性善説

　故意の情報漏えいというのは、ここ最近激減している。理由は定かではないが、メールを監査することが一般化したことによるけん制効果もあるだろう。そもそも故意に情報漏えいさせようとする人自体がごく少数である。一方で、事故による情報漏えいは一向に減っていない。

　性悪説に立った場合の対策は、費用対効果、運用性など多くの点で難しいものとなる。また、そもそも故意であれ、事件や事故であっても情報が漏えいする事実に変わりはない。このような背景から、最近は性善説で構わないので、事件、事故の絶対数を減らそうという考えが定着しようとしている。本稿が故意の情報漏えいを対象としていないのもこの辺りに理由がある。

第三者チェックはしない

　第三者チェックはチェック者の運用負荷が非常に高い。また、チェック者不在などで送信メールが適時送信できない場合があるといった運用上の問題がある。さらに、誤送信は送信者本人が気付くことのできるものが大半を占めることから、第三者チェックをせずとも誤送信を抑制できるような考え方にシフトしてきている。

　ただし、メール監査が関係省庁によって義務付けられている企業の場合には、第三者チェックは必須となる。しかし、必ずしもメール送信前に行う必要はなく、事後確認でもよい。

被害特定

　電子メールの誤送信は、100％防止できるものではない。よって、誰が、誰に対し、いつ、どのような情報を流出させたのかを特定できるように記録しておき、被害の把握、被害の拡大防止に役立てる考え方が取り入れられてきている。

　地震、火災などの天災やインフルエンザの流行に対するBCP（Business Continuity Plan：事業継続計画）は、新型インフルエンザの流行に端を発し、日本でも一定の盛り上がりを見せた。しかし、より発生頻度の高い問題として、メールの誤送信を想定した事業継続計画の策定や予行演習も行われるべきである。現状では、ほとんど実施されておらず、メールの誤送信に備えて単にメールをアーカイブするにとどまる企業が多い。

DRMサービスを利用する

　DRM（Digital Rights Management：デジタルコンテンツの著作権保護）は、デジタル化された情報に対する操作を制限し、保護する技術だ。正当な利用者以外が情報を閲覧したり、更新したりできないようにするものである。DRMで最も有名なのはマイクロソフトのWindows Media DRMだが、ビジネス文書というよりは、音楽や動画の管理に用いられるシーンが大多数だ。DRMを導入することが費用や運用の面で大きな負担となるため、なかなかビジネス文書にまで広げて利用しようと思えないためである。

　そうした中で、唯一採用が進んでいるのがファイルをパスワード付き（暗号化）ZIP形式で圧縮した後に添付する、あるいはメールの転送経路の途中で添付ファイルをパスワード付きZIP形式で圧縮するという方法だ。簡易的で効果も限定的ではあるが、これも立派なDRMである。

　近年では、会社のPCに無断でアプリケーションをインストールすることが禁止されている企業がほとんどであるため、圧縮されたファイルが、比較的古いWindowsでもOS機能として確実に開けることを前提として圧縮する必要がある。これもパスワード付きZIP形式が利用される理由である。

　最新のパスワード付きZIP形式では、強度の高い暗号も可能ではある。ただし、比較的古いWindowsでもOS機能として確実に開けるようにしたい場合には、古くからある強度の低い暗号にせざるを得ない。これは、現代のコンピュータであれば容易にハッキングできてしまう。

　DRMは、メールを送信してしまった後に機能する唯一の対策でもあるが、メールが他者とのコミュニケーション手段である以上、送信者は受信者の都合も意識しなければならない点に難しさがある。

　こうした問題への1つの解として、DRMの機能を搭載したWebメールサービスを利用するケースが出てきている。Webメールを送信すると、本文とファイルのダウンロードURLのみがメールで送信される。ファイルはメールに書かれたURLのWebサイトからダウンロードさせる。ファイルのダウンロードはHTTPSによるもので、企業が許可していることの多いプロトコルであり、ZIP圧縮よりもはるかに強力な暗号化通信である。こうしたサービスの中には、ダウンロード後の操作に制限をかけられるものもある。参照のみ、編集も可能といった制限がかけられる。設定もメール作成時に添付ファイルの参照、編集権限を付与するか否かをチェックするだけである。サービスなので、サーバ導入が不要であることも大きなポイントだ。

水際だけではなくそもそも情報を整理する

　本連載前編の最後に、重要情報は、本文ではなく添付ファイルの中にある確率が高く、その情報量も多いと記載した。メール本文は、メール作成時に作成されるのは当たり前だが、添付ファイルは、もちろんメールを打つために作成する場合もあるが、そもそもメール作成以前に作成されていることが普通だ。そして、ファイルを添付してよいかどうかは、実はファイル作成時に決まっている。

　ほとんどの企業には社規があり、そこに「重要情報を識別すべし」と書かれていることだろう。その識別方法、「極秘」「社内限」「関係者限」といった表記を文書の右上などに赤字で記載するのが一般的だ。「機密レベル1」「機密レベル2」などと表記する場合もあり、作成者や保管期限を書く場合もある。いずれにせよ、そうした方法が徹底できていれば、少なくとも社外に出してはいけない情報を出すことを今以上には防げるはずである。

　しかし、現実にはこれが徹底できている企業は本当にごくわずかだ。情報セキュリティとは、一言で言えば重要情報を守るということであり、それを確実に行うには重要情報がどれなのかを識別しておかなければならない。これができていないと、何を守ってよいか分からないし、ましてや効果的な対策などは望めない。いわば原点回帰といえるのだが、重要情報の識別を徹底することに着目している企業が増えてきている。

注目されているソリューション

　ここからは、上記の内容を踏まえた注目のソリューションを紹介する。

送信者本人の確認強化

　メール送信時に本人がきちんとチェックをすることが、誤送信防止では一番大切であることは、ここまで読んだ皆さんならご理解いただけていると思う。しかしこれが、意外とできていない。

　後述するDLP製品などは、従来PCから社内のメールサーバにメールが送信された後で機能するものばかりで、そこで本人が気付ける内容のチェックをしてもタイミングとして不適切であり、運用上のデメリットもあった。

　近年では、本人が気付ける内容のチェックをメール送信ボタンに連動させた製品に注目が集まっている。正確には、メールクライアントソフトのボタンに連動しているのではなく、メールがサーバに送られる途中で通信をトラップし、内容をチェックするものだ。チェックに引っ掛かると、メールクライアントからの送信が完了していない状態で保留され、ダイアログで問題点を指摘される。

　この方法であれば、本人が正常に送られたと勘違いすることはなく、効果的である。何が問題なのかが分かるよう、表示にも工夫がされており、問題と思われるすべての項目を再度チェックしなければ送信ができない仕組みとなっている。導入当初はかなり面倒に感じるユーザーもいるかもしれないが、それは本来注意しなければならなかったことであり、時と共にチェックされる項目は減っていくはずである。誤送信防止の最も本質的な解決策の1つといえよう。

一歩進んだDRM

　DRMであってもファイルには情報のすべてが記載されているため、例えば個人情報を誤って送信してしまえば、それが見られたかどうかではなく、そこに情報があることで個人情報を漏えいしたことになってしまう。現在はこうした状況に対応したサービスも検討され始めている。秘密分散技術を応用したサービスがそれだ。

　具体的には、ファイル情報を複数に分割し、そのうち1つだけを添付してメールで送信する。情報を復元するには、メールに添付されたファイル（元ファイルの分割片）と送信者から別途送られたパスワードが必要となり、それらがそろうと残りのファイル分割片をダウンロードして元ファイルが復元できるようになる。

　各分割片（ファイル）は、元のビット列の一部ですら類推できないように情報を分散して作られる（それを可能にするのが秘密分散技術と呼ばれるものだ）。分割されたファイルは、仮にその分割片の1つを誤送信しても、それだけでは元の情報が部分的にも類推できないことが最大の特徴だ。このため、元ファイルに個人情報があったとしても実質的な被害は絶対に発生しない。

ファイルに記された開示範囲による制限

　ここ数年導入が進んでいるDLP（Data Loss Prevention／Leak Prevention）は、情報の利用を適切に制限する機能を持った製品を指す。本稿では、メール作成から社外に送信されるまでのどこかで、社外に流出しては困る情報が含まれる場合に、保留ないし送信を禁止する機能をいう。

　製品は、あらかじめキーワードや文章などの特徴を登録しておき、本文や添付ファイルの中に、社外に送信してはならない情報が含まれているかどうかをチェックするものがほとんどだ。

　このような製品は、比較的規模の小さな会社では、問題なく導入できるが、大きな組織に適用しようとすると、こちらの部署でのキーワード、あちらの部署でのキーワードとそれぞれバラバラで、結局何を設定すればよいかすら決められないなど、導入が困難であった。

　これに対する1つの答えが、「水際だけではなくそもそも情報を整理する」の項に示した重要情報の識別を徹底することである。ファイルに「極秘」「社内限」といった情報が書かれていれば、メール送信時にそれをチェックすればよい。

　ただし、作成するファイルに重要度を表記すること、表記すべき内容について、規約としては存在していても運用が個人任せになっており、書き忘れやそもそも重要度を付けるのを失念してしまっていることも多く、まともに情報が整理されていない状態の企業がほとんどである。つまり、これを誤送信防止対策として利用したくとも、利用できなかった。

　しかし、最近になって、ファイルに重要度を強制的に付与させるソリューションが出始めた。これは、ファイル保存時にダイアログが表示され、重要度を選択しないと保存できなくするものだ。単純ではあるが、操作も簡単で、確実に重要度を記録できる。

　ソリューションの導入直後はファイルに重要度が記載していない場合もあるだろうが、一度開いて保存しようとすると、重要度を選択しなければならず、すぐに情報は整理されるだろう。そうなれば、ファイルの重要度で誤送信かどうかを検出できるようになる。社規は、キーワードなどと違い、それほど多岐にわたるものではない。重要度として定義されるのは、せいぜい数種類程度だ。これなら、大きな組織でもDLP製品が利用可能となる。

佐藤 敦（さとう　あつし）

NRIセキュアテクノロジーズ株式会社　ソリューション事業本部 本部長

長年にわたり、宇宙、防衛、情報通信などの分野で情報セキュリティにかかわってきた。その経験を生かし、急速に一般化した情報セキュリティ問題の解決、および安全、安心な情報化社会を実現するためのソリューションの提供を生業としている。

最近は、「対策しても減らないウイルスへの感染」「だめだと口酸っぱく言っても酒席にPCを持ち込み紛失する問題」「決定的な対策が見当たらないメール誤送信」といった半ばあきらめている情報セキュリティ上の問題を抜本的に解決する策を模索中。