別組織から届いた暗号化メールにOutlookで返信し、自組織の「暗号化を適用する秘密度ラベル」を選ぶと、送信エラーや配信不能通知が発生することがあります。
これは、単純なOutlookの不具合や設定ミスではありません。元のメールを暗号化した組織が保護の所有者であり、返信側の組織が別の暗号化を上書きできないことによる設計上の制約です。
利用者側の基本的な対処は、組織のルールで認められている場合に限り、暗号化を適用しない秘密度ラベルを選んで返信することです。暗号化ラベルの使用が必須である場合は、何度も再送せず、情報システム部門やMicrosoft 365管理者に返信方法を確認してください。Microsoftは、この動作を「仕様」として案内しています。([マイクロソフト サポート][1])
組織外の暗号化メールへ返信すると秘密度ラベルでエラーになる理由
この問題は、次の条件が重なったときに発生します。
| 確認項目 | 発生条件 |
|---|---|
| 元のメール | 別組織の秘密度ラベルによって暗号化されている |
| 返信するユーザー | 元の送信者とは異なるMicrosoft 365テナントに所属している |
| 返信側のポリシー | メールへの秘密度ラベル付けが必須になっている |
| 返信時に選んだラベル | 暗号化を適用する設定になっている |
| 結果 | 送信エラー、または配信不能通知が発生する |
たとえば、次のようなケースです。
- A社の担当者が「極秘」などの暗号化付き秘密度ラベルを付け、B社へメールを送信する
- B社では、送信メールへの秘密度ラベル付けが必須になっている
- B社の担当者が返信時に「社外秘」などの暗号化付きラベルを選ぶ
- OutlookがB社の暗号化設定を適用しようとして失敗する
秘密度ラベルは組織ごとに管理される
秘密度ラベルは、それを作成したMicrosoft 365テナントの中で管理されます。
そのため、A社が付けた「極秘」というラベルが、B社のOutlookでも同じラベルとして利用できるとは限りません。B社側ではA社のラベルが表示されず、メールがラベル未設定のように見えることがあります。
B社でラベル付けが必須になっていると、Outlookは返信時にB社のラベルを選ぶよう要求します。そこで暗号化付きラベルを選ぶと、問題が表面化します。([マイクロソフト サポート][2])
元の暗号化を返信側が変更できない
この問題でいう「所有者」は、メール本文の業務上の所有者ではなく、Rights Managementによる保護の所有者です。
元のメールはA社の送信者によって暗号化されているため、保護されたコンテンツの権限管理所有者はA社側の送信者です。B社の受信者が、自社の暗号化付きラベルを選んでも、A社が設定した暗号化をB社の暗号化へ置き換えることはできません。
Outlookは新しい保護を適用しようとしますが、元の暗号化を変更する権限がないため送信に失敗します。([マイクロソフト サポート][1])
Outlookの種類によってエラーの見え方が異なる
Microsoftの案内では、クラシックOutlook、新しいOutlook、Outlook on the webで発生する可能性があります。ただし、利用者に見える症状は同じではありません。([マイクロソフト サポート][1])
| 使用環境 | 主な症状 |
|---|---|
| クラシックOutlook for Windows | 送信操作時にアクセス許可や秘密度ラベルに関するエラーが表示される |
| 新しいOutlook for Windows | 送信時には明確なエラーが表示されない場合がある |
| Outlook on the web | 送信時には明確なエラーが表示されない場合がある |
| 新しいOutlook／Web版の送信後 | 配信に失敗し、配信不能通知で判明することがある |
新しいOutlookやWeb版で送信画面が閉じたとしても、正常に相手へ届いたとは限りません。直後に受信トレイへ届く配信不能通知も確認してください。
まず確認するべき切り分け手順
元の送信者が別組織か確認する
送信者が自組織とは異なるMicrosoft 365テナントに所属しているか確認します。
メールアドレスのドメインだけではテナント構成を正確に判断できない場合があるため、重要なメールでは管理者に確認するのが確実です。
元のメールが秘密度ラベルで暗号化されているか確認する
メール上部に表示される秘密度やアクセス制限の案内を確認します。
単に「重要度：高」が設定されているメールや、件名に「社外秘」と書かれているだけのメールは、今回の暗号化付き秘密度ラベルとは異なります。
自組織でラベル付けが必須になっているか確認する
返信時に必ず秘密度ラベルの選択を求められる場合は、組織で必須ラベル付けが設定されている可能性があります。
ただし、既定ラベルや推奨ラベルが表示されているだけの場合もあります。ポリシーの詳細は利用者から確認できないことがあるため、管理者へ問い合わせてください。
選択したラベルに暗号化が含まれるか確認する
ラベル名だけでは、暗号化の有無を判断できない場合があります。
たとえば「社外秘」というラベルでも、組織によって次のように設定内容が異なります。
- 表示上の分類だけを付ける
- ヘッダーやフッターを追加する
- 外部共有時に警告を表示する
- メール本文を暗号化する
- 転送、コピー、印刷などを制限する
「機密」「社外秘」「Confidential」といった名称だけで判断せず、暗号化が適用されるラベルか管理者に確認しましょう。
利用者が実施できる対処手順
暗号化を適用しない秘密度ラベルを選ぶ
Microsoftが案内している回避策は、返信時に「全般」などの暗号化を適用しない秘密度ラベルを選択して送信する方法です。実際のラベル名は組織によって異なります。([マイクロソフト サポート][1])
操作の考え方は次のとおりです。
- 対象の暗号化メールを開く
- 「返信」または「全員に返信」を選ぶ
- 秘密度ラベルの選択を求められたら、暗号化を適用しないラベルを選ぶ
- 宛先と本文を確認する
- メールを送信する
- 配信不能通知が届いていないことを確認する
ここで選ぶのは、単なる「ラベルなし」ではありません。組織で承認されている、暗号化を追加しないラベルを選びます。
Microsoft Purview Message Encryptionでは、暗号化されたメッセージへの返信も保護される仕組みがあります。そのため、暗号化を適用しない自組織ラベルを選ぶことは、必ずしも「内容を平文で無防備に送る」という意味ではありません。ただし、元メールの保護方式や組織の運用によって扱いが異なるため、機密情報を含む場合は管理者の確認を優先してください。([Microsoft Learn][3])
暗号化しないラベルが見つからない場合
利用可能なラベルがすべて暗号化付きである場合や、情報区分上、暗号化付きラベルを選ばなければならない場合は、利用者だけでは解決できません。
次の情報を添えて管理者へ連絡します。
- 元メールの送信者と所属組織
- 使用しているOutlookの種類
- 選択した秘密度ラベル名
- 送信時に表示されたエラー
- 配信不能通知の件名とエラー概要
- 発生日時
- 同じ組織から届いた他の暗号化メールでも発生するか
スクリーンショットを送る場合は、メール本文、宛先、個人情報、認証情報、トークンなどが写り込まないようにしてください。
暗号化ラベルが必須の場合に考えられる運用
返信側でも自組織の暗号化ラベルを適用しなければならない場合、通常の「返信」では設計上の制約を回避できません。
管理者は、組織の情報管理ルールに応じて、次のような運用を検討する必要があります。
| 運用例 | 注意点 |
|---|---|
| 外部組織の暗号化メールへの返信用に、暗号化しない承認済みラベルを使用する | 情報区分上、そのラベルで返信してよいか確認が必要 |
| 元メールを引用せず、自組織から新規の暗号化メールを送る | 会話履歴が分かれ、元の保護内容を転記しない運用が必要 |
| セキュアなファイル共有や共同作業環境へ切り替える | 相手組織との共有設定やアクセス権の設計が必要 |
| 元の送信者側で返信方法を指定してもらう | 相手組織の運用や暗号化方式に依存する |
| 情報システム部門が個別に代替手段を判断する | 利用者が独自判断で暗号化を解除しないことが重要 |
新規メールに切り替える場合も、元の暗号化メール本文をコピーしてよいとは限りません。保護された内容の転記や添付は、元の送信者が意図したアクセス制御を損なう可能性があります。
必須ラベル付けを組織全体で無効にしない
この問題を避けるために、秘密度ラベルの必須設定を組織全体で無効にする対処は推奨できません。
必須ラベル付けは、利用者によるラベルの付け忘れを防ぎ、情報管理を統一するための仕組みです。1種類の返信エラーを解消する目的で全体設定を変更すると、通常の新規メールやファイルまでラベルなしで扱われる可能性があります。
管理者は、全社ポリシーを解除するのではなく、次のような範囲で対処を検討します。
- 外部暗号化メールへの返信ルールを明文化する
- 返信に使用できる承認済みラベルを案内する
- 自組織で暗号化が必要な場合の代替経路を決める
- 対象ユーザーや業務を限定して検証する
- クラシックOutlook、新しいOutlook、Web版で送信結果を確認する
- 配信不能通知を見逃さないよう利用者へ周知する
別のトラブルと混同しないための判断基準
暗号化メールに関係するエラーでも、すべてが今回の秘密度ラベル問題とは限りません。
| 症状 | 今回の問題との違い |
|---|---|
| メール署名の画像や文字が崩れる | HTML形式や署名設定の問題であり、暗号化ラベルの所有権とは別 |
| デジタルIDや証明書が見つからない | S/MIME証明書の設定や有効期限を確認する問題 |
| 添付ファイルだけ開けない | ファイル側の秘密度ラベル、共有権限、アカウント認証を確認する |
| 社内メールへの返信でも失敗する | テナントをまたぐ暗号化の上書き以外の原因が考えられる |
| 暗号化なしのラベルでも送れない | 宛先制限、メールフロールール、容量超過など別の切り分けが必要 |
| 送信済みには入るが相手へ届かない | 配信不能通知や管理者側のメッセージ追跡を確認する |
特に、S/MIMEによる署名・暗号化と、Microsoft Purviewの秘密度ラベルによる暗号化は仕組みが異なります。「暗号化」という言葉だけで同じ対処を適用しないよう注意してください。
管理者へ問い合わせるときの文例
次のように状況をまとめると、原因確認が進みやすくなります。
外部組織から届いた秘密度ラベル付きの暗号化メールに返信しようとしています。
自組織の「社外秘」ラベルを選ぶと送信に失敗し、配信不能通知が届きます。
外部テナントの暗号化メールへ、自組織の暗号化付きラベルを適用しようとしていることが原因か確認してください。
このメールに使用できる暗号化なしのラベル、または組織で承認された別の返信方法を教えてください。
配信不能通知を転送する場合は、元メールの機密情報を含めず、必要なエラー情報だけを共有します。
よくある疑問
Outlookを再起動すれば直りますか
今回の条件に該当する場合、Outlookの再起動、キャッシュ削除、プロファイル再作成だけでは根本的な解決になりません。
元メールの暗号化所有者と、返信側が適用しようとする暗号化ラベルのテナントが異なることが原因だからです。
クラシックOutlookへ切り替えれば送信できますか
クライアントを変更しても、暗号化の所有権に関する制約は変わりません。
クラシックOutlookでは送信時にエラーが表示され、新しいOutlookやWeb版では配信不能通知で判明するなど、見え方が変わる可能性はあります。([マイクロソフト サポート][1])
ラベルを外して返信してもよいですか
組織のポリシーでラベル付けが必須の場合、利用者の判断でラベルを外すべきではありません。
Microsoftが示している回避策は、組織で利用可能な「暗号化を適用しない秘密度ラベル」を選ぶ方法です。どのラベルを使用できるか分からない場合は、送信前に管理者へ確認してください。
これは今後修正されますか
Microsoftは、この動作自体を設計上のものとしています。一方で、現在の警告やエラー表示が分かりにくいことは認識しており、より明確な案内方法を検討すると説明しています。([マイクロソフト サポート][1])
外部組織の暗号化メールではラベルの重ね掛けを避ける
別組織から届いた暗号化メールへ返信できない場合は、最初に「外部テナントの暗号化」と「自組織の暗号化付き秘密度ラベル」が競合していないか確認します。
対応の要点は次のとおりです。
- 元メールを暗号化した組織が保護の所有者になる
- 別テナントの受信者は、元の暗号化を自組織の暗号化へ変更できない
- クラシックOutlookでは送信時エラー、新しいOutlookやWeb版では配信不能通知になることがある
- 組織で許可されている場合は、暗号化を適用しない秘密度ラベルを選ぶ
- 暗号化付きラベルが必須なら、利用者だけで回避せず管理者へ相談する
- 問題回避のために必須ラベル付けを組織全体で無効にしない
まず配信不能通知を保存し、使用したラベル名とOutlookの種類を整理してください。そのうえで、外部暗号化メールへの返信に使用できるラベルまたは代替手段を、Microsoft 365管理者へ確認するのが安全です。
[1]: https://support.microsoft.com/en-us/support/known-issues/users-might-get-an-error-applying-an-encrypted-sensitivity-label-when-replying-to-an-encrypted-messa “Users might get an error applying an encrypted sensitivity label when replying to an encrypted message sent from an external organization | Microsoft Support”
[2]: https://support.microsoft.com/ja-jp/support/known-issues/users-might-get-an-error-applying-an-encrypted-sensitivity-label-when-replying-to-an-encrypted-messa “外部organizationから送信された暗号化されたメッセージに返信するときに、暗号化された秘密度ラベルを適用するエラーが発生する可能性があります。 | Microsoft Support”
[3]: https://learn.microsoft.com/en-us/purview/ome “Microsoft Purview Message Encryption | Microsoft Learn”
コメント