ファイル暗号化とは、データを特定の法則で変換し、第三者に内容を読めないようにすることです。法人が選ぶときの分かれ目は、PCやUSBメモリを無くしたとき、ファイルを送るとき、送った後の3つのどの場面を守るかです。
今日やることは2つあります。社内のPCがディスク暗号化されているかを確かめること。そして、社外へファイルを送るときに、パスワードをどう伝えているかを担当者に聞くことです。
この記事は公開情報を整理したものです。私たちが各製品を導入や検証したわけではありません。ほかの対策は情報漏えい対策のカテゴリにまとめています。
どの方法が、どの場面を守るのか？
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、データ暗号化について、ディスク単位やファイル単位で暗号化することで、添付ファイルの盗聴、不正アクセスによる持ち出し、紛失や盗難による漏えいのリスクを減らせると説明しています。ただ、1つの方法ですべてを守るわけではありません。
| 方法 |
主に守る場面 |
弱いところ |
| ディスク暗号化 |
PCの紛失、盗難、廃棄 |
送ったファイル、ログイン中の操作 |
| パスワード付きファイル |
ファイルを送る、持ち運ぶ |
パスワードの伝え方と管理 |
| 暗号化機能つきUSBメモリ |
媒体を持ち運ぶ |
媒体の中から出したファイル |
| ファイル暗号化の製品 |
社内外でのやり取り、送った後 |
費用、相手側の利用環境 |
| ラベルによる保護 |
社内外の共有とアクセス制御 |
対応するサービスと契約 |
この表は各社の説明と仕組みをもとに私たちが整理したものです。優劣ではなく、担当する場面の違いと考えてください。
PCやUSBメモリを無くしたときはどう守るのか？
ディスク暗号化が基本です。Windowsでは、Microsoftの説明によると、BitLockerはボリューム全体を暗号化し、紛失、盗難、不適切な廃棄によるデータの盗難や漏洩の脅威に対応します。
追加の製品を買う前に、次の点を確かめます。
- BitLockerはWindows ProやEnterpriseなどで有効にできる。エディションごとの対応は上記のページに表がある
- デバイス暗号化は、一部の端末で自動的に有効になる機能で、すべてのWindowsのバージョンで使えると案内されている。ただし端末の条件がある
- 回復キーをどこに保管するかを決める。社内の誰も取り出せないと、故障のときにデータを失う
見落としやすいのは、暗号化されていることと、守られていることの差です。Microsoftが挙げているのは紛失や盗難などです。ログインした後に動くウイルスや、社員の操作で開かれるファイルは、別の対策の範囲になります。
USBメモリは、使わないで済むならそれが一番です。茨城県教育庁の2026年4月の発表のように、私物のUSBメモリの紛失も実際に公表されています。使える媒体を制限する方法はデバイス制御の製品比較で見られます。ほかの紛失の例は流出事例の原因別の分類にあります。
ファイルを送るときはどう守るのか？
パスワード付きファイルは手軽ですが、伝え方で意味が変わります。
2020年11月の内閣府の大臣記者会見では、ZIPファイルと同じ経路でパスワードを自動で送る方式の廃止が表明されました。同じ会見で、機密性の高い情報を送るときは、ファイルにパスワードをかけ、全く別の経路でパスワードを知らせる対応が挙げられています。
個人情報保護委員会の通則編も、安全管理措置の手法の例として、メールでファイルを送るときのパスワード設定や、通信や内容の暗号化を挙げています。パスワードそのものが禁じられているわけではありません。問題になるのは、同じ経路で続けて送る運用です。
実務での選択肢は3つです。
- パスワードは別の経路で伝える。電話や、事前に決めた取り決めなど
- ファイル共有サービスで送り、期限と相手を絞る
- 相手と継続的にやり取りするなら、製品やラベルで保護する
Word文書の場合は注意があります。Microsoftのサポート情報によると、パスワードは最大15文字で、紛失や忘却の場合、Wordは回復できません。作成前に回復の仕組みを入れていた場合を除き、管理者でも戻せないとされています。
送った後のファイルはどう守るのか？
ここがパスワード付きファイルにはできない部分です。一度相手に渡してパスワードも伝えれば、その後は手元で管理できません。
専用の製品には、ファイルを暗号化したうえで、開ける人を制御するものがあります。たとえば、デジタルアーツのFINAL CODEは、ファイル暗号化と遠隔削除の製品として案内されています。
Microsoft 365を使っている会社には、Microsoft Purviewの秘密度ラベルという選択肢があります。文書やメールを分類し、暗号化を使ってアクセスを制御できます。Officeアプリはサブスクリプション版が対応すると案内されています。ライセンスの情報は同じページの案内から確かめる形です。
製品の違いはファイル暗号化の製品比較で見られます。比べるときに確かめたいのは次の点です。
- 相手側に専用のソフトやアカウントが要るか
- 対応するファイル形式はどこまでか（図面の形式を含めて）
- 開いた記録が残るか、後から権限を外せるか
- 契約を終えた後、暗号化したファイルをどう扱えるか
最後の項目は特に確かめておきたい点です。解約で過去のファイルが開けなくなるなら、長く保管する書類には使いにくくなります。
製造業では何を基準に選ぶか？
たとえば、図面を協力会社に渡している部品メーカーの場合を考えます。守りたいのは、取引の間だけ相手が見られて、取引が終わったら手元に残らない状態です。この場合、PCのディスク暗号化はもちろん必要ですが、それだけでは足りません。問題は相手側に渡った後だからです。
順に考えます。
- 図面や価格表など、渡した後も管理したいものが多い → ファイル暗号化の製品
- 社内の共有が中心で、Microsoft 365を使っている → ラベルを確認
- 相手が小規模で専用ソフトを入れにくい → 期限つきの共有サービスと契約での取り決め
製品の前に、取引先に渡す図面の扱いを契約や覚書で決めておきます。暗号化は決めた内容を守らせる手段で、決めごとの代わりにはなりません。製品の動作確認も、実際に使っている図面の形式で試用して確かめます。
社内からの持ち出しも見たい場合は、暗号化とは別の仕組みになります。誰がどのファイルを外へ出そうとしたかを検知するのはDLPの製品比較の領域です。
暗号化していれば漏えいの報告は要らないのか？
条件を満たす場合のみです。個人情報保護法ガイドライン（通則編）は、高度な暗号化などの措置が講じられている場合は報告を要しないとしています。
ただ、中身は個人情報保護委員会のQ&A（6-19）に細かく書かれています。要約すると次の2つです。
暗号の技術そのものの条件。 その時点の技術水準に照らして、第三者が読める状態にすることが困難な措置であること。例として、電子政府推奨暗号リストやISO/IEC 18033などに載っている暗号技術を適切に実装していることが挙げられています。
鍵の管理の条件。次の3つのいずれかを満たすことです。
- 暗号化した情報と復号鍵を分離し、鍵自体の漏えいを防ぐ措置を講じている
- 遠隔操作で情報または復号鍵を削除する機能を備えている
- 第三者が復号鍵を使えないように設計されている
つまり、ファイルにパスワードをかけたから報告しなくてよい、とは読めません。実際の判断は事案ごとになるので、起きたときは委員会の案内や専門家に確かめてください。
暗号化でかえって困るのはどんなときか？
鍵を無くしたときです。通則編は、暗号化処理された個人データの復元キーを喪失して復元できなくなった場合を、個人データの毀損の事例に挙げています。ランサムウェアで暗号化されて復元できなくなった場合も同じ事例の中に入っています。
つまり、暗号化はバックアップの代わりにはなりません。また、次のような運用は事故のもとです。
- 同じパスワードを全社で使い回す
- 担当者しか知らないパスワードで書類を保管する
- 回復キーを暗号化したPCの中にだけ保存する
- 退職者が作ったファイルのパスワードが誰にもわからない
鍵とパスワードの持ち主を決め、退職や異動のときに引き継ぐ手順を作っておきます。ファイルを開ける人の管理は、ログインの管理ともつながります。社員のIDをまとめて扱う方法はIDaaSの仕組みと導入の条件に書きました。
個人データをメールで送る場面が多い部署には、取得の時点の書類も見直す機会です。どの目的で集めた情報かが明確なら、そもそも送る必要があるかも判断できます。書き方は個人情報の取り扱いの例文を見てください。
