記者という仕事がら、取材先や寄稿者と、記事の素材データやプレゼン資料をやり取りすることが多い。もちろん、メールを使ってである。ただ最近になって、受け取ったメールに添付されていたファイルが暗号化されていることがとみに増えてきた。ファイルを復号化しようとするとパスワードの入力を求められる。パスワードは後から別のメールで送られてくるという方式だ。

　情報漏洩を懸念してのことだ。外部とやり取りする際はファイルをパスワード付きで暗号化してからメールするよう、情報システム部門や法務部門がルールを設けているのだろう。この7月から8月にかけて、企業十数社に外部との機密情報のやり取りをどのように行っているかを取材する機会があった。実際にこのようなルール順守を業務部門に設けている企業が多かった。標準的な手法になりつつあるように思う。

　しかしこの方式を採用する企業が増えることに、筆者は懸念を感じる。セキュリティ対策としてどれだけの効果があるか、疑問だからだ。もちろん何の対策もしないより良いことは間違いない。ただ、企業内の情報を外部とやり取りする手法としては物足りないのではないか。

パスワードもメールで送る

　添付ファイルのパスワード付き暗号化には二つの狙いがある。一つは、メールを送受信する際に内容を盗み見られないようにすること。最近は無線LANを使っている企業が増えている。無線LANのセキュリティ対策が甘ければ、メールの内容を他人に傍受される危険性がある。添付ファイルも例外ではない。

　二つめはメールを別の相手に誤送信した場合のリスクを低減すること。万が一関係のない相手にファイルを送っても、パスワードさえわからなければ内容を閲覧することはできないというわけだ。

　しかし実際には期待するほどの効果はない。添付ファイルを復号化するためのパスワードも、やはりメールで送られてくるケースが多い。添付ファイルを傍受できたなら、パスワードを記したメールを傍受することも可能なはずだ。

　誤送信に関しても同様である。アドレスの打ち間違いなど誤送信にすぐに気付けば、同じアドレスにパスワードを送ることは避けられる。だがアドレス帳に誤った情報を登録してしまっていたり、アドレスそのものを勘違いしていたりすると、パスワードも誤送信してしまいかねない。パスワードをメール以外の方法、電話やFAXで送るのでない限り、期待しているほどの情報漏洩対策効果が得られないのは明らかだ。

　メール送信者にとっては、添付ファイルを送るたびに暗号ソフトを起動し、パスワードの設定をするのは面倒な操作だ。メールの通数が増えてくるとなおのことである。また、やり取りするファイルのサイズが大きくなってくるとメールサーバーの容量制限を超え、メールでファイルを送信できないこともあるだろう。スパム（迷惑メール）と間違えられる危険性もある。

　システム管理者にとっても、添付ファイルを暗号化されるのは都合が悪い。どのような情報が外部に送信されているか、把握できない恐れがあるからだ。通常ならメールをアーカイブしておけば後から実態を把握することが可能だが、従業員が個別にパスワードを設定して暗号化してしまうと、システム管理者がその内容を確認できない。

企業は欠点を知っているはず

　これらを踏まえると、主流になりつつある「従業員が添付ファイルをパスワード付きで暗号化」という方式は欠点がいくつも見受けられる。「暗号化している」というと一見しっかり対策を講じているように感じられるが、そうではないのだ。

　ユーザーに暗号化ソフトを配布するだけで大きなシステム変更を伴わないため、企業にとっては実行しやすい情報漏洩対策ではあるが、そのセキュリティレベルは決して高いとはいえない。こういった欠点に、企業がまったく気付いていないとは考えにくい。にもかかわらずこの方式が広がっているのはなぜなのか。

　外部とファイルを安全にやり取りする良い方法がほかに見あたらないのかもしれない。メールではほかに、S/MIMEなどを使う暗号メールという手段がある。ただ仕組みが難しく認知度が低いためか、企業が本格的に採用するケースは少ない。

　記録媒体を使うのはどうだろう。2005年4月の個人情報保護法本格施行以来、企業はUSBメモリーなどの利用を厳しく制限している。最近では指紋認証機能や暗号化機能を備えたUSBメモリー製品が登場、漏洩リスクは小さくなっている。ただ媒体を輸送する必要があるため、外部と頻繁にやり取りする場合には不向きだ。

　最近増えてきた、無料のオンライン・ストレージ・サービスはどうだろう。サービス事業者が用意するサーバーに、Webブラウザを使ってファイルをアップロード。送信相手のメールアドレスを指定すると、ファイルをダウンロードするためのURLがメールで送信される仕組みだ。100Mバイト程度までのファイルを簡単に送信できるのは大きな魅力である。ただ、ファイルの送信先アドレスを間違える誤送信の危険はメール同様にある。システム部門が把握していない外部サービスを利用する点でも不安が残る。

　企業向けのストレージサービスや、外部とファイルをやり取りするサーバーを構築するソフトウエア製品、アプライアンス製品も登場している。サービスでは、インターネットイニシアティブの「IIJドキュメントエクスチェンジサービス」、NRIセキュアテクノロジーズの「クリプト便」など。製品では、日本プルーフポイントの「Proofpoint Secure File Transfer」や、パナソニック ソリューションテクノロジー「Global Delivery」などがある。

　もちろんこれらを使ったとしても、完璧な対策技術を実現するのは難しい。ただ、暗号データとパスワードをほぼ同時に送る現在のやり方はセキュリティ対策としての効果は小さいことを、企業は肝に銘じるべきだ。暗号化するほど重要な情報を送るのならば、せめてパスワードはFAXで送信するなど、もう一工夫したほうがよい。