関連するソリューション
サイバーセキュリティ
ID-Ashura/セキュリティサービス
株式会社IDデータセンターマネジメント
ICTサービス第1部
テクニカルスペシャリスト 上坂 明
前回のコラムでも少し触れましたが、2024年2月1日より米yahoo、およびGmail宛メールへの送信ドメイン認証に関する規制が強化されました。
当初はGoogle Workspaceを含むGmail宛メール全てが規制されるという情報でしたが、
個人宛ドメイン（＠gmail.com、＠googlemail.com）に限定されるようになり、少し安心しました。
今後、Gmail宛メール送信の要件は段階を踏んで厳しくなり、2024年6月にはGmailアカウントに1日あたり5000件以上送信されるマーケティングメールに対し「ワンクリック登録解除」の実装が必須となります。
これは本文中に解約リンクを記載するだけではなく、メールヘッダに解約用の設定が必要となります。以下はHTTP（配信停止リクエストを処理するURLを指定する方法）による実装例となりますが、これらをメールヘッダに追加する必要があります。
※記載内容は例となります。
- List-Unsubscribe-Post: List-Unsubscribe=One-Click
- List-Unsubscribe: <https://example.com/unsubscribe/example>
メール配信サービスであれば、設定メニューとして提供されている場合がほとんどですので、ガイドライン通りに対応を進めれば問題は無いと思います。SendGridサービスを例にすると、配信停止トラッキングを有効にすれば自動でList-Unsubscribeヘッダが挿入されます。
詳細はGoogle送信者ガイドラインを参照下さい。
尚、現状ワンクリック登録解除に対応しているサービスはGmailのみであり、OutlookやiOSMailはMAILTO（配信停止リクエストを指定したアドレスへメール形式で送信する方法）のみに対応しています。他社メールサービスが追随することが考えられるため、今後を考えると両方の形式で実装を進めるべきです。
トラストサービス
トラストサービスとは
前置きが長くなりましたが、前段の送信ドメイン認証はメール送信者情報のドメインが正しいものかどうかを「認証」する仕組みです。送信ドメイン認証ではSPFやDKIMによりIPアドレスによる送信元認証や、電子署名によるメール認証を行います。それ以外にもデータ非改ざん・ある時点でのデータ存在を証明するタイムスタンプがあります。これらは総称して「トラストサービス」と呼ばれています。
トラストサービスは「インターネット上における、人・組織・データの正当性を確認し、改ざんや送信元のなりすましを防止する仕組み」を総称したものです。
わが国の成長戦略である「Society 5.0」ではデータ駆動型社会（Data-driven society）を目指しています。これらデータの真正性やデータ基盤の信頼性を確保することは、極めて重要なプロセスと位置付けられており、信頼性を担保するトラストサービスは、重要基盤の一つとして定義されています。
トラストサービスの例
2019年に「プラットフォームサービスに関する研究会 最終報告書」にて取りまとめられたトラストサービスの例を以下に記載します。- 電子データを作成した本人として、ヒトの正当性を確認できる仕組み
→電子署名（個人名の電子証明書）
- 電子データがある時刻に存在し、その時刻以降に当該データが改ざんされていないことを証明する仕組み
→タイムスタンプ
- 電子データを発行した組織として、組織の正当性を確認できる仕組み
→電子署名（組織名の電子証明書）：e シール
- ウェブサイトが正当な企業等により開設されたものであるか確認する仕組み
→ウェブサイト認証
- IoT 時代における各種センサーから送信されるデータのなりすまし防止等のため、モノの正当性を確認できる仕組み
→モノの正当性の認証
- 送信・受信の正当性や送受信されるデータの完全性の確保を実現する仕組み
→e デリバリー
【参考①：代表的なトラストサービス】
出典：総務省 eシールに係る検討会 中間取りまとめ（案）【参考②：各種トラストサービスのイメージ】
出典：総務省 プラットフォームサービスに関する研究会 トラストサービス検討ワーキンググループ 最終取りまとめ（案）これらサービス例のうち、電子署名については電子署名法、タイムスタンプは電子帳簿保存法での施行により、利用が促進され身近なものとなっています。電子署名とe シールは技術的には同じ電子署名を利用していますが、正当性を示す対象が個人か組織であるかが異なります。
ウェブサイト認証についてはSSLサーバ証明書が該当しますが、暗号化通信（HTTPS通信）を実装するためだけに取得したドメイン認証（DV）証明書では要件は不十分で、企業認証（OV）、またはExtended Validation認証（EV）証明書を利用する必要があります。
組織を証明するeシール
前述のeシールについて少し深掘りします。eシールは、個人が発行した文書ではなく組織が発行した電子文書の発行元組織、および発行文書の完全性を担保する企業の「角印」に相当する仕組みです。
eシールを利用することで電子文書を発行した組織が正しい取引相手であるかの確認プロセスを簡略化することが可能となり、今まで紙文書でのやり取りがメインであった企業間取引証憑（請求書・納品書 等）のやり取りを安全に行えるようになることから、昨今問題となっているなりすましメールによる被害抑止や、紙文書取引脱却によるコスト削減効果が期待されています。
eシールは制度検討中の段階ですが、仕組みとしては公開鍵暗号方式で利用する検証用証明書に、組織識別子や事業者名を記載した「eシール用電子証明書」を利用し電子文書の検証を行うことを想定しています。
【参考③：eシールの仕組み】
出典：総務省 トラストサービスの概要
【参考④：eシール用電子証明書 記載イメージ】
出典：総務省 プラットフォームサービスに関する研究会 トラストサービス検討ワーキンググループ 最終取りまとめ（案）
この「eシール」は、日本では馴染みが薄いですが、EUでは2016年7月に施行されたeIDAS規則(電子識別、認証、および信頼サービスの略)で法制度化されており、既に活用事例も多数報告されています。
【参考⑤：eシール活用事例】
出典：総務省 組織が発行するデータの信頼性を確保する制度（eシール）の検討の方向性について日本でもeシール認定制度の検討が昨年9月頃より活発になっています。理由は2023年10月より施行されたインボイス制度が起因であると言われおり、本制度の要件である適格事業者番号の確認や、請求書が要件を満たしているかの確認に多大な労力を要しているのが現状で、その課題解決は急務であると言えます。
eシールの活用想定として、適格請求書発行事業者の登録番号をeシールに付与することで、発行者が適格請求書発行事業者であるか否かの確認作業を自動化することも可能ではないかと言及されており、インボイス対応の負担（コスト・労力）軽減に繋がれば一気に利用者が増えるものと予想されます。
eシールの課題
申請者のなりすまし防止
eシール用電子証明書は「組織」を証明するものですが「発行手続き・証明書利用・秘密鍵管理」は全て「人」が行います。この「組織」と「人」を結びづけるプロセスが必要となります。例えば本証明書の発行申請は組織の代表者が行うことと定められており、組織の代表と言えば社長が該当します。通常、社長が認証局に証明書発行申請を行うことは無く、権限移譲された従業員が代表者として手続きを行います。
その際、認証局から見て申請者が本当に組織の代表者であるか。また、社長から権限移譲された申請者かどうか 等の検証が必要となります。検証を行わない場合、組織従業員のなりすましや、組織代表者の認識が無いeシール用電子証明書が勝手に取得される等の問題が発生する懸念があります。
また、認証局が発行したe-シール用秘密鍵の授受についても同様の確認が必要となるため、発行までの時間が通常の個人証明書とは比較にならない程複雑なものとなります。
検証方法としては以下の観点で確認を行うことで整理が進められており、eシール証明書の厳格さに応じてサーバ証明書の「DV・OV・EV」のように、eシールの保証レベルを１から３までに分ける案が検討されています。尚、レベル３は国外企業とのやり取りに適合可能な国際基準を満たす厳格さが要求されます。
【組織確認事項（案）】
- 法的実在確認
⇒ 法令に従った登記情報等に当該組織が存在することを確認する。 - 物理的実在確認
⇒ 組織の所在を確認する。 - 組織の運営確認
⇒ 組織の運営状態を確認する。 - 組織代表者の申請意思確認
⇒代表者等に対して、eシール用証明書発行申請の意思や内容に関する確認を行う。
【参考⑥：eシール保障レベル（案）】
出典：JDTF 推進部会 eシール活用セミナー 「eシール解説～実用化に向けて～」解説eシール用秘密鍵の不正利用防止
また、利用組織はeシール用秘密鍵をどのように管理・運用するかも課題となります。この秘密鍵は組織に属す複数の従業員がアクセスするため、不正利用が発生しないよう「誰が」「いつ」アクセスし「アクセス者は正当な権限を保持しているか」について検証できる環境を用意する必要があります。
例えば、eシールを利用するための端末や媒体（秘密鍵を格納したUSBメモリ等）を限定し、
その媒体を利用出来る環境や利用者を制限する媒体管理方式や、社内電子書類発行システムに組み込み、発行した電子書類にeシール署名を行う場合は、システム内のeシール権限者の承認を必要とするワークフロー機能を利用するシステム埋め込み型方式が考えられます。
【参考⑦：媒体管理型での運用例】
出典：JDTF eシール解説 ～実用化に向けて～最後に
2023年度は電子帳簿保存法、インボイス制度施行により電子文書を取り巻く環境が大きく変化しました。一部企業では紙文化からの脱却に成功し、次のステップであるデータ処理自動化に向けた検討が進んでいます。しかし、全ての企業がこれに当てはまるわけではありません。これら制度改正を支援するための土台整備が遅れていることもあり、多くの企業のバックオフィス業務は、自動化とは程遠いマンパワーに依存したものとなっています。
これらの課題解消には、検討が進められているeシールを含めたトラストサービスが制度化され、社会全体の基盤として浸透することが必要であり、最終的には電子文書と紙文書が持つ効力・取扱差異を限りなく少なくすることが重要であると言えます。
eシール認定制度の創設には更に検討を重ねる必要があるという現状ですが、今後に期待したいと思います。最後まで読んでいただきありがとうございました。
当サイトの内容、テキスト、画像等の転載・転記・使用する場合は問い合わせよりご連絡下さい。
エンジニアによるコラムやIDグループからのお知らせなどを
メルマガでお届けしています。
