送信者に“気付き”を与え、メール誤送信を未然に防止する「SecureCube / Mail Adviser」：誤送信対策製品紹介：NRIセキュアテクノロジーズ編

よく確認をすれば防げるメール作成時のミスを、分かりやすいGUIで送信者に提示。業務効率を落とすことなく、最小限の負荷で誤送信を防止する。

≫ 2010年12月08日 08時00分公開

[上口翔子，TechTargetジャパン]

　電子メールの誤送信は、送信者が意図せずに起こしてしまうケースがほとんどだ。送信者が事前にきちんと確認すれば防げるのだが、電子メールが業務上の必須ツールとなった現在では、1つひとつのメールを徹底的に事前確認することは難しい。「後から見直せば単純なミスであっても、送信時にはなぜが見落としてしまう」。誤送信経験者の中にはこう思った人も多いのではないだろうか。

　NRIセキュアテクノロジーズでは、この問題の解決こそが誤送信を一歩手前で防げる方法として着目し、その回答となるメール誤送信防止ソリューション「SecureCube / Mail Adviser」を開発した。2011年1月より提供を開始する同製品の特徴を一言で紹介するなら、「送信者本人が誤送信を防ぐことを手助けする製品」である。万が一誤りがあった場合に、送信者自身に気付きを与えられるよう、GUI（グラフィカルユーザーインタフェース）部分に工夫が施されている。

なくならない誤送信、製品導入前に企業でできる対策とは？

誤送信対策製品を導入する上で考慮すべき運用面のポイント

【連載バックナンバー】誤送信対策製品紹介

送信後の「しまった！」をなくすメール誤送信対策

　同製品の仕組みは、メールソフト側で通常の送信操作を行うと、自動的に下図のようなポップアップ画面を表示するというもの。画面上で赤字や「！（感嘆符：エクスクラメーションマーク）」で指摘された注意個所をチェックすると、メールが送信可能となる。ポイントは、「添付ファイル」「あて先」「本文」の要素が整理されている点であり、どこを注意して見直す必要があるのかをすぐに把握できる。

「SecureCube / Mail Adviser」のポップアップ画面（あて先タブ）。画面左側にある添付ファイル、あて先、本文の3つのタブはクリックで切り替え表示でき、それぞれ事前に設定したポリシー違反部分が指摘される《クリックで拡大》

「添付ファイルタブ」（左）と「本文タブ」（右）の画面。特定のキーワードを含む添付ファイル名や件名、本文を赤字で強調する《クリックで拡大》

送信者に「間違いを事前に見せる」「意識させる」ことが大切

NRIセキュアテクノロジーズセキュリティコンサルタントソリューション事業推進部船越洋明氏

　「そのメールは本当に送ってよいものなのか、送信先は意図したものであるのか。こうしたメールの正しさを本当に判断できるのは、送信者本人だけ。メール誤送信対策製品の中には、『送信後の一時保留』『上長や第三者の承認』『メール本文、添付ファイルの暗号化』など、システム側で制御して誤送信を防止するアプローチがあるが、NRIセキュアテクノロジーズでは、何よりも送信者自身に気付きを与えることが誤送信を防ぐ第1ステップだと考えている。よって画面デザインも、あて先間違い、不適切なメール本文、添付ファイル間違い、Bccにすべきあて先をToに入れるなど、間違えそうな個所を見落とさずに、かつ送信者にとって見やすいかという点を追求した」（船越氏）

　「一覧ですべての情報を見ることはできないが、その分、SecureCube / Mail Adviserではあて先、添付など、項目ごとに集中できる。情報を絞ったが故に、アイコンを使用し、文字を見やすいサイズに設定することもできた。各項目をただチェックするだけの作業では終わらせず、送信者本人に“送っていいメールなのか”を判断してもらいたい」（NRIセキュアテクノロジーズ ITセキュリティスペシャリストソリューション事業部秋山将氏）

　同社では、「！」マークアイコンの形状を、視覚的に注意を引きやすい逆三角形にするなど、細かな工夫を取り入れている。また、根本的なユーザーの意識改革について、「実際に使用していくうちに『画面が出ないと逆に不安になる』というくらいに送信者の意識を変えることができれば」（秋山氏）とも語る。

複数のポリシー設定を用意

　ポップアップ画面の表示条件となるポリシー設定は、デフォルトで用意された設定を基に事前に作成できる。さらに、製品のインストール後でも、ユーザー側でポリシーを変更することが可能だ。なお、管理者側で全社統一のポリシーを運用（ユーザー側では一切変更が不可）するという機能は現段階では実装していないが、今後要望があれば追加していく予定だという。

　以下、インストール後に変更できるポリシーの設定項目を紹介する。

・大量アドレス入力時の警告表示の要否

To、Ccへ大量のアドレスを入力した場合に、あて先タブで警告メッセージを表示するかどうかを設定できる。また、大量と判断するアドレス数（しきい値）も設定可能

・ポップアップ対象外のあて先リスト（ホワイトリスト）

ポップアップをさせないあて先をドメイン名やメールアドレスで設定する。「*」（任意の数の文字）や「?」（任意の一文字）によるワイルドカード指定も可能

・ローカルアドレス入力時のポップアップ要否

ローカルアドレス（＠以降のないアドレス）は社内あてと認識し、ポップアップ対象外とする

・添付ファイルありの場合での強制ポップアップの要否

ポップアップ対象外のあて先が入力された場合でも、添付ファイルがあれば強制的にポップアップ表示させる

・検知キーワードのリスト

添付ファイル、本文内のキーワードチェックで利用する文字列のリストを設定できる

・ドメイン名と組織名リストのひも付け

組織名変換で使用するドメイン名と組織名の対応リストを作成する

・言語切り替え

ポップアップ画面、設定画面で表示されるメッセージを、日本語から英語や中国語へ切り替えられる

・“確認済み”ボタンの表示有無

送信ボタンを表示する前に、確認済みボタンを表示させ、ポップアップ時点ですべてOKの場合でもワンクリックでの送信実行を禁止する

　このほか、次期バージョンでは、無条件で必ずポップアップをさせるアドレスのブラックリスト作成機能も追加予定だという。

クライアント型とゲートウェイ型、双方の良さを取り入れる

　SecureCube / Mail Adviserは、個々のエンドポイントにエージェントソフトをインストールするクライアント型の製品だ。よって運用面では、別途専用のサーバを用意するゲートウェイ型に比べて、初期コストが抑えられ、メール環境の変更が不要であるといったメリットがある。「個々のPCでEXEファイルを実行するのみで即利用でき、新規ユーザーの追加やバージョンアップにも容易に対応する」（秋山氏）

メール誤送信を防止するには「いかに日常の何も考えない動作に対して、危機感、習慣を持たせられるかが重要」と語る秋山氏

　一方でゲートウェイ型の製品が得意とする「送信後の一時保留」「上長や第三者の承認」「メール本文、添付ファイルの暗号化」の機能はSecureCube / Mail Adviser単体では実現できない。よって同社ではSecureCube / Mail Adviserにメール保留・管理機能を提供する既存のフィルタリングサービス「Firewall Network Center」、セキュアファイル交換サービス「クリプト便」との連携機能を持たせることを検討しているという。さらに、SecureCube / Labelingと連携し、ポップアップ画面の「添付ファイル」タブに、添付ファイルが持つ機密度の情報を表示し、メールにて送信してもよいファイルかどうかを判別する機能の搭載も検討している（対応は2011年春以降を予定）。

　「企業によっては、上長の承認が義務化されている場合もある。よって社内で定められたセキュリティレベルに合わせて複数製品を組み合わせて利用していただくことで、あらゆる脅威に多層的に対応できると考えている。また、製品間の連携もSecureCube / Mail Adviserのポップアップ画面上からクリプト便によるメール送信に対応できるなど、利便性を損なわずに利用できるよう実装していきたい」（秋山氏）

　製品価格は100ユーザーライセンスの場合で45万円（税別）から。年間保守費用はライセンス料の20％相当になる予定だ。対応メールソフトはWindows上で動くSMTPタイプであればほぼすべて対応するとしており、現段階ではMicrosoft Office Outlook 2003 SP3／2007 SP2／2010（MAPIも対応）、Outlook Express、Windows Mail、Windows Live Mail、Mozilla Thunderbird、Becky! Internet Mail、Eudoraなどでの動作が確認されている。