添付ファイルのパスワードは、後ほどメールします。

初めて見たときに、椅子から転げ落ちたメールのタイトルだ。
きっちり１分後に、添付されていたZIPファイルを展開するためのパスワードが送られてきた。

もし、メールが第三者に傍受されているとしたら、この暗号化には何の意味もない。
2通とも第三者が受信するからだ。

折に触れ、このメールを送ってきた担当者に、この運用の目的を伺った。
「会社の規則なので」が回答だった。
誠に申し訳ないが、回答になっていない。
セキュリティ担当の方に伺ってみた。
「メールの誤送信が問題になっており、2通に分散することで、誤送信を減らすのが目的」と説明を受けた。
「2通目のメールのアドレスは、1通目からコピー＆ペーストしているみたいですけど」と質問したところ、100点満点の苦笑を頂いた。

衝撃はこれで終わらなかった。
「添付ファイルのパスワードは、御社の電話番号です」とのメールが届いたからだ。
弊社のホームページで公開中の電話番号を、ハイフンなしで入力したところ、見事に展開された。

はっきり申し上げる。
これらは、情報セキュリティへのではない。
では、いったい何なのか。

電子メールは、その性質上、第三者が容易に内容を知る事が出来る。

一般的に運用されている暗号化は、全数アタックで必ず復号化することが出来る。
ただ、復号化にかかる手間と時間が、復号する内容の費用対効果に見合わないが故に、その暗号は強いとされるだけだ。

例えば、私の家計簿が暗号化されているとする。
これを全数アタックするには一般的なパソコンで1時間かかるとしたら、酔狂な方は試すかも知れない。そして驚くが良いだろう、私の家計簿に。
では、仮に、世界最高のスパコンで1ヶ月が必要とした場合、試す方がいるだろうか。
スパコンを1ヶ月も使う費用をかけるぐらいなら、私はそのお金で、喜んで家計簿を公開する。
対象を変える。
暗号化されているものが某国の国防機密だとしたら？
スパコンで1ヶ月ぐらいなら、安い者ではないか。

話は、ZIPファイルのパスワードに戻る。
ZIPファイルのパスワードは、入力ミス何度しても状態が変わらない、全数アタックにおあつらえむきの仕様だ。応答も早い。
そこに「電話番号です」と情報を付与したら、電話番号のアルゴリズムを無視したとしても。10,000,000,000（百億）パターン以下だ。
人間にはとてつもない数だが、今のパソコンなら数時間で答えを出せる。やり方によってはいくらでも早くできる。
冒頭で登場頂いた、2通メール方式のZIPファイルのパスワードは、数字だけではなかったが桁数が少なかった。きっとこれをお読みのあなたの想像より少なかった。

繰り返しになるが、そんなものは情報セキュリティではない。
では、いったい何なのか。

仮に情報が漏洩したときの事を考えてみよう。

添付ファイルが非暗号のZIPファイルであった場合、情報漏洩への対策を取っていなかったとされる。
第三者は、なんの苦労もなく内容を知ることが出来る。
これは、情報漏洩の事故だ。

添付ファイルが暗号化されたZIPファイルであった場合、情報漏洩への対策を取っていたとされる。
第三者は、意思を以て暗号の復号を行い内容を知ることとなる。
仮に数秒で済んだとしても、だ。
これは、情報漏洩の事件だ。

つまり、私の仮説は、こうだ。
ZIPファイル暗号化による、なんちゃってセキュリティ対策をルールとしているのは、情報漏洩時の責任逃れではないのか。

それが数クリック、数秒で済む復号であるかどうかは、関係ない。
「組織としては対策を取っていたが、破られた」という大義名分のためではないのか。

報道のされ方や、世の中の騒ぎ方にも問題があるが、情報漏洩より、更に情報の改竄の方が組織の信頼へのダメージは大きい場合がある。

例えば、あなたが自宅の鍵をかけ忘れて外出し、帰宅したとする。
このとき、犯人が貴重品や金品を盗むのが情報漏洩と言える。
犯人が家の中に隠れて、貴方の帰りを待っているのが情報の改竄に近い。
かなり乱暴なたとえ話だが、どちらがより危険か、お分かり頂けるだろうか。
被害が広がる可能性を考えて頂きたい。

ZIPファイル暗号化には、署名機能はない。
第三者が改竄し、同じパスワードで復号することは、容易だ。

暗号化と復号化は対だ。
やりとりする相手に特別なハードウエアやソフトウエアを求めないZIPファイルの暗号化が広まったのは、その利便性が高かったことが大きい。
ただ、本当に重要な情報を含めるのならば、その方法は考えるべきだ。
組織のセキュリティ意識は、どこから見られているかわからない。
敵も味方もない。
言い訳が用意してあるから思考停止するのは、誰のためにもならない。