Active! gate を運用してみてようやく気づいたこと。

Active! gateを実際に運用してみて気づいたことを書いてみました。

Active!gateは電子メールによる情報漏洩に対応するセキュリティー製品で、(株)クオリティアが販売しています。

アプライアンスとクラウドの2タイプが用意されていますが、僕のところではアプライアンスで運用しています。メールサーバをオンプレミスで運用しているため、ゲートウェイにアプライアンスタイプのActive! gateを設置することで門番的役割となっています。

門番的役割とは、社内から社外へ送信されるメールの内容を精査し、一時保留や添付ファイルの暗号化といった情報漏洩や誤送信防止を行う、という認識でいます。

Active!gateの主な機能

Actiteve!gateを知らない人のために、ざっとどんなことができるのか、代表的な機能について書いてみました。

ポリシー設定により、特定の条件下でのメール送信自体を拒否することができる機能。
送信拒否された場合に、送信拒否を送信者に通知するか、しないかを選択することができる。

また監査機能として、送信拒否されたメールを別の宛先（第三者）に通知できる。
内部統制強化の目的で監査機能を使えばある程度セキュリティが確保されるかもです。

ポリシー設定により、特定の条件下でのメールを一定期間保留することができる機能。
保留されたメールは、一定時間経過後に「自動送信」か「自動削除」をする。
リマインダー機能があり、保留されたメールの存在を送信者に通知することも可能。

ポリシー設定により、特定の条件下で添付ファイルをパスワード付きのファイルに自動変換し送信する機能。
ファイル名も自動変換できたり、添付ファイル暗号化後の拡張子も指定したものへ変更できる。
また、パスワードを配送するまでの時間を自由に設定することも可能。

メール本文と添付ファイルを分離して添付ファイルのみをサーバに保存し、ダウンロードURLからファイルを取得してもらうことができる機能。

サーバ上に分離された添付ファイルは送信者が任意に削除・ロックすることが可能、またダウンロード可能な日数を設定することができる。
ダウンロードをした履歴も確認できたり、パスワードを配送するまでの時間を自由に設定可能。

被承認者が送信したメールの確認や添付ファイルのチェックを承認者である第三者が行い、承認された場合のみメールを送信させる機能。

承認者が不在時には、設定された期間のみ代理承認できる「不在代理者」の設定ができる。
また、承認者が一定時間内に承認しなかった場合にも、代理承認をする「代理者」の設定が可能。

承認者がメールチェックしなければならない項目を「必須チェック項目」として設定できる。

承認者のメールアドレスをCcやBccに追加してメール送信できる「承認者をCc/Bccに追加」の設定も。

ToやCcに外部宛の大量メールアドレスを指定した場合、強制的にBccに変換する機能。

僕はこの機能が何気に１番いいと思っている。

情報セキュリティ教育はやっているけど、相変わらず、ToやCcで大量メールを送る人がいるけれど、これはマナー的にNG。

もし面識がない人に自分のメールアドレスが知られてしまったらどう思うのか？考えてみてほしい。人によっては、こんな常識のない企業とはもう取引しない！って思うでしょうね。

機能についてざっと紹介しましたが、この製品はメールセキュリティに特化していることがわかると思います。

そういうわけで、この製品を導入したからといって情報漏洩を完全に防げるわけではない。

そもそも悪意を持って情報を持ち出そうとする輩（やから）はメールなんて使わずにほかの手段を用いる。うっかりミスの誤送信防止対策として導入するならば、この製品は一定の評価ができるのではないか？

中でもBcc強制変換機能はすごくいいと思う。

僕のところでは、添付ファイルの暗号化を使用しているが、とりあえずパスワードの通知時間を何分にするかで結構迷う。

5分に設定しているが、誤送信がわかった段階でパーソナルコントローラと呼ばれる画面に送信者自身がログインし、5分以内にパスワード通知を取り消さなければならない。

仮に誤送信が起きたとして、5分以内に気づく可能性は保証できないし、5分以内に気づいたとしても、普段やり慣れていない操作をユーザーがテキパキとこなしてパスワード通知を取り消すことができるのか疑問。

日に何回も添付のやりとりをしている取引先からは、「パスワードが煩わしいからやめれくれ！」と言ってくる始末。
特定の取引先を除外することも可能だが、そんなんだったら意味がない、全部やめてしまうべきだ。

上司承認にいたっては、ユーザーインターフェイスが粗悪でチェック項目がどこなのかわかりずらい。
だいたい忙しい上司が部下のメールをいちいち面倒な手順をして確認をするだろうか？しない・・・
何も見ずにチェック項目のOKボタンを押すだけが関の山だ。

ハードウェアの運用観点からも苦言を・・。

HA構成（High Availability）ができないのは致命的！（次期バージョンではできるようになっているかもしれないが・・・）
サブ機はコールドスタンバイ。メイン機の設定変更があった場合、わざわざサブ機にポリシーをインポートしなければならない。

設定変更なんてユーザー登録・削除で頻繁に発生する。故障があったら復旧までに時間がかかる。考えるだけで恐ろしいので故障しないことを祈っています

もし導入するならクラウド版がおススメ！でもアプライアンスに比べるて割高となる。
かなり細かい設定が可能＆機能も豊富であるため、使う側の力量が問われる

ただし情報漏洩が完璧に防げるといった過度な期待は禁物、あくまでメールに限定され、しかも誤送信が上手くいけば減らせるかも？といった心構えで。

もしも導入するなら、一番大事なことは、導入前に運用方法をよく検討する、そうしないと利用者側からクレームの嵐となるでしょう。

最後に、この製品を使う以前に、情報セキュリティ教育を徹底して社員のモラルを向上させることが最優先だと、この記事を書いていて思ってしまった。