企業セキュリティと法律問題の第一人者、牧野二郎弁護士 に聞く「メールのクラウド化」は安全か？

クラウド型メールサービス導入のメリットとは

　---　クラウド・コンピューティングという概念が広まり始めた頃、まず注目されたのはIT投資の最適化、コストメリットでした。それが3.11の大震災以降、クラウドに対する見方が変化したと言われています。

　牧野　震災で壊滅的な被害を受けた後、どうすれば企業が再生できるのかが問題になりました。生産設備の損壊や、寸断された物流網は必死の努力で少しづつ復旧してきました。そのうえで、企業の再生で重要なのは、企業の血液ともいえるものでしょう。人材は言うまでもなくその重要な要素。もうひとつは、企業が長年培ってきた信用、ノウハウ、知見です。それらを再構築するためには、顧客情報を含めた企業が持つ資産と、日々の活動をデータ化し、保存していることが不可欠です。さらにそれらを自社内だけに置いていたのでは、災害に対応できない。そこでデータの確保という側面からクラウドが評価されるようになっています。

　---　メールについても、「企業のメールサーバーをクラウドで外に出してしまうのはリスク」というマイナスの考え方から、「メールによる情報漏えいを防ぐために、PCやモバイル機器などのデバイスに残さない運用が有効」というプラスの方向に考え方がシフトしてきつつあると思います。そのメリット、デメリットについてはいかがお考えでしょうか。

　牧野　クラウドメールを使うメリットとしてまず挙げられるのは、PCが駄目になって取り替えても、データがしっかり残っている。また利用する場所を選ばないということです。

　一方、PCとほぼ同様、あるいはそれ以上のパワーを持つスマートフォンが普及してきて、コミュニケーションツールとして活用されています。スマートフォンは情報へのアクセスツールとなっているため、そのセキュリティを個人の作法に依存してしまうと、非常に大きな脅威となり得ます。

　さらにデバイス、ソフトウェア、使い方が変わる中で、利用する社員だけでなく管理者もついて行けないという現実が出て来ています。どんなに良いものが導入されても、人間がついていかないと、穴だらけのツールになってしまう。そういう意味で、クラウドサービスを利用するにしても、そのために特別な研修などが必要なのであれば、導入そのものがリスクになる恐れがあります。

　---　使いやすいインターフェースが必須というわけですね。

信頼できる事業者、サービスの見極めポイントとは

　---　クラウドのメールサービスを選択する場合、チェックすべきポイントについてどのようにお考えでしょうか。まず事業者の選定ということでは、最近ではクラウド事業者が事故を起こし、日本企業を含めた利用者のデータが消え、回復不能という事件が起きています。

　牧野　信頼できる事業者を選ぶしかありません。その点、我が国の通信インフラそのものは非常に高品質であり、有力企業によるサービスでは、内部監査がきちんと行われていているといえるでしょう。

　一方、コストメリットを第一に考えた場合、価格面では日本より海外のサービスが有利にみえる場合があります。クラウド事業者も欧米だけでなく今後アジア各国からもサービスが出てくるでしょうから、価格だけでは太刀打ちできません。

　そこでよく聞かれるのがクラウドの法制度なのです。事件が起きたときにどの法律が適用されるのか。結局、そういう意味での統一法のようなものはありません。そのため、外国にあるサーバにあるクラウドのデータを、当該国の国家権力で差し押さえてチェックすると言われたら、従うしかない。これは諸外国の政治体制を問わず同様に言えることです。

　我々、法律に係わる立場にいる者は、怖くて海外のフリーメールサービスは採用できません。やはり日本の企業は、日本の法律だけが適用されるサービスを選択した方が安全です。

　---　今以上のメール活用と安全性確保、管理負担の軽減を考えた場合、予算や人的リソースが限られている中堅・中小企業こそクラウド型メールサービス導入のメリットは大きいのではないでしょうか。最近では中堅・中小企業向けと銘打ったサービスも増えてきました。事業者、サービス選択における留意点についてのご意見をお聞かせください。

　牧野　国内の実績ある事業者であることに加えて、導入と運用のサポート体制をしっかりと確認する必要があります。セキュリティと使い勝手のバランスも重要です。

クラウド型メールサービスにおけるセキュリティとは

　---　クラウドのメールサービスで、企業が必要とするセキュリティのポイントについてはいかがお考えでしょうか。

　牧野　持ち出しPCやスマートフォンのセキュリティを考えると、盗難、紛失による情報漏えいが最も怖い。そこで、重要情報はなるべく端末に残さない運用が望ましいということになります。ただ、たとえば僕の場合では、裁判所の内部からメールや資料を取りたいとき、電波状況が良くないと非常にストレスを感じてしまう。テキストのメールはまだいいのですが、容量の大きな添付ファイルがあると大変です。

　牧野　また、メールによる情報漏えいの多くは、誤操作により起きているという事実があります。添付ファイルについては、パスワードで暗号化するのが運用の基本です。ところが、そのようにルールを定めても、急いで作業をすると忘れてしまうこともあり得ます。

　さらに実際に起きた事件で、退職を間際にした社員が、会社の重要情報を会社のメールシステムを使って数多く社外に送っていた。メールによる情報漏えいは、うっかりと悪意の両方で起こり得ると考えなくてはなりません。

　さらにメールについて色々なところで議論していて、いつも出てくるのが迷惑メール、スパムに対する不満です。それらの点について、どのようなソリューションを提供しているのかも、サービス選択のポイントになると思います。

メールの法的価値と、長期保存の重要性

　---　企業活動の記録という面で、メールは最も重要なコミュニケーションツールとなっています。一方、企業のリスク管理、社会的責任という観点から、メールはどのように見られているのでしょうか。

　牧野　きちんとした統計を取っているわけではありませんが、裁判所に出てくる証拠の半分以上がメールというのが実感です。今は、電話で話すと残らないので、「全てメールにしよう」というルールが企業の法務の中で出て来ています。電話しても必ず確認メールを打つ。返信には、必ず前者のメールを引用する。メールが非常に強い信頼性を持つようになったというのが現在の法実務、裁判実務の現状です。

　そのため、企業としてはメールをきちんと数年間、確実に保管、管理しておかなければなりません。仮にメールデータを消失させてしまったら、何か問題が生じたときに説明責任を尽くせない。コンプライアンスの観点からも大変な問題です。メールの安全な保存は、企業の死命を決する要求事項だと認識していただきたいと思います。
また、今年(平成24年7月)から、輸出入業者に対して、輸出入に係る取引の関係書類を電子メールなどでやりとりした場合は、そのメールを5年間保存するという義務付けが行われるようになりました。ビジネス環境がグローバル化するとともに、取引のガバナンスも今後ますます重要になってくることを意味しています。企業がグローバルに成長していく上でも、メールのマネジメントと活用が競争力の鍵になるといえるでしょう。

　---　本日は貴重なお話をありがとうございました。