第16回「Wordファイル作成者が丸見え──メタデータも削除した？」：研修で教えてくれない！

先方から送られてきたWordファイルの作成者欄に、送信者とは別の名前があった──同じ会社だったらまだしも別の会社の知らない人だったら気持ち悪い。メタデータ、削除してますか？

[山賀正人，ITmedia]

　大手総合商社・メデア商事の新人・小林ケンタは顧客に提出する報告書を作成し、課長に最終確認を取っていた。

小林　終わったっ!!

　その声を聞いて、同じ営業第3課の先輩・高柳ワタルがやって来た。

高柳　終わったか？

小林　はい、課長からOKをもらったので、まずはこれでお客様に提出します。

高柳　これで一息つけるな。

小林　ようやく一安心です。とにかく、初めてのことなのでめちゃめちゃ苦労しましたけど、高柳さんのアドバイスのおかげで何とか仕上げることができました。ありがとうございました。

　一瞬、高柳はちょっと照れくさくも嬉しそうな表情を浮かべたが、すぐに真顔に戻って言った。

高柳　ま、それはともかく、後は先方に提出する準備だな。ところで、ファイルのメタデータは削除したか？

小林　え？　「メタデータ」って何ですか？

　メタデータとは、そのデータを作成した日時やユーザー名、使用したソフトウェア名などを示す情報のこと。情報“本体”ではないが、情報に付加する情報であることから「データのためのデータ」とも言われている。

　多くのソフトウェアがそのような情報を付加してデータを保存するが、特にビジネスでやり取りするマイクロソフトの「Office」シリーズでは馴染み深い。メタデータの代表的なものといえるだろう。

小林　あぁ、Officeのデータだと、右クリックの「プロパティ」で表示されるヤツですね。でも別にユーザー名くらいお客様に見えても困らないんじゃないですか？　それにユーザー名なら「プロパティ」の中で空白にして「適用」すればいいだけだし……。

高柳　ユーザー名だけなら、今回の場合は確かにお客様に見られても困らないかもしれない。でもOfficeの場合、「プロパティ」では表示されないが、ほかにもコメントや変更履歴なんかもメタデータとして保存されてるんだ。

小林　そうなんですか……。でもそれくらいなら別に構わないと思うんですけど……。

　Webサイトで公開する印刷用文書ファイルにはPDF形式が増えてきているが、「申込用紙」などに「Word」や「Excel」のデータが公開されることも珍しくない。そのようなデータの場合、作成したユーザーの名前や部署名などがメタデータとして保存されているのは社内情報の管理上、決して好ましいとはいえない。

　また、メタデータに保存される情報はソフトウェアによって異なるが、Office の場合、作成したユーザに関する情報だけでなく、コメントや変更履歴などもメタデータとして保存されるために、そこから機密情報が漏えいしてしまったという事件も実際に発生しているのだ。

　2004年、SCOが訴訟相手として検討していたLinux関連企業の名前が、文書の表示上は削除されていたにもかかわらず、メタデータに残っていたために外部に漏えいしてしまったという事件が報道された（SCOの知的所有権問題）。このほか、ホワイトハウスや米国防総省などで同様の漏えい事故が発生したとの報道もある。

小林　そんなことが……。

高柳　文書をただ開いただけでは目に見えないので、気づきにくい。だから余計に怖い。ファイルを作った人の名前が丸見えなんてかっこ悪いし、表示上は削除したけど、メタデータに残った情報が実は機密情報だった、なんてこともありうるわけだ。

小林　何だか怖くなってきました……。削除するにはどうしたらいいんですか？

　「Office 2007」からは標準で削除する機能が実装されているが、Office 2003／XPについては、別途マイクロソフトから提供されているツールをインストールする必要がある。

　このツールを使えば、ユーザー名やコメント、変更履歴などほとんどのメタデータが削除される。たいていの場合はこのツールで充分だが、Windows 95／98／Me／NT 4.0といった古いOSはサポートしないほか、Excel 2002で、プリンタのパスが削除できないなど、場合によっては削除できない項目があるので注意が必要である。詳細は以下のリンクを確認してほしい。

	マイクロソフトの技術情報
1	Office 2003およびOffice XP用隠しデータ削除ツール
2	Office 2003およびOffice XP用隠しデータ削除ツールアドインバージョン 1.1についての既知の問題

高柳　ウチの場合は情報システム部が標準でインストールしてくれているから使えるはずなんだが……。「ファイル」メニューにないか？

小林　あっ、もしかするとこの「隠しデータの削除」っていうのですか？　全然気がつきませんでした（笑）

高柳　……。

　メタデータを削除するツールは、使い方自体は難しくない。しかし、この作業は、表示上見えてないデータの削除であるため、ついつい忘れがちである。社内で作成した電子データを社外に出す前には必ずメタ情報を削除するという習慣を付けよう。また必要であれば、メタデータの削除を（メール送信時などにおいて）自動化する仕組みを導入するように、情報システム部にお願いしてもよいだろう。

著者紹介　山賀正人（やまが・まさひと）

セキュリティ関連の話題を中心に執筆中のフリーライター。翻訳（英語、韓国語）やプログラミング、システム構築等コンサルなど活動は多岐に渡る。JPCERT／CC専門委員。Webサイトはこちら。