要件定義に入る前に確認したい「業種共通の問い」
業種固有の要件に進む前に、どの業種でも必ず答えておくべき問いがあります。これらが曖昧なままでは、ベンダーへのヒアリングが表面的な機能比較に終わり、自社課題を解決できないシステムを選ぶリスクがあります。
「何年・何通」を保存するのかを試算しているか
試算なしに製品を選ぶと数年後にストレージ不足や追加費用が発生します。「月間メール通数 x 12 x 保存年数」の概算を算出し、ベンダーに容量単価と拡張ポリシーを確認することが第一歩です。5年後・10年後のコスト試算も見積もりに含めるよう要件として定めましょう。「法令で7年・社内規程で10年」という二重基準がある場合、システムは長い方に対応できなければならず、上限根拠を要件定義書に明記しておくことが重要です。
「誰が・何を・どこまで」閲覧できるかを設計しているか
アクセス制御が曖昧なシステムは内部監査や第三者検査での指摘原因となります。最小権限の原則を起点に、部門管理者・コンプライアンス担当・外部監査人など役割ごとの閲覧範囲を設計してから製品評価に臨んでください。「誰がいつどのメールを閲覧・ダウンロードしたか」を追跡できないシステムは内部不正の事後調査に対応できないため、アクセス制御の細粒度とログの保存期間まで要件として明示することが重要です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
金融・証券業界が問うべき要件定義の問い
金融機関・証券会社は、金融商品取引法・金融庁監督指針・各社内部統制規程が重なり合う厳格な環境でメールを管理しなければなりません。製品比較の前に、以下の問いへの答えを社内で確定させることが不可欠です。
改ざん防止機能の実装方式を確認できているか
「改ざん防止機能あり」と謳う製品でも、実装方式は大きく異なります。要件定義で確認すべき問いは「ハッシュ値の生成タイミングはメール受信時か・保存時か」「WORMストレージを採用しているか・論理ロックのみか」「ハッシュ検証レポートを第三者が読める形式で出力できるか」の3点です。金融庁検査では、改ざん防止措置の妥当性を説明できることが重要です。WORMストレージや公証機能を採用する製品もあります。訴訟・行政調査の際に特定メールを保存期限によらず保持し続ける「法的ホールド（リーガルホールド）」機能の要否も要件定義に加えておきましょう。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
暗号化規格と鍵管理のポリシーを確認しているか
暗号化は「保存時（at rest）」と「通信時（in transit）」の2層で評価します。要件定義で問うべき項目は「保存データの暗号化アルゴリズムはAES-256以上か」「通信経路はTLS 1.2以上を強制しているか」「暗号鍵はベンダー管理か・自社管理（BYOK）が選択できるか」の3点です。金融機関では鍵の管理権限がベンダーにある場合、行政機関からの情報提供要請によってデータが第三者に渡るリスクを完全には排除できません。BYOKオプションの有無を自社のセキュリティポリシーと照合してから製品を絞り込むことが重要です。
保存年数の法令根拠を一覧化しているか
保存年数は対象となる文書や業務、適用法令・社内規程によって異なります。対象ごとの保存期間を確認してください。根拠ごとに「対象メールの分類条件」「保存開始トリガー」「廃棄承認フロー」を定義し、システムがそのワークフローを自動化できるかを確認してください。「分類Xは7年・分類Yは10年」という形で保存ルールを一覧表化し、ベンダーにそのまま提示できる状態で製品評価に臨みましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でメールアーカイブの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
医療・介護業界が問うべき要件定義の問い
医療機関・介護事業者には個人情報保護法と厚生労働省「医療情報システムの安全管理に関するガイドライン」（第6.0版）が適用されます。患者・利用者の情報が含まれるメールの管理水準は一般企業より高く、アクセス制御と廃棄手続きの要件を明確にする必要があります。
患者情報を含むメールの分類ルールを設計しているか
医療機関のメールには「患者氏名・診断名・検査結果を含むもの」「院内スタッフ間の業務連絡」「外部医療機関・保険者とのやりとり」など複数のカテゴリが混在します。要件定義で先に決めるべき問いは「どのカテゴリのメールをアーカイブ対象とするか」「診療科・職種ごとのアクセス制御の粒度はどこまでか」「添付ファイル（検査データ・診断書PDF）は本文と同一ルールで保存するか」の3点です。
カテゴリ分類を怠ると、不要なデータまで長期保存するか、必要なデータを早期廃棄するかの二択に追い込まれます。分類ロジックをシステムが自動でタグ付けできるか、手動運用を前提とするかも要件に含めて製品評価を行いましょう。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
廃棄手続きと完全消去の証明をどう実装するか
医療情報の廃棄は「保存期限到来後に削除すれば完了」ではなく、消去方法・承認者・消去確認の記録保持まで含めた手続きが求められます。要件定義で確認すべき問いは「保存期限到来時の廃棄フローを自動化できるか（または通知のみか）」「データの物理的消去（ランダム上書き・暗号化消去）をシステムが実行し証明書を出力できるか」「廃棄承認記録は何年保持するか」の3点です。
クラウド型ではデータセンター側のメディア廃棄手順がSLA・契約書に明記されているかを確認し、廃棄証明書（Certificate of Destruction）の発行対応をベンダーに確認してください。医療情報システムガイドラインへの準拠根拠として保管できる体制を整えることが重要です。
製造業・建設業が問うべき要件定義の問い
製造業・建設業では、設計図面・仕様書・特許出願関連の書類が添付されたメールが頻繁に送受信されます。知的財産の保護と、退職者・取引先との訴訟リスクへの備えという2つの軸で要件を定義することが重要です。
知的財産を含むメールの送信制御をどこまで求めるか
製品によっては、特定キーワード（製品型番・プロジェクトコード・取引先名）を含むメールを検知してアラートを発するポリシー機能を持つものがあります。要件定義で問うべきは「リアルタイムの検知が必要か・事後調査で十分か」「動作はアラートのみか・送信保留（承認フロー）まで必要か」「対象は社外宛のみか・社内メールも含めるか」の3点です。送信制御まで求める場合はDLP（Data Loss Prevention）との組み合わせが必要な製品もあるため、要件定義の段階でアーカイブとDLPの機能境界を明確にしてからベンダーに確認しましょう。
大容量添付ファイルの検索性能を評価できる指標を持っているか
製造業・建設業では1通あたり数十MB～数百MBのCADファイルや3Dモデルが添付されるケースがあります。「対応最大添付サイズ」だけを確認するのでは不十分で、要件定義で定めるべき評価指標は「添付ファイル検索の応答時間（性能SLA）」「PDF・Word・Excelのテキスト抽出による全文検索対応の有無」「CAD・BIM形式のファイル名検索の可否」の3点です。これらを数値で明記し、同条件のデモ環境でテストを依頼することでカタログスペックと実運用の乖離を事前に検証できます。容量追加のコスト単価とスケールアップの手続き期間も確認しておきましょう。
IT企業・人材派遣業が問うべき要件定義の問い
IT企業や人材派遣業は、退職者が多い・取引先との機密情報のやりとりが頻繁・個人情報を大量に扱うという3つの特性が重なります。これらの特性は、メールアーカイブの要件定義において他の業種とは異なる問いを生み出します。
退職者アカウントの扱いと引き継ぎポリシーを設計しているか
IT企業や人材派遣業では退職・転職が頻繁に発生します。退職と同時にアカウントを削除すると、アーカイブ対象外だった場合に過去のやりとりが参照できなくなります。要件定義で確認すべき問いは「アカウント削除前にアーカイブへの取り込み完了をシステムが保証できるか」「削除済みアカウントのメールを後継者・管理者が検索できる権限設計か」「閲覧権限の承認履歴がログに残るか」の3点です。権限を無制限に広げるとプライバシー問題になるため、「業務上必要な範囲」を社内ポリシーで定め、システムの権限設定と連動させる設計が重要です。
履歴書・個人情報を含むメールの保存・廃棄ルールを定義しているか
人材派遣業では候補者の履歴書・職務経歴書が添付されたメールが大量に蓄積されます。個人情報保護法では、利用する必要がなくなった個人データについて適切な取扱いが求められており、無期限保存は法的リスクになる場合があります。要件定義で明確にすべき問いは「採用目的メールの保存上限期間を何年に設定するか」「保存期限到来時の廃棄フローを自動化できるか」「廃棄対象の選定に人的判断が介在するか」の3点です。廃棄ルールは法務・コンプライアンス部門と連携して確定させてから製品評価に臨みましょう。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
よくある質問（FAQ）
業種別の要件定義に関して実務上よく出る問いをまとめました。製品評価前に整理しておくとベンダーとの打ち合わせがスムーズに進みます。
- ■Q1：保存年数が業種・法令ごとに異なる場合、1つのシステムで複数のポリシーを管理できますか？
- 対応できる製品とできない製品があります。複数の保存ポリシーを設定できる製品では、メールのカテゴリや送受信者属性に応じて保存期間を自動振り分けする機能を持つものがあります。要件定義の段階で「何種類の保存ポリシーが必要か」「ポリシーの適用条件（差出人ドメイン・件名キーワード・添付有無など）は何か」を一覧化し、ベンダーにその一覧を提示してすべての条件に対応できるかを確認することが重要です。対応できない場合は補完するワークフローや運用手順を設計する必要があります。
- ■Q2：暗号化規格についてベンダーに何を確認すればよいですか？
- 確認すべき項目は最低でも4点あります。(1)保存データの暗号化アルゴリズム（AES-256等）と実装箇所（ディスク全体か・ファイル単位か）、(2)通信経路の暗号化プロトコル（TLS 1.2以上か・1.3対応かどうか）、(3)暗号鍵の管理主体（ベンダー管理か・自社管理BYOKか・HSM利用の有無）、(4)鍵のローテーション頻度と失効手順です。これらをRFP（提案依頼書）に明記してベンダーに回答を求めると、製品間の比較が客観的に行えます。
- ■Q3：官公庁・自治体がクラウド型を選定する際、どの要件を追加で確認すべきですか？
- LGWAN（総合行政ネットワーク）に接続する環境では、インターネット経由のクラウドサービスをそのまま利用できないケースがあります。確認すべき項目は「LGWAN接続対応のプライベートクラウドまたはオンプレミス版が提供されているか」「政府情報システムのためのセキュリティ評価制度（ISMAP）に登録済みか」「データセンターの所在地が国内（特定の都道府県の調達基準を満たすか）」の3点です。ISMAPリストへの掲載はクラウドサービスの政府調達における重要な要件になっており、製品選定前に対象製品の登録状況を確認することをお勧めします。
まとめ
メールアーカイブの業種別選定で失敗しないためには、製品比較の前段として要件定義を完成させることが前提条件です。金融・証券業界では「改ざん防止の実装方式・暗号化規格・法令別保存年数の一覧化」を、医療・介護業界では「患者情報の分類設計・廃棄証明の実装方式」を、製造業・建設業では「送信制御の必要範囲・添付検索の性能SLA」を、それぞれ社内で確定させた上でベンダーに提示することが重要です。要件が明確であるほど、ベンダーの提案精度が上がり、導入後の仕様齟齬を減らすことができます。業種固有の規制と社内規程の両方を照らし合わせながら、チェックリストとして要件を文書化してから製品評価に進むことをお勧めします。
