以前、JR原宿駅の竹下通り口の真上の広告スペースに、IPA のセキュリティ啓発の広告が大きく掲げられていた時期があった。「パスワード啓発マンガ」と題されて、格式ある正調の少女漫画のスタイルで、長く複雑なパスワードを作るべきことや、パスワードの使い回しのリスクなどを、イケメン美形男子が少女に向かって甘くささやく一コマ漫画で、調べてみたところ、16作品作られていたらしい。あれこれ欲張らず、パスワード管理という重要な対策一点だけにしぼった秀逸なキャンペーンだった。
揶揄するような意図はまったくなく、本気でこういうことをやろうとしていたのだなあと感慨を感じる。「こういうこと」とは、長く複雑なパスワードの重要性や、使い回しのリスクなどを、あたかも横断歩道を渡る際に左右を見るような「人間の後天的習慣」として根付かせることである。
国民が全員 IPA の職員でもあったらそれが実現できたのかもしれない。それから約 10 年後の現在、主要なコンシュマー向けWebサービスはもはや多要素認証が主流になりつつある。
結論から言うなら「人間だもの」ということに尽きる。数十を超えるパスワードを、全角半角英字と数字と記号混じりで 8 桁以上でそれぞれ別々に作成して、紙にも書かず覚えておくことは、クイズ王の東大生でもない限り極めて難しい要求である。
人間がもっと真面目で、時間がたくさんあったらできていたかもしれないという「セキュリティの見果てぬ夢」はたくさんあって、今回紹介するファイルの暗号化もその一つである。
作成したファイルを重要度で分類して暗号化を施し、営業秘密を守り、利用範囲をコントロールする。そんな製品がかつてたくさん作られ、暗号化製品という製品ジャンルすらあった。しかしやはりこれも「人間だもの」。運用管理の煩雑さの前に、あるいは業務効率優先の前に、なにより取引先に新しいソフトのインストールを強要なんて立場的にできないよという現実を前にして、少しずつ存在感を減衰させていった。
現在では暗号化して守るというよりは、IT資産管理ソフトで操作ログを取ったり、UEBA などを用いてリスクのある活動をあぶり出すような間接的なやり方が一般的になりつつある。お金はかかるわけですが。
そんな中、重要ファイルを暗号化して利用範囲や閲覧・編集権限を制御するという、セキュリティ産業初期の見果てぬ夢を今もまだ追い続け、少ない工数と、何より少ないコストでそれを実現し、全国に着実にユーザーを獲得し続けている企業が存在する。
株式会社ティエスエスリンクは、情報漏えい対策に特化した国産セキュリティ製品を 1999 年の創業から一貫して作り続けてきた徳島県のベンチャー企業。同社の提供する「トランセーファー」シリーズは、社内外で共有する重要ファイルを、暗号化と利用権限制御によって保護する情報漏えい対策ソフトだ。
「トランセーファーBASIC」は、ファイルを保有する配布元の PC にネイティブアプリをインストールして、対象ファイルをドラッグ＆ドロップすれば暗号化が完了する。暗号化ファイルを受け取った配布先は、配布元が設定した権限の範囲でのみファイルを利用できる（配布先にもネイティブアプリのインストールが必要）。
トランセーファーが奮っているのは、閲覧できる PC を限定したり、あるいは「今月末まで」などファイルの有効期限を設定したり、さらに日時を決めてファイルの自動削除などができることだ。
トランセーファーには他にも、たとえばワープロソフトで作成したファイルを暗号化して共有し、配布先が暗号化ファイルを開いて編集を行って、そのまま単にファイルを閉じさえすれば、改めてドラッグ＆ドロップしなくとも再暗号化される機能がある。うっかり平文保存してしまうリスクもなく、同時に何度もくり返しドラッグ＆ドロップさせるイライラを減らす心遣いの機能といえる。継続運用のストレスを減らそうという工夫のひとつだ。
トランセーファーは SDK も提供している。たとえば社内の文書管理システム等でファイル共有をするような場合、ユーザーである一般社員がそれをダウンロードする際、すべて自動的に暗号化して閲覧のみに制限してしまう、そんな用途にうってつけだ。
トランセーファーはこんな便利な製品だが、あえて言葉を選ばずに言ってしまうと「ものすごく地味なプロダクト」である。
2022 年は、米海軍に所属するジェット戦闘機パイロットの成長を描く映画が日本国内で大ヒットを記録した。たとえば AI で不正を検知する UEBA が「第5世代型戦闘機」だとしたら、トランセーファーは「第4世代型戦闘機」と言わざるを得ないだろう。しかしそこにこそ、この製品の強みと優位点があるのだ。
トランセーファーの開発で最も留意したことが「使いやすさ」「管理運用の手間が少ないこと」だったという。というより、情シスの介入が不要で、セキュリティソリューションではなく一般のビジネスソフトと同様の使い勝手を目指し、それを実現しようとした。
トランセーファーは、製造業や中央官公庁の中の、特定の一部署や部門などに採用され、情シスが運用管理に一切絡まず、その部門内での利用に完結し、長く使われているユースケースが多い。全社規模やサプライチェーン全体でトランセーファーを利用するようなケースは少ないという。
製造業や中央官公庁で社内共有する、あるいは協力会社と共有するファイルに対して、このレベルの管理がしたいところといえば、おそらく読者の頭の中にはいくつか社名や省名が浮かんでいると思うが、本誌読者なら推測の精度も高いだろうし、それはおおむね間違っていないだろう。子供から老人までその名を知っているに違いないというユーザー企業／団体の個社名等々は、もちろん取材時に具体的には明かされなかった。それでこそセキュリティ企業である。
たとえば同じ暗号化製品でも、秘文のような何でもできるが、きちんとした運用管理とそのための訓練すら必要なプロダクトを対戦車ライフルにたとえるなら、トランセーファーは口径の小さいハンドガンのようなものだろう。火力はてんで弱いかもしれないが、使うべきときに適切に使えば必ずしもハンデにも弱点にもならない。
トランセーファーが社内や取引先の一部など、ある程度限定された範囲内で使われるケースが圧倒的に多いという話を聞いて記者は、扱う情報の大切さを理解し、価値を共有している人々のコミュニティが思い浮かんだ。仕事で最も優先される価値の一つである、効率性や利便性と同じくらいにセキュリティに重きを置くことができるのは、そのファイルを大切と思う気持ちがなければできないし、何より続かない。
いま自分のチームがやっている仕事が開く未来への期待を共有する範囲でしか、あるいはきちんとしたセキュリティ管理は実現できないのかもしれない。セキュリティとは、仕事を丁寧に進める方法の一つでもあると改めて感じた。
「トランセーファー BASIC Ver.4.1」は 2022 年 7 月、ちょっとしたバージョンアップを行っている。これまで Adobe Acrobat をエンジンにして開いていた PDFファイルを、バージョンアップによって Microsoft Edge WebView2 で閲覧する方式に変更した。
WebView2 とは何のこっちゃという読者もいるかもしれないが、WebView2 とは Microsoft Edge をレンダリングエンジンとして使用するフレームワークであり、たとえばあなたが Microsoft Teams で PDFファイルを開いたら、そのとき背後で動いているのも WebView2 である。
どっちみち PDF が表示されるなら WebView2 でも Acrobat でも変わらないのだが、社員に配るキッティングした新しいPC にわざわざ Acrobat をインストールしたり、バージョンアップのたびに Acrobat のアップデートを行う手間は、たとえば大規模組織では案外馬鹿にならない。
トランセーファーにはこんな、派手さには欠けるものの、ユーザーの運用負荷やストレスを減らす工夫が積み重ねられている。「だから続く」とも言える。これは日本のビジネス慣習に通暁する国産セキュリティ企業ならではだ。
2020 年以降、リモートワークが普及することで、セキュアなファイル共有が改めて見直され、トランセーファーに注目が集まっているという。
また、時を同じくして日本では、侵入型ランサムウェアの被害が全国で多発している。これまで外部からのサイバー攻撃といえば、やれ ECサイトを運営しているだの、会員制Webサービスをやっているだのと、日本の企業全体から見ればほんの一部の「インターネットで事業を行う企業」に降りかかる「特殊な災い」に過ぎなかったが、侵入型ランサムウェアは、クレジットカード情報も会員情報も持たない、ごくごく普通の企業が次々と狙い撃ちされている。
それは、いままで紙で管理していた重要情報が、経済産業省の「DX（デジタルトランスフォーメーション）」の大合唱に乗ってビジネスのデジタル化を企業が進めたことで、攻撃側が「人質にできるデータ」が一般企業内でも相対的に増加していることも一因だろう。
もちろんトランセーファー運用環境下のファイルだとしても、人質を取り返すこと（データ復号）などできないのだが、「二重恐喝（近年増えている、データを暴露するぞと脅すこと）」のリスクが多少なりとも減ることは間違いない（あくまでそれを想定した運用をしていたらの話だが）。今後、トランセーファーのようなファイル暗号化のソリューションは新しい文脈で注目を集める可能性がある。
小口径のハンドガンでも適切に使えば、大きな敵にも有効な場合があり得るということで、要は道具は「使いよう」である。株式会社ティエスエスリンクの実直な純国産DLP製品「トランセーファー」には、誰もがかつて見たセキュリティの夢の実現可能性が、現在もつまっている。
