受信FAXのメール転送は安全？
添付・自動転送の設定チェック
受信FAXのメール転送は、複合機へ紙を取りに行く手間を減らし、OCRの入口にも使えます。ただしPDFを添付すると、FAXサービス以外にメールボックス、アーカイブ、転送先、端末へ原本が複製されます。
判断の基本
- 一般文書は添付の利便性と保管範囲を比較する。
- 機密文書は通知だけ送り、認証後の画面で閲覧する。
- 外部自動転送は原則禁止し、必要な宛先だけ管理者が許可する。
- 転送失敗・ルール変更・退職者の残存権限を監査する。
添付と通知のみの違い
| 方式 | 利点 | 主なリスク |
|---|---|---|
| PDF添付 | メールだけで確認・保存・OCR取込が可能 | 複製範囲が広がり、転送後の失効が難しい |
| 通知のみ | 原本を認証・権限・監査のある画面に残せる | ログインが必要で、緊急時の閲覧経路を要確認 |
| 専用取込アドレス | OCR等へ自動連携しやすい | 送信元偽装、ループ、重複、誤った添付を要検証 |
設定チェック12項目
- FAX専用の共有メールボックスまたは取込先を使う。
- 個人の外部自動転送を原則禁止する。
- 許可する外部ドメイン・宛先を限定する。
- 全件転送ではなく、受信番号・送信元等の条件を限定する。
- 取込先で送信元、宛先、形式、容量を検証する。
- 転送ループと同じFAXの重複取込を防ぐ。
- 添付にパスワードを付けるだけで完結させない。
- 利用者、委任権限、転送ルールを定期棚卸しする。
- 転送設定の追加・変更を管理者へ通知する。
- 原本の保存期間をFAX側・メール側・端末側で決める。
- 退職時にメール、ルール、共有先の権限を失効する。
- 配送失敗や遅延を検知し、未処理FAXを確認する。
Microsoft 365は外部への自動転送をポリシーで制御でき、外部転送は情報開示につながるリスクがあると説明しています。Gmailも、転送先の検証と転送通知を備えています。製品の初期値に任せず、管理者ポリシーと定期レポートで確認します。
Microsoft 365・Google Workspaceで確認する設定
| 確認箇所 | 推奨する初期方針 | 運用確認 |
|---|---|---|
| 外部への自動転送 | 組織全体では無効。必要な共有メールボックスと転送先だけ例外化 | 許可理由、責任者、期限を台帳化し、期限到来時に失効 |
| ユーザー作成の受信ルール | 外部転送を管理者側のポリシーで制御し、個人設定だけに依存しない | 新規・変更された転送ルールと転送レポートを定期確認 |
| 共有メールボックスの権限 | 閲覧者と設定変更者を分け、個人アカウントを直接共有しない | 異動・退職・委託終了時の削除と四半期棚卸し |
| 配送・取込経路 | TLS、送信元・添付形式・容量、重複IDを検証 | 配送失敗、遅延、隔離、重複を日次で確認 |
| 保存と端末同期 | FAX、メール、端末、バックアップごとに保存期間を決める | 削除が各複製先へ反映されたかサンプル監査 |
Microsoft 365では通常の外部自動転送を無効にし、必要な例外対象には適用する送信スパム対策ポリシーで許可したうえで、リモートドメインやメールフロールールでも範囲を制限します。許可とブロックが競合する場合は通常ブロックが優先するため、一方の設定だけで転送できると判断しません。Google Workspaceでも、利用者が追加した転送先の確認だけで安全とせず、管理コンソールのルーティング設定と監査ログを管理対象にします。画面名や利用可能な機能は契約プランと更新時期で変わるため、設定変更前に公式管理者資料で現行仕様を確認してください。
通知のみへ切り替える前後に、何を照合するか
架空の文書を1件用意して、通知本文、添付、転送先、原本の閲覧経路を確認すると、機能名だけでは分からない複製を見つけやすくなります。次の表は自社の試験計画に使う例で、今回の実測結果ではありません。
表は横にスクロールできます。
| 確認対象 | 照合すること | 見落としやすい点 |
|---|---|---|
| 件名・本文 | 通知だけに必要な情報が記載されているか。 | 添付を外しても本文に顧客情報やOCR結果が残る。 |
| 添付 | 原本PDFや別形式の文書が付いていないか。 | 本文中の見た目だけで判断しない。 |
| 受信者 | 共有先、配布グループ、転送先の実際のメンバー。 | 元の宛先が社内でも、先で外部へ転送される。 |
| 閲覧 | 正規の利用者が認証して原本を読めるか。 | 通知を受け取っただけで全員に閲覧権限があるとは限らない。 |
| 配送失敗 | 通知が届かないときも、未確認の受信を追えるか。 | メールがないことをFAX未受信と決めつける。 |
SP-FAXの医療・機密情報向けの通知のみ運用は、対象組織への適用条件の確認を伴います。実医療情報を使う試験は事前の開始判定を経て行い、最初の動作確認は架空データで進めます。
外部転送が必要な場合は、例外の範囲を記録する
例えば、既存FAXから専用のOCR取込先へ転送する場合、個人メールの全件転送とは目的が異なります。必要な経路を限定し、対象文書、宛先、責任者、見直し日を記録します。
- メールサービスの管理者ポリシーと、利用者が設定した転送・受信ルールの両方を確認する。
- 宛先の確認が済んだことと、その相手への文書送信が社内で承認されたことを区別する。
- 転送元・取込先の重複やループを点検し、配送失敗・隔離時の担当を決める。
- 転送を止めた後も、既に複製されたメールやPDFの保存・削除を別に確認する。
Microsoft 365とGmailでは管理方法が異なります。画面名だけを共通手順として扱わず、下記の公式資料と自社の契約プランで確認します。添付を取り込んだ後の安全判定はPDFの検査と隔離、担当者交代は退職・異動時の点検へ進めます。
SP-FAXでの選択肢
SP-FAXの受信通知はPDF添付または通知のみを選択でき、メール取込で既存FAXのPDFをOCRへ渡すこともできます。機密情報向けの通知のみ運用は、対象文書、保存・削除、責任分界を確認するエンタープライズ要件として案内しています。OCR直接アップロード、外部FAX API、メールFAX・メールOCR、受信FAXの文書はマルウェア検査を行い、安全性を確認できない場合は後続処理へ進めません。
現在の提供状況、設定手順はメール取込ガイド、保存後はFAX原本の保存・削除を参照してください。
参考資料
よくある質問
Q. PDF添付は安全ですか？
一律には決まりません。複製先が増えるため、機密文書では通知のみを検討します。
Q. 外部自動転送は止めるべきですか？
原則禁止し、必要な転送先だけ管理者が許可する方法が安全です。
Q. 共有メールボックスなら安全ですか？
引継ぎしやすい一方、メンバー、転送ルール、委任権限、保存期間の棚卸しが必要です。