セキュリティに関する考慮事項

最終公開日 : Oct 24, 2026
この記事では、Secure Mail のセキュリティに関する考慮事項と、データセキュリティの強化に役立つ特定の有効化可能な設定について説明します。

Microsoft IRM および AIP メール権限保護のサポート

Android および iOS 用 Secure Mail は、Microsoft Information Rights Management (IRM) および Azure Information Protection (AIP) ソリューションで保護されたメッセージをサポートしています。このサポートは、Citrix Endpoint Management で構成されている IRM ポリシーに準拠します。
この機能により、IRM を使用する組織はメッセージングコンテンツに保護を適用できます。また、モバイルデバイスユーザーは、権限保護されたコンテンツを作成および利用できるようになります。デフォルトでは、IRM サポートはオフです。IRM サポートを有効にするには、情報権限管理ポリシーをオンに設定します。

Secure Mail で情報権限管理を有効にするには

  1. Endpoint Management にログオンし、Configure > Apps の順に移動して、Add をクリックします。
  2. Add App 画面で、MDX をクリックします。
  3. App Information 画面で、アプリの詳細を入力し、Next をクリックします。
  4. デバイスの OS に基づいて、.mdx ファイルを選択してアップロードします。
  5. App Settings で情報権限管理を有効にします。 情報権限管理を有効にする
注：
iOS と Android の両方で情報権限管理を有効にします。

権限保護されたメールを受信した場合

ユーザーが保護されたコンテンツを含むメールを受信すると、次の画面が表示されます。 Secure Mail IRM の制限
ユーザーに付与されている権限の詳細を表示するには、詳細をタップします。 Secure Mail IRM details

権限保護されたメールを作成する場合

ユーザーがメールを作成する際、メール保護を有効にするために制限プロファイルを設​​定できます。
メールに制限を設定するには：
  1. Secure Mailにログインし、作成アイコンをタップします。
  2. 作成画面で、メール制限アイコンをタップします。
    Secure Mail のメール作成(/en-us/mobile-productivity-apps/media/IRM-Compose-email.png)
  3. 制限プロファイル画面で、メールに適用する制限をタップし、戻るをクリックします。
    Secure Mail の制限プロファイル(/en-us/mobile-productivity-apps/media/irm-restriction-profiles.png)
    適用された制限は、件名フィールドの下に表示されます。
    Secure Mail の適用された制限(/en-us/mobile-productivity-apps/media/irm-applied-restrictions.png)
一部の組織では、IRMポリシーの厳格な順守を求める場合があります。Secure Mailにアクセスできるユーザーは、Secure Mail、オペレーティングシステム、またはハードウェアプラットフォームを改ざんしてIRMポリシーをバイパスしようとする可能性があります。
Endpoint Managementは特定の攻撃を検出できますが、セキュリティを強化するために次の予防措置を検討してください。
  • デバイスベンダーが提供するセキュリティガイダンスを確認してください。
  • Endpoint Managementの機能を使用するか、その他の方法で、デバイスを適切に構成します。
  • IRM機能（Secure Mailを含む）の適切な使用法について、ユーザーにガイダンスを提供します。
  • この種の攻撃に対抗するため、追加のサードパーティ製セキュリティソフトウェアを展開します。

メールセキュリティ分類

iOSおよびAndroid版Secure Mailは、メール分類マーキングをサポートしており、ユーザーはメール送信時にセキュリティ（SEC）および配布制限マーカー（DLM）を指定できます。SECマーキングには、Protected、Confidential、Secretが含まれます。DLMには、Sensitive、Legal、Personalが含まれます。メールを作成する際、Secure Mailユーザーは、以下の画像に示すように、メールの分類レベルを示すマーキングを選択できます。
Secure Mailのセキュリティ分類リンク(/en-us/mobile-productivity-apps/media/worx-mail-security-class-selection1.png)
Secure Mailのセキュリティ分類リスト(/en-us/mobile-productivity-apps/media/worx-mail-security-class-selection2.png)
受信者は、メールの件名で分類マーキングを表示できます。例：
  • 件名：計画
  • 件名：計画
  • 件名：計画
メールヘッダーには、インターネットメッセージヘッダー拡張として分類マーキングが含まれており、この例では太字で示されています。
日付: Fri, 01 May 2015 12:34:50 +530
件名: 計画
優先度: 通常
X-Priority: 通常 X-Protective-Marking: VER-2012.3, NS=gov.au,SEC = PROTECTED, DLM = Sensitive,ORIGIN=operations@example.com
差出人: operations@example.com
宛先: チーム <mylist@example.com>
MIME-Version: 1.0 コンテンツタイプ: multipart/alternative;boundary="_com.example.email_6428E5E4-9DB3-4133-9F48-155913E39A980"
Secure Mailは分類マーキングのみを表示します。アプリはこれらのマーキングに基づいてアクションを実行しません。
ユーザーが分類マーキングのあるメールに返信または転送する場合、SECおよびDLMの値は元のメールのマーキングにデフォルト設定されます。ユーザーは別のマーキングを選択できます。Secure Mailは、元のメールに関連するそのような変更を検証しません。
以下のMDXポリシーを通じて、メール分類マーキングを構成します。
  • メール分類: オンの場合、Secure MailはSECおよびDLMのメール分類マーキングをサポートします。分類マーキングは、メールヘッダーに「X-Protective-Marking」値として表示されます。関連するメール分類ポリシーを必ず構成してください。デフォルト値はオフです。
  • メール分類ネームスペース: 使用される分類標準によってメールヘッダーで要求される分類ネームスペースを指定します。たとえば、ネームスペース「gov.au」はヘッダーに「NS=gov.au」として表示されます。デフォルト値は空です。
  • メール分類バージョン: 使用される分類標準によってメールヘッダーで要求される分類バージョンを指定します。たとえば、バージョン「2012.3」はヘッダーに「VER=2012.3」として表示されます。デフォルト値は空です。
  • デフォルトのメール分類: ユーザーがマーキングを選択しない場合にSecure Mailがメールに適用する保護マーキングを指定します。この値は、メール分類マーキングポリシーのリストに含まれている必要があります。デフォルト値はUNOFFICIALです。
  • メール分類マーキング: ユーザーが利用できる分類マーキングを指定します。リストが空の場合、Secure Mailは保護マーキングのリストを含みません。マーキングリストには、セミコロンで区切られた値のペアが含まれています。各ペアには、Secure Mailに表示されるリスト値と、Secure Mailのメール件名およびヘッダーに追加されるテキストであるマーキング値が含まれます。たとえば、マーキングペア「UNOFFICIAL,SEC=UNOFFICIAL;」では、リスト値は「UNOFFICIAL」で、マーキング値は「SEC=UNOFFICIAL」です。
デフォルト値は、変更可能な分類マーキングのリストです。Secure Mailには以下のマーキングが用意されています。
  • UNOFFICIAL,SEC=UNOFFICIAL
  • UNCLASSIFIED,SEC=UNCLASSIFIED
  • 公務使用限定,DLM=For-Official-Use-Only
  • センシティブ,DLM=Sensitive
  • センシティブ:リーガル,DLM=Sensitive:Legal
  • センシティブ:パーソナル,DLM=Sensitive:Personal
  • PROTECTED,SEC=PROTECTED
  • プロテクテッド+センシティブ,SEC=PROTECTED
  • プロテクテッド+センシティブ:リーガル,SEC=PROTECTED DLM=Sensitive:Legal
  • プロテクテッド+センシティブ:パーソナル,SEC=PROTECTED DLM=Sensitive:Personal
  • プロテクテッド+センシティブ:キャビネット,SEC=PROTECTED,DLM=Sensitive:Cabinet
  • CONFIDENTIAL,SEC=CONFIDENTIAL
  • コンフィデンシャル+センシティブ,SEC=CONFIDENTIAL,DLM=Sensitive
  • コンフィデンシャル+センシティブ:リーガル,SEC=CONFIDENTIAL DLM=Sensitive:Legal
  • コンフィデンシャル+センシティブ:パーソナル,SEC=CONFIDENTIAL,DLM=Sensitive:Personal
  • コンフィデンシャル+センシティブ:キャビネット,SEC=CONFIDENTIAL DLM=Sensitive:Cabinet
  • SECRET,SEC=SECRET
  • シークレット+センシティブ,SEC=SECRET,DLM=Sensitive
  • シークレット+センシティブ:法務,セック=シークレット,ディーエルエム=センシティブ:法務
  • シークレット+センシティブ:個人,セック=シークレット,ディーエルエム=センシティブ:個人
  • シークレット+センシティブ:閣議,セック=シークレット,ディーエルエム=センシティブ:閣議
  • TOP-SECRET,SEC=TOP-SECRET
  • トップシークレット+センシティブ,セック=トップシークレット,ディーエルエム=センシティブ
  • トップシークレット+センシティブ:法務,セック=トップシークレット ディーエルエム=センシティブ:法務
  • トップシークレット+センシティブ:個人,セック=トップシークレット ディーエルエム=センシティブ:個人
  • トップシークレット+センシティブ:閣議,セック=トップシークレット ディーエルエム=センシティブ:閣議

iOS データ保護

オーストラリア信号局 (ASD) のデータ保護要件を満たす必要がある企業は、Secure Mail および Secure Web の iOS データ保護を有効にする ポリシーを使用できます。デフォルトでは、これらのポリシーは オフ になっています。
Secure Web で iOS データ保護を有効にする が オン の場合、Secure Web はサンドボックス内のすべてのファイルにクラス A の保護レベルを使用します。Secure Mail のデータ保護の詳細については、オーストラリア信号局のデータ保護 を参照してください。このポリシーを有効にすると、最高のデータ保護クラスが使用されるため、最小データ保護クラス ポリシーを別途指定する必要はありません。

iOS データ保護を有効にするポリシーを変更するには

  1. Endpoint Management コンソールを使用して、Secure Web および Secure Mail の MDX ファイルを Endpoint Management にロードします。新しいアプリの場合は、構成 > アプリ > 追加 に移動し、MDX をクリックします。アップグレードの場合は、MDX またはエンタープライズアプリのアップグレード を参照してください。
  2. Secure Mail の場合は、アプリ 設定を参照し、iOS データ保護を有効にする ポリシーを見つけて オン に設定します。このポリシーが有効になっている場合でも、古いオペレーティングシステムバージョンを実行しているデバイスには影響しません。
  3. Secure Web の場合は、アプリ 設定を参照し、iOS データ保護を有効にするポリシー を見つけて オン に設定します。このポリシーが有効になっている場合でも、古いオペレーティングシステムバージョンを実行しているデバイスには影響しません。
  4. アプリポリシーを通常どおり構成し、設定を保存して、Endpoint Managementアプリストアにアプリを展開します。

オーストラリア信号局のデータ保護

Secure Mailは、オーストラリア信号局 (ASD) のコンピューターセキュリティ要件を満たす必要がある企業向けに、ASDデータ保護をサポートしています。デフォルトでは、 ポリシーはオフになっており、Secure MailはクラスCデータ保護を提供するか、プロビジョニングプロファイルで設定されたデータ保護を使用します。
ポリシーがオンの場合、Secure Mailはアプリサンドボックスでファイルを作成および開くときに保護レベルを指定します。Secure Mailは、以下の項目にクラスAデータ保護を設定します。
  • 送信トレイのアイテム
  • カメラまたはカメラロールからの写真
  • 他のアプリから貼り付けられた画像
  • ダウンロードされたファイル添付
Secure Mailは、以下の項目にクラスBデータ保護を設定します。
  • 保存されたメール
  • カレンダーアイテム
  • 連絡先
  • ActiveSyncポリシーファイル
クラスB保護により、ロックされたデバイスの同期が可能になり、ダウンロード開始後にデバイスがロックされた場合でもダウンロードが完了できるようになります。
データ保護が有効になっている場合、デバイスがロックされているとファイルを開くことができないため、キューに入っている送信トレイのアイテムは送信されません。デバイスが終了し、ロックされた状態でSecure Mailが再起動した場合、デバイスのロックが解除されSecure Mailが起動するまで、Secure Mailは同期できません。
Citrix® は、このポリシーを有効にする場合、クラス C データ保護を含むログファイルの作成を避けるため、必要な場合にのみ Secure Mail のログ記録を有効にすることを推奨します。

画面コンテンツの隠蔽

Android および iOS 版 Secure Mail は、アプリがバックグラウンドに入ったときに画面を隠蔽する機能をサポートしています。この機能は、ユーザーのプライバシーを強化し、機密データを保護し、不正アクセスを防止します。iOS または Android デバイスで Secure Mail のこの機能を有効にするには、以下のセクションを参照してください。
iOS デバイスの場合:
  1. 管理者資格情報を使用して Citrix Endpoint Management コンソールにサインインします。
  2. 構成 > アプリ > MDX に移動します。
  3. プラットフォーム セクションで iOS オプションを選択します。
  4. アプリの制限 セクションで 画面コンテンツの隠蔽 オプションを有効にします。
    画面コンテンツの隠蔽 iOS CEM コンソール
画面コンテンツの隠蔽 オプションを有効にすると、アプリがバックグラウンドに入ったときに Secure Mail はグレースクリーンを表示します。
画面コンテンツの隠蔽 iOS GIF
Android デバイスの場合:
Secure Mail アプリのコンテンツを隠蔽するには、画面キャプチャを制限するために使用するポリシーである 画面キャプチャを許可 ポリシーを使用できます。このポリシーを無効にすると、アプリがバックグラウンドに入ったときにアプリのコンテンツも隠蔽されます。画面キャプチャを許可 ポリシーを無効にする詳細については、Citrix Endpoint Management ドキュメントの Android 設定 を参照してください。