GDPR順守だけではない電子メールセキュリティ（前編）今すぐ再確認すべき電子メールセキュリティ総まとめ

GDPRの施行を目前に控え、日本企業も改めて個人情報保護体制を見直す必要がある。まずは最も狙われやすい電子メールのためにやるべき有用な対策をまとめた。

[Peter Ray Allison，Computer Weekly]

　支払いの手配や身元を証明する文書の送信に電子メールを使用するのは珍しいことではない。「法的サービスは4割の業務を各自の携帯電話で行っているようだ」と話すのはDigital Pathwaysで管理ディレクターを務めるコリン・タンカード氏だ。

Computer Weekly日本語版　11月1日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版　11月1日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

• Computer Weekly日本語版　11月1日号：GDPR時代のメールセキュリティ対策総まとめ

なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。

　2018年5月に施行される一般データ保護規則（GDPR：General Data Protection Regulation）は、欧州連合（EU：European Union）市民のデータを保護するために立案された。EU圏内で事業を展開する組織は、このGDPRの順守が求められる。

　GDPRの第2条では、組織は「偶発的または不正な破壊および不慮の損失から個人情報を保護し、個人情報に対するあらゆる不当な形式による処理、特に許可されてない開示、頒布、アクセス、改変を防がなければならない」と定めている。

　欧州委員会（EC：European Commission）は、個人情報を「私生活、仕事、公務との関連性の有無を問わず、個人に関連するあらゆる情報」と定義している。そのため、名前、住所、写真、電子メールアドレス、銀行の明細、ソーシャルネットワークへの投稿、医療情報、PCのIPアドレスなど、あらゆる情報が該当する可能性がある。

　電子メールの保護を強化するこの規則は、「WannaCry」と「Petya」によるサイバー攻撃の発生直後に登場した。電子メールが一般的に利用されているにもかかわらず、攻撃に対して脆弱（ぜいじゃく）なのは変わっていない。電子メールは標的になることも、攻撃ベクトルに利用されることもある。

　Verizon発行の2017年のデータ侵害調査報告書によると、全マルウェアの3分の2は電子メールの悪意のある添付ファイルによってインストールされるという。また、Symantec発行の2017年7月のインテリジェンスレポートによれば、電子メールのマルウェア率は359通につき1通、フィッシングメール率は1968通につき1通と、いずれも比率が上がっているという。

　Mimecastによる電子メールセキュリティリスク評価（ESRA：Email Security Risk Assessment）では、スキャンされた4500万通の電子メールのうち1100万通近く（約25％）が「悪質」または「悪質な恐れがある」ものだったと報告されている。

　「EMOTET」や「Trickbot」など、複数のマルウェアに最近、電子メール経由で自己拡散する機能を持つものが現れた。例えば、EMOTETには感染したPCから電子メールの資格情報を盗む機能が加わっている。盗み出した資格情報を使って電子メールを送信し、感染をさらに拡大させる。

　セキュリティ対策が施されてない電子メールアカウントがあると、組織はそこから自らを危険にさらす可能性がある。だが、そうした危険性は電子メールが侵害されるだけでは済まないことが多い。金融口座情報が漏えいしたり、ネットワークがランサムウェアやウイルスに感染したりする恐れもある。また、ハッキングの事実が公表されれば評判に傷が付く可能性もある。だがGDPRが施行されれば、こうした事実は公開が義務付けられる。

　電子メールセキュリティポリシーを策定するのは比較的簡単だ。また、組織をGDPRの要件に準拠させる場合はそこから始めるのが合理的でもある。ただし、組織の電子メールセキュリティプロトコルの強固さは、それを使用する従業員に左右される。

　「あるDigital Pathways顧客企業では、疑わしい要素をクリックしないように指導しているにもかかわらず、そうした行動が何度も繰り返されている」とタンカード氏は言う。　「最終的には、複製したPCを3台用意するようになった。1台がウイルスに感染して使えなくなったら、そのPCを撤去して別のPCを与え、その間に1台目のPCを再構築する。3台目が必要なのは、1台目の再構築が終わる前に2台目も駄目になる恐れがあるからだ」

続きはComputer Weekly日本語版　11月1日号にて

本記事は抄訳版です。全文は、以下でダウンロード（無料）できます。

• Computer Weekly日本語版　11月1日号：GDPR時代のメールセキュリティ対策総まとめ

■Computer Weekly日本語版 最近のバックナンバー

Computer Weekly日本語版　10月18日号　次世代のワイヤレスネットワーク

Computer Weekly日本語版　10月4日号　Office 365を安く導入する方法

Computer Weekly日本語版　9月20日号　なぜ暗号通貨は主流にならないのか