誤送信の根本的な解決策は,前のパートで紹介した各種フィルタリングである。ただこれらの対策を打っても,誤送信を根絶できるかというとちょっと難しい。こう考えると,万が一重要情報を送ってしまった場合の備えも考えておきたい。

 そこで登場してきたのが,添付ファイルの閲覧にパスワードを設定できる製品やサービスである。主に重要情報を含んだ添付ファイルの誤送信を意識した対策だ。本来送りたいファイルとは別のファイルを添付して送ってしまったとしても,パスワードを知らせる前に誤送信に気付けば内容を秘密のままにしておける。さらに,メールをほかのユーザーに転送されてもアクセス制限の効果を維持できる。

暗号化装置は製品が充実

 手法は2通りある。(1)添付ファイルの暗号化処理を自動で行うものと,(2)添付ファイルをWebコンテンツに変換してURLだけを送るものである(表1)。どちらも添付ファイルの内容を閲覧するためのパスワードを設定し,アクセス制限できるようになっている。それぞれ具体的にどう動くのかを見てみよう。

表1●添付するファイルを間違った場合を見据えた主な製品/サービス
[画像のクリックで拡大表示]
表1●添付するファイルを間違った場合を見据えた主な製品/サービス

 (1)は,暗号化装置を使って実現する製品。様々なベンダーが提供しており,品揃えは豊富だ。例えばオレンジソフトの「BRODIAEA safeAttach」,HDEの「HDE Secure Mail 2 for ZIP」,NTTソフトウェアの「CipherCraft/Mail サーバ版」,日立ソフトウェアエンジニアリングの「秘文AE MailGuard」などがある。

 大まかな仕組みはどの製品も基本的に変わらない。SMTPゲートウエイとしてメール・サーバーのバックエンドに設置し,メール・サーバーに送られたメールをいったんゲートウエイで受け取る(図6)。ここで添付ファイルがあれば,これを取り外して暗号化(または圧縮)し,再度メールに添付してメール・サーバーに送る。この暗号化の際にパスワードを設定する仕組みである。パスワードは本来の送信メールとは別のメールで相手に伝える必要があり,このメールを送るまで受信者は添付ファイルを開けない。

図6●添付ファイルのパスワード暗号化は,誤って違うファイルを添付した場合に役立つ
図6●添付ファイルのパスワード暗号化は,誤って違うファイルを添付した場合に役立つ
ただし,誤送信時に役立つのは,復号するための鍵やパスワードを相手が知らない場合だけ。このためパスワードは,いったんメールの送信者に知らせる仕組みで運用すべきである。
[画像のクリックで拡大表示]
 

 パスワード生成方法は,あらかじめ設定した「固定」と,メールを送信するたびに暗号化装置が自動生成する「ランダム」のどちらかを選べる。パスワードの生成・通知という手間が増えて煩雑にはなるものの,ランダム・パスワードを使えば,誤送信の対策になる。

 製品によっては送信の都度,送信者がパスワードを設定できるものもある。日立ソフトの秘文AE MailGuardでは,ユーザーはメール作成時に,MailGuardに「リクエスト・ファイル」というテキスト・ファイルを添付したメールを送る。「使いたい暗号化パスワードをリクエスト・ファイルに記載して送ればいい」(日立ソフトウェアエンジニアリングの加藤哲哉開発事業部事業計画本部ビジネス企画部第1グループグループマネージャ)という。

 通常,データを暗号化してやり取りする場合,受信側には復号機能を持つソフトウエアが必要になる。ただここで紹介している製品は,ZIP形式を使うなど,クライアントに専用ソフトを搭載しなくても復号できる仕組みになっている。

添付ファイルを渡さずに済むURL変換型

 一方,添付ファイルを自動的にWebコンテンツ化するソリューションはどうか。こちらは,インターネット接続事業者(ISP)によるサービスが挙げられる。具体的には,インターネット イニシアティブ(IIJ)の「IIJセキュアMXサービス」(同社のオンラインストレージサービスと連携させた場合)などがある。

 仕組みはこうだ。例えばIIJセキュアMXサービスの場合,添付ファイル付きのメールが送られると,IIJのサービス側で添付ファイルを保存。メール本文からは添付ファイルを削除する。代わりに本文中にダウンロード用URLを追加して送信する。受信者は送信者からのパスワードを受け取った上でメール中のURLにアクセスすれば,添付ファイルの内容を閲覧できる。送信者は誤送信に気が付けば,相手にパスワードを知らせずにいればいい。IIJ側で管理する添付ファイルを削除することも可能であるという(図7)。

図7●添付ファイルを自動的に取り除いてWebページ化してくれるサービスもある
図7●添付ファイルを自動的に取り除いてWebページ化してくれるサービスもある
図はIIJセキュアMXサービスの場合。添付ファイルを削除し,代わりにメール本文にURLを記載する。
[画像のクリックで拡大表示]

 この手のソリューションは,添付ファイルを自動的に取り除き,URLを送って相手にコンテンツを取りに来てもらう形態をとる。前述の暗号化する方法では添付ファイルそのものを相手に渡すことになるが,URLに変換するタイプのサービスを使えばパスワードを送るまでは相手に添付ファイルそのものを渡さずに済む。ただ,ユーザーがこれらのサービスを使うには,いったんISPのゲートウエイを経由してメールを送受信するように,DNSサーバーやメール・サーバーの設定を変更する必要がある。

パスワードは必ず送信者経由で配送

 添付ファイルを暗号化するにしても,URLに変換するにしても,ユーザーにとって利用上のポイントになるのはパスワードの付け方と送り方である。前述のように相手ごとに固定したパスワードを設定すると,誤送信であっても相手は受信ファイルを閲覧できてしまう。誤送信対策に重点を置くなら,パスワードがランダムに変わるように設定する必要がある。もちろん,類推しやすいなど破られやすいパスワードの設定は避けるべきだ(写真2)。

写真2●パスワード生成ルールに注意
写真2●パスワード生成ルールに注意
写真はHDE製品の設定画面。「パスワードを宛先に伝える」をチェックするとパスワードが自動で相手に送信されてしまう。
[画像のクリックで拡大表示]

 このとき,相手へのパスワードの通知の仕方にも注意したい。誤送信対策では,パスワードは必ず送信者本人だけに送るようにしておくべきである。こうした設定であれば,受信者は送信者からパスワードを受け取るまで添付ファイルを開けない。送信者側はメールを送信した後に,「本当に送信済みのファイルを見せても問題がないか」という再確認の時間を確保できるようになる。

 いずれにしても,パスワードが相手に伝わってしまってからでは取り返しが付かない。暗号化にしても,URL変換にしても,あくまでも付加的な対策ととらえ,社外への間違った送信そのものを止める取り組みが必要になる。