[PR] PDFのセキュリティを強化し情報を守る

アドビは10月6日、AI時代のPDFセキュリティ対策と題してオンライン記者説明会を実施した。日々のビジネスシーンで幅広く活用されるPDFは、企業にとって重要な情報が含まれることも多い。適切に情報を保護するためのPDFの扱い方を知ることが、情報漏えいリスクを低減するセキュリティ対策に繋がる。本記事では「Adobe Acrobat」（以下、Acrobat）でできるPDFへのセキュリティ対策から、AI利用時におけるセキュリティリスクをクリアしたAcrobatのAI機能を紹介していく。

　経済産業省と内閣官房国家サイバー統括室が主導し、情報処理推進機構（IPA）が運営する「サプライチェーン強化に向けたセキュリティ対策評価制度」（以下、SCS評価制度）が2026年度中にスタートする予定だ。それに伴い、中小企業向けセキュリティ製品に対する問い合わせが増加しているという。アドビ デジタルメディア事業統括本部 営業戦略部 ビジネスデベロップメントマネージャー 岩松健史氏は「昨年、食品系のサプライチェーンでセキュリティインシデントが発生し、食品などの提供に影響が出たことは記憶に新しいと思います」と指摘し、企業間のデジタルデータ連携が増えるほど、1社の感染が大企業を含むサプライチェーン全体へ波及し得ると説明した。

　サプライチェーンにおけるシステム連携というと、多くの場合EDIやクラウド型受発注システムを利用していることが想定される。しかし実際は、EDIによるシステム連携の自動化がされているケースは決して多くなく、メールにファイルを添付しデータをやり取りする「半自動」の連携が非常に多いと岩松氏は指摘する。「メールサービス側のウイルスチェックももちろん重要ですが、それだけでは添付ファイルのリスクを完全には防ぐことが困難です。特にビジネスシーンで多く利用されているPDFを外部送付する際は、セキュリティリスクを意識した上で、インシデントが起こらない対策を行うことを共通認識とする必要があります」と岩松氏は語る。

　PDFの外部送付・受信に伴うリスクとして、情報漏えいや誤送信、PDF内部に仕込まれた要素による攻撃、改ざん、なりすましなどが挙げられた。「行政機関が一部を黒塗りして公開したPDF文書において、黒塗り箇所をコピーして貼り付けると、テキストが閲覧できる状態だったという情報漏えい事例や、実際の取引先を装ったメールに添付されていた偽の請求書の銀行口座番号に送金してしまい、数億円の被害が発生したなりすまし事例などがあります」と岩松氏は語り、これらのPDFによるセキュリティインシデントに対してはAcrobatの機能を使って対処できることが紹介された。

　まずはPDFを開くときの対策だ。PDFはテキストや画像などの表示部分だけでなく、データ入力可能なフォーム、注釈、非表示情報、メタデータなどが含まれる。また、暗号化などのセキュリティや電子署名、タイムスタンプ、アクセスコントロールなどのセキュリティ機能が加わっており“多層的な情報コンテナ”として機能している。それ故に、悪意のあるサイバー攻撃者がPDFにマルウェアを添付したり、不正なWebページに誘導するリンクを埋め込むこともできてしまうのだ。

　このような脅威に対応するため、Acrobatでは「保護モード」を提供している。本機能はWindowsではApp Container、macOSではサンドボックス機能上で実装されており、PDFを開く場合は通常のOSとは隔離された環境で操作を行う。この保護モードは無料の「Acrobat Reader」から最上位プランの「Acrobat Studio」まで全てのAcrobat製品に搭載されており、ほぼデフォルトでオンになっているという。また、保護モードの中でPDFを編集したり保存したりする場合、「ブローカー」（監視窓口）が外部へのアクセスなどの要求を審査し、安全な処理のみをメインプロセスに誘導する。さらに厳密なセキュリティが必要な場合は「保護されたビューモード」でPDFを開くことで、ブローカーを利用せず、保存、OCR、印刷、フォーム入力なども制限できる。またPDF中のリンクは、ドメインのホワイトリスト・ブラックリストを設定し、許可外サイトへの遷移時にユーザー確認を求めることも可能だ。悪意のあるPDFがユーザーの意図しないフィッシングサイトや、マルウェア配布サイトに意図せず接続することを防止できる。

　PDFによる情報漏えいを防止する機能として、「テキストと画像を墨消し」機能と「非表示情報を検索して削除」機能が紹介された。岩松氏は「冒頭にも紹介した通り、ただテキストを黒塗りしただけでは、テキストの情報が残ってしまいます。Acrobatのテキストと画像を墨消し機能では、指定した文字を選択して塗りつぶせば、その文字のみをPDFから恒久的に削除できます。画像領域に含まれる情報も削除対象にできますし、特定の文字を検索して一括で墨消しを実行することも可能です。開いているファイルだけでなく、指定したフォルダ内の複数のPDFに対しての墨消しも行えるため、効率的な情報保護が可能です」と語る。

　PDFには、文書のプロパティや透明なテキスト、画像の裏に隠された文字など、見えない不要な情報が含まれる場合もある。非表示情報を検索して削除を活用することで、意図しない情報漏えいを防ぐことが可能だ。

　請求書や見積書の金額や、口座情報の改ざんやなりすましといったPDFの悪用を防ぐためには、電子証明書の活用が有効だ。Acrobatでは自己署名による電子署名を付与できる。これにより電子署名後にPDFの改ざんがなされていないことが証明できる。

　またPDFのセキュリティ設定を効率化させるため「ガイド付きアクション」の活用が推奨された。複数の処理手順（コマンド）をアクションとしてまとめて、ワンクリックで連続実行が可能な機能だ。例えば圧縮、墨消し、社外秘透かし、非表示情報削除、パスワード設定、保存などフローをあらかじめガイド付きアクションに設定しておけば、ボタン一つで自動実行してくれる。

　昨今、生成AIの活用が注目を集めている一方で、生成AIにはデータ流出や回答の信頼性などのリスクもつきまとう。岩松氏は安全なAIを利用者に提供することが重要であると指摘し「Acrobatに搭載されたAcrobatに搭載されたAIアシスタントは、ユーザーが指定したPDFなどの文書を基に回答を生成するため、出典が明確で信頼性を確保しやすい点が特長です。また回答の文脈や出典を確認しやすく、ファクトチェックも行いやすいというメリットがあります」と語る。

　Acrobatはクラウド、アプリケーション、PDFの各レベルで多層的な対策が行われている。「PDFを単なる読み取り専用または軽量化形式として捉えるのではなく、文書の重要度に応じて適切な対策を選ぶ必要があるでしょう」と岩松氏は締めくくった。