第1回 電子メールセキュリティの現状を知る


藤澤 英治
株式会社CSK Winテクノロジ
2007/3/23


 情報漏えい:脅威は内部からも発生する

●特徴

 ウイルスやスパムメールが社外から入ってくるのに対して、情報漏えいは内部から発生する事象です。多くの会社で電子メールは日常的に使われるツールであり、社員、派遣社員、ビジネスパートナーなど会社内で働く人すべてに使われるケースも多いのが現状です。最近の情報漏えい事件を見ても分かるとおり、電子メールがあまりにも手軽に使われるため、情報を持ち出す手段としても使われてしまっているのが現状です。

●対策

 適切に監査できるよう、まずは電子メールのアーカイブ(保存)を行うことから始めるケースが多いようです。単に保存するだけでは問題のある電子メールを送信すること自体を止められないのでは? と疑問に感じるかもしれませんが、アーカイブを行っていることを知らせることで抑止効果が働き、情報漏えい以外の私用の電子メールなども少なくなるようです。

 次のステップとして電子メールのフィルタリングを行うことを検討している企業が多いようです。適切に電子メールがアーカイブされていれば、必要なときに検索して状況を把握することができます。状況を把握してから電子メールのフィルタリングのルールを適用すると考えている企業も多いようです。そのためか、情報漏えい対策をうたっている製品には保存とフィルタリングが実装されているものが多いようです。

 暗号化:新たに注目されるソリューション

 情報漏えいの観点から考えるともう1つソリューションがあります。それは暗号化です。一般に知られている電子メールの暗号化とはクライアントのメールソフト上にて、相手の公開鍵を利用して暗号化を行い、これを送信します。受信者は自身の秘密鍵を利用してこれを復号して電子メールを読みます。鍵がなければ読むことができないので、誤送信による情報漏えいには有効な手段となります。ただしこれは意図的に情報を外部に持ち出したい人にとっても有効な手段となってしまうことが心配されます。

 また、暗号化されたものは途中で見ることはできませんので、電子メールのアーカイブを行うときにも問題となります。最近ではゲートウェイ上で暗号化を行う製品も出てきていますので、電子メールのアーカイブおよびフィルタリングを行った後に暗号化するなどの複合ソリューションを用いることでより強固なメールシステム基盤を作ることができます。

 アーカイブについての補足となりますが、情報漏えいの観点から考えた場合には少なくともアーカイブする電子メールは社外とのやりとりを行っているものになります。ここで問題になるのはスパムメールです。スパムメールの項でも書きましたが、社外から来るメールの70%が該当しますので、スパムメールへの対策をしないと不要な情報までアーカイブすることになってしまいます。

 アーカイブするためには、ディスク容量の見積もりもしなければなりません。スパムメールは年々倍増しているともいわれていますので、まずはこの不要な電子メールを受け取らないようにし、その後で電子メールのアーカイブを行うことができれば資源の無駄遣いをしなくても済みます。実際には内部統制の一環で電子メールのアーカイブ、フィルタリングを導入する企業が多いかと思いますが、同時にスパム対策を実施することをお勧めします。

 最後におさらいとなりますが、全体の電子メールセキュリティ対策の基本的な流れは次の図のようになります。便宜上、サーバをいくつかに分けています。ここで挙げた構成は一例です。使用している環境、新たに導入する製品によって構成は変わってきますので参考までにとどめてください。

図1 電子メールセキュリティ対策の一般的なサーバ構成

 上記のように、電子メールを取り巻く環境にはさまざまな課題があることが分かるかと思います。この連載では、エンジニアが知るべき電子メールの現状と、脅威に対してどのように対応すべきかを取り上げていきます。

  次回は「スパムメール対策」について説明します。

2/2
 

Index
電子メールセキュリティの現状を知る
  Page1
脅威にさらされ続ける電子メール
ウイルス/ワーム:古くから続く電子メールの脅威
スパムメール:電子メールが「カネ」になる
Page2
情報漏えい:脅威は内部からも発生する
暗号化:新たに注目されるソリューション


Profile
藤澤 英治(ふじさわ えいじ)

株式会社CSK Winテクノロジ

Windows NT立ち上げ時よりメールシステムに関する製品、サーバ構築などに携わる。

現在はオープン系システムで使われるメールシステム全般に関するコンサルティングなど行っている。

●修正履歴

【2007/3/26
暗号化の手順について、公開鍵と暗号鍵を送信者のものを用いるという誤った記述がございました。正しくは受信者の公開鍵および暗号鍵を用いるのが一般的となりますため、こちらを修正いたしました。

電子メールセキュリティの基礎知識 連載インデックス


Security&Trust フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)

注目のテーマ

Security & Trust 記事ランキング

本日 月間