仕事に電子メール使うべきか？

仕事に電子メール使うべきか？

※

http://jp.wsj.com/news/articles/SB11501383225136704765104580348341082537092

仕事に電子メール使うべきか ソニー流出事件で見直す企業も


By
DON CLARK, SHIRA OVIDE and ELIZABETH DWOSKIN
原文（英語）
2014 年 12 月 20 日 15:52 JST

ソニー映画子会社から大量の電子メールが流出した事件で会社の電子メールを長期間保存しておくリスク浮き彫りに Agence France-Presse/Getty Images

　米ソニー・ピクチャーズエンタテインメントのコンピューターシステムから大量の電子メールが流出した事件は、会社の電子メールを長期間保存しておくリスクを浮き彫りにした。シリコンバレーでは、そうした慣行を見直す時期に来ていると考え始める人たちもいる。

　電子メールは、別の手段に置き換える試みはあるものの、ほとんどの企業の従業員にとって依然不可欠なコミュニケーションツールであり、臨時のファイル収納庫でもある。メールを検索すれば、重要な情報や添付資料を簡単に素早く取り出すことができる。しかも、メールは無制限に保存しておける場合もある。

　しかし、ソニー・ピクチャーズへのハッカー攻撃で露呈したように、決まりの悪い内容のやり取りや重大な企業秘密が簡単にサイバー犯罪者の手に落ちることにもなりかねない。

　創業から何年もたつ企業の多くは、しばらく前から電子メールの削除について規定を設けているが、その理由は別にある。訴訟で保存された通信の提出を要求された場合、それに従うと高くつく可能性があるためだ。

　そうした規定では通常、一定期間（大抵は90日または120日）経過したらメールを自動的に削除できるようにするよう定めている。しかし、新興企業をはじめ多くの組織ではメールの保存について何の規定も設けていない。

　一部専門家は、ハッカーがソニー・ピクチャーズの防御システムを見事に破り、微妙な内容を含むメールを公開したことについて、重要でないメッセージは即座に削除すべきとの意見を強く裏付けるものとみている。

　そうした意見に耳を傾け始める企業は増えているようだ。グーグルなどの企業から電子メールなどの仕事用のハイテクシステムを購入する支援業務を手掛ける米クラウドシェルパスによると、ソニー・ピクチャーズのハッカー攻撃のあとメール保存システムを変更した顧客が2社あったという。

　クラウドシェルパスのデービッド・ホフ最高技術責任者（CTO）によると、1社は西海岸の大手ハイテク機器メーカーで、必要に応じて特定ユーザーの電子メールを削除できるようソフトウエアの処理手順をカスタマイズするよう依頼された。もう1社は、中規模のメーカーで、1年たったらメールを自動削除する機能を加え、長期間保存する必要のあるメールは共有の「セーフ」フォルダーに保管するようにしたという。

　メッセージを削除しても必ずしも盗まれないわけではない。保管システムには多くの場合、データの形跡が残っているため、状況によっては取り出すことが可能だ。

　データ保存規定やシステム侵害の詳細についてソニーの広報担当者から回答は得られなかった。

　こうした不安な現状を受け、一部テクノロジー企業はセキュリティー予防策を見直していると話す。官公庁などの顧客が自分たちのデータが安全であることを確認したがっているためだ。

　一部新興企業の幹部は、定期的にメールを削除するというのは企業になじまない考え方であり、あまりに飛躍した解決策かもしれないと話す。

　クラウド型データ保管サービスを提供するボックスのジャスティン・ソマイニCTOは「電子メールは従業員にとって参照したり調べたりする書庫になっており、それを破壊することは企業文化を大きく変えることになる」と指摘。「メールを削除するよりも、内容そのものに健全なセキュリティー慣行を適用する方が得策だ」と述べた。

　もう1つのよくある選択肢が、メールを暗号化し、万が一盗まれても判読できないようにしておくことだ。ただし、多くの従業員がそうした技術を使用していない社外の人たちともやり取りをしていることなどから、メールを全て暗号化している企業はほとんどない。

　シリコンバレーの企業は最近では新たなテクノロジーを使用してリスクを軽減することに、もっと関心があるようだ。新興企業の一部は、スナップチャットのように閲覧したらすぐに削除されるメッセージシステムを提唱している。

　また、データが渡ってはいけない人の手に渡った場合、そのデータを所有する個人や企業が遠隔操作でデータを削除できるようにする技術を開発すべきだと考える人たちもいる。ただし、そうした技術が実現する可能性は依然不明だ。

※

仕事に電子メールを使うのは今や半ば常識の範疇だが、電子メールのリスクの側面もいよいよ無視できない。進むべきか引き返すべきか、現状に留まる事ができないことだけは確かだ。

※

企業における電子メールの保管と検閲

企業における電子メールの保管と検閲

電子メール意外にもWEBアプリケーションを利用した外部との情報交換は容易に可能。社員が外部と電子的な情報の交換を行う場合に、これを捕捉し必要な検閲を行うとともに、必要な期間保管することが重要である。その他、メディアを経由した情報交換も外部と看做して同様に検閲と保管が求められる。

これを徹底してやっている企業はまだ少ない。一部でも取り込んでいる企業は既に相当数あるようだ。これも、専用のツールの導入することになりコストの壁が立ちはだかる。

保管期限は当該社員の在籍期間、及び退職後１０年。アメリカ国防総省の話みたいだね。

いずれにしても、ISMSではこのような管理策が必要か、どのレベルで必要かを（リスクアセスメントとの関連において）明確にすることになるが、費用対効果の視点が入ると消えてしまうのが大半。

.*.

トレーサビリティの確保はどの程度のレベルで必要か。これはリスクアセスメントからは導き出せない場合でも組織として決定しておくことが重要でしょう。

.*.

電子メールのセキュリティ

電子メール利用は既にビジネスの基本。ですが、電子メール利用時のセキュリティに関するリスクの理解はビジネスの基本に至っていないようです。

＜発信＞

1. メールアドレスを間違える。Ａ社とＢ社、Ａ部門とＢ部門、ＡさんとＢさん。社内と社外。タイプミスでの誤発信は殆ど無い。エラーで戻ってくる。誤発信は勘違いが殆ど。どういうチェック手順を設定しても勘違いしているから無意味。効果なし。
2. 添付文書を間違える。これは多いね。勘違いもあるしうっかりもある。長いファイル名をフルで表示できない馬鹿なメーラーを使うと更に悲観的だ。ファイルのネーミングである程度の添付ミスは軽減できても防ぎ切れない。
3. 正しいアドレス、正しい添付ファイルなら安心と信じている人もいます。インターネット世界へ飛び出したメールはただ黙って目的のメールボックスに吸い込まれると。途中に悪い人は居ないんでしょうか。勝手にコピーしたり、覗き見したり。サーバー間はＳＳＬとかでセキュアな通信路が確保されているのでしょうか。
4. 添付ファイルへのパスワードの掛け忘れ。機密レベルに応じてパスワードを要求したり、社外はパスワード要で社内は不要としたり。これが管理策と信じている組織があるから驚く。メール発信は間違い勘違いが手鎖を引いて待っているのだ。全ての添付文書は、出来れば自動的にパスワードを掛けて欲しい。そうしておけば、なまじ途中で覗き見されようとしても安心かな？

＜受信＞

1. 関係先に成りすまして添付ファイルを送りつけてくる。開いてはいけません。
2. スパムメール。全社員となると企業は大変な損失。

.*.

いつの間にかＪＩＰＤＥＣのサイトにセキュリティ関連の解説記事のような情報が公開されている。時々は目を通しておきたい。と言っても技術屋さんではないので簡単でないが。

.*.

技術系の企業へコンサルへ出掛けると、案外ですが、初歩的なことも理解していないことがある。問題意識が何処にあるかで大人が子供レベルになるのです。

.*.