2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）【講演レポート】JIPDECセミナー

パネルディスカッション「これからのなりすましメール対策」
モデレーター

PPAP総研

⼤泰司章⽒

パネリスト

フィッシング対策協議会 証明書普及促進WG（サイバートラスト株式会社）

⽥上主査

利博 ⽒

フィッシング対策協議会 証明書普及促進WG

副主査（GMOグローバルサイン株式会社）

厚志 ⽒

稲葉

九電ビジネスソリューションズ株式会社
ビジネスソリューション第2部部⻑

ビジネスソリューション事業部
渡辺

⼀般財団法⼈⽇本情報経済社会推進協会
主査

⾼倉雅久 ⽒セキュリティマネジメント推進室

万記⼦●JIPDECのS/MIMEへの取組み（⼤泰司章⽒）

JIPDECはS/MIMEの普及にあたり、これまで「S/MIMEシンポジウム」の開催や、S/MIMEに利⽤可能なパブリック電⼦証明書の利⽤状況調査の実施、インストールガイドの発⾏などを⾏ってきました。
しかし、S/MIMEそのものが知られていないということから、「エスマいぬ、ディーキぃぬ」といったキャラクターを誕⽣させ、シールや、LINEスタンプなどで普及を⾏っています。
本⽇は、なりすまし対策に関する最新状況の共有ということで、フィッシング対策協議会の普及活動、国際的標準化団体「CAブラウザフォーラム」の動向、S/MIME事例紹介、JIPDECが⾏っているなりすまし関連の調査結果についてご紹介いただきます。

●S/MIMEの普及啓発における活動について（⽥上フィッシング対策協議会利博⽒）

証明書普及促進WGは、ウェブサイトの真正性・実在性の普及啓発を⽬的に発⾜しました。国内調査では常時SSL対応しているサイトが約87％となっています。電⼦証明書の活⽤は⾝元証明と実在証明に有効であり、本⽇のテーマであるS/MIME署名がフィッシング対策に有効と考えられています。

1

2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

図1．フィッシング対策協議会

証明書普及促進ＷＧの活動内容当WGでは、フィッシング対策についてBtoB、BtoCへのサービス提供における事業者の⾼い信頼性を担保することが重要であり、技術⾯での公開鍵暗号⽅式の電⼦証明書の普及促進を考え、協議を重ねています。
メール送信者の実在性証明の普及啓発が当WGのミッションであり、Chrome、Edgeなどさまざまなブラウザごとのサーバー証明書の表⽰の違いなどをコンテンツとして紹介しています。事業者向け啓発活動
として、3種類のサーバー証明書のユースケース情報も公開しています。
「S/MIME」については、JIPDECと連携してS/MIMEのメーラー別対応状況の調査結果※1を公開しています。
フィッシング対策ガイドラインでは、要件として、利⽤者が正規メールかフィッシングメールかを判別できる対策として、事業者が対応していることをホームページで公表することが必要であると明記しています。
今後の活動としては、事業者および利⽤者向けにS/MIME署名に関して、このメールが安全か否かを理解してもらえるような啓発活動を⾏う必要があると考えています。さらにDMARCとS/MIMEの違い、業界内では「DMARCだけでよい」との⼀部意⾒もありますが、それぞれの利⽤⽤途、メリット／デメリットを啓発・コンテンツを提供していきたいと思っています。
今後も、S/MIMEのメーラー別対応状況の調査や、S/MIME未対応メーラーを狙った攻撃事例の啓発も⾏っていきたいと思います。

22022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

図2．S/MIMEのメーラー別対応状況の調査結果（2021年9⽉発表）※1 https://www.jipdec.or.jp/topics/news/20210928.html●「CA/BrowserフォーラムのS/MIME Certificate Working GroupにおけるS/MIME⽤電⼦証明書の標準化動向について」（稲葉厚志⽒）CA/Browserフォーラムは当初SSL/TLSサーバー証明書の改良を⽬的として設⽴されたフォーラムです。
電⼦認証サービス事業者（認証局）、製品ベンダー（ブラウザベンダー）、監査機関を主なメンバーとして構成されており、フォーラムでは、SSL/TLS証明書発⾏時の認証プロセスを厳格化したEVSSL/TLS証明書のためのガイドラインを始め、さまざまなガイドライン・要件の作成を進めています。
フォーラム内にはいくつかWGがありますが、今回のテーマであるS/MIME Certificate WGは2020年6⽉に設⽴が承認され、翌⽉から活動を開始しています。フォーラムの意思決定は、メンバーから提起されたテーマについてメンバー間で議論を重ね、合意形成を諮りつつ、最終的に投票による議決・承認および知的財産権の確認期間を経て最終決定され、WG新設やガイドラインへの反映等が⾏われます。また、フォーラムの⼀般向けウェブサイトでは意思決定に関わる議論や投票結果、ミーティング（オンラインおよびFace-to-Face）議事録、ガイドライン、要件ドキュメント等、さまざまな情報を公開しています。
S/MIME Certificate WGでもミーティング議事録を公開しており、サイトを閲覧いただくことでWGでの議論や検討の状況を把握することができます。S/MIME証明書WGのメンバーは、アメリカ、ヨーロッパ、アジアといった各地域でビジネスを展開している認証局やグローバルにビジネスを展開している認証局、そしてApple、Google、Microsoft、Mozillaなどのブラウザベンダー（メールアプリケーションも持つ）およびWebtrust、ETSI監査に係るコミュニティからのタスクフォースメンバー等が参画しています。
WGでは、eメールアドレス管理状況の確認、鍵管理および証明書ライフサイクル、S/MIME⽤電⼦証明書およびそれを発⾏する認証局証明書の証明書プロファイル、認証局運⽤規定、物理的／論理的セキュ
リティ、S/MIME⽤電⼦証明書に記載される⾃然⼈および法⼈の⾝元確認など、S/MIME⽤電⼦証明書

32022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

としての特徴的な項⽬およびSSL/TLSサーバー証明書やコード署名⽤証明書を発⾏する認証局として共通的な項⽬を認識し、かつ既存のスタンダードやガイドライン等も参照しながら要件の検討を進めています。
そして、⽬標とする主要成果物としてはS/MIME⽤電⼦証明書に係る要件をまとめたドキュメントとして、”Baseline Requirements for the Issuance and Management of Publicly-Trusted S/MIME Certificates”の作成と公開を⽬指しています。
”Baseline Requirements“は基本的には準拠が必須の要件として作成しますが、主要なブラウザベンダーがフォーラムに参加して作成されるSSL/TLSサーバー証明書のBaseline Requiremenntsとは異なり、フォーラムに参加していない多くのメールアプリケーションベンダーが存在する状況下においては、より多くのメールアプリケーションベンダーに受け⼊れられて、準拠が求められるまでは、認証局に対してS/MIMEのBaseline Requirements準拠の必須化を求めないこととWGのCharter（WG設⽴趣意書）では規定しています。ただ、S/MIME対応メールアプリケーションを持つブラウザベンダーが規定する認証局
ルート証明書搭載要件の中に、Baseline Requirementsに規定されている／いないに関わらず、S/MIME⽤電⼦証明書に関する要件が規定されてしまうと、規定を守らない認証局のルート証明書は外され、その認証局の発⾏するSSL/TLSサーバー証明書、コード署名⽤証明書、S/MIME⽤電⼦証明書といったあらゆる電⼦証明書が当該ブラウザベンダー製品上で正しい電⼦証明書として認識されなくなり、認証局としてのビジネスが⽴ち⾏かなくなるため、結局のところブラウザベンダーからのルート証明書搭載要件について認証局は何が何でも準拠が必須となってしまう現状もあります。
参考）活動トピックス

42022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

図3．S/MIME Certificate WGの活動トピックス【⼤泰司】⽇本ではあまり話題になりませんが、海外では盛り上がっているのでしょうか？
【稲葉】今盛り上がっているかと問われると、各国の事情もあり、盛り上がっているとは必ずしも⾔い切れないかと思いますが、CA/Browser ForumでWGが⽴ち上がりBaseline Requirements作成に向けて動き出したということは、今後に向けてその必要性が認知されていく⽅向なのではと期待します。WG
ではS/MIME証明書を署名⽤証明書と暗号⽤証明書に分けてはどうか、S/MIME単⼀⽬的とアクセスコントロールや⽂書・データへの電⼦署名等と合わせ、複数⽬的で使うにはリスクの⾼まりが異なるのではないか、などの議論もしています。エンドユーザが⾃分の秘密鍵と証明書をローカルで管理するパターンと、⾃分の秘密鍵も含めてベンダーに預けてしまうリモート署名の場合にどのような要件が必要か、など、アメリカ・ヨーロッパ・アジアの認証局メンバーを中⼼に、各国・各地域事情を背景としたさまざまな議論も上がるので、落としどころを⾒出すのが困難な局⾯も考えられますが、何とかしてドラフトBaseline Requirementsについて今年の内には、ある程度の形にすることを⽬指してWG作業を進めています。

●［S/MIME導⼊事例紹介］
九州電⼒グループのS/MIME導⼊事例、運⽤⾃動化を実現した仕組み『CertCONNECT（サートコネクト）』でS/MIMEをビジネスメールのマナーに」（渡辺5雅久⽒）

2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

九州電⼒グループは、グループウェアのメールソフトを改修し、「社内メール」と表⽰させることにより「社外メール」との区別を⾏っていましたが、Office365への切替えにより、その区別がつけられなくなりました。社外メールの開封への注意喚起・標的型攻撃メール訓練など、周知徹底等を⾏ってきました
が、よりわかりやすくするためS/MIMEの導⼊を検討しました。
OutlookはS/MIME対応ソフトであり、本⼈発信の証明がつくことで⾮常にわかりやすかったのですが、⼀⽅で、九電グループ社員他1万⼈超、2万台近くのPCを対象に、電⼦証明書のインストール⽤パスワードの厳格な管理、証明書発⾏・管理プロセスそのものの管理など、運⽤⾯での課題が多く発⽣しました。
そこで、さまざまな課題を整理しつつ、S/MIME導⼊の⾃動化の仕組みを作り、2019年6⽉に九電グループでの完全⾃動化が完了しました。

図4．S/MIME導⼊上の課題と解決策

図5．S/MIME⾃動化運⽤イメージ
この仕組みはJIPDECを含め関係4社で共同特許を取得しており、現在、九電ビジネスソリューションズ（QBS）が「CertCONNECT（サートコネクト）」として、企業にサービスを提供しています。

6

2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

運⽤の実態として、利⽤者は電⼦証明書の更新時にワンクリックするだけで、電⼦証明書付きのメールを送信でき、運⽤負担もない状況です。⼀⽅、システム管理者側では導⼊当初、⽂字化けや、⼀部の⾃治体で無害化ソリューションにより電⼦署名が外れてしまうなどがありました。現在は運⽤負担は少ない状況です。
S/MIME化率は約6〜7割です。送受信全体の6〜7割は社内、グループ会社間のやり取りとなりますが、残りの3割は外部からのメール受信です。メルマガや営業メールの受信件数も多く、MicrosoftのTeams等も活⽤していますが、メールの利⽤⾃体がなくならないので、その対処も必要です。
また、社外へのPRが重要であることから、メール本⽂内に電⼦署名を付与している旨を記載するよう準備していますが、やはり皆様にもっとS/MIMEを認知いただき、ご利⽤いただきたいと願っています。
コロナ禍、DX推進等で必要不可⽋なビジネスインフラとして、電⼦メールの活⽤はますます増えていく
⼀⽅で、Emotetの復活やなりすましメールがなくならないことから、なりすましメール対策は今後さらに重要になると考えています。
SPF、DKIM、DMARCといったなりすまし対策に加え、受信者がなりすましメールではないことを可視化できるS/MIMEはますます重要になり、ビジネスメールのマナーになっていけばよい。さらにCertCO
NNECTなどのサービスを利⽤したS/MIMEの導⼊により、社内、取引先、顧客の安⼼・安全につながっていけばよいと思います。
参考）CertCONNECT機能概要

72022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

図6．CertCONNECTの機能概要【⼤泰司】佐々⽊先⽣がS/MIMEについて解決すべき課題がある、と⾔われていましたが、解決できている点もあるのではないでしょうか？

図7．S/MIME導⼊の課題（佐々⽊良⼀先⽣講演資料から）【渡辺】 佐々⽊先⽣が挙げられた課題のうち、「a．公開鍵の⼊⼿困難」については、CertCONNECTは⾃動連係しているので、⾯倒ではありません。
「b．S/MIMEの暗号化ができない」点については、Outlookではボタン押下で暗号化できますが、送り先側での鍵の管理、暗号化した古いメールの複合化の運⽤などの課題も多いことから、当社は⾏ってい82022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

ません。また、署名なしのメールの送信はできない仕組みですが、緊急避難的に署名なしのメールが送れるような機能も⽤意しているので、システム管理者がS/MIME署名管理上、特別な負担はありません。
●国の⾏政機関が発⾏するメールマガジンのなりすまし対策状況の調査結果（⾼倉万記⼦）

なりすましメール対策技術として、S/MIME、SPF、DKIM、DMARCがあります。DMARCは⽶・英政府が導⼊しており、迷惑メール削減に貢献しています。JIPDECはこれらの技術普及のため、これまでさまざまななりすまし対策状況について調査を実施しています。
2018年2⽉には企業のなりすましメール対策の現状把握※2、2020年10⽉には⾃治体防災メールのなりすまし対策※3、2021年12⽉には国の⾏政機関、省庁が配信しているメルマガのなりすまし対策※4について調査を⾏いました。（各調査の詳細は資料参照）■企業のなりすましメール対策調査
10万社を対象にSPF、DMARCの設定状況について調査を⾏いました。

図8．企業メールのなりすまし対策調査（SPF,DMARCの設定状況）■⾃治体防災メールのなりすまし対策調査
都道府県、市区町村で防災メールを配信している1,122⾃治体のうち、配信メールアドレスが確認できた
1,026⾃治体を対象に、SPF、DMARCの設定状況を調査しました。

92022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

図9．⾃治体防災メールのなりすまし対策調査（SPF,DMARCの設定状況）■国の⾏政機関、省庁が配信しているメルマガのなりすまし対策
国の⾏政機関、省庁が配信しているメルマガから実際に受信確認できた72件を対象に、S/MIME、SPF、DKIM、DMARCの設定組合せ状況について調べました。

図10．省庁メルマガのなりすまし対策調査（S/MIME、SPF、DKIM、DMARCの組合せ状況）
JIPDECもS/MIMEを利⽤しています。NTTテクノクロス社のCyber Craft/Mailというソリューションを利⽤しており、協会から発信するすべてのメールにS/MIMEが付与されるとともに、誤送信防⽌機能により、外部へのメール発信の都度、宛先、⽂⾯、添付ファイルの確認が求められます。
（調査結果リリース）※2

https://www.jipdec.or.jp/topics/news/20181211.html※3

https://www.jipdec.or.jp/topics/news/20201020.html※4https://www.jipdec.or.jp/topics/news/20211221.html

102022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）【⼤泰司】興味深い調査結果です。SPFとDKIMを設定している割合は⾼いのに、DMARCは設定されていないのですね。
【⾼倉】DMARCは割と最近のものなので知られていないからだと思います。
JIPDECサイトで各種資料を公開していますが、さまざまな業種調査なども今後⾏っていきたいと思います。ぜひ、こんな調査結果がほしい、などリクエストがあれば、ご提⽰ください。

●パネルディスカッション「これからのなりすましメール対策」
参加登録時のアンケート結果および質問内容をもとにディスカッションを⾏いました。
（1）S/MIMEの設定状況

図11． S/MIMEの設定状況【⽥上】S/MIMEの設定状況について、「設定していない」「わからない」が多いようですが、S/MIME⾃体はわかっているが社内事情で設定していないのか、S/MIME⾃体がわからないというケースなどが含まれているのではないでしょうか。
【⼤泰司】本セミナーのテーマ⾃体「S/MIME」「PPAP」なので、S/MIMEについては理解されている⽅が参加されていると思います。
【⽥上】S/MIMEの場合、運⽤コストや管理、更新・失効などの⼿間もあると思います。企業が取り組みやすくなればもっと利⽤されるのではないでしょうか。電⼦証明書の配付や管理が重要だと思います。
【⼤泰司】九州電⼒の事例のように、端末への配布を簡単にして、運⽤をいかに楽にするか、またはゲートウェイで強制的に証明書を付けるか、2つの⽅法があると思います。
【⽥上】メルマガなどのメール配信サービスを使っている場合、S/MIME署名対応が進んでいけばいいと思います。
【⼤泰司】シェアの⾼いサービスでは電⼦署名対応しているなどがあります。署名を付けることで遅くなる、という点もあります。JIPDECの調査で防災メールに技術があまり使われていないという結果が先ほど紹介されました。

11

2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）【⽥上】⼀⻫同報の場合、S/MIME署名を付けることでトランザクションが遅くなってしまうことから、防災メールのように早急に配信されなければならないメールにはそぐわない、⼀般的な企業のメルマガであれば、証明書が利⽤されるのではないでしょうか。
（2）SPF／DKIM／DMARCの設定状況

図12． SPF／DKIM／DMARCの設定状況【⾼倉】「設定していない」「わからない」の割合が⾼いのですが、これはおそらく⾃社の設定状況を把握していない回答者が多かったのだと思います。
【⼤泰司】設定状況については、ユーザ⾃⾝が気にすることではなく、会社の管理部⾨がわかっていればよいことです。それよりも受信側が署名の有無を確認できなければ、なりすまし対策になりません。
たとえばOutlookでリボンが表⽰されるように、受信側で署名がついているか、わかるようになってもらいたいです。
（3）仕事でメインにつかっているメーラーの種類

図13．仕事でメインに使っているメーラーの種類

12

2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）【渡辺】Microsoft社によると、⼤企業でのOutlookの利⽤率は⾼いそうです。CertCONNECTはOutlookのデスクトップを前提にロボティック・プロセス・オートメーション（RPA）が動作するため、OutlookユーザはすぐにでもCertCONNECTの利⽤が可能です。それ以外のメーラーについても今後適⽤を拡⼤していきたいと思います。特にスマホでの利⽤に関してはハードルが⾼いのですが、重要なメールには基本S/MIMEを付けておかなければならず、設定の有無がバラバラなのは意味がないので、スマホも今後対応できるようにしていきたいと思います。まずはPCでの適⽤が重要だと思います。
（4）ファイル送信⽅法

図14．ファイル送信⽅法【稲葉】ファイルの送信⽅法として、添付ファイルを送る⽅法を利⽤されている割合が⼤きいですが、容量などによっては添付ファイルを受信側がはじいてしまうことがあります。添付ファイルとオンラインストレージの併⽤というのは、おそらく内容の重要性や添付ファイルのサイズによって、使い分けをされているのだと思います。
⼀つのアイデアとして、オンラインストレージへのアクセスはかなり便利だと思いますが、ストレージにアクセスするための情報、URLやパスワードなどを平⽂で送るよりもS/MIMEによる署名や暗号化を⽤いることにより、安全・安⼼の度合いが増すのではないでしょうか。
●PPAPの代替となる利便性のよいファイル送信⽅法について【佐々⽊】PPAPに代わるメールでのファイル送信⽅法として2つ考えられます。⼀つは、クラウドストレージ対応です。先ほど稲葉さんがおっしゃたように、注意しながら利⽤する⽅法があります。
2つ⽬としては、環境がよくなれば、2者間でのS/MIMEの利⽤が考えられます。S/MIMEはまだ使いにくさがありますが、普及していくことで徐々に解決できるのではないでしょうか。
【⼤泰司】それぞれメリット／デメリットがある、ということですね。

13

2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）●なりすまし対策事例について【⼤泰司】先ほど、渡辺さんに事例をご紹介いただきましたが、補⾜をお願いします。
【渡辺】CertCONNECTにお問合せがありました中で、なりすましメールが来なくなるような対策を望まれている企業様から「S/MIMEを設定してCertCONNECTを導⼊すればなりすましメールは来なくなるのか？」とご質問がありました。残念ながらそれはできないので「なりすましメールか否かがはっきりわかりやすくなります」と回答しています。ウイルス対策などと同様に、なりすましメール受信をゼロにすることは難しいですが、御社のメールがS/MIMEを設定していることがわかるようになれば、なりすましはされにくくなるし、またS/MIME付きのメールがどんどん増えてくると、最終的になりすましそのものが減っていくのではないでしょうか。
【⼤泰司】最終的にはなりすましメールが来なくなることにつながると思いますが、まずは送信者として⾃分がなりすまされないことが重要です。
他に事例があればご紹介ください。
【JIPDEC佐藤】S/MIME導⼊事例として、JIPDEC、防衛装備庁、IPA、CSA Japanが全社的な導⼊を宣⾔されています。その他、全社的にではありませんが、⼀部の⾦融機関や省庁がメルマガ配信等にS/MIMEの電⼦署名を付けています。

●S/MIMEが普及しない理由【⽥上】S/MIMEについては、過去にJIPDECがいろいろと啓発をされていた経緯もあり、⾦融関係機関で、お客様⽤問合せ窓⼝だけS/MIME対応をされている、との事例紹介がありましたが、全社的に展開するにあたっては、証明書を発⾏する認証局というよりも、証明書の発⾏・インストール・管理・更新・失効ができる仕組みがないといけないのではないでしょうか。それが認証局の役⽬となるのか、サードパーティで展開するのか、CertCONNECTなどのソリューションを活⽤するのか。認証局は証明書を発⾏するのは得意でしょうが、デリバリーに関してはソリューション企業に依頼できないかと思います。
普及啓発については、JIPDEC、フィッシング対策協議会、認証局としても、セミナーなどで定期的に必要性を訴え続けることが重要なのではないでしょうか。今後も普及のリーダーとして必要性を訴えていきたいと思います。

142022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）● S/MIMEを利⽤した暗号化

図15．PPAP⽤ゲートウェイを利⽤したS/MIME暗号化

15

2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）【⼤泰司】署名は送信者がS/MIMEの証明書を取得しますが、暗号化の場合、受信者がS/MIMEの証明書を取得しなければならないため、ハードルが⾼いのです。
PPAPは、多くの場合、PPAP⽤ゲートウェイで⾃動的にPPAPを送信しています。受信者は、これを逆に利⽤して、⾃分の証明書をPPAP⽤ゲートウェイに登録させて、⾃動的にS/MIMEの暗号化をさせれば、⾃分に来るPPAPを減らせるのではないか？と思いますが、いかがでしょうか？
【稲葉】送信側が⾃分⾃⾝で証明書を持っていればできるのですが、やはり暗号化となれば受信者側の証明書がなければできないことになります。このようなゲートウェイがあれば⾮常に便利だと思いますが、ゲートウェイで受信者側の証明書をどうやって集めるのか、たとえば、弊社GMOグローバルサインの他、サイバートラスト社様、セコムトラストシステムズ社様などS/MIME⽤電⼦証明書をサービスラインナップに持つ認証局が発⾏しているS/MIME⽤電⼦証明書をどうやって集めるか、また使う時点で電⼦証明書が有効かの確認も必要でしょうし、運⽤⾯で何かあったときにどう対処するか等についても考えていかなければならないと思います。
署名は⾃⾝のアクションでできるのに対し、暗号化については、簡単には進められないと思います。⼀つの認証局だけではなく、さまざまな認証局同⼠、あるいはその証明書を扱うアプリケーションベンダーも含めて検討する余地があるのではないでしょうか。

●最後に【⽥上】S/MIME、暗号化をどのように対応していくか、業界⼀丸となって取り組んでいくことが⾮常に重要であると思います。
【稲葉】S/MIME普及に向けてグローバルな動向把握に努めると共に、関連する業界とも連携して取り組んでいけたらと思います。
【渡辺】ユーザの⽴場、またソリューションを提供する⽴場として、S/MIMEを普及促進するためのツールとして、CertCONNECTをご紹介しました。⼤規模なユーザほど導⼊が難しいかと思いますが、ぜひこの仕組みを参考にしていただき、ビジネスマナーとしてS/MIMEを付けていただく状況になればいいと思います。
【⾼倉】地⽅企業など、これまで紙や電話、イントラネットの中だけで済ませられていた業務をインターネットでやりとりするようになることで、メールでの送受信が増えると思いますので、ぜひなりすましメール対策としてS/MIMEを導⼊していただきたいと思います。
【佐々⽊】本⽇の話を聞いて、S/MIMEの実⽤化・運⽤にはさまざまな障害があることに気づきました。
義務化して100％普及してしまえば問題はないのですが、そこに⾏くまでの⼯程がなかなか難しい。暗号化については、クラウドストレージの利⽤、S/MIMEの双⽅向からアプローチしていくのが現状ではあるのだろうと思いました。引き続き勉強していきたいと思います。
以16

上2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

PPAP総研
⼤泰司 章 ⽒三菱電機、⽇本電⼦計算の営業現場で実際に数多くの企業や官公庁と商取引をする中で、紙にハンコ、PPAP（Passwordつきzip暗号化ファイルを送ります/Passwordを送ります/An号/Protocol）、PHS（Printしてから/Hanko押して/Scanして送ってくださいプロトコル）、ネ申エクセルといった形式的な電⼦化に苦しめられる。
これらの不合理な商習慣を変えるべく、2012年より⼀般財団法⼈⽇本経済社会推進協会（JIPDEC）にて電⼦契約やインターネットトラストを普及させる。
2020年からはPPAP総研を設⽴してユーザ向けとベンダー向けコンサルティング活動に従事。

フィッシング対策協議会 証明書普及促進WG 主査（サイバートラスト株式会社 マーケティング本部
プロダクトマーケティング部）
⽥上 利博 ⽒20年以上にわたりセキュリティベンダーで営業、プロダクトマーケティングに携わる。現在はサイバートラストで、認証・セキュリティ事業のプロダクトマーケティング全般を担当。デジタル改⾰関連法をはじめ、DX推進に影響のある法制度などの最新情報についても多数執筆している。フィッシング詐欺やドローン、IoTなどのセキュリティ課題にも取り組む。

フィッシング対策協議会 証明書普及促進WG 副主査（GMOグローバルサイン株式会社 事業企画部） 稲葉厚志 ⽒

・1990年代後半の電⼦認証事業黎明期よりPKI/電⼦認証に関わる事業開発に従事
・CA/Browser Forum、Asia PKI Consortium、ETSI Technical Committee Electronic
Signatures and Infrastructures、デジタルトラスト協議会、トラストサービス推進フォーラム、JIIMA(公益社団法⼈⽇本⽂書情報マネジメント協会)等々の国内外協議会、フォーラムメンバーとしてガイドライン策定や啓発・提⾔活動に参画

九電ビジネスソリューションズ株式会社
ビジネスソリューション事業部ビジネスソリューション第2部 部⻑
渡辺 雅久 ⽒
九州電⼒に⼊社後、システム部⾨に30年以上従事し、多くの⼤規模開発プロジェクトやシステム導⼊・運⽤全般に関わる。2018年にOffice365導⼊プロジェクトに従事し、その中でS/MIME運⽤⾃動化の仕組みを九電グループ14,000名に導⼊。
2020年7⽉より現職。上記⾃動化の仕組みを2021年4⽉「CertCONNECT(サートコネクト)」としてサービス開始し、S/MIMEの普及拡⼤に励んでいる。ユーザ企業システム部⾨での⻑年の経験を活かし、お客さま⽬線で価値あるITソリューション提案に励んでいる。

17

2022年2⽉18⽇開催 JIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」（2022.2.18開催）

⼀般財団法⼈⽇本情報経済社会推進協会（JIPDEC）
セキュリティマネジメント推進室

主査

⾼倉万記⼦

JIPDECデジタルトラスト評価センター兼セキュリティマネジメント推進室主査。トラストサービスやインターネット上のなりすまし対策の普及啓発を⾏っている。

本内容は、2022年2⽉18⽇に開催されたJIPDECセミナー「S/MIME最前線「なりすましメール対策の現状と課題−S/MIMEを活⽤したなりすまし対策事例紹介」」パネルディスカッションの内容を取りまとめたものです。

18