こうして守れ！メールのセキュリティ

もはや無関係ではいられない

法改正でメール送信はこう変わる

2008年の12月から、改正された総務省の「特定電子メールの送信の適正化等に関する法律」（以下、特電法）と経済産業省の「特定商取引に関する法律」（以下、特商法）が施行される。こうした法律の改正でどんな対応が必要になるのだろうか？

　今回の法改正の重要な点として、広告・宣伝メールを送る場合に従来の「オプトアウト方式」からメール送信側が受け取り手から事前に送信することに対しての承諾を受けなければいけない「オプトイン方式」への移行が挙げられる。

従来のオプトアウト方式とオプトイン方式の違い

　これは広告・宣伝メールを送信するすべての事業者に影響する。従来のように、新規の見込み客に対して「まずメールを送ってみよう」という行為ができなくなるからだ。また、広告・宣伝メールを外部の配信事業者に委託する場合でも、その委託先が違反をしていると広告主側にも調査が入るため、無関係ではいられない事情もある。

　一方、現場の技術部門にとっては、法律で規定される「メールを送るためのメールアドレスのリストをどのように収集したかを証明できる記録の保存」をいかに行なうかで頭を悩ますことになるかもしれない。

　さて、もう1つの改正点は、メールのドメイン認証が本格的に導入される点だ。これにより、プロバイダなどは一定の条件を満たせばSPF（Sender Policy Framework）やDKIM（DomainKeys Identified Mail）といったドメイン認証技術の結果を使ってメールの着信拒否ができるようになる。

　そのため、メールサーバの運営者は自分自身が管理しているドメイン名の設定を見直す必要が出てくる。従来はISPのように広く一般にインターネット接続をサービスしている事業者はユーザーから依頼されない限り、どのようなメールでも受け取らなければならなかった。しかし、今後は特電法第11条を根拠に送信元を偽称したメールは、一定の条件を満たせばISP自身が受信拒否できるようになるからだ。このことは、メールを送信する側は、メールアドレスが「偽称だ」と判定されないように対策を施す必要があるということでもある。

　では、実際にどの技術を使うべきか。DKIMは一部で使われているが、広く普及するには至っていない。一方、SPFは“至急”設定すべき項目といえる。自身のドメイン名がメールを送信する際に使用するメールサーバをきちんとSPFで設定し、DNSによって公開する。またその際に、外部のセカンダリDNSサーバを使用している場合には、その設定が正しく行なわれているかといったことも再確認したほうがよい。

SPF方式を用いた送信元ドメイン認証

法改正に合わせた対策は早めにすべし

　今回の法改正は、単に広告・宣伝メールを送る側にばかりでなく、実はメールサービスを提供している側にとっても大きな影響がある。先に述べたメールの受信拒否の話は、送信する側にとっては「新たな設定の追加」という負担が増加することになるが、受信側、特に迷惑メールの受信で悩んでいた事業者には「設備負担が軽減される」といった点で朗報である。

　改正法は、すでに12月1日に施行されている。しかし、見ている限りまだまだ混乱を含んでいるようだ。これは、公開されている情報の多くが一般論に終始しているため、個別のケースごとで判断に迷っているからというのが理由のひとつとしてあるのかもしれない。

　参照先は数多くあるが、ここでは総合的な情報提供をしているという点からインターネット協会の迷惑メール対策委員会が情報提供している「有害情報対策ポータルサイト −迷惑メール対策編−」を紹介しておく。

■関連サイト

• 「有害情報対策ポータルサイト −迷惑メール対策編」
• 「有害情報対策ポータルサイト −改正迷惑メール対策法に関するＱ＆Ａ-」