σ(^^)はメールのセキュリティに危惧が強いほうで、S/MIMEやPGPといった暗号化メールの普及を願う一人です。ただ、これらは双方が導入していなければやりとりはできませんし、比較的一般的なメーラーで導入が容易なS/MIMEは電子証明書が有料なものが多かったりとなかなか業務でも利用できる機会は少ないです。
ではせめて、と添付データだけはパスワードで暗号化をすることを勧めています。意外なことにMicrosoft Office自体には閲覧を制限するパスワード機能はありませんので、なにかしらのコンテナで暗号化する必要があります。最近はAES暗号も使えるzipなんかもいいんですが、セキュリティに厳しいサーバーだと.zip形式の添付がついたメールをはねるところすらでてきていますので、個人的にはPDFがオススメです。最近のAcrobatはPDFファイルに添付ファイルを埋め込む機能がついています。レポートをPDFに変換し、その元ファイル（WordやExcelファイル）を必要に応じて埋め込んで渡す、というのが多いです。相手がOffice使ってて当然とばかりにWordファイルを送りつけるのも個人的には抵抗がありますしね。で、PDF自体は暗号化機能をもっているので、添付ファイルごと暗号化してしまえば良いわけです。今のところPDF添付をはじく設定のメールサーバーというのは聞いたことがありません。
さて、電子証明書と違ってパスワードによる暗号化の場合はそのパスワードの伝達方法が問題になります。これが漏れたら意味がありません。暗号化ファイルを添付したメールの本文に書いておくというのは論外です。と思っていたら、最近「パスワードは別途メールします」と直後にもう一通別のメールで送る、という方法を採っている人を複数見かけました。これもあんまり意味はないでしょうね。あるメールが読まれているということは、その前後のメールも読まれるという可能性は高いです。送信側のミスで間違った相手に送ってしまった場合の予防策という向きもありますが、これも連続して送る分には同じ間違いを犯してしまう可能性は高いんじゃないでしょうか？やはりできるならパスワードは電話などの別手段で伝えることが望ましいでしょうね。ただしFAXのように物理的に残るものは避けるべきでしょう。
ただ、σ(^^)のように夜行性だとやはりメールで済ませたくもなります。比較的付き合いがあってケータイのメールアドレスがわかっている場合は、パスワードのみそちらへ送ったりします。もちろん「これがパスワードです」なんて書いてはいけません。「さきほどPCのメールへお知らせした件です」みたいな感じで単独ではなんのことかわからないようにします。ケータイ上の情報って意外とPCとは隔離されているので安全ではないかと。
ではケータイのアドレスもわからない時は？σ(^^)は相手だけが知り得るような情報を使うようにしています。相手にもらった名刺にある情報をつかって、「電話番号の下五桁です」とかしておけば、単にメールを傍受した無関係な人には展開できないでしょう（産業スパイに狙われたりすればまた別ですが）。以前に打合せに尋ねた時に食事でもしていれば、その時出た趣味やプライベートな内容を反映させるのも有効かも知れません。
でもこの手の方法は同一の添付ファイルを複数の担当者に一斉送信する時なんかにはやりづらかったりしますよね。
みなさんはどうされてますか？良いアイデアがあれば是非聞かせてください。
> 良いアイデアがあれば
ここで良いのかｗ
某所で国際的な資金配分の話なんかを流す時には、本文中に無意味文字列+無意味数字を冒頭に「資料番号(File-No.):」と前置して書いておいて、発信者のタイムゾーンの数字を各桁に非算術算法(各桁で桁上がり桁下がりなしに加減算する。UTCゾーンと±10以上も9扱いです。0だとそのまんまですから)って手を使ってましたね。
2バイトやり取りしていては、日本語での注記は意味が無いので、わざわざ1バイト注釈入れている訳です。もっとも全角で書いちゃえって話もありましたが。
複数メールにすると片一方が届かない、なんていうあれなところなので、このやり方の方が助かるんです。UUCPなんてのが未だにあったりしますから。
わーい、やっぱり期待してた人からコメントがついた(^^)/。
しかしまたエラい特殊な状況下の経験談ですなｗ。それはキー自体はメールに含まれちゃうから、「タイムゾーンの数字（ってか時差？）を足してね」ってルールの方は結局別途伝えないとダメってこと？あと無意味文字列の部分はダミー？
そもそも相手が「なんで暗号化なんて必要なの？」くらいの認識だったりするので、あんまり複雑なことはやらせられない気がしてます。そういう場合も必要性を説くところからやったりする？
やっぱり召還だったか。汗
暗号は本職だったんで、(元ネタの話は)鍵の伝達路も同じってのはどうにも我慢ならん。で、ついつい「ルールは単純、そして予めメンバーは知っている」と言う例を書いちまった。やばい?ｗ
本当は、公開鍵使いたいんだよね。そうしたいのはやまやまなんだけど、なかなか技術的に難しい話になっちゃう(準備できない環境になったときに復号できないのは困る→暗号技術を低レベルにせざるを得ない)。
そもそも普段から使おうにも、公開鍵の複雑さ(難しさ)を意識しないで、気軽に暗号化復号化するツールもないし。
そういう意識を持たせるのは難しいよね。(元外務省職員が混じってたんだけど、二人して、甘いよね、気持ち悪いよね、と言ってた)。
タイムゾーン云々で暗号化、はもう「そういうルールだから」で済ませてる。つーかルール作ったのは私ですが。
実際問題、余計なトラブルに巻き込まれる(デスクの上に郵送された予算計画書とか投げ出しちゃってタコ殴りにされた人とかの話があるんで、それを聞かせちゃう。
でも実は3割程度の人しかネットに繋がれておらず、残りは郵送になっちゃうんだけど。伝送経路に拠らず同一電文を一つは暗号、一つは平文、なんてのは論外中の論外なんだけど、しょうがないよね(哀)。
ファクスは誰が受け取るか判らないから、数字の入っているものは封書に限る…んだけど、それだって怪しいけどね。
えっと横道にずれた。
それでもZIPに暗号化することすら忘れちゃう人とかいるけどさ。
(暗号化するより先に本文を書いたらしく、キーはちゃんと書いてあるんだよね。これはメール作成の手順の問題なんだろうけど)
文字列は単純ダミー。
だけど、lとかIとかOとか入れちゃう人とか続出しちゃって暗号解読に不便だったりするんで(例: AsIl033210)、文字列は止めようとか言う話もある。
あと、普段から暗号化しなくてもよい文書もするようにさせてる。暗号化した文章だけ「重要だな」と思わせないため。これも暗号運用の基本だね。
なんかもういっそ、中継したSMTPパケットの中身をランダムに晒すサーバーとか誰か作らないかねｗ。
THUNDERBIRDなんかは一度セッティングしちゃえばそれなりに電子署名も暗号化も簡単だと思うんだけど、やっぱり証明書の取得が面倒だったり有料だったりするのが障壁かと。日本でももっと格安／無料で取得できる認証局が増えて、メーラーもそういうとこのルート証明書をどんどん入れてほしいと思う（問題？）。証明局が証明書発行以外で儲けられるビジネスモデルがないもんかね。
あとメーラーの対応が進むことも重要なんだけど、本来暗号化はメーラーの仕事じゃない気もするよね。大容量のファイル添付って効率悪いし。オンラインストレージを含むhttp/ftpやP2P向けな暗号化コンテナが必要なんだと思う。いまんとこPDFが有力？
あ、裏ブログで書いてた、バージョンアップの狭間だったのかな。幾つも幾つも送っちゃったみたいで申し訳ない。(きちんと最終稿を採用してくれてサンクス)
無料の証明局のエントリは参考にさせて戴きました(あれも裏だっけ←つーか、あんまり裏裏言うの良くないか)。でも、メイラ乗り換えってのは暗号化云々よりも敷居が高いというか鴨居が低い話なので、ちょっとパスさせて貰ってます。USBメモリ一つでアプリを持ち運べないってのもある。
場合によってはフリーのメーラから出さなければならない時もあるしね。
証明書発行以外で…つーと、やっぱり広告? PGPシグネチャの間に出会い系のURL挿入とか? う、もしかしてすげーアイデアかもかも。
THUNDERBIRDはUSBフラッシュ用のポートが開発中だったような気がする。
そういやフリーというか、Webメーラーが困るね。＞電子に署名
電子証明書はサーバー上にあって、BASIC認証でログインして、署名＆暗号化できまっせ、なんてことになったら目も当てられないｗ。