Office メッセージ暗号化（OME）と Outlook｜外部宛メールの実務フロー

ビジネスにおける情報漏洩対策として、長らく慣習化していた「パスワード付きZIPファイル（PPAP）」の廃止が加速しています。その代替策として、Microsoft 365ユーザーが追加コストを抑えつつ、最も確実に導入できるのがOffice メッセージ暗号化（OME：Office 365 Message Encryption）です。

現在は「Microsoft Purview Message Encryption」へと名称が統合されつつありますが、実務上は「Outlookの暗号化機能」として認知されています。本記事では、IT実務担当者が直面するライセンスの選定から、外部宛メールの具体的な挙動、設定時の注意点までを網羅的に解説します。

1. Office メッセージ暗号化（OME）の基礎と脱PPAPにおける位置付け

1-1. OME（Microsoft Purview Message Encryption）とは何か

OMEは、組織外のユーザーに対しても、メール本文と添付ファイルを暗号化して安全に送受信するための仕組みです。受信者がMicrosoft 365ユーザーである必要はなく、GmailやiCloud、あるいは独自のドメインを使用している相手に対しても、ブラウザ経由の「OMEポータル」を通じてセキュアな閲覧環境を提供します。

1-2. 従来のZIPパスワード運用（PPAP）との決定的な違い

PPAPとの最大の違いは、「パスワードの物理的な受け渡し」が発生しない点にあります。OMEでは、受信者のメールアドレス自体を認証の鍵とするため、万が一メールが誤送信された場合でも、正当な受信者以外はその内容（ポータル）にアクセスできません。また、送信後に「閲覧期限」を設定したり、特定の権限（転送禁止など）を付与したりすることも可能です。

こうしたIDベースの認可制御は、現代のゼロトラストセキュリティにおいて必須の考え方です。社内のIT資産管理を効率化する文脈では、SaaSコストを削減。フロントオフィス＆コミュニケーションツールの「標的」と現実的剥がし方でも語られる通り、外部の専用セキュリティツールを別途契約せず、標準機能を使い倒すことがコスト最適化の鍵となります。

2. OMEを利用するためのシステム要件とライセンス

OMEを利用するには、組織が特定のMicrosoft 365サブスクリプションを保有している必要があります。最も一般的な要件は、Azure Information Protection（AIP）のプラン1が含まれていることです。

2-1. 必要なライセンス構成

• Microsoft 365 Business Premium（中堅・中小企業向け。OMEが含まれる最も安価なパッケージ）
• Microsoft 365 E3 / E5（大企業向けフルセット）
• Office 365 E3 / E5
• Microsoft 365 F3（現場担当者向け。一部制限あり）
• 上記以外で、Exchange Onlineを含むプランに Microsoft Purview Information Protection のアドオンを追加した場合

2-2. 外部アドオン・専用ツールとの機能・コスト比較

国内のメールセキュリティ市場には、ZIP暗号化の自動化やWebダウンロードリンク化を行う製品が多く存在します。それらとOMEの比較を以下の表にまとめました。

外部ツールは多機能ですが、保守・運用コストが増大しがちです。組織の規模によっては、SaaSコストとオンプレ負債を断つ。バックオフィス＆インフラの「標的」と現実的剥がし方で検討されるように、まずは標準機能の適用範囲を見極めるべきです。

3. 【実務フロー】Outlookから暗号化メールを送信する手順

3-1. 送信時のオプション選択

ライセンスが付与されたユーザーのOutlook（デスクトップ版・Web版・モバイル版）には、メッセージ作成画面に「オプション」タブが表示されます。ここから以下のいずれかを選択します。

• 暗号化: メッセージが暗号化されます。受信者はポータルを通じて返信も可能です。
• 転送不可: 暗号化に加え、受信者はメールの転送、印刷、本文のコピーが制限されます。

3-2. 特定の条件で自動暗号化する「メールフロー」の設定

「社員が暗号化を忘れる」リスクを防ぐには、Exchange 管理センター（EAC）でメールフロールール（トランスポートルール）を設定するのが実務的です。

1. Exchange 管理センターにログインし、[メールフロー] > [ルール] へ移動します。
2. 新しいルールを作成し、条件に「件名に [機密] を含む場合」や「添付ファイルがある場合」を設定します。
3. 実行する処理に [メッセージのセキュリティを適用する] > [Office 365 メッセージ暗号化と権利保護を適用する] を選択します。
4. テンプレートとして「暗号化」を指定し、保存します。

これにより、特定のキーワードを含むメールを送信するだけで、システムが自動的にOMEを適用してくれます。

4. 【受信者側の体験】外部ユーザーにはどう見えるのか

受信者側の挙動は、相手がMicrosoftアカウントを保持しているかどうかで異なります。

4-1. 受信側の認証プロセス

• Microsoft 365ユーザー宛: Outlookで直接開封できます（シームレスな体験）。
• Gmail / Yahoo / その他宛:
  1. 「[差出人] から暗号化されたメッセージが届きました」という通知メールが届きます。
  2. メールの指示に従い「メッセージを読む」ボタンをクリックします。
  3. ブラウザが立ち上がり、「ワンタイムパスコードでサインイン」または「Googleでサインイン」を選択します。
  4. ワンタイムパスコードを選択した場合、別メールで届く8桁の数字を入力して閲覧します。

4-2. 添付ファイルの扱い

暗号化ポータル上で、添付ファイルのプレビューやダウンロードが可能です。送信側が「転送不可」を設定していない限り、通常のメールと同様にローカル保存できます。

5. 管理者が行うべき初期設定とカスタマイズ

導入を成功させるためには、デフォルト設定のまま運用するのではなく、受信者が不審メールと間違えないように配慮する必要があります。

5-1. Azure Information Protection (AIP) の有効化

最新のテナントではデフォルトで有効ですが、古いテナントではPowerShellを使用して有効化状態を確認する必要があります。Microsoftの公式ドキュメント（Microsoft Purview Message Encryption の設定）を参照し、Get-IRMConfiguration コマンド等で「AzureRMSLicensingEnabled」が True になっているかを確認してください。

5-2. 暗号化ポータルの外観カスタマイズ

受信者がワンタイムパスコードを入力する画面に、自社の企業ロゴを表示したり、フッターに免責事項を加えたりすることが可能です。これは Set-OMEConfiguration コマンドレットを使用して行います。自社ロゴがあるだけで、受信側の信頼感は飛躍的に向上します。

6. OME運用における「よくあるトラブル」と対処法

6-1. 外部ユーザーが「メールが開けない」と言ってきた時のチェックリスト

• ワンタイムパスコードが届かない: 受信側の迷惑メールフォルダを確認してもらうか、相手先のメールサーバーで microsoft.com からのメールがブロックされていないか確認します。
• ブラウザのCookie設定: OMEポータルはCookieを使用するため、シークレットモードやCookie無効環境では動作しません。
• リンクの有効期限: ワンタイムパスコードの有効期限は通常15分です。期限切れの場合は再発行ボタンを押してもらいます。

6-2. 共有メールボックスからの送信

info@等の共有メールボックスから暗号化メールを送信する場合、Outlookクライアントの種類によっては「アクセス権がありません」といったエラーが出ることがあります。この場合、Web版Outlook（OWA）から送信を試みるか、管理者が共有メールボックスに対して適切なIRM権限を付与する必要があります。

こうしたアカウント管理の煩雑さを解消するには、SaaS増えすぎ問題と退職者のアカウント削除漏れを防ぐ。Entra ID・Okta・ジョーシスを活用した自動化アーキテクチャのような、アイデンティティ管理（IdP）の統合的な視点が不可欠です。

7. まとめ：Microsoft 365標準機能を使い倒すセキュリティ戦略

Office メッセージ暗号化（OME）は、追加コストをかけることなく、PPAPからの脱却と強固なセキュリティを両立できる優れたソリューションです。設定はExchange管理センターから数分で完了しますが、その運用効果は絶大です。

ただし、利便性とセキュリティは常にトレードオフの関係にあります。外部の取引先に対し、「これから暗号化メールを送るため、ブラウザでの閲覧が必要になる」旨を事前にアナウンスしておくなど、実務面での配慮もセットで検討してください。Microsoft 365のポテンシャルを最大限に引き出すことが、IT部門の価値を最大化する最短ルートとなります。