MailData

メール暗号化とは何か？そのさまざまな種類について

メール暗号化とは何か？そのさまざまな種類について

安全なコミュニケーションの鍵：あなたのビジネスをサイバー脅威から守るメール暗号化の力

2023年12月3日
著者: Ahona Rudra
翻訳: 竹洞 陽一郎

この記事はPowerDMARCのブログ記事 What is Email Encryption and What are its Various Types? の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

メールの暗号化は、機密メールの内容を符号化することで、情報の漏洩を防ぐ技術です。
これにより、たとえ脅威をもたらす者が重要な情報を手に入れたとしても、暗号化されたメールの内容を解読、理解し、悪用することはできません。
さらに、暗号化されたメールは特別な暗号化ソフトウェアを必要としなくなり、クラウドベースのインターフェースを利用することで、より手軽かつ効率的になりました。

フィッシング攻撃、データ侵害、BEC詐欺、その他のサイバー犯罪が増加する中、企業、政府機関、個人は暗号化されたメールの交換が必要になっています。
急速に増加するサイバーの脅威を考慮して、世界中の規制機関はメールの暗号化を含む厳格な基準を設けています。
これらの要因が、企業や個人にメールの内容を保護するセキュリティ対策の採用を促しており、その結果、全世界のメール暗号化市場の規模は163億ドルに達すると予想されています。

しかし、中小企業はこのサイバーセキュリティのトレンドに乗り遅れており、プロの詐欺師にとって簡単なターゲットになっています。
PowerDMARCでは、組織や個人に対してサイバーセキュリティプロトコルや技術の重要性と緊急性について啓蒙活動を行っています。
企業が規模や運営スタイルに関わらず、メール暗号化に注目すべき5つの実用的な理由をご紹介します。

メールの暗号化とは？

メールの暗号化は、送信されたメールメッセージの内容を不正アクセスから保護するためのセキュリティプロセスです。
このプロセスでは、メッセージを解読不可能な形式に変換し、ハッカーやその他の不正利用者が内容を読むことを防ぎます。
暗号化されたメールは、意図された受信者の端末でのみ復号化できます。

メールは企業コミュニケーションの基盤であり、多くの機密性の高い企業情報や個人を特定できるデータが日々メールを通じて交換されています。
データ漏洩はメール通信にとって共通の脅威であり、企業データ、ファイル、財務情報、従業員の詳細などの壊滅的な侵害につながります。
このため、メールのデータを保護する方法としてメールの暗号化が有効です。

メールの暗号化は、ほとんどの主要なメールボックスプロバイダーによってサポートされています。
たとえば、Gmailは、他のメールプロバイダーがTLS暗号化をサポートしている場合に限り、暗号化されたメールを送受信します。

どのようにメールは暗号化されるのか

メールの暗号化は、いくつかの暗号化方法やプロトコルを利用して行われます。
このプロセスは自動的に行われる場合もあり、その場合はすべての送信メールトラフィックが暗号化されます。
また、手動で行う場合もあり、その場合は機密情報や個人を特定できる情報（PII）を含む特定のメールメッセージのみが暗号化されます。

メールの暗号化は、デバイスに暗号化ソフトウェアをインストールすることで可能になります。
しかし、最近ではクラウドベースのホステッドソリューションやプラットフォームが登場し、オペレーティングシステムやデバイスに何もアプリケーションをインストールすることなくメールの暗号化を容易にしています。

メール暗号化のアーキテクチャについては、さらに詳しくお読みください。

二つの主要なメール暗号化方法

メール暗号化プロトコルで使用される主な方法には二つあります。

二つのメール暗号化の方法
対称暗号化
この場合、暗号化キーと復号キーは同じです。
この方法は非常に単純ですが、メールの送信者と受信者の間でキーを安全に共有することは、情報のプライバシーを損なわないようにするのが難しいことがあります。
非対称暗号化（公開鍵暗号化）
これは対称暗号化のより安全な代替手段であり、暗号化と復号に異なるキーを使用します。
キーペアは公開鍵と秘密鍵で構成され、公開鍵は誰でもアクセスできますが、秘密鍵はキーの所有者だけがメッセージを復号するために使用できます。

一般的なメール暗号化の種類

メールの暗号化には、以下の3つの主要なタイプがあります。

PGP(Pretty Good Privacy)
PGP(Pretty Good Privacy)は、対称鍵暗号化と公開鍵暗号化の二つの暗号化フレームワークを組み合わせて使用するメール暗号化のタイプです。
これにより、通信中のメール情報を暗号化することができます。
PGPは、メッセージのプライバシーを確保する広範なセキュリティ機能を備え、機密ファイルやメールの暗号化によく使用されます。
S/MIME(Secure Multi-purpose Internet Mail Extension)
S/MIMEは、メールの内容を暗号化し、認証のためにデジタル署名するために使用できる別のメール暗号化タイプです。
S/MIMEはRSAデータセキュリティによって作成され、信頼できるCA（証明機関）からデジタル証明書の発行が必要です。
TLS(Transport Layer Security)
トランスポート層セキュリティ、またはTLSは、通信中のメールの内容を暗号化し、メッセージが二つの通信サーバ間の安全な接続を介して移動するようにするメール暗号化プロトコルです。
MTA-STSなどのメール認証プロトコルを利用することで、TLS暗号化を強化し、メールトラフィックがサイバー盗聴から保護されるようにします。

メール暗号化があなたのビジネスを守る5つの方法

簡単に言えば、あなたの会社を代表して送受信されるすべてのメールの添付ファイル、リンク、テキストを守ることが優先事項であるべきです。
しかし、まだ納得していない場合は、以下を読んで考えを変えてください。

1. ビジネスの評判にとって危険なデータ侵害

暗号化されていないメールは、悪意のある者があなたのビジネスに関連する機密情報、例えば顧客データベース、従業員の詳細、マーケティングやPR戦略、財務会計の複雑さなどを抽出することを可能にします。
そのような情報が市場に出た場合、あなたのブランドに全く影響がないと思いますか？
競合ブランドがあなたの悪手を利用して狙いを定めていることを思い出す必要はありません！

新聞やニュースチャンネルがあなたの顧客の重要な詳細が漏洩し、彼らがサイバー犯罪者の口座に金銭を送金するようにだまされたと報じた場合、ビジネスの評判がどれほど損なわれるか想像してみてください。

この記事を執筆している際に、このシナリオにぴったりのニュースがあり、データ侵害の可能性を真剣に考えるように説得するものと思います。
タージ・ホテル、高級ホテルの大手チェーンの1つがデータ侵害の標的になり、2014年から2020年までの顧客の住所、メンバーシップID、携帯番号、その他の個人を特定できる情報（PII）が漏洩しました。

2023年11月25日時点で、「Dnacookies」と名乗る脅威者が5000ドルの身代金を要求しています。
これだけでなく、デジタル個人データ保護法（DPDP法）では、データ侵害が発生した場合、ビジネス（データ管理者として認識される）に最大で2億5000万ルピー（約3000万ドル）の罰金を科すことを提案しています。
さらに、複数の違反に対する最大の罰金は5億ルピー（約6000万ドル）に設定されています。

これらの数字と事例は、サイバーセキュリティを真剣に受け止めない場合、どれだけ深刻な状況になり得るかを示しています！

2. ビジネスを守る規制のコンプライアンス

業界や運営国・都市によって、あなたのビジネスは政府によって規制される異なる暗号化コンプライアンスに従う必要があります。
これらのコンプライアンスに従わないと、機密情報の保護に失敗したためにデータを悪用された消費者からの訴訟や重い罰金にさらされるリスクがあります。
特筆すべき規制コンプライアンスには以下のものがあります。

HIPAA(健康保険の携行性と責任に関する法律)
HIPAAは、PHI（Protected Health Information：保護された健康情報）を含むメールに対して、送信時およびサーバに保存されている状態の両方でエンドツーエンドの暗号化を義務付けています。
社内ITスタッフがいない小規模の医療提供者は、自社のメールシステムにHIPAAのコンプライアンスを保証するために、サードパーティのHIPAA準拠のメールサービスプロバイダーを選択することが推奨されています。
HIPAA規制への非遵守は民事金銭罰を課され、違反の程度に応じて、違反ごとに100ドルから50,000ドルの罰金が科されます。故意の違反は刑事罰を伴い、罰金や懲役刑を科されることもあります。
GDPR(一般データ保護規則)
GDPRは暗号化されたメールの交換を明示的に義務付けていませんが、強く推奨しています。
メールユーザが1日に送信する122通の業務関連のメールが、あらゆる方法で悪用されないように保護されるべきだと考えています。
PCI-DSS(決済カード業界データセキュリティ基準)
PCI-DSSは、企業に顧客の詳細を送信中および保存中に保護することを求めています。
また、カード所有者のデータが移動中に保護されるための措置を詳細に説明する責任があります。
最近、PCI-DSSでDMARCの実装が、2025年の施行開始前に組織に対する将来的な要求として義務付けられました。
PCI-DSSは、非コンプライアンスの企業に対して、月額5,000ドルから100,000ドルの罰金を課します。
CCPA(カリフォルニア消費者プライバシー法)
CCPAに従う必要がある企業は、消費者の個人情報を含むメールを暗号化する必要があります。
顧客の機密データを開示または紛失した企業に対しては厳しい訴訟が課されます。
CCPA基準に準拠していることを確認し、そのサービスが特定の要件と一致していることを確認するために、潜在的なサービスプロバイダーを研究することが重要です。

3. 悪意あるメッセージの改竄

安全でなく、暗号化されていないメッセージは、送信者や受信者に気付かれることなく、送信中に追跡され、内容や物語を変更される可能性があります。
これは、ブランドや送信者の評判にとって有害です。メールの調子、内容、意図を変えることは、紛争や法的問題を引き起こす可能性があります。
暗号化サービスには、有効期限とタイムスタンプ、ランサムセッションキー、一度限りの使用パスワードが含まれており、これらはすぐに破棄され、メッセージの返信リスクを減らすために用いられます。

4. 関係を乱し、個人的な苦痛を引き起こすなりすまし

ハッカーはあなたになりすまし、送信されるメッセージを変更することで、メールの内容に困惑したり動揺したりする連絡先との関係に負担をかける可能性があります。
個人的なレベルでは、偽装の被害者になると、個人的または職業的な境界線の侵害による感情的な苦痛が生じ、状況を正すためや関連するリスクを軽減するために大きな努力が必要になります。

5. 削減できる様々なレベルでのコスト

メールの暗号化を実装することは、さまざまな方法で会社のコスト削減に大きく貢献することができます。
まず第一に、機密情報と通信を保護することで、暗号化はデータ侵害やサイバー攻撃を防ぐのに役立ちます。

セキュリティ侵害の財政的影響は、法的費用、規制罰金、潜在的なビジネス損失を含め、大きなものになり得ます。
メールの暗号化はこれらのリスクを最小限に抑え、会社を潜在的な財政的負担から守ります。

さらに、暗号化された通信はクライアントやビジネスパートナー間の信頼を高め、そうでなければ収入損失につながる可能性のある評判の損傷の可能性を減少させます。
また、データ保護規制の遵守はペナルティを回避する上で重要であり、メールの暗号化はこれらのコンプライアンス要件を満たすのに役立ち、高額な結果を防ぎます。
メール暗号化ソリューションへの投資により、企業は機密データを保護するだけでなく、コスト効果の高いリスク軽減と規制コンプライアンスへの戦略的な投資を行っています。

まとめ

この記事は、重要な詳細を含むメールを承認された人々だけが読めるようにするために、メール暗号化ソフトウェアやクラウドベースのサービスの使用の重要性を共有することを目的としています。
小規模および中規模のビジネスに対するサイバー攻撃の増加は、メッセージの改竄に対する新しいかつ洗練された手段から組織を保護するための対策を採用する必要性を強調する警鐘です。