Gmailの機密モードとは？その仕組みとセキュリティレベル

Gmailの「機密モード」は、Gmailに標準で搭載されている設定機能で、メッセージの有効期限を設定したり、開封時にSMSで送信されるパスコードを要求したり、受信者がメッセージを転送、コピー、印刷、ダウンロードできないようにしたりすることができます。Gmailの「機密モード」とは何かを知りたい場合、その答えは単純明快です。これは厳格なアクセス制御機能であり、エンドツーエンド暗号化ではありません。

作成ウィンドウに鍵と時計のアイコンが表示されると、データが完全に保護されているとつい思い込みがちです。多くのユーザーがこの機能を利用して、財務記録や人事関連文書、機密性の高い企業データなどを送信しています。しかし、データのセキュリティを確保するためには、この機能の技術的な実態を理解することが極めて重要です。

この包括的なガイドでは、この機能が実際にどのような役割を果たすのか、その基盤となる技術がどのように機能するのか、さまざまなデバイスでどのように利用するのか、そして具体的にどのようなものに対して保護効果がないのかについて解説しています。

Gmailの「機密モード」にはどのような機能があるのでしょうか？

Gmailの「機密モード」は、送信したメッセージに対してインターフェースレベルのアクセス制御を適用します。これは、暗号技術を用いてメールそのものを数学的に保護するのではなく、受信者がメールクライアント内で実行できる操作を制限するものです。

この機能が通信に対して適用される4つの主な保護機能について、以下に詳細な内訳を示します。

こうした制限は、うっかりしたミスに対して非常に効果的です。機密性の高いメモを送信する際、同僚が誤って別の部署に転送してしまうのを防ぎたい場合、この機能は完璧に機能します。日常的なユーザーのミスは防げますが、データを盗み出そうと決心している悪意のある攻撃者を阻止することはできません。

Gmailの「機密モード」はどのように機能するのでしょうか？

Googleの「機密モード」機能のセキュリティ上の限界を理解するには、そのメッセージ配信の仕組みを理解する必要があります。競合するガイドの多くが説明を怠っている中核となる仕組みは、「ホスト型リンクモデル」です。

通常の電子メールを送信すると、メッセージ本文や添付ファイルはインターネットを経由して送信され、受信者のメールボックスに直接配信されます。受信者のメールサーバーがデータを受け取ります。

Gmailの機密モードは、この配信の仕組みを根本から変えます。メッセージ本文や添付ファイルは、実際には受信者のメールサーバーには一切配信されません。その代わりに、GmailはコンテンツをGoogle独自のサーバー上に安全に保管します。その後、システムは受信者に、一意のリンクが記載されたプレースホルダーメールを送信します。

受信者がこのリンクをクリックすると、Googleがホストする、あなたのメッセージが表示されたウェブページが表示されます。

Googleは実際のコンテンツを保有しているため、そのコンテンツへのアクセスをリアルタイムで制御することができます。有効期限を設定すると、それは単に、一定時間が経過したらそのリンクを無効にするようGoogleに指示することになります。有効期限の設定は、受信者のマシンからデータを削除するのではなく、ホストされているコピーへのアクセス権を取り消すことで機能します。

受信者の体験は、利用しているメールプロバイダーによって異なります：

• Gmailの受信者の方へ：Googleがホストするコンテンツは、標準のGmailインターフェース内でシームレスに表示されます。見た目は通常のメールと同じですが、このインターフェースでは「印刷」ボタンと「転送」ボタンが使用できないようになっています。
• Gmail以外の受信者について：Outlook、Yahoo、または企業のメールサーバーを利用しているユーザーには、「機密メッセージが届いています」という内容のメールが届きます。本文を読むには、リンクをクリックしてブラウザでGoogleのセキュアなウェブページを開く必要があります。

重要なのは、送信者は常に自分の「送信済み」フォルダにメッセージの永続的なコピーを保持しているという点です。メッセージは決して完全に消去されることはありません。

Gmailの機密モードの使い方（手順別）

この機能の利用には、わずか数回のクリックで済みます。設定は、すべてのユーザー向けに標準の作成画面に直接組み込まれています。公式の手順や最新情報については、Gmail ヘルプの「機密メールの送信と開封」ガイドをご覧ください。

デスクトップ上で

デスクトップインターフェースを使用すれば、これらの設定を送信メールに適用する最も手っ取り早い方法となります。

1. Gmailの受信トレイを開き、「作成」ボタンをクリックして、新しい下書きを作成します。

2. 「送信」ボタンの横にある下部の書式設定ツールバーを見てください。鍵のアイコンの前に時計が描かれているものを見つけてください。

3. このアイコンをクリックすると、Gmailの機密モードのオン/オフを切り替えることができます。設定パネルが下書き画面の上に表示されます。

4. ドロップダウンメニューから有効期限の設定期間を選択してください。

5. 希望するパスコードの設定条件を選択してください。

6. 「保存」をクリックします。作成ウィンドウが青色に変わり、モードが有効になっていることを示します。

7.メールの作成を終えたら、「送信」をクリックしてください。

モバイル（iOSおよびAndroid）

モバイルワークフローは、AppleデバイスとAndroidデバイスで同じです。

1. スマートフォンまたはタブレットで、Gmailの公式アプリを開いてください。
2. 右下の「作成」ボタンをタップしてください。
3. 画面の右上にある3つの点からなるメニューアイコンをタップしてください。
4. スライドアウトメニューから「機密モード」を選択してください。
5. この機能をオンにすると、有効期限とパスコードの設定が表示されます。
6. 必要に応じて設定を調整してください。
7. 右上のチェックマークまたは「保存」ボタンをタップしてください。
8. メッセージを入力して送信してください。

有効期限の設定

このインターフェースでは、メッセージの有効期間としてあらかじめ定義された選択肢から選択する必要があります。日付や時刻を独自に設定することはできません。現在、UI で選択可能な有効期限の範囲は、1日、1週間、1ヶ月、3ヶ月、または5年です。

カウントダウンタイマーは、「送信」をクリックしたまさにその瞬間から始まります。1日を選択した場合、メッセージが送信トレイから送信されてからちょうど24時間後に、リンクは無効になります。

SMSパスコードの追加

認証は、アクセス制御において極めて重要な要素です。Gmailでは、受信者がホストされたリンクを開く前に、その身元を確認するための2つの異なるオプションが用意されています。

• SMSによるパスコードなし：これを選択すると、Gmailを利用している受信者は、追加の手順を踏むことなく直接メッセージを開くことができます。Gmail以外のアドレスを利用している受信者には、ウェブページを表示するために入力が必要なワンタイムパスコードが記載された別のメールが届きます。

• SMSパスコード：これを選択すると、すべての受信者は、自分の携帯電話にSMSで送信されたコードを入力する必要があります。

SMSオプションには、プライバシー面での重大な問題があります。この機能を利用するには、送信者であるあなたが、Googleの入力画面に受信者の電話番号を手動で入力する必要があります。これにより、プライバシーに関わる可能性のある電話番号をGoogleのサーバーに提供することになります。プライバシー擁護派は、特にGoogleのサービスを積極的に避けている相手と連絡を取る場合、これをマイナスなトレードオフとして頻繁に指摘しています。

また、SMSによるパスコードは世界中で利用可能なわけではありません。この機能は、Googleが各地域で結んでいる通信事業者との提携に依存しています。

有効期限前にアクセス権を削除する方法

タイマーが切れるまで待つ必要はありません。機密文書を請負業者に送信した後、そのプロジェクトが予定より早く終了した場合は、すぐに手動でリンクを解除することができます。

1. Gmailの受信トレイを開き、「送信済み」フォルダに移動します。

2. 以前送信した機密メールを探して開きます。

3. メッセージの下部にある「アクセス権を削除」というボタンをクリックします。

4. 受信者へのリンクは直ちに無効化されます。再度開こうとすると、「メッセージの有効期限が切れています」というエラーメッセージが表示されます。

Gmailの「機密モード」は暗号化されていますか？

これは、ユーザーから最もよく寄せられる、そして最も重要な質問です。率直に言えば、答えは「いいえ」です。Gmailの機密モードはエンドツーエンド暗号化されていません。

メッセージは、インターネット上を転送される間、標準のトランスポート層セキュリティ（TLS）によって保護されています。Googleに到達すると、Googleのインフラストラクチャ上で保存される際にも暗号化されます。

しかし、復号鍵はGoogleが管理しています。つまり、Googleの自動システム、そして場合によっては法的召喚状を受けたGoogleの従業員が、メッセージの内容を閲覧できる可能性があります。この機能はアクセス制御を提供するものであり、真の暗号化技術ではありません。

送信者と受信者のみが鍵を保持するシステムが必要な場合は、電子メールの暗号化について調べてみる必要があります。真のプライバシーを確保するには、S/MIME や Google のクライアントサイド暗号化（CSE）といったプロトコルが必要です。

各セキュリティレベルの比較は以下の通りです。

Gmailの機密モードでは保護されないもの

この機能の危険性は、ユーザーがそれをどのように受け止めるかにある。人々は南京錠のアイコンを見ると、自分のデータは絶対に安全だと勘違いしてしまう。Gmailの「機密モード」がどれほど安全かを評価するには、その技術的な限界を率直に見極める必要がある。

機密性の高いデータでこの機能を使用する前に、以下の具体的な脆弱性について確認してください。

スクリーンショットと実物の写真

このソフトウェアは、メールクライアント内のネイティブボタンのみを無効にするものです。受信者のオペレーティングシステムに対しては一切制御を行いません。

Google自身の公式ドキュメントには、この機能では受信者がメッセージや添付ファイルのスクリーンショットや写真を撮影することを防ぐことはできないと明記されています。受信者は、キーボードの「Print Screen」キーを押すか、スマートフォンをモニターにかざして機密データを撮影するだけで済んでしまいます。

悪意のあるソフトウェアと侵害されたデバイス

これらの保護機能はあくまでインターフェースレベルのものに過ぎません。受信者のコンピュータがマルウェア、キーロガー、または悪意のあるブラウザ拡張機能に感染している場合、それらのソフトウェアによって画面上のデータが容易に抽出されてしまいます。データがセキュリティ対策が不十分なデバイスに表示されてしまえば、この機能ではデータを保護することはできません。

EFFによるデータ保持への批判

2018年、電子フロンティア財団（EFF）は、Googleの用語について厳しい批判を公表した。EFFは、これらのメッセージを「有効期限切れ」と呼ぶことは、一般ユーザーにとって非常に誤解を招きやすいと指摘した。

メッセージの有効期限が切れると、受信者の画面からは消えるだけです。メッセージそのものが消滅するわけではありません。送信者は「送信済み」フォルダからそのメッセージを完全に復元することができます。さらに重要な点として、Googleの標準的なデータ保持ポリシーおよび法的な情報開示請求に従う限り、そのメッセージはGoogleのサーバー上に無期限に保存され続けます。

ユーザーの誤解によるギャップ

学術的な証拠によれば、ユーザーはこの機能の働きについて根本的に誤解していることが明らかになっています。

UNCシャーロット校の研究者であるアル・カターニ、ジャヴェド、シェハブが2022年に実施したユーザー調査では、人々が鍵のアイコンをどのように認識しているかを検証しました。この定性調査では、参加者の58％が、機密モードのメールがエンドツーエンドで暗号化されていると誤って信じていました。
さらに憂慮すべきことに、参加者の63％が、この機能を利用する主な理由として「機密性の高い文書の共有」を挙げました。ユーザーは、Googleがそのデータを見ることができないという誤った前提のもと、政府発行の身分証明書、企業の財務記録、個人の医療情報などを日常的に送信しています。

人々の認識と、その機能が実際に何をするのかとの間のギャップこそが、真のセキュリティリスクなのです。

送信者情報の偽装となりすまし攻撃

「機密モード」は、受信者がメッセージに対して行える操作を制限するものです。メッセージの実際の送信者が誰であるかを確認する機能は一切備えていません。

悪意のある攻撃者は、CEOや人事部門から送信されたかのように見せかけるために、簡単にメールをなりすますことができます。そして、その攻撃者は、偽のメッセージを「機密モード」で送信することで、より正当で緊急性があるように見せかけることができます。南京錠のアイコンは、受信者に誤った安心感を与えてしまいます。

メッセージの送信元を証明するには、強力なドメイン認証を実装する必要があります。この概念をより深く理解するために、以下に参考となるガイドの一覧を掲載します。

1. メール認証とは
2. メールのなりすましとは何か
3. DMARCとは

Gmailの「機密モード」はHIPAAに準拠していますか？

医療機関からは、この切り替え機能が医療プライバシー法に準拠しているかどうかという質問がよく寄せられます。その答えには、微妙なニュアンスがあります。

Googleは、有料のGoogle Workspaceをご利用のお客様に対し、Gmailの中核サービスを対象とした業務提携契約（BAA）を喜んで締結いたします。

ただし、機密モードの切り替えボタンをクリックするだけでは、HIPAA準拠のための有効な管理措置とはなりません。

コンプライアンスの遵守は、組織が署名済みのBAAを締結していること、および厳格なセキュリティガイドラインに従ってWorkspace環境を設定していることに完全に依存します。患者の健康情報を保護するために、有効期限タイマーだけに頼ることはできません。

さらに、無料の個人用Gmailアカウント（アドレスが@gmail.comで終わるもの）は、どのような設定を使用しても、HIPAAに準拠することはありません。保護対象データを送信する前には、必ずGoogle Workspaceサポートに直接連絡し、BAAの適用範囲を確認してください。

「機密モード」と「通常のメール」と「暗号化メール」：それぞれをいつ使うべきか

適切な通信方法を選ぶには、そのツールを具体的なデータ分類に合わせて選定する必要があります。ランチのメニューを共有するのに高度な暗号化ツールを使用したり、社会保障番号を共有するのに基本的なアクセス制御ツールを使用したりしてはいけません。

「機密モード」は、基本的なデータ管理を徹底したい場合にその真価を発揮します。信頼できる外部業者に一時的なログイン認証情報を送信する際、その情報が相手の受信箱に5年間も放置されないようにしたい場合、これはまさに最適なツールです。

規制対象のデータや敵対的な環境を扱う場合、これは適切なツールではありません。真のプライバシーを確保するには、S/MIMEを導入する必要があります。Gmailで安全なメールを送信する方法に関する当社の技術解説記事を読んで、組織内で実際の暗号技術を導入する方法をご確認ください。

Gmailの機密モードをオフにする方法

この機能の管理方法は、一般ユーザーかIT管理者かによって異なります。

送信者の方が、現在作成中の下書きの制限を解除したい場合は、作成ウィンドウの下部にある鍵と時計のアイコンをクリックし、トグルスイッチをオフにしてください。ウィンドウの色が青から白に戻ります。

企業ネットワークを管理している場合は、従業員がこの機能を使用できないように設定することをお勧めします。有効期限が切れたメッセージは、企業の電子証拠開示（e-discovery）、コンプライアンス上のアーカイブ、および法的保存ポリシーに問題を引き起こす可能性があるため、IT管理者はしばしばこの機能を無効にしています。

組織全体でこの機能を無効にするには、バックエンドインフラストラクチャにアクセスする必要があります。Google Workspace 管理者向けヘルプの公式ガイドに従ってください。

1. Google Workspace 管理コンソールにログインしてください。
2. Gmailの「ユーザー設定」に移動してください。
3. 「機密モード」のセクションが見つかるまで、画面を下にスクロールしてください。
4. 「機密モードを有効にする」というチェックボックスのチェックを外してください。
5. 変更を保存してください。これで、従業員がメール作成画面で南京錠のアイコンを表示しなくなります。

よくあるご質問

Gmailの「機密モード」は信頼できる機能ですか？

はい。これは、有効期限、SMS認証、印刷制限といった基本的なアクセス制御を適切に適用する、Googleの正式な機能です。ただし、これは暗号技術を用いたツールではなく、Googleや執拗な攻撃者からのプライバシーを絶対的に保護するものではありません。

受信者は、機密メールのスクリーンショットを撮ることができるのでしょうか？

はい。Googleはドキュメントの中で、この機能ではデバイスレベルでのスクリーンショットや物理的な写真の撮影を防ぐことはできないと明示的に確認しています。この機能は、メールソフト内のネイティブな「コピー」「転送」「印刷」ボタンを非表示にするだけです。

機密モードのメールから添付ファイルをダウンロードすることはできますか？

いいえ。メッセージ本文およびすべての添付ファイルについて、ネイティブダウンロード機能は無効になっています。受信者は、セキュアなブラウザビューア内で添付ファイルを安全に閲覧することはできますが、ファイルをローカルのハードドライブに直接保存することはできません。

機密モードのメールの有効期限が切れるとどうなりますか？

受信者は即座にデータへのアクセス権を失います。受信したウェブリンクにアクセスするとエラーが表示され、コンテンツは表示されなくなります。ただし、元のメールは送信者の「送信済み」フォルダに永続的に保存されたままとなり、Googleのバックエンドサーバーにも保持されます。

機密モードは、Gmail以外の受信者に対しても機能しますか？

はい。Gmail以外のメールサービスをご利用の方は、セキュリティ保護されたリンクが記載された標準的なメールを受け取ります。そのリンクをクリックすると、Googleがホストするセキュリティ保護されたウェブページ上で、暗号化されたメッセージが開かれます。設定によっては、そのページのロックを解除するために、SMSによるパスコードをリクエストして入力する必要がある場合もあります。

無料の個人用Gmailでは、機密モードは利用できますか？

はい。この機能は完全に無料で、どなたでもご利用いただけます。無料の個人向けGmailユーザーも、有料の企業向けGoogle Workspaceのお客様も、作成画面で同じアクセス制御機能をご利用いただけます。

まとめ

Gmailの「機密モード」は、非常に便利な機能ですが、厳格なセキュリティ対策というわけではありません。この機能は、協力的で善意のある受信者が、あなたのメッセージに対してうっかり行ってしまうような操作を効果的に制限します。また、うっかりした転送を防ぎ、一時的なパスワードが古い受信トレイに残ってしまうのを防ぎます。

真の危険は、この機能が暗号的なプライバシーを保証していると誤解することにある。UNCシャーロット大学の研究が証明したように、ほとんどのユーザーは、このツールがデータを暗号化し、Googleから隠してくれると誤って信じている。しかし、実際にはそのどちらも行われていない。

セキュリティツールは、常にデータの実際の機密性に合わせて選択してください。規制対象の情報を扱う場合は、適切な暗号化が必要です。

メールセキュリティの全体的な状況を評価する場合は、まず、攻撃者にドメインをなりすまされないように対策を講じましょう。当社の「ドメインアナライザー」を使って、迅速かつ無料でチェックを行い、インフラがなりすまし攻撃に対して脆弱かどうかを確認してください。