、「詳細設定」タブを選択します。
受信サーバー（POP3）の欄では「このサーバーは暗号化された接続（SSL）が必要」にチェックを入れて、送信サーバー（SMTP）欄では、SSLやTSLなど使用する暗号化接続の種類（※）を選択します。これでお使いのサーバーの暗号化設定の確認ができました。
※暗号化接続の種類は、使っているメールサーバーにより変わってくる場合があるので、不明な場合はプロバイダーやレンタルサーバー会社に確認するとよいでしょう。
メール暗号化を実行するうえでは、以下2つの注意点を踏まえて対策を施すことが重要です。複数のセキュリティ対策を併用することで、より確実にリスクを回避できるでしょう。
メールの暗号化を検討している場合、まず行うべきなのが基本的なセキュリティ対策です。
どれだけ高度なメール暗号化を実施していても、PCやスマートフォンそのものにセキュリティの脆弱性が存在していると、せっかくの暗号化が意味を成しません。
メールの暗号化はあくまでメールの送受信の際のセキュリティ対策です。そのため、デバイスに保存されるデータを完全に守ることはできず、別途対策が求められます。
基本となるセキュリティ対策は、アンチウイルスソフトのインストールです。最新のソフトをあらかじめインストールしておくだけで、大抵の攻撃を未然に防ぐことができます。
また、メール運用に関するルール作りでヒューマンエラーも回避しましょう。人間のミスによるインシデントの発生は、ソフトでカバーするには限界があるからです。
メールの暗号化だけでなく、添付するファイルの暗号化も忘れずに行いましょう。ZIPファイルの共有を行う場合、ファイルにパスワードを設定して万が一盗聴されてもすぐには開封できないようにすることができます。
また、暗号化したファイルの解除方法やパスワードはメールとは別に共有することをお勧めします。万が一メールが盗聴されていた場合、ファイルを暗号化していてもパスワードを盗まれ、添付ファイルの内容が漏えいしてしまうからです。
ファイル共有をメールで行う場合、暗号化を実施していてもリスクをゼロにすることはできません。機密性の高いファイルを扱う場合に限り、USBを使った共有や、クラウドストレージを通じた共有に切り替えるなど、ケースバイケースでファイルの漏えいを防ぐ取り組みが重要です。
ここまで、メール暗号化についてお伝えしてきましたが、すでに問題意識を持ち、メール暗号化サービスの導入の検討をされている方もおられるでしょう。
ただ、複数の種類があるためどれを導入すればよいかわからないと悩む場合もあるかと思います。この章ではサービス選びに際して、踏まえるべき3つのポイントをお伝えします。
メール暗号化サービスの利用に際して、最も重視すべきはセキュリティ能力です。一般的なファイル共有ソフトなどでは実現できない、高度な暗号化技術を採用したサービスを優先的に選びましょう。
メールの誤送信を取り消して、送信し直す機能が搭載されているメール暗号化サービスは非常に便利です。
どれだけ高度な暗号化を施していても、宛先が異なっていると第三者にメールやファイルが届いてしまうこととなります。
メール暗号化サービスには、後から間違ったメール送信を行っていることに気づいた場合、送信を取り消せる機能を搭載したサービスもあります。外部からの攻撃のみならず、内部要因のインシデントに対応できるサービスがあれば、非常に安心かつ便利です。
メール暗号化サービスを導入する際、なるべく導入負担の小さいものを選ぶようにしましょう。導入に伴いさまざまな手続きやシステムの変更が必要になるサービスを選ぶと、想定よりも導入コストがかさんだり、運用までに多くの時間がかかってしまいます。
そうなるとメールの暗号化が進まず、セキュリティリスクが残り続けることになるため、導入負担の大きいサービスは選ばないほうが無難でしょう。
既存のシステムを大きく変更することなく、簡単な手続きだけで実装可能なシステム選びを優先しましょう。
ビジネスシーンに欠かせないメールでのやり取りですが、そこにはさまざまなセキュリティの脅威が存在しています。 「なりすまし」や「盗聴」、「改ざん」などの脅威からデータを守るためにもメールの本文、添付ファイル、送信経路の暗号化は必須です。会社や組織、取引先との信頼関係を保つためにもセキュリティへの意識を高めておく必要があります。
本記事では、メールの暗号化の方式や暗号化に使われている技術について説明してきました。公開鍵暗号方式と秘密鍵暗号方式の違いやメリット、SSL/TLS方式およびPGP/S/MIMEについて、ご理解いただけたでしょうか。
悪意を持った第三者から大切な情報を守るために、普段からセキュリティへの意識を高め、適切なメールのセキュリティ対策を講じておきましょう。
※本記事における価格情報記載はすべて税抜表記です。
※Microsoft、Windows、Windows 10およびMicrosoftのロゴは、米国およびその他の国におけるMicrosoft Corporationの登録商標または商標です。
※その他、記載されている会社名、製品名は、各社の登録商標または商標です。
このコラムをシェアする
