法律による電子メールアーカイブ：セットアップ、セキュリティ、ベストプラクティス

法的 電子メール・アーカイブ は、ドイツの企業に対し、ビジネスメールを改ざんできない方法で保存・閲覧することを義務付けている。これはドイツ商法、ドイツ財政法、GoBDに基づくもので、法的に準拠した業務、デジタルトレーサビリティ、税務文書化義務を保証するものです。

中心点

• 保存期間電子メールの種類により6～10年
• GoBD適合ソフトウェア・ソリューションには必須
• データの完全性暗号化とアクセス制御が必要
• オートメーションアーカイブと削除はルールベースでなければならない
• トレーニングコース従業員はアーカイブに準拠したプロセスを理解する必要がある

企業は、コンプライアンスに完全に準拠したEメールアーカイブにかかる労力を過小評価しがちです。些細な見落としでさえ、アーカイブのギャップにつながる可能性がある。例えば、税務参照のある電子メールを手作業で削除した場合や、自動化システムが正しく設定されていない場合などである。既存のプロセスを注意深く見直し、明確に文書化されたガイドラインを導入することで、このような災難を避けることができる。

また、法的要件は常に更新される可能性があることにも留意すべきである。その一例が、GDPRや各国独自の改正など、データ保護規制の変更である。そのため、法的および技術的な更新を継続的に監視することが望ましい。これが、アーカイブシステムが現在の法的基準を満たすだけでなく、将来もそうであることを保証する唯一の方法である。

電子メールアーカイブの法的根拠

ドイツでは、企業は法律によってビジネスメールを安全にアーカイブしなければなりません。これは、常に追跡可能で、変更不可能で、完全でなければならないことを意味します。関連する法的根拠は、ドイツ財政法（AO）第147条、ドイツ商法（HGB）第257条、およびGoBDです。これらの規制は、ビジネス関連の電子メールをいつまで電子的に利用可能にしておかなければならないかを定めています。請求書のような税務関連の電子メールは、次のことが要求される。 10年 保管される。純粋なビジネスレターや商業レターの場合、以下のことが適用されます。 6歳 締め切り。

一部のフリーランサーや中小企業は、業界特有の特別な規制を除き、この義務の対象とはなりません。商業レターの定義には、オファー、契約上の取り決め、ビジネス上の合意に関するEメールも定期的に含まれます。これらを適切にアーカイブしない場合、厳しい罰金や税務上の苦情を受けるリスクがあります。

法的確実性を高めるため、ITサービスプロバイダーやホスティングプロバイダーとの契約に、電子メールデータの保持に関する条項を盛り込むことが望ましい。これにより、両者はそれぞれの義務を明確にすることができ、データ保持に関して食い違いが生じた場合の紛争リスクを軽減することができる。また、企業にとっては、電子メールがアーカイブ内で変更されることなく利用可能であり、その内容がその後操作されていないことをいつでも証明できるようにすることも重要である。

監査証明付きアーカイブの要件

監査証明付きアーカイブとは、電子メールが後日気づかれずに変更されたり削除されたりしてはならないことを意味する。さらに、すべての記録は完全かつ検証可能な状態で保存されなければならない。電子メールの受信トレイやローカル・ファイル・フォルダに保存する従来の方法では不十分です。企業は、このような基準を満たし、明確な記録を提供するアーカイブ・ソフトウェアを必要としています。 アクセス構造 を提供しています。

GoBDに準拠したシステムはログ機能を持ち、すべての変更を記録し、個々のメッセー ジのバージョン管理を提供する。これにより、法的観点からのトレーサビリティが保証される。Microsoft 365や同等のプラットフォームを使用している人なら誰でも、特別なアドオンやAPIを介して、法的に準拠したアーカイブ接続を作成することができる。

特に注意しなければならないのは、いわゆる ジャーナリング アーカイブに保存されます：電子メールのインフラストラクチャに応じて、すべての送受信メッセージのコピーは、定義されたアーカイブに自動的に移動されます。これにより、重要なやり取りを誤って削除したり、意図的に削除したりする余地がなくなります。ジャーナリングがどのように実装されるかは、使用するメールシステムによって大きく異なるため、ITマネージャーやアーカイブソリューションのプロバイダーと密接に連携することをお勧めします。

技術的実現とソフトウェアの統合

多くのアーカイブシステムでは、Microsoft Outlook、Exchange、Gmail、Zimbraなどの一般的なグループウェアシステムに直接統合することができる。これにより、送受信される電子メールを自動的にキャプチャし、アーカイブに移動することができます。アーカイブはルールベースで、多くの場合、送信者、件名、タイムスタンプ、添付ファイルに基づいて行われます。対応するアドオン・ソリューションにより、以下のようなメールをアーカイブすることができます。 Pleskメールアドレス 事前にも事後にも。

選択したソフトウェアがGoBD第146条第1項AOを満たすことが極めて重要である。これは、電子メールがタイムリーに、機械分析可能かつ構造化された方法で保存されなければならないことを意味する。また、保存期間終了後の自動削除に対応したソフトウェアであることが望ましい。アーカイブ・ソリューションの中には、.emlや.msgといった特殊なフォーマットをサポートしたり、サードパーティ・システム用のAPIを提供したり、準拠した監査機能を備えたクラウドストレージに保存できるものもある。

もう一つの技術的な側面は、アーカイブされた電子メールへのアクセス速度です。特に1日に何千通ものメールを受信するような大企業では、高性能なソリューションがあればすぐに元が取れる。オンプレミスかクラウドかを決める際には、セキュリティの問題やネットワーク帯域幅も考慮する必要がある。一方、クラウドベースのソリューションは、スケーリングやメンテナンスの面でメリットがある。

管理者は、アクセスのログを継続的にチェックする必要がある。監査が行われた場合、アーカイブされた電子メールに誰がいつアクセスしたか、変更が加えられたかどうかについての情報を提供できるのは、まさにこのログだからである。IDS/IPS（侵入検知/防止システム）と同様にシステムを監視することで、不正な操作を早期に発見し、対策を迅速に講じることができる。

保存期間とアーカイブ構造

法的に定められた期限は、電子メールの形式ではなく、その内容に基づいています。税務の観点からは、添付ファイル付きのPDF請求書や付加価値税納税義務に関する情報もアーカイブしなければならないため、この区別は重要です。以下の表は、典型的なアーカイブ要件の概要を示しています：

アーカイブの構造は、ビジネスプロセスに沿ったものとし、例えば、各コンテンツに対応したフォルダやカテゴリに分ける。構造が明確であれば、社内検索や監査の際にも、関連するEメールを迅速に取り出すことが容易になるからだ。さらに、機密性の高いコンテンツ（個人データなど）は、特別に保護された領域に保存することで、GDPRや社内コンプライアンスの要件を満たすことができる。

セキュリティ：暗号化とアクセスによるデータ保護

データセキュリティ は、法的に準拠したアーカイブに不可欠な要素です。保存された電子メールはすべて、不正なアクセスができないように保護されなければなりません。そのため、最新のシステムでは、保存されたすべてのコンテンツを送信中および保存時に暗号化します。さらに、アクセスはLDAPやActive Directoryなど、複数レベルの権限付与によって規制されます。これは、監査時にすべてのアクセスを追跡できることを意味します。

信頼できる 電子メールの暗号化 がセキュリティ・コンセプトを補完する。さらに、マルウェアスキャンによる自動システムチェックで、危険なコンテンツや有害なコンテンツを早い段階で排除することをお勧めします。暗号化された形式でのバックアップと定期的なテスト・リストアにより、アーカイブされたメッセージの長期的な完全性が保証される。

IT部門がよく行うもう一つのステップは、生産的なメールシステムとアーカイブの両方に適用される標準化されたセキュリティガイドラインを導入することです。これにより、マルウェア対策プログラム、スパムフィルタ、実行可能な添付ファイルの制限が、両方の環境で一貫して実施されるようになります。こうすることで、企業は感染したファイルや悪意のあるファイルがアーカイブに侵入するリスクを最小限に抑えることができる。

ガイドラインとトレーニングで明確に

企業は明確な アーカイブガイドライン 社内プロセスと責任を文書化したもの。電子メールの取り扱いに関する作業指示書、定められた保管場所、保管期間、特殊なケース（個人データなど）の手続きは、情報の紛失を防ぎ、解釈の余地を最小限にする。

トレーニングコースは、従業員が業務に関連する電子メールの正しい取り扱いについて認識を深めるのに役立ちます。従業員は、アーカイブが必要なコンテンツをどのように認識し、どのような場合に手作業が必要になるかを知る必要があります。実際の例として、「@kunde.de」または「@steuerberater.de」のドメインからのメールをすべて自動アーカイブする。これにより、重要なビジネス・トランザクションが体系的に保護される。

このようなトレーニングコースに加え、アーカイブの問題に関する社内の窓口を定めることも有効である。例えば、「アーカイブ担当者」やIT部門などである。こうすることで、従業員は必要なときに迅速なヘルプと貴重な専門知識を得ることができる。特に新入社員は、最初の数週間で、メールアーカイブの概要とその重要性を学ぶことができます。

自動化とコンプライアンス管理

洗練された自動化により、社内外のルールへの準拠がより容易になります。アーカイブツールは、自動的に削除期限を適用し、特定のルールに従って電子メールをグループ化し、保管状況やルール違反に関するレポートを作成することができます。コンプライアンスは単発のプロジェクトではなく、ITインフラの日常的な一部となる。

経験豊富な管理者は、内部監査または外部監査人の協力を得て、定期的な監査を実施している。これにより、法的に致命的なギャップがないことが保証される。さらに、多くのシステムがREST APIやウェブフックを提供し、ERPやDMSなどのサードパーティシステムとアーカイブをリンクさせている。これにより、手作業によるエラーの原因を減らし、効率的な作業をサポートする。

過小評価されがちなのは モニタリング ストレージリソースの自動化された電子メールのアーカイブは、特に大きな添付ファイルによって、データ量を急速に増加させる可能性があります。定期的な容量計画とストレージ容量の早期拡張により、ボトルネックを防ぐことができます。これはシステムのパフォーマンスに影響を与えるだけでなく、古いメールが誤って削除されたり、別の場所に移動されたりするのを防ぐこともできます。

初心者と管理者のための実践的なヒント

機能するアーカイブシステムは、法的紛争や税務監査が発生したときに大きな違いをもたらします。すでに何がどのように保存されているのか？シャドウメールボックスはあるか？これまでメールは手動で削除されてきたか？それから、適切なシステムを選択します。

また、社内の代表的なメールタイプのリストを作成し、それらに特定のアーカイブクラスを割り当てることをお勧めします。例えば請求書→10年、社内会議の議事録→アーカイブ義務なし。こうすることで、不確実性を減らし、計画に透明性を持たせることができる。スキャンした紙文書や第三者からの添付ファイルも考慮し、コンプライアンスに準拠した方法でデジタル化する。

例えば、特定の顧客番号やプロジェクト番号を持つメールはすべて、デフォルトで特別なサブアーカイブに送信されるように指定できます。これにより、セキュリティが確保されるだけでなく、ビジネス・トランザクションのトレーサビリティが大幅に向上します。また、明確な命名規則（例："2023_ProjectXY_Invoice.pdf"）を使用すれば、さらに簡単に素早く見つけることができます。

エクステンデッド・プラクティカル・ガイド：よくあるエラーの原因と解決策

特に監査に耐えうるEメールアーカイブを導入する初期段階では、典型的なつまずきに遭遇する。例えば、よくある間違いは、単にすべてのメールをキャプチャすれば十分だと思い込んでしまうことです。しかし、削除期間や分類に関する明確なルールを定義しなければ、すぐにデータの山ができてしまい、誰もその方法を見つけることができません。これを改善するには 役割と権利のモデルこれは、誰がどのカテゴリを閲覧または編集する権限を持つかを決定します。

2つ目のよくある間違いは、同期されていない複数のアーカイブシステムを使用していることです。特定のプロジェクトメールをローカルフォルダーに手動で保存し、他のメールをクラウドアーカイブに保存すると、ギャップや重複が生じ、疑わしい場合に追跡できなくなる。この場合、次のようなことが考えられます： 真実の一点 - 明確に責任を負い、権威ある情報源として特定される中央集権的なシステムがあるべきである。

また、従業員に事前の相談なしにメールボックスから大量のデータを削除させないようにアドバイスする。一見、重要でないメッセージであっても、不注意で削除してしまうと、保証問題や紛争が発生したときに、後日、連絡が取れなくなる可能性がある。したがって、アーカイブは自動的に、抜け穴なく行われ、手作業によるフィルタリングが不可能になるようにすべきである。

管理者は、定期的にテストリストアを実行することもできます：これは、アーカイブされたメールが期待通りにリストアできるかどうか、データの整合性やタイムスタンプが正しく保存されているかどうかをチェックするものです。このようなテストは、アーカイブの信頼性を高めるだけでなく、継続的な運用中に気付かない技術的または組織的な欠陥を発見することもできます。

規則正しい生活による持続可能性の確保

アーカイブは長期的に機能するものでなければならない。導入したとき一度だけでなく、日常的に永続的に機能するものでなければならない。そのため、私は定期的なシステムチェックを計画し、エントリーの一貫性をチェックし、サンプル検索を実行し、機能ログを評価する。アーカイブがいつ、どのように機能するかを年単位で文書化しておけば、いざというときの長い調査の手間が省ける。

年に一度、使用するソフトウェアを更新し、新機能や法改正がないかチェックする。アップデートを軽視してはいけません。新しい行政指導や業界特有の勧告によって、要件が変わることはよくあります。これについては、以下のガイドもご参照ください。 法的要件とベストプラクティス.

Eメールアーカイブソリューションの持続可能性は、最終的には、ビジネス要件の拡大や変化にどれだけ対応できるかによって決まります。ビジネス領域を拡大したり変更したりする企業は、新しいカテゴリやアーカイブクラスを定義する必要があるかもしれません。他のシステム（例：ERP、CRM）との統合も成長する可能性があり、早い段階で計画に含める必要があります。Eメールアーカイブは、他のデータバックアップ戦略と組み合わせて使用されることが多いため、将来の発展に十分なバッファを提供する全体的なコンセプトを作成することをお勧めします。

長期的なアーカイブには、時間とともに変化する可能性のあるデータ保護規制に対する認識も必要です。一例として、特にGDPRに関連する情報を含む元従業員のデータの保持が挙げられる。この場合、企業はどのデータを保存し続けなければならず、どのデータを削除できるのか、あるいは削除すべきなのかを検討しなければならない。

メタデータの重要性も過小評価されている：多くのアーカイブシステムでは、キーワードや顧客IDなどの追加情報を保存することができる。このようなフィールドが一貫して維持されていれば、アーカイブは強力なナレッジプールとなり、過去のプロジェクト履歴や顧客とのコミュニケーションをより簡単に見つけることができる。これは、法的な確実性を保証するだけでなく、日々のビジネスにおいて真の付加価値を提供する。

最終的な検討事項

電子メールのアーカイブを包括的かつ適時に行うことで、長期的にコストを削減し、リスクを軽減することができます。不完全な、または構造化されていないアーカイブは、緊急時に非常に高くつく可能性があります。それは、罰金、法的手続きの損失、追跡不可能なコミュニケーションによる顧客関係の損傷などです。明確なガイドライン、適切に選択されたソフトウェアソリューション、定期的なチェックにより、企業はEメールデータを専門的に取り扱うための安定した基盤を構築することができます。