送信者から受信者まで、第三者に読み取られないよう鍵で保護されたGmailのエンドツーエンド暗号化（E2EE）の仕組みをイメージした図

Gmailのエンドツーエンドメール暗号化をわかりやすく解説する企業向けガイド

Gmailのクライアントサイド暗号化(CSE)の仕組みから設定手順を詳しく解説!

2025年4月9日
著者: Milena Baghdasaryan
翻訳: 古川 綾乃

この記事はPowerDMARCのブログ記事 Gmail End-to-End Email Encryption Explained: A Guide for Enterprise Usersの翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

Googleは最近、クライアントサイド暗号化（CSE）を利用し、すべての企業ユーザにエンドツーエンド暗号化（E2EE）メールを提供する方針を発表しました。
現在はベータ版として提供されていますが、企業ユーザはすでに同一組織内のGmailユーザに対して暗号化メールを送信できます。
Googleによると、今後数週間以内に任意のGmail受信ボックスへE2EEメールを送信できるようになり、さらに今年後半にはGmail以外のメール受信ボックスにも対応する予定です。

この機能は、現時点ではすべての組織や個人向け、無料のGmailアカウントには提供されていません。
この新しい暗号化方式は、エンドツーエンド暗号化をより簡単に利用できるようにすることを目的としています。
Googleはこの方式を、企業環境で導入や運用が複雑になりがちなS/MIMEに代わる選択肢としています。

主なポイント

Googleの暗号化の取り組み
Googleは特定のGoogle Workspaceエディションを利用する組織向けに、エンドツーエンド暗号化されたメールを導入しています。
簡素化された暗号化
この方式はS/MIMEプロトコルの代替として設計されており、メールセキュリティをより手軽に利用できるようにすることを目的としています。
導入方法
組織は、Google WorkspaceのCSEに加え、サードパーティ製の暗号化ツールやブラウザ拡張機能を利用して、Gmailのエンドツーエンド暗号化を有効化できます。
他のプロバイダ
ProtonMail、Tuta、Mailfenceなどのメールサービスも、エンドツーエンド暗号化に対応しています。
セキュリティの利点
暗号化はフィッシングそのものを防ぐ手段ではありませんが、メッセージ内容の盗聴や改竄を防ぐ効果があります。
DMARCなどのメール認証プロトコルと組み合わせることで、メール全体のセキュリティをさらに強化できます。

Gmailはエンドツーエンド暗号化に対応しているかについての解説

デフォルトでは、GmailはTLS（Transport Layer Security）を使用して、転送中のメールを暗号化しています。
ただし、TLSが保護するのはメールサーバ間の通信のみであり、メール本文そのものを暗号化する仕組みではありません。
そのため、Googleのようなメールプロバイダや、万一侵入した第三者がサーバ側から内容にアクセスすることを防ぐことはできません。

2019年、Gmailは「機密モード」を導入し、有効期限の設定やアクセス制限といった追加のプライバシー機能を提供しました。
ただし、この機密モードは、真のエンドツーエンド暗号化とは異なります。
主な理由は以下の点です。

真のエンドツーエンド暗号化では、送信者と受信者のみがメッセージを閲覧でき、Googleであっても内容を読むことはできません。
最近になって、Gmailは、特定のGoogle Workspaceエディションを利用する企業ユーザ向けに、エンドツーエンド暗号化を提供し始めました。
現時点では無料のGmailアカウントでは利用できませんが、今後はより広い範囲への提供が計画されています。

Gmailの組み込み暗号化の仕組み

TLSは、メールの送信中における通信の暗号化を保証します。
機密モードは、有効期限の設定やアクセスの取り消しを可能にします。
一方で、メール本文はGoogleのサーバ上では暗号化されていない状態で保存されます。

ただし、機密モードには次のような重要な制限があります。

さらに、Gmail以外のユーザにメールを送信する場合、受信者はリンクとパスコードを通じてアクセスする必要があります。
これらが共有されてしまうと、メッセージはもはや機密ではなくなります。

Gmailでエンドツーエンド暗号化を有効にする方法

Gmailでエンドツーエンド暗号化を利用するには、Google Workspaceのクライアントサイド暗号化、またはサードパーティ製の暗号化ツールを使用します。

Google Workspace クライアントサイド暗号化（CSE）

Google Workspace クライアントサイド暗号化（CSE）を有効にするには、以下の手順に従ってください。

  1. まず、外部暗号鍵サービスを選択する必要があります。 これは、データを保護するための最上位の暗号鍵を管理する役割を担います。
  2. 次に、Google WorkspaceをIDプロバイダ（IdP）に接続します。
    このIdPは、第三者のIdPまたはGoogleのIDを使用でき、ユーザが暗号化や暗号化されたコンテンツへのアクセスを行う前に、そのユーザの身元を確認します。
  3. 次に、鍵サービスプロバイダとの連携が必要です。
    目的は、Google Workspaceクライアントサイド暗号化用のサービスを確立することです。
  4. 上記のステップを完了したら、鍵サービス情報と外部鍵サービスのURLを管理コンソールに追加する必要があります。
    これにより、サービスをGoogle Workspaceに接続できます。
  5. サービスをGoogle Workspaceに接続した後、鍵サービスを組織のユニットに割り当てる必要があります。
  6. このステップには、APIやPythonスクリプトに関する技術的な知識が求められます。
    必要な知識とスキルがある場合は、以下の手順に従ってください。
    1. Google Cloud Platform（GCP）プロジェクトを作成する。
    2. Gmail APIを有効にする。
    3. APIに組織へのアクセス権を付与する。
    4. Gmailユーザに対してCSEを有効にする。
    5. Gmailに対して、秘密鍵および公開鍵へのアクセスを構成する。
  7. クライアントサイドで暗号化されたコンテンツを作成する必要があるユーザに対して、CSEを有効にする。
    以上で準備完了です。

最後のオプションとして、S/MIMEによる外部アクセスの設定や、CSEメールとしてのメッセージのGmailへのインポートも含めることができます。
なお、 クライアントサイド暗号化(CSE)を有効にすると、Gmailの一部の標準機能が利用できなくなる場合があります。

サードパーティの暗号化ツールの使用

FlowCrypt
FlowCryptのようなツールを利用すると、GmailにPGP（Pretty Good Privacy）暗号化を追加でき、メール通信のセキュリティを強化することができます。
PGPは、暗号化されたメールを送受信するための暗号方式で、メールだけでなく機密ファイルの暗号化にも利用できます。
この方式は1991年に考案され、その後、メールセキュリティの事実上の標準として広く普及しました。
Mailvelope
Mailvelopeは、Mailvelope Key Serverをはじめ、ファイル暗号化やフォーム暗号化などの機能を提供しています。
標準のメールUIでは不足しがちな暗号化および復号化機能を補完します。
その結果、比較的簡単な操作でメール通信を暗号化できるようになります。
Mailvelopeは、Google Workspace、Microsoft 365、Nextcloudなどのクラウドサービスと統合して利用できます。
さらに、他のPGP対応アプリケーションとも互換性があります。

ただし、メールプロバイダ独自の暗号化機能や個別のソリューションを利用する場合は、仕組みや制限を十分に理解した上で使用する必要があります。

エンドツーエンド暗号化をサポートする他のメールプロバイダ

エンドツーエンド暗号化に対応したメールサービスとしては、ProtonMail、Tuta、Mailfenceなどが挙げられます。

ProtonMail
ProtonMailは、エンドツーエンド暗号化を標準で備えたメールサービスで、ユーザ自身が自分のデータを管理できるよう設計されています。
また、VPN、クラウドストレージ、パスワードマネージャ、カレンダー、ウォレットといった他のサービスも提供しています。
エンドツーエンド暗号化とゼロアクセス暗号化により、メール内容にアクセスできるのはユーザ本人のみで、Protonであっても内容を閲覧できません。
Tuta
Tutaは、量子耐性暗号を採用したエンドツーエンド暗号化メールサービスをいち早く提供したプロバイダの一つです。
このサービスは、ゼロ知識アーキテクチャを採用し、GDPRの厳格な要件にも準拠しています。
Mailfence
Mailfenceは、サードパーティ製の広告やマーケティングトラッカーを使用せず、広告も表示しません。
同社は厳格なプライバシー規則を遵守しており、エンドツーエンド暗号化を提供しています。
つまり、Mailfence自身であっても、ユーザのメール内容にアクセスしたり読むことはできません。

メールセキュリティにおけるエンドツーエンド暗号化の重要性

エンドツーエンド暗号化は、メールセキュリティに多くの利点をもたらします。

フィッシングやメールの傍受に対する保護
Gmailは、数十億のエンドポイントからの膨大な信号を統合的にチェック・評価する新しいAIモデルを導入しています。
この高度な評価により、システムはフィッシングを初期段階で検出し、対処できるようになります。
これに正しいDMARC設定を組み合わせることで、メールセキュリティが強化され、自社ドメインを保護することができます。
データプライバシー法（GDPR、HIPAAなど）への準拠
多くのコンプライアンス要件があります。
たとえばGDPRでは、欧州の消費者データを取り扱うすべてのクラウドサービスプロバイダに対して、データ処理契約（DPA）が必要です。
Gmailの新しいエンドツーエンド暗号化は、既存の規格への準拠に向けた一歩となり得ます。
特に、DMARCと組み合わせることで最も効果的になります。
これらの国際規制の多くは、メール認証プロトコルの導入も求めているためです。
機密データの安全な通信
E2EEは、アクセスを許可された関係者のみに限定することで、機密データを保護します。
つまり、メール内のデータにアクセスできるのは、送信者と対象となる受信者のみです。
メールは送信前にクライアント側で暗号化されるため、Googleでさえも暗号化されたデータにアクセスすることはできません。
人的ミスの最小化
エンドツーエンド暗号化は、暗号化プロセスを簡素化することで人的ミスを減らします。
これは、S/MIMEプロトコルのように証明書を交換したり設定を確認したりする必要がなくなるためです。

結論

Gmailによる新たなエンドツーエンド暗号化機構の導入は有望です。
しかし、この取り組みはまだ初期段階にあります。
この新技術の有効性については、今後の運用実績を踏まえた評価が必要です。

それまでは、すべての企業が追加の暗号化手法を検討し、ベストプラクティスを実施すべきです。
メールの暗号化に加えて、メール認証の導入は、なりすましやフィッシングのリスクを大幅に軽減できます。

PowerDMARCのような、メールおよびドメイン名セキュリティの信頼できる企業は、DMARCのマネージドサービスを提供しています。
これにより、技術的な複雑さなく、エラーのないDMARCの導入を実現できます。