電子メールのセキュリティ対策

K社は，IT製品の卸売会社であり，300社の販売店に製品を卸している。K社では，8年前に従業員が，ある販売店向けの奨励金額が記載されたプロモーション企画書ファイルを添付した電子メール（以下，メールという）を，担当する全販売店の担当者宛てに誤送信するというセキュリティ事故が発生した。この事故を機に，メールの添付ファイルを，使い捨てのパスワード（以下，DPWという）によって復元可能なZIPファイルに変換する添付ファイル圧縮サーバを導入した。

添付ファイル圧縮サーバ導入後のメール送信手順を図1に示す。

クリックで拡大

図1　添付ファイル圧縮サーバ導入後のメール送信手順

〔現在のメール運用の問題点と対策〕

K社では，添付ファイル圧縮サーバを利用して，最初にDPWで復元可能なZIPファイルを添付したメール（以下，本文メールという）を送信し，その後，ZIPファイルを復元するためのDPWを記載したメール（以下，PWメールという）を送信することによって，メールのセキュリティを確保する方式（以下，この方式をPPAPという）を運用している。

しかし，現在運用しているPPAPは，政府のある機関において中止するという方針が公表され，K社の販売店や同業者の中でもPPAPの運用を止める動きが見られるようになった。

このような状況から，K社の情報セキュリティ委員会は，自社のPPAPの運用上の問題点を検証することが必要であると判断して，情報セキュリティリーダーのL主任に，PPAPの運用上の問題点の洗い出しと，その改善策の検討を指示した。

L主任は，現在のPPAPの運用状況を調査して，次の二つの問題点を洗い出した。

問題点の(1)及び(2)は，ともに情報漏えいにつながるリスクがある。(1)の問題点を改善しても，(2)の問題点が残ることから，^②L主任は(2)の問題点の改善策を考えた。しかし，運用面の改善によってリスクは低減できるが，時間とともに情報漏えいに対する意識が薄れると，改善策が実施されなくなるおそれがある。そこで，L主任は，より高度なセキュリティ対策を実施して，情報漏えいリスクを更に低減させる必要があると考え，安全なメールの送受信方式を調査した。

〔安全なメール送受信方式の検討〕

L主任は，調査に当たって安全なメール送受信方式のための要件として，次の( i )〜(iii)を設定した。

これら三つの要件を満たす技術について調査した結果，S/MIME（Secure/Multipurpose Internet Mail Extensions）が該当することが分かった。S/MIMEは，K社や販売店で使用しているPCのメールソフトウェア（以下，メーラという）が対応しており導入しやすいとL主任は考えた。

〔S/MIMEの調査〕

まず，L主任はS/MIMEについて調査した。調査によって分かった内容を次に示す。

メールへの電子署名の付加及びメール内容の検証の手順を表1に，メール内容の暗号化と復号の手順を表2に示す。

注記　表2中の「—」は，該当がないことを表す（原文では斜線で示されている）。

〔S/MIME導入に当たっての実施事項の検討〕

次に，L主任は，S/MIME導入に当たって実施すべき事項について検討した。

メーラは，^⑤受信したメールに添付されている電子証明書の正当性について検証する。問題を検出すると，エラーが発生したと警告されるので，エラー発生時の対応方法をまとめておく必要がある。そのほかに，受信者自身で電子証明書の内容を確認することも，なりすましを発見するのに有効であるので，受信者自身に実施を求める事項もあわせて整理する。

メール内容の暗号化を行う場合は，事前に通信相手との間で電子証明書を交換しておかなければならない。そこで，S/MIME導入に当たって，S/MIMEの適切な運用のために従業員向けのS/MIMEの利用手引きを作成して，利用方法を周知することにする。

これらの検討結果を基に，L主任はS/MIMEの導入，導入に当たって実施すべき事項，導入までの間はPPAPの運用上の改善策を実施することなどを提案書にまとめ，情報セキュリティ委員会に提出した。提案内容が承認されS/MIMEの導入が決定した。