電子メールの誤送信も上司がすべてのメールをチェックするなどは不可能であるし、結局すり抜けていく。携帯電話においては、個人用でもなくすのだから、会社用だけなくすなといっても無理がある、といった具合だ。

電子メールのセキュリティ対策

　電子メールのセキュリティといえば、最初に思い付くのはスパムメール対策であろう。これは外部から内部に対する攻撃で、新しい攻撃手法が次々と現れている。最も古くから顕在化した問題の1つではあるが、今でも対策とのいたちごっこを繰り返している。ただし最近では、問題が深刻化することは少なくなってきた。企業向けではないが、携帯電話の迷惑メールがずいぶんと減少したことが実感として分かりやすいだろう。

誤送信の定義

　本論に入る前に、メール誤送信という言葉を定義しておこう。メール誤送信あるいは単に誤送信とは、メール送信者本人または会社として送るべき相手以外にメールを送信する行為で、メール本文や添付ファイル、ヘッダ情報などに書かれた内容のいずれか1つ以上が不適切であるものとする。

　ただし、言い回しが不適切で失礼であるなど、“ビジネスレターとして問題”ではあっても情報セキュリティとしては問題ないものは含まない。また、個人情報を聞き出すような内容などは、情報セキュリティ上の問題といえないこともないが、こうしたものも含んでいない。書きかけメールを送信したといった場合も含まない。故意の情報漏えいが激減している状況も踏まえ、故意によるものも除外する。

誤送信の原因

　まず始めに誤送信が起きる原因について整理しよう。後で、「誰が、どこで、いつ、どんな対策を実施するのか」という形で整理するので、ここでは、誰が気付くべきかあるいは誰が気付けるかという軸で整理する。

　誤送信は、送信者本人が間違う行為なので、基本的には送信者本人が誤送信であることに気付くべきである。しかし、本人では気付けないものもある。また、情報にはライフサイクルがあり、時間と共に機密レベルなども変化する場合がある。例えば新製品情報は、発表前は機密であるが、発表してしまえば公知であり機密ではない。相手先との関係の変化などにより、機密として扱っていなかった情報が機密になる場合もあるだろう。

　情報のライフサイクルまで考えると、送信者本人が気付けるものかどうかは、ケースバイケースにならざるを得ない。このような観点から、誤送信を簡単に分類したものが以下である。

　送信者本人が気付ける誤送信

• あて先間違い
• メール本文の間違い
• 不適切な添付ファイル
• To、Cc、Bccの不適切な選択

送信者本人では気付けない誤送信（社内の第三者がフォローすべき事柄）

• ルールなどの誤認識

社内で気付くことに限界がある誤送信

• 送信先に含まれるメーリングリスト（エイリアス）に予期せぬ相手が含まれていた
• 誤送信ではないが結果として情報漏えいなどを引き起こすもの
• 情報の機密レベル変化
• 送信先からの漏えい

　これらは、ユーザーが送信する一般的なメールについて示したものである。実際にはシステム側で自動送信する場合にも誤送信はある。例えば、システムの障害通知メールに不適切なあて先が入っている場合など。システム構築時に暫定的に設定したあて先がそのままになっていたり、あて先となっているメーリングリストが更新されていなかったりするのが主な理由である。

誤送信防止対策の検討方針

　ここからは、誤送信対策を「誰が、どこで、いつ、どんな対策を」実施するのかという形で整理する。

誰が実施するのか

　前項で整理した「誰が気付くべきか、あるいは誰が気付けるか」と誰が実施するのかは、基本的に同じである。ただし、添付ファイルについては、その作成時に機密レベルなどを設定しておくことで、メール作成・送信時に機械的にチェック可能なので、ここでは対策実施者としてファイル作成者も含めるものとする。

　また、万が一誤送信が起きた場合への対策として、誤送信先で情報を利用できなくする仕組みが考えられる。確実性や運用負荷の軽減のため、システム側でチェックしたり情報を適時適切に表示するなどしてチェック者を支援することも不可欠である。さらに、例えば過去データとの比較など、対策によっては人手では無理なものもある。

• 情報作成者

情報（ファイル）の作成者、更新者。情報の取り扱いについて適切に示す必要がある。社規に基づき、機密レベルを情報中に表記したり、ファイルのプロパティに書き込んだりする。また、機密レベルに応じたファイルの保管場所への保管も義務付けられている場合がある。

• メール送信者

メールの作成、送信者。「誤送信の原因」の項で本人が気付くべきとした内容についてチェックする。

• 社内の第三者

社内の上司、プロジェクトの責任者、上位職位者など。「誤送信の原因」の項で本人では気付けないとした内容についてチェックする。ただし、本人が気付くべきではあるが、ヒューマンエラーはゼロにはできないので、その対策として二次チェックをする場合は、その二次チェック者でもある。

• 誤送信先で情報を利用できなくする仕組み

送付先そのものではなく、意図せず届いてしまった情報の利用を無効化するようなシステムや運用。あるいは、正しい送付先ではあるが、二次利用を制限するようなシステムや運用。

• システム

上記に記載した人物に代わってチェックをしたり、チェック者がチェックする行為を支援したり、間違いが起きるのを最小限に抑えるためのユーザインタフェースなどを提供するシステム。

どこで実施するのか

　誤送信防止に限らず、メールのセキュリティ対策をPC以外で実施することを考慮した場合の一般的なメールシステムにおける送信経路は、送信者のPC→メールサーバ→DLP（Data Loss Prevention／Data Leak Prevention）→（社外）となる。DLPは、メールに限らず社内からの情報漏えい対策を行うことを総称しているが、本稿ではメールの送信経路上で何らかの条件に該当するメールを送信拒否したり、保留するなどして誤送信を防止するシステムを指すものとする。

　なお、「誰が実施するのか」に示した考慮点も踏まえると、メール送信時だけでなく、情報（ファイル）作成時やメール送信後、情報の機密レベルが変化したときを考慮する必要があるので、情報作成者のPC、送付先を追加した。

• 情報作成者のPC
• 送信者のPC
• メールサーバ
• DLP
• 送付先

いつ実施するのか

　「誰が実施するのか」に示した考慮点も踏まえると、メール送信時だけでなく、情報（ファイル）作成時やメール送信後（情報の機密レベル変化時を含む）が、タイミングとして必要になってくる。また、メール送信時もメール作成中、メール送信ボタン押下時、社内のメールサーバにメールがあるとき、DLPを通過するときに細分化しておく。

• 情報作成時

既に説明している通り、情報作成時に機密レベルなどを設定しておくと、その情報の利用時（メールへの添付時）にチェックが可能となる。そもそも情報セキュリティとは、重要な情報を守るという行為であり、守るべき重要な情報がどれなのかを識別できていてこそ効果的に対策できるのである。このことは企業のルールに反映されているのが一般的だ。どこの企業にも「Confidential」「社内限」「極秘」などといった表示を文書に明示することが社規として定められているだろう。これを徹底するだけである。

• メール作成中

送信直前に確認するだけでなく、そもそも間違いの混入を未然に防ぐことの方が本質である。ただし、メール作成中に頻繁に確認ダイアログが出てくると使いづらい。入力補助となるような機能についてのみ、そのアシスト方法に工夫するなどして、間違いの混入を防ぐように考えるとよいだろう。例えば、オートコンプリートも@マークの後ろをドメインから逆引きした会社名を強調表示するなどである。

• メール送信ボタン押下時

「誰が実施するのか」でメール作成者となっているものは、メール作成中ないしこのメール送信ボタン押下時に実施する。メール作成中は入力アシストが中心となるため、確認行為はこのタイミングで行う。また、本人では気付けないようなものであっても、システムによって自動化できるものは、このタイミングでチェックすることが望ましい。メール作成者がメールの送信ボタンを押して送信が完了しても、実際にはPCから自社のメールサーバにメールが送られたにすぎない。この時点では相手に届いていないが、送信者は送信できたと見なして離席してしまうかもしれない。送信者にフィードバックすべきことは、なるべく送信できなかったという形で即座に行うことを基本とすべきである。

• 社内のメールサーバにメールがあるとき

DLPを導入することを前提とすると、メールサーバに誤送信防止対策を施すことは基本的にはない。

• DLPを通過するとき

このタイミングで行うべきことは、本人では気付けない誤送信に対するチェックである。先に書いた通り、送信者にフィードバックすべきことは、メール送信ボタン押下時に実施すべきである。しかし、第三者によるチェックは、個々人が使用しているPCでの実施は難しく、このタイミングにならざるを得ない。このほかにも、本人が気付けるもの・気付けないものも含め多くのチェックをこのタイミングでまとめて行う製品が多い。正しいタイミングで対策を行うことで運用負荷や業務適合性も向上するはずである。

• メール送信後（相手に届いた後）

相手に届いてしまったものを無効化するもの。送付したファイルを開くには、インターネット上の認証サーバの認証を必要とする、もしくは暗号化により、パスワードを知らない相手に誤送信をしても開けないようにするといった対策となる。従って、効果を発揮するのはメール送信後であるが、その方法としては例えばファイルに暗号化を掛ける場合には、メール監査も視野に入れると、DLP（※）などで自動的に暗号化するのがよいだろう。

※正確には社外に出て行かないように制御するのがDLPであり、社外に出てしまったコンテンツの利用制限を掛けることはDRM（Digital Rights Management）という。ただし、DRMは必ずしも社外にあることが前提ではなく、コンテンツの利用制限を行うもの全般を指している。DRMにはさまざまな方式がある。例えばあらかじめコンテンツ利用時に認証を受けないと使えないようなラッピングをコンテンツ自身に施しておくことで、利用者はインターネット上にあるサーバから認証を受けないと利用できないようにする仕組み。

どんな対策を実施するのか

　先ほど「誤送信の原因」として、「社内で気付くことに限界がある」ことを挙げた。このことから、誤送信防止を100％防止するのは不可能であることが分かる。また、誤送信の本質はヒューマンエラーなので、すべてをシステムで解決することは難しく、対策としても人手にならざるを得ないものも数多い。しかしそういうものであっても、ヒューマンエラーを低減するために何らかのシステムによるアシストがあることが望ましい。対策は、こうしたアシストも含めて考える。

　具体的な対策は、「誤送信の原因」の1つひとつに対し、「誰が実施すべきか」「どこで実施すべきか」「いつ実施すべきか」に示した方針に従って、どんな対策を実施すべきかを考えればよい。ここでは例示だけにとどめるが、これを実際にやってみると、多岐にわたる細かな対策の集合体となる。対策には常に大きな効果が期待できるもの、まれに、しかも小さな効果にしかならないものなど、さまざまである。ある対策と別の対策が相反する場合もある。組織構造上運用できない対策やソリューションが高価で導入できないといった事情もあるだろう。

　こうした場合、何を優先すべきかは各社各様ではあるが、基本的にはリスク評価に基づけばよい。「リスク」は、「発生したときの被害額」×「発生頻度」で表せる。ここまでは、漏えいしては困る情報がメールのどこに含まれているのかにまでは踏み込んでいなかったが、「リスク」の観点から考えると、情報の格納場所をメール本文と添付ファイルに分けて考えるとよい。メール本文よりも添付ファイルの方が重要な場合や多くの情報を含んでいる可能性が高いので、対策を添付ファイルから始めるとよいだろう。

　「発生頻度」については、一般的にあて先間違いのような単純なものほど多い傾向があると思われる。こちらは、送信者本人が気付けるものから始めるとよいだろう。第三者による二次チェックは、精度を上げるためには有効ではあるが、本人が十分確認したものなら、それほど大きな効果にはならないはずだ。本来ならやりたくないものでもある。なお、本人がルールを間違えていたり、知らないというのは、私の経験上意外と多い。本人が気付くべきことではあるが、システム支援がないと発見できないので、システム側で防止する仕組みも併せて検討したい点である。