昨年、政府のデジタル改革担当相が2020年11月26日から中央省庁職員が文書などのデータをメールで送信する際に使用する「パスワード付きzipファイル」の利用を送信ルールとして廃止する方針を明らかにして大きな話題となりました。

メールでパスワード付きzipファイルを送り、その後パスワードを記載したメールを送信するという方法に関しては個人情報などを含むファイルをメールでそのまま送信してしまうと個人情報漏洩につながる恐れがあるという観点から利用されてきたメール送信手段となりますが以前から危険性について述べられることが多く、ついに政府としても対策に乗り出した状況となります。

今後、追従する企業も多くなると予想されますがそもそもどのような点が問題であり、どのような対策を行えば良いのか。

今回はこちらについて掲載させていただきます。

・想定される問題点

1．メール誤送信による情報漏洩のリスクを伴う

　誤ったメールアドレスを入力してしまい誤送信をしてしまった場合に1通目の「パスワード付きファイルを添付したメール」作成時のメールアドレスを2通目の「パスワードを記載したメール」にコピーして作成しているケースが多く、2通とも誤ったメールアドレスに送信されてしまうことが問題とあげられます。

　また、1通目送信後に送信者にメール受信確認をせずに続けて2通目を送信してしまうケースが多く誤送信を防げないことが多い状況です。

2．メール盗聴などセキュリティ面でリスクが高い

　宛先に不備がなく送信できたとしても第三者にメール内容を盗み見られてしまった場合、メール内にそのままパスワードが記載されているため容易に開かれてしまう。

　またzipファイルのパスワード解析自体も現在では容易となっており、2段階認証など別認証手段も設けられていないためセキュリティリスクが高い状況です。

3．添付ファイルからウィルス感染する可能性がある

　添付ファイルがウィルス等に感染していたとしてもzipファイル化することにより、セキュリティソフトからの検出が困難となり、送信者にウィルス感染を広めてしまう。

　また昨今では企業メールを装ったzipファイル付きのウィルスメールの被害が拡大しており、企業によってはzipファイル付きのメールを受信拒否の設定にしているケースもあり、メールが受信できないという問題が発生する場合もございます。

4．生産性の低下につながる

・送信者側：

　二通のメール作成が常に必要となり尚且つパスワードを手動設定している場合は安易に読み取られないパスワード作成が毎回必要となる。

・受信者側：

　ファイル閲覧時に毎回パスワード入力が必要であり、またファイル毎に異なったパスワード設定がされている場合には設定されたパスワードを都度確認して入力が必要となる場合がある。

また受信したパスワードを記載したメールを第三者に読み取られないように管理することも必要となる。

対策としては

・ファイルをそのままメール送信する

　添付ファイルにパスワード設定をせずにそのまま送信した場合はウィルスソフトからの検出が容易となり、またzip付きパスワードメールの受信を禁止している企業でも受信が可能となります。

　ただし、この方法では誤送信をしてしまった場合のセキュリティリスクが常に伴ってしまいます。

・パスワード情報はメール以外の手段で送付する

　添付ファイル付きメール送信後に解凍するためのパスワードはメール以外の別手段で送付するという方法もあります。

　例えばSNSを使って送付するなどメールとは異なった手段で送付することも対策として有効手段となります。

・S/MIME方式メールシステムを利用する

　S/MIMEとはメールの暗号化方式のひとつで公開鍵方式による暗号化とデジタル署名を用いた送受信手段となります。

　対応したメールソフトであれば「暗号化」ボタンを押すだけで特定の相手以外は読むことが出来ないメールを作成可能となります。

　ただし、送受信者双方に対応のメールソフトが必要となり、また事前にいくつかの設定も必要となります。

　また一部Webメールに関してはS/MIME方式に対応していないなど運用面でまだ課題がある状況となります。

・クラウドストレージを利用してファイル共有を行う

　クラウドストレージとはファイルをWeb上の共有フォルダに保存してデータをバックアップしたり、他のユーザーと共有できるサービスです。

　昨今、様々なクラウドストレージサービスがございますが「アクセス権限」や「ファイル権限」などを設定することが出来るサービスであればセキュリティ確保が容易となります。

　また、メールと比較して誤送信するリスクはなく、認証手段に関してもパスワードに入力のみではなく2段階認証など別の認証手段も設けられているサービスもあり、セキュリティ面での向上が期待できる手段となります。