同報メール送信での個人情報漏えいの事例に学ぶ、身近なセキュリティ対策

皆さんはメールを送信するとき、送信先をどのように指定していますか。
宛先（TO）、CC、BCCを使い分けていますか。
また使い分けるよう社内に徹底、確認していますか。

ニュースの報道でご覧になった方もいらっしゃると思いますが、2024年6月3日に最高裁判所が、送信先の指定方法を誤り、個人情報を漏えいさせる事故（修習資金の被貸与者に対する不要な個人情報の送信について）を起こしました。
この事故の原因は、送信先のメールアドレスをBCCに入力すべきところを誤って宛先（TO）欄に入力してメールを送信してしまったことです。

事故を防ぐには、宛先、CC、BCCの違いを確認することです。

・宛先（TO）：メールを読んでほしい相手のメールアドレスを指定する欄です。
・CC：Carbon Copyの略で、書類では「ご参考」として配布する先を指定します。
・BCC：Black Carbon Copyの略で、Blackは見えないことを意味します。

BCCに指定したメールアドレスは、受信者側からは見えません。逆に宛先やCCに指定したメールアドレスは、全てのメール受信者に公開されます。

独立行政法人情報処理推進機構（IPA）が発行している「中小企業の情報セキュリティ対策ガイドライン 第3.1版」の「付録5：情報セキュリティ関連規程（サンプル）」によれば、＜メールアドレス漏えい防止＞として次のように記されています。

メールアドレスの漏えいを防ぐためのステップは、以下のとおりです。
１．同報メールを送信する場合は、宛先に自分自身のアドレスを入力し、BCCで複数の送信先アドレスを指定する。このルールを定めて、社内に徹底することが同報メールでメールアドレスの漏えいを起こさない第一歩です。また、ルールを繰り返し周知することと、それが守られているか現場の状況を普段から確認することが大切です。

２．周知する際には、なぜBCCに指定するのか、指定しなかった場合メールアドレスが知られたくない相手に知られてしまうリスクや、メールの内容によっては事故や事件になることを伝えてください。

３．状況を確認する際は、同報メールの送信先をBCCに指定しているかだけでなく、誤って宛先やCCに指定しそうになったヒヤリハットが無いか聞き出し、改善策を検討してください。

ヒヤリハットが繰り返し発生している場合は、ルールの周知徹底だけでは防げず、人手に頼らない仕掛けが必要かもしれません。例えば、同報メールを手作業で送信するのをやめて、送信先を登録した一覧とあらかじめ用意した本文の情報を使って自動的にメールを送信するといった仕掛けなども検討してみてください。

なお、メールアドレスについて個人情報保護委員会は次の見解を出しています。