s/MIME :なりすまし、PPAP問題を解決したメール送受信を実現Japan Security Summit 2023 2023年10月S/MIME推進協議会事務局諸角昌宏" 1. S/MIME概要2. S/MIME導入に向けての5つのアプローチ3. S/MIME推進協議会3つの提言4. S/MIME推進協議会活動内容
S/MIME準備備備会
2

•S/MIMEとは？
• MIMEでカプセル化した電子メールの公開鍵方式による暗号化とデジタル署名に関する標準規格•要は、電子メールソフト（OutlookやThunderbirdなど）に、電子証明書と呼ばれる暗号化技術を使って、なりすまし防止（真正性）およびメールの機密性の保護を行えるようにしたもの•メールが抱えている問題とは？ 。送信者を偽ることができる（いわゆる、なりすましが可能） 。送信者から受信者まで（いわゆるエンドツーエンド）の経路全体にわたって機密性を保証することは困難s on

•S/MIMEでできること
1.メール送信者のなりすまし防止送信者が、送信するメールに電子証明書を付与。受信者は、その電子証明書に含まれる公開鍵を使用して電子署名を確認することで、そのメールが本当に送信者が送ったメールであることを確認可能。 2.メールの改ざん検知電子証明書が付与されたメールが通信経路上で改ざんされた場合に、その改ざんを検知。 3.メールの暗号化(メール本文および添付)送信者と受信者が、あらかじめ双方の電子証明書を交換。送信者は、受信者の電子証明書に含まれる公開鍵を使用して暗号化。受信者に対して安全にメールを送ることが可能。 "" 2. S/MIME導入に向けての5つのアプローチ1.メール配信サービスのS/MIME化2.会社でS/MIMEをスモールスタートする方法3.会社全体でS/MIME化を行う方法4.外資系企業でS/MIME化を行う方法5.個人でS/MIME化を行う方法
s of
S/MIME機置搭載会

企業・組織がマーケティングやセールスのために配信するメールにS/MIMEの電子証明書を付与2つのケース. 1.メール配信サービスを利用しているケース.利用しているサービス提供ベンダーに、S/MIME対応を依頼あるいは、別のS/MIME対応サービスに切り替える. https://www.s- mime.jp/%e3%83%a1%e3%83%bc%e3%83%ab%e9%85%8d%e4%bf%a1%e3%82%b5%e3%83%bc%e3%83%93%e3%82%b9%e3%82%92s- mime%e5%8c%96%e3%81%99%e3%82%8b/ 2.自組織でメーリングリストを管理しているケースIT部門と協調してS/MIME対応を進める基本的には、配信メールアドレスに電子証明書を付与することで可能注意点送信時に送信元(From)を別のメルアドに変更していないかどうかの確認.送信時にメール本体に変更を加えたりしていないかどうかの確認.バル
S/MIME準備備1959
6
全社でS/MIME対応を行うことが難しい場合、一部の人からS/MIME対応
を始める
● S/MIMEを始める際に検討するメールアカウント外部からの問い合わせに対してやり取りを行うメールアカウント(例: info@xxx.co.jp) 1.頻繁に外部とやり取りを行う人のメールアカウント（例:役員） 2.有志がまずS/MIME対応を始める3.方法.個人のメールアカウントベースになるので、S/MIME対応の知識がある人が行う、あるいは、知識のある人のサポートが受けられる人から行う.参考： https://www.s-mime.jp/s- mime%e5%af%be%e5%bf%9c%e3%83%a1%e3%83%bc%e3%83%ab%e3%82%bd%e3%83%95%e3%83%88/注意点.事前にIT部門に連絡し承認を得る。個人ではなく会社としての電子証明書を入手する. An 7
会社全体でS/MIME対応を行う（理想型） ●課題•社員一人一人が自分のメールアカウントに電子証明書を付与・管理することは困難。一括して管理者が設定できるようにする。方法● •管理ソフトを使ってメールアカウントおよび電子証明書を一括管理する提供されているソリューションを利用（以下参照） https://www.s- mime.jp/%e7%b5%84%e7%b9%94%e3%81%a7%e3%81%ae%e5%88%a9%e7%94%a8%e6%96%b9%e6%b3%95/ 8
外資系企業で、海外にある本社がIT管理を行っているためS/MIME化が難しいのではないか？ •方法. . .日本の社員のメールアカウントごとにS/MIME設定することが可能。 S/MIME用の電子証明書は、日本独自に日本支社として取得する。やり方としては、(2)スモールスタートの方法が取れる。注意点.海外本社のIT部門に事前に連絡して確認しておく必要がある
組織ではなく個人のメールアカウントに独自にS/MIME設定を行う。 •方法.個人のメールアカウントごとにS/MIME設定を行う。 S/MIME用の電子証明書は、個人で取得する。注意点.ウエブメール系、Gmail（無料版）等ではS/MIMEがサポートされていない。 OutlookやThunderbirdなどS/MIMEをサポートしているメールソフトを使用することが必要。以下、S/MIMEをサポートしているメールソフトの情報https://www.s-mime.jp/s- mime%e5%af%be%e5%bf%9c%e3%83%a1%e3%83%bc%e3%83%ab%e3%82%bd%e3%83%95%e3%83%88/以下の作業は利用者自身で行う必要がある.メールソフトの設定（POP/IMAP,SMTP等） . S/MIME用電子証明書のメールソフトへの登録複数のPCあるいはスマホにそれぞれ電子証明書の登録・設定が必要となる. s of
.設定・管理に不安がある場合には、まず無料の電子証明書を取得して、設定・テストを行い、うまくいってから有料の電子証明書に切り替える方法がある.無料の電子証明書はActalisから入手可能.無料の証明書と有料の証明書の違いは、本人確認ができているか。以下のウエブページを参照https://www.s-mime.jp/s- mime%e8%a7%a3%e8%aa%ac/%e7%84%a1%e6%96%99%e3%81%ae%e9%9b%bb%e5%ad%9 0%e8%a8%bc%e6%98%8e%e6%9b%b8%e3%81%a8%e6%9c%89%e6%96%99%e3%81%ae%e9 %9b%bb%e5%ad%90%e8%a8%bc%e6%98%8e%e6%9b%b8%e3%81%ae%e9%81%95%e3%81 %84/ . S/MIME対応がうまくいかない、問題を起こしてしまう場合・　メールソフトにてS/MIME用電子証明書の付与を止めることで通常のメールとして配信可能バル
S/MIME準備備1959
3. S/MIME推進協議会3つの提言1.セキュリティ3要素  →  セキュリティ7要素2.メールチェックは電子証明書から3.真正性の文化＝全員参加型セキュリティs wi
S/MIME機置搭載会
12

JIS Q 27000 3.28情報セキュリティ(information security)情報の機密性(3.10),完全性(3.36)及び可用性(3.7)を維持すること。注記さらに、真正性(3.6)、責任追跡性、否認防止(3.48)、信頼性(3.55)などの特性を維持することを含めることもある。 •真正性(authenticity) : ・　エンティティは,それが主張するとおりのものであるという特性。 .責任追跡性(accountability) ・　あるエンティティの動作が、その動作から動作主のエンティティまで一意に追跡できる事を確実にする特性。否認防止(non-repudiation) : . . •　ある活動又は事象が起きたことを、後になって否認されないように証明する能力信頼性(reliability): ・　情報システムによる処理に欠陥や不具合がなく、期待した処理が確実に行われている特性「禁
• 「XXXをかたるフィッシングメールに注意してください」 • 「 XXXをかたるフィッシングメールに注意してください。メールをチェックする際はまず電子証明書が付与されているかどうかを確認して下さい。電子証明書が付与されていないメールは不正なメールです」と言える世界を作っていこう！ sen
•文化(ぶんか、ラテン語: cultura)には、いくつかの定義が存在するが、総じていうと人間が社会の構成員として獲得する多数の振る舞いの全体のことである。社会組織(年齢別グループ、地域社会、血縁組織などを含む)ごとに固有の文化があるとされ、組織の成員になるということは、その文化を身につける（身体化）ということでもある。 (WikiPediaから引用) ・「真正性の文化」を築くのは、一人一人の意識です。すべての人が電子的に情報発信する際には、証明できる形で自分であることを表明することが重要です。
S/MIME推進協議会では、以下の活動を通してS/MIME普及のための情報発信、啓発活動を行う。 1.情報発信(ウエブサイト) . S/MIMEの導入・利用方法に関する管理的な情報S/MIME、メールサーバーレベルのソリューション情報. . S/MIME、メールクライアントの情報. S/MIME、電子証明書発行事業者の情報• S/MIME、ユースケース.ブログ、その他の情報
2.啓発活動
.セミナー開催（会員、非会員すべてを対象：非定期） . S/MIME勉強会開催（会員、非会員すべてを対象： 2～3か月に1回） . S/MIME研究会開催（会員向け。S/MIME関連情報の共有等を実施：毎月の月例会）ニュース配信（会員向け。S/MIME関連情報のメール配信：非定期） S/MIME普及の阻害要因に対するアプロ一チ3. •     メールソリューションのS/MIME対応の促進.その他、S/MIME対応の促進を妨げる要因へのアプローチ
S/MIME標準搭載会

S/MIME準備備備会