【求められる「IT統制」】 適切なシステム構築とは

　個人情報保護法や新会社法に続く「日本版SOX法」の全面施行を前に、喫緊の課題となっているのが業務メールのリスクマネジメントだ。本特集では、企業のメールコンプライアンス構築やリスクマネジメントのあり方、需要が高まるメール監査システムの特徴など、メールセキュリティ対策の現状と各種ソリューション選びのポイントを紹介する。

アーカイビングや可視化は不可欠に

　今や企業での業務ツールとして欠かせない電子メール。日本版SOX法の全面施行を前に、業務メールのリスクマネジメントが一段と重要視されている。同法が求める「IT統制」では、ITを使った業務プロセスを有効に機能させることを要求しており、業務で使う電子メールの可視化や記録保持が不可欠となってきた。

　そのために必要となるのが「メールコンプライアンス」の構築だ。これは、電子メール関連法規の遵守はもちろん、運用基準の策定やセキュリティ対策などを通じ、電子メール利用における企業の統一意識を高めていくというもの。日本版SOX法に対応した内部統制強化に、有効な手段として注目を集めている。

　では、メールコンプライアンス構築に向けて、具体的に企業は何を行えばいいのか。第一に挙げられるのが、業務メールの使用実態やリスクを把握し、その企業に即した「メッセージングポリシー」を策定することである。

　これは、業務で使用する電子メールの運用管理や安全対策、従業員教育などに関する方針や遵守事項を文書化したもの。メールの使用方法を従業員個人に任せるのではなく、社内統一ルールを策定することで、情報漏えいなどの事故防止やトラブル時の適切な対応を行う上で効果がある。

　一方で企業経営者層の意識改革の必要性も指摘されている。例えば、独立行政法人の情報処理推進機構が昨年7月、情報セキュリティに対する意識を聞いたところ、「まったく重要でない」「あまり重要ではない」と答えた経営者層が合わせて1割近くいた。トップの危機認識が浸透し切ってしていないことがうかがえる。

メール監査システムが有効

　メッセージングポリシーを策定しても正常に運用していくためには、社内メールの管理システム構築が欠かせない。有効な手立てとなるのがメール監査システム。秘密情報の漏えいや誤送信などの事故を防止し、社内のメールが正常に使用されているかのチェックが行えるためだ。

　加えて、セキュリティ対策の強化にはメールの暗号化やウイルス・スパム対策といったソリューションを組み合わせることが必要となる。

　また、最近特にその必要性が叫ばれているのがメールのアーカイブ化だ。完全保存しておくことで、事故発生時の原因や事実究明が可能となるだけでなく、法的証拠としても使えるため、企業防衛上も効果的な手法となりうる。

　現在、メールセキュリティの関連システムは各社から豊富なソリューションが提供されており、企業のニーズに合った形で選ぶことができる。

　一方、自社でメールサーバを運用する場合、運用管理をはじめ、メール監査・アーカイビング、迷惑メール対策など中小企業ではコストや人的な面からも負担が大きい。フルアウトソースが可能な事業者を利用することで、社内の負担を軽減することが必要である。

メールセキュリティ対策　商品選択のポイントは

　「メール監査システム」は主に、検査を行う「フィルタリング」と、一括保存する「アーカイブ」で構成される。

　フィルタリングでは、監査対象ルールの設定が多階層で行えるなどの柔軟性、ポリシーやキーワード設定の容易さなどに注目。BCCメールや添付ファイルの監査も視野に入れると良い。

　アーカイブ化ソリューションで重視したいのが保存容量。例えば1アドレス当たり日に1MB必要だとしても1年で365MBとなる。人数分が必要となるだけに、豊富な容量とストレージに最適化保存できることが望ましい。また、目的のメール見付け出すための高速検索機能を備えているか否かも大きなポイント。アーカイブメールに手が加えられていないことを保証する「非改ざん証明」も注目したい機能だ。

　セキュリティをさらに向上させるためには、暗号化ソリューションの連携が不可欠。PGP、IBE、ZIPなど多様な方式に対応するソリューションがある。いずれも長短があり、用途や目的で選ぶと良い。

　ウイルス・スパム対策では、各製品とも高精度な検知やブロック機能を備えているため、柔軟性のある要件対応、システムへの組込みや管理の容易さなどがポイントとなりそうだ。