Outlookで暗号化メールを送る方法：新しいOutlookの手順と管理者の確認項目

要点： 新しいOutlookでは、メール作成画面で［オプション（Options）］>［Encrypt］を選び、Encrypt または Do Not Forward（転送不可）を指定して送信します。どちらもMicrosoft Purview Message Encryptionを使います。Encrypt は内容を保護しますが、受信者による転送・コピー・印刷は可能です。Do Not Forward はそれらも禁止します。機能が有効かどうかは、管理者がExchange Online PowerShellで確認できます。

機密性のあるメールをOutlookから送る方と、それを使える状態にしておく情報システム担当者向けの記事です。読み終えると、暗号化メールの送信、テナントの準備状況の確認、社外の受信者への開き方の案内ができるようになります。Microsoftが画面操作の手順を示しているのは新しいOutlookだけなので、正確な手順は新しいOutlookに限り、他のクライアントについてはMicrosoftの記載内容だけを述べます。内容は2026年10月28日にMicrosoft LearnとMicrosoft Supportで確認しました。

最初に暗号化の方式を選ぶ

Outlookには2つの仕組みがあり、同じメールに重ねて使わないでください。

• Microsoft Purview Message Encryption：社内外どちらの宛先にも使え、Gmail、Yahoo、Outlook.comも対象です。証明書の交換は不要です。本記事の対象はこちらです。
• S/MIME：送信側と受信側の双方に証明書が必要です。Microsoftは、S/MIMEで署名または暗号化済みのメッセージにPurview Message Encryptionを適用すべきでないと明記しています。

中小規模の組織では、Purview Message Encryptionのほうが運用しやすいのが一般的です。

EncryptとDo Not Forwardの違い

Microsoft Learnの説明は次のとおりです。

• Encrypt（encrypt-onlyとも呼ばれます）：メールは暗号化され、受信者は認証が必要です。「名前を付けて保存/エクスポート」と「フルコントロール」を除く使用権限が与えられ、実際には内容のコピー、印刷、転送ができます。暗号化を外すことはできません。
• Do Not Forward：メールは暗号化され、受信者は認証が必要です。転送、印刷、内容のコピーはできません。転送ボタンは使えず、宛先（To、Cc、Bcc）も変更できません。添付されたOfficeファイルにも同じ制限が引き継がれます。

転送中・保管中の内容を守るだけならEncrypt、宛先に指定した人だけに見せたいならDo Not Forwardを使います。

利用者の手順

Windows版の新しいOutlook

1. 新規メールを作成し、いつもどおり書きます。
2. ［オプション（Options）］>［Encrypt］を選びます。
3. EncryptまたはDo Not Forwardを選びます。
4. ［送信（Send）］を選びます。

他のOutlookクライアント

Microsoftのサポートページが正確な手順を示しているのは、新しいOutlookだけです。Microsoft Learnでは、クラシックOutlook（WindowsとMac）とWeb版OutlookにEncryptの選択肢があること、そしてencrypt-onlyのメールの作成にはOutlook for PC 2019またはMicrosoft 365 Appsが必要であることが確認できます。確認したページにはこれらのクライアントのボタンの位置が載っていないため、メールのオプションを開き、画面上のEncryptとDo Not Forwardの表示に従ってください。クラシックOutlookの利用者が多い場合は、まず1台で試し、自社用の1ページの手順書を作ると確実です。

Encryptが表示されない場合は、そのユーザーのライセンスに機能が含まれていないか、テナントでAzure Rights Managementが有効になっていない可能性があります。下の管理者向けの節を参照してください。

覚えておく制限

• 添付ファイルを含むメールのサイズ上限は25 MBです。SharePointやOneDriveのクラウド添付は保護されません。
• PDF添付は、管理者が有効にした場合のみ暗号化されます（管理者向けの節を参照）。

管理者の手順：機能が有効か確認する

Purview Message Encryptionを使うには、テナントでAzure Rights Managementサービスが有効になっている必要があります。対象となる多くのプランでは、Microsoftが自動で有効化します。

この機能を含むライセンス（Microsoft Purview Message EncryptionのFAQによる）：Office 365 E3とE5、Microsoft 365 E3とE5、Microsoft 365 Business Premium、教育機関向けA1、A3、A5。Exchange Plan 1、Exchange Plan 2、Office 365 F3、Microsoft 365 Business Basic、Business Standard、Office 365 E1は、Azure Information Protection Plan 1を追加すると利用できます。利用するユーザーごとにライセンスが必要です。

Compliance Administratorなどの権限を持つアカウントでExchange Online PowerShellに接続し、次を実行します。

Connect-ExchangeOnline
Get-IRMConfiguration | Format-List AzureRMSLicensingEnabled
Test-IRMConfiguration -Sender user@yourdomain.com -Recipient user@yourdomain.com

AzureRMSLicensingEnabledはTrueであるべきです。FalseならSet-IRMConfiguration -AzureRMSLicensingEnabled $trueで設定します。Test-IRMConfigurationは最後にOVERALL RESULT: PASSと表示されるはずです。アドレスにはテナント内に実在するメールボックスを使ってください。

PDF添付を自動で暗号化するには、Information Rights Managementロールを持つアカウントで次を実行します。

Set-IRMConfiguration -EnablePdfEncryption $true

任意：メールフロールールで自動的に暗号化する

利用者の記憶に頼らないようにします。ルールは、全員に有効にする前に、1人の受信者でテストしてください。Exchange管理センターでメールフロー（Mail flow）>ルール（Rules）>新規（New）>Create a new ruleを開き、条件（例：受信者が組織外、件名に特定のキーワードを含む）を追加します。Do the followingでModify the message security>Apply Office 365 Message Encryption and rights protectionを選び、RMSテンプレートを指定してSaveします。メールフロールールでは、Exchange Online組織の外から届く受信メールは暗号化できません。

受信者が開く手順

• Microsoft 365でOutlookを使う受信者（Windows、Mac、Web、iOS、Android）：通常どおり開きます。画面上部のバナーに、Do Not Forwardなどの制限が表示されます。
• Gmail：Read your messageを選び、Sign in with Google、Allowの順に進みます。メールは新しいブラウザータブで開きます。
• Yahooなどその他のサービス：Read the messageを選び、ワンタイムパスコードを要求し、届いたコードを入力してContinueを選びます。パスコードの有効期限は15分です。切れたら元のメールを開き直します。

最初の暗号化メールを送る前に、この3点を社外の相手に伝えておくと、通知がフィッシングと間違われません。

よくある失敗

1. Encryptを選んだのに転送できないと思い込む。 Encryptでは転送・コピー・印刷ができます。禁止するならDo Not Forwardです。
2. S/MIMEのメールにPurview暗号化を重ねる。 1通につき方式は1つにします。
3. 利用者任せにする。 必ず暗号化すべき場面（特定の取引先宛て、特定のキーワードを含むメールなど）は、メールフロールールで強制します。
4. ワンタイムパスコードのメールが迷惑メールや隔離に入ることを見落とす。 MicrosoftのFAQでは、まず迷惑メールフォルダー、次にMicrosoft Purviewポータルの隔離を確認するよう案内しています。パスコードを含むメール、特に最初の数通は隔離されがちです。
5. ハイブリッド構成でBccを使う。 コネクタを構成している場合、暗号化の前にBcc受信者が削除されることがあるとMicrosoftは述べています。ToかCcに入れてください。
6. 会議の招待をメールフロールールで暗号化しようとする。 会議の招待には秘密度ラベルを使います。

動作の確認方法

1. 自分のメールボックスからDo Not Forwardでテストメールを送ります。宛先は自分で管理している別サービスのアドレス（Gmailなど）にします。
2. 受信者の画面に、内容ではなく安全に読むための案内が表示されることを確認します。
3. Microsoft 365のメールボックスでは、制限のバナーが表示され、転送が使えないことを確認します。
4. 管理者はTest-IRMConfigurationがOVERALL RESULT: PASSを返すことを確認します。

FAQ

Outlookで暗号化メールを送れますか。

はい。Microsoft Purview Message Encryptionを含むライセンスがあれば、新しいOutlookで［オプション（Options）］>［Encrypt］を選び、送信前にEncryptかDo Not Forwardを指定します。

受け取ったOutlookメールの暗号化を解除できますか。

受信者は、受け取ったメールの暗号化を外せません。管理者は、組織が付けた暗号化を送信メールまたはその返信から外すメールフロールールを作れます。Exchange管理センターで「Modify the message security > Remove Office 365 Message Encryption and rights protection applied by the organization」を選びます。

送信済みのメールを後から暗号化できますか。

Microsoft Learnには、送信済みメールに後から暗号化を付ける方法は見当たりませんでした。暗号化を有効にして新しく送り直してください。取り消しは別の限定的な機能で、Advanced Message Encryptionに関連します。送信者が取り消せるのは、gmail.comやyahoo.comなどのソーシャルアカウントを使う1人の受信者に送ったメールだけで、Web版Outlookの送信済みアイテムでRemove external accessを使います。Microsoftは、Microsoft 365の職場・学校アカウントやoutlook.comアカウント宛てのメールは取り消せないこと、追跡と取り消しを確実にするにはカスタムのブランドテンプレートが必要なことを説明しています。

暗号化されたOutlookメールはどう開きますか。

Microsoft 365アカウントのOutlookでは通常どおり開きます。GmailではRead your messageを選んでGoogleでサインインします。その他のサービスではRead the messageを選び、ワンタイムパスコード（有効期限15分）を使います。

スマートフォンのOutlookで暗号化メールを開けますか。

Microsoftは、Outlook for iOSとOutlook for Androidを、暗号化・権限保護されたメールをネイティブに読めるクライアントとして挙げています。

関連記事：Microsoft 365セキュリティチェックリスト、保存時と転送時のデータ暗号化、Microsoft 365でMFAを有効にする方法。

自社のMicrosoft 365のメール防御が実際にどう設定されているか確認したい場合は、マネージドITセキュリティサービスのチームにご相談ください。