共有前にPDFを保護すべき理由
WordやGoogle DocsからPDFに書き出すと、たいてい作成者の本名と所属、作成・編集の日時、ソフトウェアのバージョン、ときには変更履歴や「解決済み」コメントまで一緒に含まれます — ページ上には一切表示されないのに。取引相手と共有する法務・医療・財務・業務の文書であれば、この隠れた層は本物の機密漏洩リスクです。(隠れたデータの全リスト、PDF暗号化の仕組み、報告されている漏洩事例については、PDFセキュリティに関するLearnの記事をご覧ください。)
5ステップでPDFを保護する
- 1まずメタデータを点検します。PDFビューアーでドキュメントのプロパティを開き、埋め込まれた作成者名、所属、作成ソフトウェア、変更履歴を確認しましょう — どれもファイルを共有するたびに自動的に一緒に送信されています。
- 2見た目だけで隠さず、正しく墨消し(redaction)しましょう。本物の墨消しは下にあるテキストそのものを上書きします。黒い四角を描くだけでは、その下の文字はそのまま選択も検索もできてしまいます。単に覆い隠すツールではなく、データを確実に削除すると保証されたツールを使ってください。
- 3メタデータを削除しましょう。PrivaPDFのようなブラウザベースのツールで、埋め込まれた作成者・所属・ソフトウェア・改訂履歴をファイルの送信前に取り除くか、新しいビューアーから「PDFに印刷」してそのほとんどを落とします。
- 4AES-256のパスワード保護を追加しましょう。開封パスワード(閲覧に必要)と、対応していれば権限パスワード(受信者によるコピー・印刷・編集を禁止)を設定します。
- 5安全に届けましょう。パスワードはファイルとは別の経路で送り(電話やメッセージで — 同じメールでは絶対に送らない)、受信者に受領確認をもらってから、クラウドストレージと送信済みフォルダからコピーを削除してください。
PDFセキュリティのベストプラクティス
メタデータの含まれていないバージョンが必要な場合は、元のソースからそのままエクスポートするのではなく、クリーンなアプリケーションから「PDFに印刷」する方法を使いましょう。 法的な意味を持つ墨消しには、テキストの上にただ図形を重ねるのではなく、コンテンツを確実に上書きすることが認証された、専用のツールを使用してください。 出所のわからないPDFには十分な注意が必要です。埋め込まれたJavaScript、トラッキングURLへのハイパーリンク、PDFリーダーの脆弱性を突くエクスプロイトコードなどが仕込まれている場合があります。 PDFリーダーは、常に最新の状態に保つようにしましょう。PDFリーダーの脆弱性は、攻撃者にとってありふれた侵入経路となっています。