メインコンテンツまでスキップ

暗号化メールは、メールの送信者が受信者だけにメールの内容を確実に読んでもらうための方法です。 暗号化メールの目的は、権限のないユーザーがメールの通信経路にアクセスした場合でも、内部のユーザーが誤って間違った受信者にメールを送ってしまった場合でも、機密データを保護することです。

電子メールは暗号化すべきですか?

電子メールを保護しない場合の最大のリスクは、電子メールのハッキング行為に対して無防備になることであり、その結果、企業の知的財産や資本が盗まれるだけでなく、企業のブランドや顧客の信頼が損なわれる可能性があることです。 また、企業が事業を行う分野や管轄区域によっては、直面する可能性のあるコンプライアンスリスクがあります。

近年、BEC(Business Email Compromise)攻撃は爆発的に増加しており、地域や業種を越えて移動しています。 最新のFBIインターネット犯罪報告書(ICR)によると、米国内の組織は2014年から2021年までにBEC攻撃により86億ドルの被害を受けており、その内2021年の被害額は24億ドルです

電子メールによる攻撃は、組織にどのような危険をもたらしますか?

メールハッキングの活動には2種類あります。

  • フィッシング: 一般的なメッセージが、より多くの潜在的被害者に届けられた場合
  • スピアフィッシングやBEC(Business Email Compromise)攻撃: 個人またはグループに対する具体的かつ計画的な標的型攻撃:
    • 機密情報の抽出
    • ネットワークにマルウェアをインストールする
    • 攻撃者の口座への送金

メールの暗号化にはどのような効果がありますか?

電子メールの署名と暗号化は、知的財産や資本財の盗難につながる電子メールのハッキングを防止するのに役立ちます。 また、企業が機密データを管理できなくなった場合に発生しうるブランドの低下や風評被害を軽減することもできます。 また、電子署名と暗号化された電子メール技術を採用することで、HIPAAやGDPRに関連する、さまざまな企業がコンプライアンス規制に抵触する原因となる落し穴に対処できます。 個人情報保護やセキュリティに関するさまざまな規制を満たし、コンプライアンスを維持することは、企業がコンプライアンス違反によって高額な罰金を支払うリスクを軽減します。

電子メールの暗号化が必要な規制は?

企業が活動する分野、地域、場所によって、組織はさまざまな規制に注意を払う必要があります。 例えば、米国では、医療保険の相互運用性と説明責任に関する法律(HIPAA)により、組織は患者の健康上の機密情報が患者の認識または同意なしに開示されないように保護することが義務付けられています。 米国 保健福祉省によると、2020年のHIPAA違反の罰金は1,300万ドルでした。

欧州連合では、一般データ保護規則(GDPR)のガイドラインにより、個人情報を完全に保護する必要があり、保護されていない場合、組織は最大で前年の売上高の4%または最大で2,000万ユーロの罰金を科される可能性があるとされています。 例えばデンマークでは、GDPRの延長として、2019年から機密性の高い個人情報を含むメールの暗号化が企業に義務付けられています。

なぜ、医療業界では電子メールが脅威となるのですか?

フィッシング攻撃は依然としてヘルスケア分野の情報漏えいの主要な原因であり、FBIのインターネット犯罪報告書によると、BEC攻撃により企業は24億ドルを失ったとされています。 フィッシング攻撃の多くは、その後マルウェアやランサムウェアが展開される多段階の攻撃の最初のステップです。

HIPAA JournalのHealthcare Data Breach Reportによると、ヘルスケア分野において、フィッシング攻撃に次いで、電子メール関連の侵害が最も一般的な攻撃タイプであることが示されています。

2021年、市民権局(OCR)は277件の医療メール侵害事件を調査し、その83%がハッキングやITインシデントの結果でした。

メールアカウントの侵害は、2020年には2日に1件以上の割合で報告されていましたが、今年はメール関連の侵害がネットワークサーバーの侵害に次いで2位となりました。 ネットワークサーバーには大量の患者データが保存されていることが多く、ハッカーやランサムウェア攻撃者の格好の標的になっています。

メールの暗号化の仕組みとは?

現在、電子メールの安全性確保には2つのアプローチがあります。

  • PGP(Pretty Good Privacy)
  • S/MIME(RSAおよびx.509証明書をベースにしたもの)

OpenPGPとS/MIMEは、ある点で非常によく似ています。 どちらもデジタル署名による認証とデータの暗号化によるプライバシーを提供します。 OpenPGPには多くの支持者がいますが、市場での支持はかなり少ない状態です。 S/MIMEはソフトウェアベンダーによってより広くサポートされており、ほとんどの一般的な電子メールクライアントに組み込まれています。

公開鍵暗号化では、2つの鍵が存在します。 一つは公開できるもの、もう一つは非公開のものです。 送信者は受信者の公開鍵を用いてメッセージを暗号化します。 受信者は自分の秘密鍵を用いてメッセージを復号化します。 複数の受信者に送信する場合、メールは各受信者の公開鍵で個別に暗号化されます。

デジタル署名は、同じ公開鍵/秘密鍵のペアを使用しますが、順序が逆になっています。 送信者は、メッセージの安全なハッシュを取り、そのハッシュを自分の秘密鍵で暗号化します。 送信者の公開鍵で復号化すれば、誰でもそのハッシュを復号化できます(元のメッセージと同じハッシュを照合して検証することもできます)。 その公開鍵に関連する秘密鍵の所有者だけが暗号化できるため、メッセージを検証することができるのです。 これにより、完全性と否認防止が実現されます。 送信者はメッセージを送信したことを後で否定できないため、否認防止になります。

EntrustのS/MIMEソリューションは、電子メールに起因する企業データの損失リスクを劇的に低減する機能を組織に提供します。 社内外の電子メールに対応したEntrustのIDとエンドツーエンドの暗号化機能、および導入の自動化とライフサイクル管理機能により、企業は他のソリューションと比較してコンプライアンスとセキュリティ態勢を向上させることができます。

電子メールにSSLは有効ですか?

RSAは、電子メールの署名と暗号化のためにサポートされている唯一の公開鍵暗号プロトコルです。 SSL/TLS証明書は、その目的には使用できません。 しかし、S/MIMEと連携して、転送中のメッセージを保護する暗号化技術は他にもあります。 例: TLS(Transport Layer Security)または以前のSSL(Secure Sockets Layer)。 これらのプロトコルは、メールサーバー間のトンネルや経路を暗号化し、盗聴や盗撮を防止するのに役立ちます。 また、メールクライアントとメールサーバー間の接続も暗号化されます。 S/MIMEはそれらと連携することができますが、それらに依存するものではありません。

VPNはメールを暗号化しますか?

VPNはメールを暗号化するものではありません。 ハッキングやウイルス、マルウェアを防ぐツールではなく、メール内のコンテンツを保護したり、メール送信者を認証したりするものではありません。

メールの暗号化とはどういうものですか?

電子メールにデジタル署名と暗号化を施すことで、従業員は、添付ファイルやコンテンツが送信者のメールアドレスから送信され、転送中に変更されていないことを証明することができます。 これは否認防止とも呼ばれ、様々な法律により裁判でも裏付けが取れます。

企業内の従業員が各自のS/MIME証明書にアクセスできるようにすることで、受信者と送信者のIDを容易に特定できるようになり、Business Email Compromised(BEC)攻撃の影響を抑制することができます。

EntrustのS/MIME証明書は、組織名、個人名、メールアドレスを含んでおり、メール受信者はスパムやフィッシングメールを正当な送信者のメールと区別することができます。

OutlookやApple Mailで署名および暗号化されたメールはどのように見えるのでしょうか?

Microsoft OutlookやMacOSでセキュアメール証明書を設定すると、信頼できるメールを非常に簡単に見分けることができます。 以下、4つの事例をビジュアルでご紹介します。

  1. 署名されたメール
  2. 暗号化されたメール
  3. 署名および暗号化されたメール
  4. 無署名で暗号化されていないメール

暗号化されたメールを示すスクリーンショット

OutlookとMacOSの体験では、3つの主要な信頼性指標があります。

  1. メールが署名されていることを示す、赤いリボン。
  2. メールが暗号化されていることを示す、南京錠のアイコン。
  3. メールの左側の送信者のIDを確認し、X社の社員であるユーザー1が署名した、ということが確認できます。

一方、信頼されていない電子メールは、署名も暗号化もされていないため、リボンも南京錠も表示されません。 この場合、技術的にはfromアドレスのuser 1が詐称される可能性があります。

これらの機能は、双方のユーザーの公開鍵が交換された時点で利用可能となる点にご注意ください。

詳しくは、Entrustのナレッジベースのページをご覧ください。

モバイル端末で電子メールを署名および暗号化する方法とは?

Android端末やiPhone端末にS/MIME証明書がインストールされている場合、画面右側に開錠と閉錠が表示されているのが確認できます。 暗号化されたメールを送るには、南京錠のアイコンをタップするだけです。

設定でこのオプションを有効にすると、電子メールに自動的に署名することができます。 Entrustのテックノートのパート2、ステップ6にその手順が示されています。

暗号化されたメール

S/MIME証明書でメールを暗号化および署名するには?

メール作成ダイアログのオプションタブに表示される署名、暗号化ボタンをクリックすると、メールを署名、暗号化することができます。

電子メールのデジタル署名のスクリーンショット