応用情報技術者 試験情報＆徹底解説

電子メールのセキュリティに関する次の記述を読んで，設問1～5に答えよ。

　R社は，医薬品の輸出入や薬局などへの販売を行っている商社である。R社では，十数年前から業務処理や顧客からの問合せ対応などを目的として，自社内で電子メールシステム(以下，メールシステムという)を運用している。R社の社員は，各自の社内PCを使ってメールシステムを利用する。一部の社員は，モバイル端末を使って社外からもメールシステムを利用している。メールシステムが受信した電子メール(以下，メールという)は，メールサーバに保存される。社内PCで開封したメールは，メールサーバから削除され，社内PCに保存される。モバイル端末で開封したメールは，削除はされず，メールサーバに残される。
　R社システム部のS部長は，メールシステムの老朽化，陳腐化への対応とセキュリティ強化が必要と判断し，現在のメールシステムの問題点を洗い出すために，システム監査会社に外部監査を依頼した。表1は，外部監査での指摘事項の抜粋である。〔新メールシステムの検討〕
　S部長は，外部監査での指摘を受け，メールシステム担当のT君に新メールシステムの概要設計を指示した。T君は，新メールシステムの機能の概要をまとめ，S部長に提出した。T君が作成した新メールシステムの機能概要を表2に示す。　T君はS部長に，新メールシステムの機能概要を報告した。

〔メールのプロトコル〕

T君：

当社ではメール受信のプロトコルとして，POPを利用してきました。新メールシステムでは，指摘事項(オ)に対応するためにIMAPに変更し，社内PCで開封したメールも含め，全ての受信メールが一定期間メールサーバに残るようにすることを考えています。

S部長：

なるほど。しかし，そうなると，①パスワードが流出した場合のリスクが
高まることを認識しておく必要がある。特にモバイル端末の利用時には盗難なども考えられる。IMAPサーバでのモバイル端末の認証にはワンタイムパスワードを導入し，モバイル端末とIMAPサーバの間の通信は暗号化するように。

T君：

分かりました。

〔社外とのメールの内容チェック〕
　T君は社外とのメールについて，メールの内容チェックの詳細を報告した。メールの内容チェックの詳細を表3に示す。

T君：

メール送信時の内容チェックは，指摘事項の(イ)に対応し，メール受信時の内容チェックは，指摘事項の(カ)に対応します。メールサーバでのメール受信時の送信元メールアドレスが偽称されていないかのチェックはaと呼ばれ，送信元IPアドレスを基にチェックする技術(SPF)，又は受信メールの中の電子署名を基にチェックする技術(DKIM)を導入します。

S部長：

表3に従うと，業務に必要なメールまでチェックによって阻止されてしまうことがある。②それらのメールに対応するための機能も加えるように。

T君：

分かりました。

〔メールの暗号化〕

S部長：

暗号化方式の変更について説明してくれないか。

T君：

暗号化方式の変更は，指摘事項の(ウ)と(エ)に対応します。現在のメールシステムでは，営業部でのメールの暗号化には，S/MIMEを利用することになっています。メール宛先のb鍵を利用して暗号化する方式で，安全性は高いのですが，先方がb鍵をもっていなければ使えない方法なので，利用している顧客はごく一部です。

S部長：

新メールシステムでは，全顧客にメールの暗号化が利用できるのか。

T君：

はい。重要情報を含む文章はメール本文に記述するのではなく必ずファイルで作成する社内ルールに変更します。送信者が添付ファイル付きのメールを作成すると，メールサーバでは，鍵をメールごとに自動生成した上で，その鍵で添付ファイルを暗号化して送信し，さらに鍵を送信者に通知します。宛先への鍵の連絡は，送信者が電話などのメール以外の手段で行います。

〔電子署名の添付〕

S部長：

全ての送信メールに対するR社の電子署名の添付について，説明してくれないか。

T君：

電子署名の添付は指摘事項の(ア)への対応です。従来，営業部員は個別に電子証明書と暗号鍵を与えられ，本人の電子署名の添付と，公開鍵基盤を導入している宛先へのメールの暗号化ができました。しかし，対象を全社員に広げるとなると，社員の電子証明書の運用コストが掛かってしまいます。そこで，社員の電子署名の添付を廃止し，メールサーバで，全メールにR社の電子署名を添付して，送信することにします。電子署名はメールのc値を基に生成されるので，メールのd検知も可能になります。

〔標的型攻撃メールへの対応〕

S部長：

標的型攻撃メールには，どのような対応をするのか。

T君：

標的型攻撃メールは，メールシステムでの対応には限界があるので，運用での対応も必要になると考えています。例えば，標的となった組織の複数のメールアドレスに届くことが多いので，一斉に，組織的に対応する必要があります。一人でも標的型攻撃メールと疑われるメールを受信した場合，メールシステムの管理者は，類似のメールが届いていないかを調査し，③不審なメールが届いた全ての受信者に対応を指示します。その後，受信者が添付ファイルを開けていないことやURLをクリックしていないことなどを管理者が確認します。

S部長：

類似の標的型攻撃メールが届いた宛先は，メールサーバのeから調査できるな。

その後，S部長とT君は，機能のレビューを繰り返し，指摘に対しての対応策を決定して，S部長は新メールシステムの導入を承認した。

本文中のa，eに入れる適切な名称をそれぞれ解答群の中から選び，記号で答えよ。

本文中のb～dに入れる適切な字句を答えよ。

S部長が本文中の下線①の指摘を行った理由を，35字以内で述べよ。

本文中の下線②の機能に該当するものを解答群の中から二つ選び，記号で答えよ。

本文中の下線③で不審なメールが届いた全ての受信者に指示すべき事項は何か。15字以内で述べよ。