2023年 秋期 応用情報技術者試験 問1

電子メールのセキュリティ対策

電子メールのセキュリティ対策に関する次の記述を読んで、設問に答えよ。

K社は、IT製品の卸売会社であり、300社の販売店に製品を卸している。K社では、8年前に従業員が、ある販売店向けの奨励金額が記載されたプロモーション企画書ファイルを添付した電子メール（以下、メールという）を、担当する全販売店の担当者宛てに誤送信するというセキュリティ事故が発生した。この事故を機に、メールの添付ファイルを、使い捨てのパスワード（以下、DPWという）によって復元可能なZIPファイルに変換する添付ファイル圧縮サーバを導入した。

添付ファイル圧縮サーバ導入後のメール送信手順を図1に示す。

【現在のメール運用の問題点と対策】

K社では、添付ファイル圧縮サーバを利用して、最初にDPWで復元可能なZIPファイルを添付したメール（以下、本文メールという）を送信し、その後、ZIPファイルを復元するためのDPWを記載したメール（以下、PWメールという）を送信することによって、メールのセキュリティを確保する方式（以下、この方式をPPAPという）を運用している。

しかし、現在運用しているPPAPは、政府のある機関において中止するという方針が公表され、K社の販売店や同業者の中でもPPAPの運用を止める動きが見られるようになった。

このような状況から、K社の情報セキュリティ委員会は、自社のPPAPの運用上の問題点を検証することが必要であると判断して、情報セキュリティリーダーのL主任に、PPAPの運用上の問題点の洗い出しと、その改善策の検討を指示した。

L主任は、現在のPPAPの運用状況を調査して、次の二つの問題点を洗い出した。

(1) ①本文メールの宛先を確認せずに、本文メールと同じ宛先に対してPWメールを送信している従業員が多い。

(2) ほとんどの従業員が、PWメールを本文メールと同じメールシステムを使用して送信している。したがって、本文メールが通信経路上で何らかの手段によって盗聴された場合、PWメールも盗聴されるおそれがある。

問題点の(1)及び(2)は、ともに情報漏えいにつながるリスクがある。(1)の問題点を改善しても、(2)の問題点が残ることから、②L主任は(2)の問題点の改善策を考えた。しかし、運用面の改善によってリスクは低減できるが、時間とともに情報漏えいに対する意識が薄れると、改善策が実施されなくなるおそれがある。そこで、L主任は、より高度なセキュリティ対策を実施して、情報漏えいリスクを更に低減させる必要があると考え、安全なメールの送受信方式を調査した。

【安全なメール送受信方式の検討】

L主任は、調査に当たって安全なメール送受信方式のための要件として、次の(i)～(iii)を設定した。

(i) メールの本文及び添付ファイル（以下、メール内容という）を暗号化できること

(ii) メール内容は、送信端末と受信端末との間の全ての区間で暗号化されていること

(iii) 誤送信されたメールの受信者には、メール内容の復号が困難なこと

これら三つの要件を満たす技術について調査した結果、S/MIME（Secure/Multipurpose Internet Mail Extensions）が該当することが分かった。S/MIMEは、K社や販売店で使用しているPCのメールソフトウェア（以下、メーラという）が対応しており導入しやすいとL主任は考えた。

【S/MIMEの調査】

まず、L主任はS/MIMEについて調査した。調査によって分かった内容を次に示す。

・S/MIMEは、メールに電子署名を付加したり、メール内容を暗号化したりすることによってメールの安全性を高める標準規格の一つである。

・メールに電子署名を付加することによって、メーラによる電子署名の検証で、送信者を騙っなりすましや③メール内容の改ざんが検知できる。公開鍵暗号と共通鍵暗号とを利用してメール内容を暗号化することによって、通信経路での盗聴や誤送信による情報漏えいリスクを低減できる。

・S/MIMEを使用して電子署名や暗号化を行うために、認証局（以下、CAという）が発行した電子証明書を取得してインストールするなどの事前作業が必要となる。

メールへの電子署名の付加及びメール内容の検証の手順を表1に、メール内容の暗号化と復号の手順を表2に示す。

【S/MIME導入に当たっての実施事項の検討】

次に、L主任は、S/MIME導入に当たって実施すべき事項について検討した。

メーラは、⑤受信したメールに添付されている電子証明書の正当性について検証する。問題を検出すると、エラーが発生したと警告されるので、エラー発生時の対応方法をまとめておく必要がある。そのほかに、受信者自身で電子証明書の内容を確認することも、なりすましを発見するのに有効であるので、受信者自身に実施を求める事項もあわせて整理する。

メール内容の暗号化を行う場合は、事前に通信相手との間で電子証明書を交換しておかなければならない。そこで、S/MIME導入に当たって、S/MIMEの適切な運用のために従業員向けのS/MIMEの利用手引きを作成して、利用方法を周知することにする。

これらの検討結果を基に、L主任はS/MIMEの導入、導入に当たって実施すべき事項、導入までの間はPPAPの運用上の改善策を実施することなどを提案書にまとめ、情報セキュリティ委員会に提出した。提案内容が承認されS/MIMEの導入が決定した。