多くの企業で利用されている統合型ソリューション「Microsoft 365 （旧：Office365）」ですが、普段の業務で使用するツールには数多くのセキュリティリスクが潜んでいることを理解しておく必要があります。特に昨今ではメールサービスが原因となり、企業の重要機密情報漏洩などが問題となっています。そこで本記事では、Microsoft 365（Office365）に標準搭載されているメールセキュリティ機能について解説します。
[RELATED_POSTS]情報漏洩防止のためのメールセキュリティ強化が求められる
システムのクラウド化が進んだことにより、企業の情報漏洩問題も発生しています。特にメールサービスを使用した社員のミスは身近な事故の一つで、いつどこで誰の身に起こってもおかしくない問題として、再発に取り組む必要があります。
社員のミスはいわゆる「人的エラー（ヒューマンエラー）」と呼ばれますが、メールでよく起こりがちなのが「メールアドレスの入力ミス」「ファイルの誤送信」「文章の変換ミス」「社内ルールの漏洩」などです。たとえば、相手のアドレスを打ち間違えた場合、実際には存在しないアドレスに送られて返ってくることがほとんどですが、場合によっては第三者に重要な情報が渡ってしまう可能性もあります。また、社内で規定されたルールでCcやBccの利用禁止があるにもかかわらず、ルールを知らずに意図しない相手に情報が伝わってしまうこともあります。
では、このようなミスで第三者に個人情報が漏洩した場合は、どうなるのでしょうか？ 企業で重要情報漏洩が発生すると、最悪の場合は「損害賠償」「脅迫」「信用の低下」などといった被害を受けます。実際に2020年11月には、大手ゲーム会社を相手にサイバー犯罪グループが企業から流出した個人情報を使用し、身代金を要求するという事件が起こりました。
このケースでは、サイバー犯罪グループがどのようなルートで機密情報を入手したのかはわかりませんが、漏洩した情報が犯罪に悪用された典型的の例だといえるでしょう。この反省を踏まえて、企業はメールセキュリティの強化を図り、人的エラー対策を講じる必要があります。
関連記事：メールセキュリティソフトとは？ その基本的な機能や導入メリット
Microsoft 365（Office365）に搭載された、メール誤送信防止ための5機能
Microsoft 365（Office365）には、メール誤送信を防ぐために有用な5つの機能が備わっていますので、積極的に活用しましょう。
メールヒント
「メールヒント」とは、メールを利用するユーザーが何かしらの動作を行ったときに、警告のメッセージが表示される機能です。たとえば、以下のようなときにメッセージが表示されます。
- メール送信の宛先が設定数よりも多い
- すでに退職して社内に存在しないユーザーを宛先に入れる
- 社内に存在しないアドレスを入力する
- 送信先のメールボックスに空きがない
上記はあくまで一例ですが、誤送信の恐れがあるときなどに警告のメッセージが表示されるため、ミスにもきちんと気付くことができるのです。また、メールヒントはカスタマイズでき、特定の受信者に制限を付けたり、メールを送信しようとした際に文章を表示させることができます。
遅延送信
遅延送信は、メールを送信してもすぐに相手にメールが届かないように設定できる機能です。誤送信しても、設定された時間内であれば送信の取り消しができます。送信から実際にメールが届くまでの遅延時間はユーザーで設定でき、以下のようにOutlookの標準オプションで操作可能です。
- Outlookの「ホーム」タブから「ルール」→「仕分けルールと通知の管理」の順にクリック
- 「電子ルールの仕分けルール」から「新しい仕分けルール」を選択
- 自動仕分けウィザードが表示されるので、ステップ１で「新しい仕分けルールを作成する」→「送信メッセージにルールを適用する」とクリックして、「次へ」を選択
- 特定のメールを制限する場合は条件画面で選択し、全メールに適用する場合はチェックをせずに「次へ」をクリック
- ステップ1の「条件を選択してください」で、「このコンピュータで受送信を行った場合のみ」にチェックを入れ、「次へ」をクリック
- 自動仕分けウィザードのステップ1で「指定した時間 分後に配信する」にチェックを入れ、ステップ2の「指定した時間」を選択
- 配信時間を指定して「次へ」をクリック
- ステップ1の「例外条件を選択してください（省略可）」に該当する項目をチェック（ここはチェックしなくても可）し、「次へ」をクリック
- ・最後にステップ1「仕分けルールの名前を指定してください」に入力し、「完了」を押す
※また以下のように、時間で送信ではなく一度送信ボックスに入れてから再度送信ボタンでメールを送る設定もできます。
- Outlookの画面左上にある「ファイル」をクリックして「オプション」を選択
- 「詳細設定」をクリックして、「送受信」の項目から「接続したら直ちに送信する」のチェックを外す
- 右下のOKを押す
メールフロールール
メールフロールール（トランスポートルールとも呼ばれます）は、Exchange Onlineで利用できるメールフローを管理するための設定ルールです。このルールでは、主に「組織外へのメール送信の禁止」「組織外へのメール送信で上司の承認が必要」「組織外のメールに免責事項を付ける」「組織外へのメール送信ではBccに上司を付ける」などといった設定が可能となります。設定方法は、以下の手順です。
- Exchange Onlineの「管理者」からExchange管理センターに移行
- 左にあるタブから「メールフロー」を選択して、上部のルールをクリック
- 下部の＋マークを選択して付与したルールをクリック
また、ルールをユーザーで作製することも可能です。上記の＋マークを押下すると、ルールの新規作成があるのでクリックします。
新規作成画面では、「ルールの名前」「適用する条件」「実行する処理」「監査の設定」「ルールの有効/無効」が設定できます。条件を詳しく設定する場合は、下部にある「その他のオプション」から条件を選択しましょう。
データ損失防止（DLP）
上記のメールフロールールの拡張機能として、データ損失防止（Data Loss Prevention＝DLP）があります。この機能では、クレジットカード番号や銀行口座番号、各種社会保険の番号など、個人情報が含まれる「ファイル・文章」が検知された場合に、特定の動作が行われます。
たとえば、Wordファイルにクレジットカード情報を記載した場合、警告のメールを送信者に出したり、個人情報を記載したメールの送信をブロックしたりすることが可能です。実際のルールと処理は、以下の方法で設定します。
- Microsoft 365 コンプライアンス センターのメニューから「データ損失防止」をクリックした後、「ポリシーの作成」を選択
- テンプレート選択画面でテンプレートを選択。国内の個人情報を選択する場合は、「日本の金融データ」「日本の個人情報データ」「日本の個人情報保護」のいずれかをクリック
- ポリシーの名前を作成
- DLPをどこに適用するかを決定する。Exchange Online、SharePoint Online、OneDrive for Businessから選択可
- ポリシーセッティングスでどのような動作をするかを決定する。動作はユーザーがカスタマイズできる
- 設定をすぐに使用するか、テストを行うかを選択
上記が簡単な設定方法ですが、最初はテストで利用してみることをおすすめします。すぐに実行した場合、意図しない部分でアクションが起こってしまう可能性があるからです。
メール暗号化
メール本文を暗号化することによって、意図しない相手にメールが送信されてもパスワードを入力しなければメッセージが表示できないように設定できます。Microsoft 365（Office365）では、「OME（Office Message Encryption）」「IRM（Information Rights Management）」「S/MINE」という３つの暗号化オプションが使用可能です。このうち「OME」は、組織内外のどのようなアドレスに対しても暗号化することができます。
一方、「S/MIME」は、S/MIMEをサポートしているメールソフトを送信者・受信者の双方が使用している必要があります。また「IRM」に関しても、Microsoft 365のメッセージ暗号化を送信者・受信者の双方が行っていなければいけません。
「OME」が一番幅広い相手に暗号化が実施できて便利ですが、その半面、設定にはPowerShellが必要なのである程度のITの知識が必要です。そのためここでは、「IRM」「S/MIME」の設定についてご紹介します。
IRMの設定
- メールメッセージ作成で上記タブにある「オプション」を選択
- 「暗号化」を選択して、「暗号化のみ」「転送付加」など制限を選択
S/MIMEの設定
- あらかじめPCのキーチェーンに証明書を追加しておく
- Outlookのファイルメニューから「セキュリティーセンター」をクリックして、「設定」→「オプション」と選択
- 電子メールのセキュリティを選択
- 「暗号化された電子メール」の設定をクリック後、「証明書とアルゴリズム」の選択を押してS/MIME証明書を選択
- 最後に「OK」をクリック
まとめ
Microsoft 365（Office 365）のメールセキュリティ機能を利用すれば、多くの人的エラーを防ぐことが可能です。ただ、一方でこれらの設定には考慮しなければならないポイントも多数あり、運用が難しくなるケースがあります。また、添付ファイルのみの暗号化など多くの企業で必要とされている要件を満たすことができないケースもあります。
そういった際にはHENNGE Oneのようなサードパーティ製品を組み合わせることで課題を解消できるケースもあります。HENNGE Oneは日本企業特有のメール誤送信対策要件にも対応するほか、設定支援も提供されています。
ぜひ様々な選択肢から自社に合うソリューションを選定してみてはいかがでしょうか。
