PPAPに代わる安全なファイル転送

PPAPに代わる製品を選ぶときはココに注目! [セキュリティ機能チェックリスト付き]

PPAPに代わる製品を選ぶときはココに注目! [セキュリティ機能チェックリスト付き]

この記事では、PPAPの廃止にともなう代替ソリューション選びで重要なポイントをまとめています。また、オンラインストレージ型ファイル共有ソリューションで必要とされるセキュリティ機能リストも掲載しています。 ソリューションを選ぶ際のチェックリストとして活用してください。

「脱PPAP」が加速するなか代替ソリューション選びに悩む企業

2020年11月に日本政府が、パスワード付きZIPメールである「PPAP」の廃止を宣言してから、すでに5か月が過ぎました。ネーミングの妙もあって世間的にも注目されましたが、この流れを受けて多くの企業が慌ただしく動いています。

社内でのPPAP廃止を公表するユーザー企業が続々と登場する一方、メールのセキュリティソリューションを提供しているベンダー各社は、商機とばかりに製品の売り込みに力を入れています(このブログ以外にもPPAP関連の記事や広告を数多く目にしたはずです)。しかし、政府はNGを突きつけたものの、その代わりを明確に示していないため、現場ではちょっとした混乱も起きています。特に「自動PPAP」ソリューションを導入していた企業のIT担当者は、「どの製品に乗り換えればいいのか?」と頭を悩ませています。

PPAPの乗り換え候補として宣伝されている製品の中には、PPAP問題を根本的に解決できていない「的外れ」なものもあり、それがこの問題をより一層難しくしています。「宣伝文句を信じて導入したら、あとあと困ってしまった」とならないように、目的や要件をしっかりと踏まえて代替ソリューションを選ぶ必要があります。

自動PPAPを導入したとき、「パスワード付きZIPメール方式」という点には疑問を抱くことなく、「手作業よりは楽で正確だから」「プライバシーマークの取得に必要だから(これは誤解です)」といった理由で選んでしまったのではないでしょうか。今回、その大前提が崩れてしまったわけですが、二の舞を演じないためにも適切な製品選びが求められます。またPPAPからの移行は、セキュリティ改善に加えて企業としての信頼性やブランディングにも影響します。海外では法令などもあってZIPファイル添付は主流ではなく、セキュリティ上かえって警戒されたり受信拒否されたりするケースもあります。海外企業とのやり取りがあるなら、国際的に認知されているソリューションも検討すべきでしょう。

代替ソリューションが備えるべきセキュリティ機能

前回のブログ記事でも触れたように、会社などの組織を越えたファイル送信(個人対個人のメッセージコラボレーション)で有力な選択肢は、オンラインストレージ連携型※のファイル共有ソリューションです。PPAPからの乗り換えとして見ると、オンラインストレージ機能を重視するか、「メール添付」という従来のユーザー体験を重視するかの違いはあるものの、「ファイル自体の共有はオンラインストレージ経由で」という方向性は多くのベンダーで共通しています。

※ここでの「オンラインストレージ」とは、SaaSとしてオールインワン提供されるものからサーバーを自社で管理するものまで含まれます。

ただし、同じオンラインストレージ連携型ファイル共有ソリューションでも、その機能を詳細に見ていくとさまざまな違いがあります。使い勝手や社内システムとの連携については各社ごとに適したものを選べばよいのですが、特に注意を払ってほしいのがセキュリティ関連の機能です(PPAPにセキュリティ上の問題があるから乗り換えるわけですから、これは当然でしょう)。

セキュリティ関連の機能は、目的や想定する脅威、データの重要度に応じてさまざまなレベルの仕組みや技術が存在します。以下に、オンラインストレージ連携型ファイル共有ソリューションで想定されるセキュリティ関連機能や技術を紹介します。これらはエンドユーザーが意識するものではありませんが、情報システム部で製品選びの担当者なら、概要だけでも把握しておくべきでしょう。どのようなものがあるのか、そのうちどれが自社にとって必要かなど、検討時のチェックリストとしても役立つはずです。

オンラインストレージ連携型ファイル共有ソリューションで必要とされるセキュリティ機能一覧

機能名

概要

ユーザー管理とアクセス制御

 

ポリシーベースのユーザー管理

システム管理者、管理者、登録ユーザー、一時ユーザー(時間制限)、ゲストユーザー(回数制限)、グループ、ユーザークラスごとにポリシーを設定できます

アクセスを必要最小限に限定

MOVEit のユーザー/グループアクセス許可によって、特定項目へのアクセスを許可します

各種認証

シングルサインオン、多要素認証、外部認証、リモート認証ができます

リモート認証

Microsoft のインターネット認証サーバー、Novell の BorderManager、Microsoft Active Directory、Novell eDirectory、Sun iPlanet、IBM Tivoli Access Manager(SecureWay)などの標準的なRADIUSおよびLDAPサーバーをサポートします

クライアント証明書とクライアントキー

SSL(X.509)クライアント証明書とSSHクライアントキーの使用をサポートします

通信路の暗号化

SSL、SSH、HTTPSプロトコルをサポートします

IP/ホスト名のアクセス制限

特定のユーザーまたはユーザーのクラスを所定の範囲のIPアドレスおよび/またはホスト名で制限できます

開封明示監査ログ

サインオン/オフのイベントだけでなく、システムのセキュリティに直接影響するアクセス許可の変更、新規ユーザーの追加、送信、開封など、より詳細なアクションを改ざん防止ログに記録します

否認防止(否認不可)

認証および整合性チェックにより、特定の人物が特定のファイルを送信/受信したことを証明します

一方向のワークフロー

ユーザー自身がシステムにアップロードしたものをダウンロードできないように設定できます。ユーザーの自身のための不正利用を防止します

データ保存や配信の信頼性向上

 

整合性チェック

送信の最終段階で送信されたファイルの暗号化ハッシュを取得し一致するか確認します

送信の再起動/再開

ファイル送信の再開をサポート。サイズの大きなファイルの送信がサービス拒否攻撃を受けにくくします

配信保証

否認防止機能と送信の再起動/再開機能を組み合わせることで、配信保証要件を満たします

パスワードの強化

 

適切なパスワード保護

強力なパスワードを要求し、ユーザーによるパスワードの再使用を防ぎ、ユーザーにパスワードの変更を定期的に求めます

パスワードの安全性要件

数字/文字、辞書に収録されている単語、文字数の要件など、パスワードを複雑にするためのさまざまな要件を設定できます

パスワード履歴

所定の数のパスワードを記録し、ユーザーがそれらのパスワードを再使用できないようにします

キーロガー対策

サインオンするときに使用したキーボード操作がキャプチャされないように、データ入力の代替手段として仮想キーボード(GUIコントロール)が用意されています

データの機密保護

 

ストレージの暗号化

FIPS 140-2 認定を受けた AES-256 アルゴリズムでデータを保存します。米国では政府関係、地方政府が製品を採用する場合、この暗号化ソリューションは必須になっています

削除データ領域の保護

ファイル削除後、復元できないように物理ディスク領域を乱数データで上書きします

ウィルス対策

セキュリティを最大限に高めるため、大部分のファイルはそのままメモリに保存されることはなく、暗号化され、小さなチャンク(塊)として読み取りと書き込みが行われます

メール本文テキストの保護

メモを保護すると、受信者宛ての通知メールとして送信されるEメールから本文テキストが削除されます。テキストは、受信者がパッケージにアクセスした後、パッケージにのみ表示されます

スニッフィング防止

受信したファイルの各部分を小さくバッファにスプールし、ただちに暗号化保存します

送信とストレージのファイル交換時の予防措置

トロイの木馬のスニッフィングを防止するため、受信したファイルの各部分を小さなバッファにスプールし、これらを暗号化してただちにディスクに書き込みます

通知メールの信頼性担保

ファイル送信の通知メールを、通常使用している SMTP サーバーとは別の SMTP リレーサービス(例えば SendGrid)経由で送信することで、パスワードなどの同一経路での送信を回避し、迷惑メール誤判定やスニッフィングを防止します

アタック対策

 

アカウントのロックアウト

有効なアカウントに間違ったパスワードで何度もサインオンしようとした場合、そのアカウントをロックアウトできます

IPロックアウト

MOVEit でのサインオンに何度も失敗した場合、当該IPアドレスを持つマシンがそれ以上システムに要求できないようにします

製品名とバージョン ID の非表示

承認されていないユーザーに製品名やバージョン番号を非表示にします。これによりクラッカーが攻撃対象を特定するには膨大な調査が必要になります

クロスフレームスクリプティング対策

クロスフレームスクリプティング攻撃を防ぐために、Webインタフェース自体がフレームや iframe ウィンドウで読み込まれないようにします

サービス拒否(DoS)攻撃対策

証明書チェックによるリソース消費や匿名ユーザーが使用できるその他のリソースに起因する DoS 攻撃を防御します

 

ここで紹介したセキュリティ機能は、実はプログレスが提供するオンラインストレージ連携型ファイル共有ソリューション「MOVEit」シリーズに実装されているものの一部です。これらを適切に組み合わせて利用することで、セキュリティレベル、使いやすさ、コストのバランスを取ることができます。

専門機関の評価を参考に製品の安全レベルを判断

「MOVEit」シリーズをはじめ、オンラインストレージ連携型ファイル共有ソリューションは数多くあります。先述のセキュリティ機能一覧表を参考に各ソリューションを評価すればよいのですが、選択肢がいくつもあると時間も手間もかかって楽ではありません。その場合、客観的な評価を参考にして、最初にある程度絞り込むことをお勧めします。

セキュリティ分野の製品には、さまざまな専門機関が定めた基準が存在し、それらをクリアした製品は認証・認定されます。必要な機能を備えているかどうかは製品資料などから調べられますが、どれだけ信頼できるかどうかは試してみなければわかりません(実際に何かインシデントが起きるまでわかりません)。世の中に100%完ぺきなセキュリティは存在しませんが、それでもより高い安全レベルを求める場合、そのような専門機関が定めた基準をクリアしているかどうかは非常に大きな判断材料になります。例えば、以下は世界および日本で高く認められているセキュリティ要件や認定・認証です。

  • GDPR:EU一般データ保護規則
  • FIPS:米国国立標準技術研究所(NIST)が発行する情報処理の標準規格
  • FIPS140-2:暗号モジュールのためのセキュリティコード
  • HIPAA:医療情報の電子化に関するプライバシー保護やセキュリティについて定めた米国の法律
  • PCI DSS:クレジット業界におけるグローバルセキュリティ基準
  • ISO/IEC 27001:情報セキュリティマネジメントシステム(ISMS)に関する国際規格
  • SARBOX:上場企業会計改革および投資家保護について定めた米国の法律(サーベンス・オクスリー法)
  • CC(ISO/IEC 15408):情報技術セキュリティの観点からシステムを評価するための国際標準規格

「MOVEit」シリーズは、上記で説明しているGDPR、FIPS、HIPAA、PCI DSS、SARBOXといったセキュリティ要件の準拠や認定をクリアしています。また、米国障害者法(ADA)の基準に準拠しており、障害をもつ方に配慮した設計を実装しています。

現在プログレスでは、PPAPからの乗り換え支援キャンペーンとして、オンラインストレージ連携型ファイル共有のために必要な「MOVEit」シリーズ製品をまとめたバンドルパッケージを特別価格で提供しています。代替ソリューション選びで悩まれているIT担当者の方は、ぜひご検討ください。

MOVEitキャンペーンバンドルパッケージには、以下の製品が含まれています。

  • MOVEit Transfer(無制限ユーザーライセンス)
  • MOVEit Ad Hoc Transfer(無制限ユーザーライセンス)
  • MOVEit セキュアフォルダ共有
  • MOVEit API Module
  • MOVEit Mobile
 

Comments
Comments are disabled in preview mode.
Thanks for subscribing! Loading animation