セキュリティー

流出しても読めないファイル暗号化とは？IRMの仕組みと製品比較

社内のパソコンやファイルサーバーでは、いつもどおりWordやExcelを開いて作業できる。それでいて、ファイルがメール誤送信やUSBメモリ、ランサムウェア攻撃で外に出てしまったときは、まったく読めない状態になっている。そんな都合のいい仕組みがあれば、と考えたことはないでしょうか。

パスワード付きZIPは毎回の手間がかかり、結局使われなくなりがちです。一方で、取引先から預かった図面や顧客名簿が流出したときの影響は、中小企業でも取り返しがつきません。

実は、この「普段は意識させず、外に出たら読めない」という仕組みは、すでに製品として存在します。今回は、その仕組みと代表的な製品、そして導入前に知っておきたい限界を整理します。将来の量子コンピューターによる解読リスクにも触れます。

この記事でわかること

  • 「普段は意識させず、流出したら読めない」仕組みの正体（IRM・透過的ファイル暗号化）
  • BitLockerなどのディスク暗号化では持ち出しを防げない理由
  • Microsoft Purview・DataClasys・FinalCodeなど代表的な製品の違い
  • IRMを入れても防げない漏洩経路
  • 量子コンピューターで将来解読される可能性と、いまできる備え
  • 中小企業が検討を始めるときの順番

先に結論

  • 「IRM（透過的ファイル暗号化）」製品を使えば、社内では普段どおり使え、流出したファイルは開けない状態にできる
  • BitLockerなどのディスク暗号化は盗難対策で、ログイン中に持ち出されたファイルは平文のまま出ていく
  • 画面撮影・アカウント乗っ取り・将来の量子コンピューターによる解読は防げないため、多要素認証やベンダーの耐量子暗号対応と組み合わせる

※注釈：ここでいう「復号できない」は現在のコンピューターを前提にした話です。2030年代に実用化が見込まれる量子コンピューターでは、暗号の一部が解読できるようになるかもしれません（詳しくは6章）。

鍵を「人」ではなく「ファイル」にかけておけば、どこに流れても中身は守れる、という考え方です。

ファイルの暗号化比較

目次

1. 「普段は意識させず、流出したら読めない」仕組みはIRMで実現できる

この仕組みは、主に「IRM（Information Rights Management）」や「透過的ファイル暗号化」と呼ばれる製品群で実現されています。企業向けではE-DRMと呼ばれることもあります。

ポイントは、暗号化の操作を人に任せないことです。ファイルを開く・保存するタイミングで、ソフトが裏側で自動的に暗号化と復号を行うため、利用者は暗号化を意識する必要がありません。

例えばALSIの「InterSafe IRM」は、利用者が意識しなくても多様なアプリでファイル単位の自動暗号化ができ、標的型攻撃で情報が外部に流出した場合でも機密情報を守り続けられる、と説明しています。

パスワード付きZIPのような「毎回の手間」がないので、現場で使われなくなる心配が少ないのが強みです。

2. BitLockerなどのディスク暗号化では、持ち出されたファイルは平文のまま

よく混同されるのが、WindowsのBitLockerやMacのFileVaultといった「ディスク暗号化」です。ディスク暗号化は、パソコンの盗難や廃棄時にデータを読まれないための仕組みです。

OSが起動してログインしている間は、ドライブ全体が復号された状態になります。そのため、正規にログインした状態でUSBメモリにコピーしたりメールに添付したりすると、ファイルは誰でも読める状態で外に出ていきます。

比較項目ディスク暗号化（BitLocker・FileVault）IRM・透過的ファイル暗号化
鍵がかかる単位ストレージ（ドライブ）全体ファイル1つずつ
主に防げることパソコン本体の盗難・紛失・廃棄時の漏洩メール誤送信・USB持ち出し・攻撃による流出
ログイン中にコピーしたファイル平文（誰でも読める）暗号化されたまま
利用者の手間ほぼなしほぼなし（専用ソフトの導入は必要）
BitLockerを入れているから安心、とは言い切れません。守っている場面がそもそも違います。

3. ファイル実体は常に暗号化され、正規の環境だけで自動復号される

IRMの動きは、次の3段階で理解できます。ファイルは保存されている間ずっと暗号化されていて、正規の環境で開く瞬間だけ復号されるのが基本です。

IRM・透過的ファイル暗号化の仕組み

  1. ファイル実体は常に暗号化：パソコンやファイルサーバー上のデータは、保存された時点で暗号化されています。
  2. 正規の環境でのみ自動復号：社内のパソコンに専用ソフト（エージェント）を入れておき、許可された利用者が許可されたアプリ（Word、Excel、CADなど）で開いた瞬間だけ、メモリ上で復号して表示します。保存するときは自動で暗号化し直します。
  3. 外部では開けない：専用ソフトが入っていないパソコンや、認証サーバーから権限を拒否された環境では鍵を取得できません。ファイルが外に出ても、中身は読めないデータのままです。

単に暗号化するだけでなく、「閲覧はできるが印刷はできない」といった細かい権限を設定できるのもIRMの特徴です。NECのInfoCage FileShellでは、閲覧・編集・印刷・抽出・フルコントロールの5種類の権限を使い分けられます。

「誰が・どのアプリで・何をしてよいか」をファイル自身が覚えている、とイメージすると分かりやすいです。

4. 代表的な製品は「Microsoft 365連携」「あらゆるファイル対応」「社外送付後の追跡」で選ぶ

製品ごとに得意分野が異なります。自社がどのファイルを、どこまで守りたいかで選ぶ製品が変わります。

製品名（提供元）強み向いている会社
Microsoft Purview 情報保護（Microsoft）Word・Excel・PowerPoint・Outlookに統合。秘密度ラベルで暗号化とアクセス制御Microsoft 365を使っている会社
DataClasys（DataClasys社）Office文書に加え3D CADなど多様なファイル形式を暗号化したまま利用可能製造業・設計データを扱う会社
FinalCode（デジタルアーツ）透過暗号化に加え、送付後の権限変更・リモート削除ができる取引先へのファイル送付が多い会社
InterSafe IRM（ALSI）設定したアプリで開く・保存する際に自動暗号化既存アプリをそのまま使いたい会社
InfoCage FileShell（NEC）中小規模向けにサーバーなしの構成も可能専用サーバーを置きたくない中小企業
秘文（日立ソリューションズ）USBメモリなど外部メディアへの持ち出し時に強制暗号化持ち出しルールを厳格にしたい会社
CipherTrust Transparent Encryption（Thales）サーバーOSやデータベース層で透過暗号化サーバーやバックアップを守りたい会社

Microsoft 365を使っているなら、Purviewの秘密度ラベルが最も導入しやすい

Microsoft 365環境では、Purviewの秘密度ラベルで「社外秘」「極秘」などを付けるだけで暗号化とアクセス制御が適用されます。社内では普段どおり開けますが、権限のない人は認証が通らず開けません。ただし、利用できる機能は契約しているライセンスによって異なります。

CADや独自ソフトのファイルまで守りたいなら、DataClasys

DataClasysは、Office文書だけでなく3D CADデータなどもまとめて暗号化し、権限を持つ人だけが閲覧できるようにする製品です。ランサムウェア攻撃でデータが外部に流出した場合でも、第三者による閲覧を防げるとされています。

取引先に送った後も管理したいなら、FinalCode

FinalCodeは、ファイルが手元を離れた後でも、リモートで閲覧権限を変更したり一括削除したりできるのが特徴です。2019年のVer.6で、ファイル作成時に自動で暗号化する透過暗号化機能が追加されました。社外の閲覧者は無料のビューワで開けます。

まずは「守りたいファイルの種類」と「社外に送る頻度」を書き出すと、候補が自然に絞れます。

5. 画面撮影・アカウント乗っ取り・業務への影響は、IRMだけでは防げない

IRMが守れるのは、「ファイルそのもの」が盗まれたり持ち出されたりした場合です。正規の利用者がファイルを開いている状態を悪用されると、中身は読まれてしまいます。

IRMだけでは防げない漏洩経路

  • 画面からの漏洩：スクリーンショット、スマホでの撮影、コピー＆ペースト。一部は製品の機能で制限できますが、スマホでの撮影までは防げません。
  • パソコンの乗っ取り：正規のパソコンにマルウェアが入り、利用者になりすましてファイルを開けば、平文で読まれます。
  • ID・パスワードの盗難：攻撃者が正規の利用者としてログインすれば、ファイルは自動で復号されます。
  • 業務システムとの相性：対応していないアプリ、RPA、外部システムとの連携が動かなくなることがあります。

特にIDの盗難は、IRMの前提そのものを崩します。IRMを導入するなら、多要素認証（MFA）の設定は必須と考えてください。

また、取引先に正当な理由でファイルを送る場面もあります。「社外向けに復号して書き出す手順」や「相手にも閲覧用アカウントを発行する」といった運用ルールを、導入前に決めておく必要があります。

IRMは「ファイルの鍵」です。ドアの鍵（ID管理）とパソコンの見張り（EDRなど）と組み合わせて、はじめて効果が出ます。

6. 量子コンピューターが実用化すると、いま流出した暗号ファイルも将来は解読されるかもしれない

ここまで「流出しても読めない」と書いてきましたが、これは現在のコンピューターを前提にした話です。暗号解読に使える規模の量子コンピューターは、2030年代に実用化される可能性が指摘されています。実現時期については専門家の間でも見方が分かれており、確定的なものではありません。

米国のNIST（国立標準技術研究所）は、2024年11月に公開した移行計画の草案（NIST IR 8547）で、RSAや楕円曲線暗号といった現在の公開鍵暗号を2030年以降は非推奨、2035年以降は使用不可とする方針を示しています。量子コンピューターで解読される恐れがあるためです。

暗号の種類代表例量子コンピューターの影響IRMでの一般的な使われ方
公開鍵暗号RSA、楕円曲線暗号（ECC）「ショアのアルゴリズム」で解読される恐れが大きい鍵の受け渡し、認証、電子署名
共通鍵暗号AES-256「グローバーのアルゴリズム」の影響を受けるが、比較的耐性が高いとされるファイル本体の暗号化

IRM製品では一般的に、ファイル本体をAESなどの共通鍵暗号で暗号化し、その鍵の受け渡しや認証に公開鍵暗号を使います（構成は製品ごとに異なります）。ファイル本体が守られていても、鍵の受け渡し部分が破られれば、ファイルの鍵を取り出される可能性があります。

さらに注意したいのが、「いま盗んで、後で解読する（Harvest Now, Decrypt Later）」という考え方です。一度流出した暗号化ファイルは攻撃者の手元に残り続け、数年後に量子コンピューターで解読されるかもしれません。10年以上価値が続く設計図や個人情報ほど、このリスクを意識する必要があります。

いまからできる量子コンピューターへの備え

  • IRM製品を選ぶ際に、ベンダーへ「耐量子暗号（PQC）への対応予定」を確認する
  • 長期間価値が続く機密情報は、IRMに頼り切らず「そもそも流出させない」対策（アクセス権の最小化、EDR、ログ監視）を重ねる
  • NISTは2024年8月に最初の耐量子暗号の標準（FIPS 203・204・205）を公開済み。製品のアップデート情報を定期的に確認する
「暗号化したから永久に安全」ではなく、「いまは安全、将来に向けて更新していく」と考えるのが現実的です。

7. 中小企業はMicrosoft 365の有無で検討の入口を決める

中小企業がIRMを検討するときは、すでにMicrosoft 365を使っているかどうかで、最初に見るべき製品が変わります。

検討を始める手順

  1. 守るファイルを決める：顧客名簿、見積書、図面など、流出したら困るものを書き出す
  2. Microsoft 365の契約を確認する：使っているなら、まずPurviewの秘密度ラベルが使えるプランかを確認する
  3. Office以外のファイルがあるか確認する：CADやPDF、業務ソフトの出力が多いなら、DataClasysなどの専用製品を比較する
  4. 社外への送り方を決める：取引先に送る頻度が高いなら、FinalCodeのような追跡・削除機能も候補に入れる
  5. 小さく試す：一部署・一部のフォルダーから始め、業務への影響を確認してから広げる

いきなり全社に適用すると、開けないファイルや動かないシステムが出て現場が混乱します。まずは機密性の高いフォルダー1つから試すのが、失敗しにくい進め方です。

最初から完璧を目指さず、「一番流出したら困るフォルダー」から守り始めれば十分です。

よくある質問

パスワード付きZIPとは何が違いますか？

パスワード付きZIPは、パスワードさえ分かれば誰でも開けます。IRMはパスワードではなく利用者の認証で開ける人を限定するため、ファイルとパスワードが一緒に漏れても開けません。また、利用者が毎回操作する必要もありません。

社外の取引先にファイルを送ると、相手は開けなくなりますか？

設定次第です。相手にも閲覧権限を付与する、無料ビューワで開けるようにする、社外向けに復号して書き出す、といった方法があります。製品によって対応が異なるため、導入前に取引先とのやり取りの流れを確認してください。

BitLockerを使っていればIRMは不要ですか？

不要にはなりません。BitLockerはパソコン本体の盗難対策で、ログイン中にコピーされたファイルは平文のまま外に出ます。両方を組み合わせるのが基本です。

量子コンピューターが登場したら、IRMは意味がなくなりますか？

すぐに意味がなくなるわけではありません。ファイル本体に使われるAES-256は比較的耐性が高いとされています。ただし鍵の受け渡しに使う公開鍵暗号は解読される恐れがあるため、ベンダーの耐量子暗号への対応状況を確認しておくことが大切です。

まとめ

まとめ

  • 「普段は意識させず、流出したら読めない」仕組みは、IRM・透過的ファイル暗号化で実現できる
  • BitLockerなどのディスク暗号化は盗難対策で、持ち出されたファイルは守れない
  • Microsoft 365ならPurview、CADなど多様なファイルならDataClasys、社外送付の追跡ならFinalCodeが候補
  • 画面撮影やアカウント乗っ取りは防げないため、多要素認証やEDRと組み合わせる
  • 2030年代に実用化が見込まれる量子コンピューターでは解読される可能性があり、耐量子暗号への対応を確認しておく

ファイルの暗号化は、情報漏洩が起きた後の被害を小さくする「最後の砦」です。まずは自社で一番流出したら困るファイルを書き出すところから始めてみてください。

侵入を100%防ぐのは難しくても、「盗まれても読めない」状態は今日から準備できます。

参考リンク

※量子コンピューターの実用化時期（2030年代）は、NISTの移行計画や専門家の見解をもとにした見通しであり、確定した予測ではありません。NIST IR 8547は2024年11月時点の初期公開草案で、最終版では内容が変わる可能性があります。
※「IRM製品はファイル本体を共通鍵暗号、鍵の受け渡しを公開鍵暗号で行う」という説明は一般的な構成を示したものです。実際の暗号方式は製品ごとに異なるため、各ベンダーにご確認ください。
※FinalCodeの機能は2018〜2019年の公表情報をもとにしています。Microsoft Purviewで利用できる機能はライセンスによって異なります。最新の仕様・価格は各社の公式情報をご確認ください。

サイト内検索

-セキュリティー