パスワード付きZIPファイルの送付に関する安全性の是非

機密情報をメールで送る際に、PマークやISMSの運用ルールでは、セキュリティ対策の暗号化の措置として、パスワードは別メールまたは別の手段で相手に伝えるという項目があります。多くの企業が、「データの暗号化、パスワード設定」に準じた方法を選択していますが、果たしてこの方法は有効なのでしょうか？

スレッドを別にしたメールで送るとはいえ、ルートが同じであり、盗聴対策としては効果的でないことは、良く知られています。

利点をあげれば「誤送信の場合に、パスワードを知らなければ展開できない」ことで、ヒューマンエラーは防げます。技術的な側面からすると、すでにメールの中身が盗み見られている状況なら、パスワードもそのままの流れで送信され、メリットすらなくなります。

暗号化の徹底には、送受信側で技術的な設定が必要となるため、実装だけでなく運用や管理に費用がかかり、ハードルが一気に上がります。プロジェクト管理ツールやファイル共有サービスを使う場合であっても、企業によって使用制限があったり、各人に使い方を指導する時間を要したりと、容易に導入決定できるものではありません。

ビー・オー・スタジオではどうしているか？

現実的な方法としてパスワードは顧客単位、プロジェクト単位であらかじめ決めておき、事前に打ち合わせやメッセンジャーなどで共有する方法を採用しています。さらに社外秘の情報や機密文書をメールで送ることは極力避け、招待制の共有オンラインストレージサービスに保存。そしてオンラインストレージは、外部には開放しないものとし、社内でのみ利用しています。

パスワードはメールで送らない。オンラインストレージの使えない外部とのやり取りの場合には、先に決めておいた以外の新しいパスワードを口頭でのみ伝えています。