セキュリティ部門の責任は？

Uberのミスに学ぶ、従業員への間違いメールに正しく対処する方法

従業員が間違いメールを受信した場合、企業はメールセキュリティポリシーに基づき、どのように対処すべきなのだろう。企業にはどのような権利があるのだろうか。

公開 2017年03月22日 12時00分

著者

Matthew Pascucci

[TechTarget]

印刷する

オンライン配車サービスUber（出典：Uber）《クリックで拡大》

　オーストラリア在住のある女性の元に、オンライン配車サービスUberから大量の間違いメールが送られてきたというセキュリティ関連の記事を目にした。遠く離れた異国ケニアでのサービス利用について、Uberから200通以上の利用明細メールがこの女性のメールアドレスに送られてきたのだという。この記事を読み、幾つか疑問が湧いてきた。仮に、メールが従業員の業務用メールアドレスに本人にとって無関係なメールが送られてきた場合、企業はどのように対処すべきなのだろう。放置するという選択肢はあるのだろうか。こうした場合、企業のセキュリティ部門はどのような責任を負っているのだろうか。

併せて読みたいお薦め記事

メールセキュリティの現在

Uberを巡るトピックス

　Uberの件で問題なのは、同社が会員登録時にメールアドレスを検証せず、そのせいで間違いメールが別のユーザーに直接送信され、その別のユーザーが本来のユーザーの個人情報を閲覧できてしまったことだ。

　一般的には、会員登録やメールアドレス検証に伴う不備で企業に何通もの間違いメールが届いた場合、企業には無条件でそうしたメッセージをブロックする権利がある。

　ユーザーが自身で管理する個人メールとは異なり、企業メールのセキュリティはその従業員が勤務する企業の責任だ。メールアカウントとメール本体に加え、そのアカウントに関連するものは全て当該企業の財産である。

　誤って送られてくるメールのせいで企業に何か悪影響が及ぶようであれば、企業にはメールセキュリティポリシーの一環として、メールゲートウェイやスパム／フィッシング詐欺検出機能を使ってそうしたメールをブロックする権利がある。

　こうした問題に対処するためには、まず受信メールの検証が必要だ。最初にメールに気付いたのがユーザーなのかメールチームなのかも確認する必要がある。

　メールの送信が続くようなら、配信停止を申し込むという方法もある。それでもメールが届くようなら、スパム対策ゲートウェイでそのアドレスをブロックするしか方法はないかもしれない。

　Uberの件と同様の問題が社内で発生した場合、メール管理者はスパム対策ゲートウェイに専用ルールを追加することで、そうしたメッセージが特定のメールボックスに送られてくるのを阻止できる。こうした措置を講じれば、メールが送られてきてもユーザーは気付かずに済み、受信箱に間違いメールが届くこともなくなる。

　しきい値や送信者の評価に基づき、Webフィルタが既にこうしたメッセージをスパムとしてタグ付けしている可能性もある。

　道義的な観点からいえば、今回のUberのようなケースでは、Uberのサポートチームに連絡し、間違いメールが届いていることを伝えるのが良いだろう。本来のユーザーのプライバシーを侵害することなく、この選択肢を実行できるようなら、相手にとってもそれが道義にかなった解決方法となる。ただし他人のアカウントを詮索することにつながるようなら、立ち入らないのが一番だ。

印刷する