メールにはセキュリティ対策が必要だと理解していても、具体的にどのような対策をおこなえばいいのか悩んでいる方も多いのではないでしょうか？
本コラムでは、メールセキュリティの対策方法やメールセキュリティの目的、メールセキュリティ製品を選ぶときのポイントをご紹介します。
メールセキュリティとは
メールセキュリティとは、メールを送受信する際に発生するリスクを防御するセキュリティ対策です。
近年、メールの送受信をきっかけに起こる個人情報の流出やメールを介したサイバー攻撃などのさまざまな問題が発生しています。
このような問題を防ぐためにメールセキュリティ対策が重要視されています。
メールを用いた代表的なサイバー攻撃は、以下が挙げられます。
■スパムメール
受信者の意向を無視して一方的に送られるメールを指し、「迷惑メール」とも呼ばれます。
商品の宣伝を目的とするものが一般的ですが、中には悪質な添付ファイルが仕込まれているケースもあります。
■フィッシングメール
実在する金融機関やショッピングサイトを装って偽メールを送信し、公式サイトを模倣した偽サイトに誘導します。
フィッシングメールの目的は、誘導した偽サイトでターゲットのカード情報やアカウント情報を盗むことです。
近年では偽メールや偽サイトが本物そっくりに作られ、一見見分けが付かないようになっており手口も巧妙化されています。
■標的型攻撃メール
不特定多数に送るスパムメールとは異なり、対象の組織から機密情報や個人情報を盗む目的で送信されるメールです。
組織の担当者が業務に関係するメールだと思い開封してしまうように巧妙に作成されています。
ウイルスやマルウェアが仕込まれたメールの添付ファイルを開封してしまうと、ファイルを開封したPCのみならず、社内ネットワークからウイルスが拡散する危険があります。
これらのメールによるサイバー攻撃を防ぐために、実施すべきメールセキュリティ対策としては次のようなものが挙げられます。
ウィルス対策ソフト
悪質なメールの中には企業からのメールを装い、ユーザーを巧みに危険なサイトへ誘導するものがあります。
サイトにアクセスしてしまうと、マルウェアという悪意あるソフトウェアが強制的にダウンロードされ、ウィルス感染等を引き起こします。
悪質なメールへの対策として、メールの送受信に利用しているパソコンやスマートフォンに、ウィルス対策ソフトをインストールしましょう。
ウィルス対策ソフトには、メールに含まれるマルウェアを検知する機能や、ヒューリスティック機能というウィルスの挙動パターンを検知し、ウィルス感染を未然に防ぐ機能が含まれています。
これらの機能を活用することにより、怪しいスパムメールなどのウイルスを検知し、あらかじめフォルダから除外することが可能です。
メールフィルターの利用
スパムメールなどに添付されたファイルやリンクをクリックしてしまうと、パソコンがウィルスに感染してしまったり、企業の情報が漏洩したりするなどのリスクも考えられます。
そのようなリスクを防ぐ対策としてメールフィルターを利用しましょう。
メールフィルターとは、スパムメールを始めとする危険なメールをあらかじめフィルターにかけて届かないようにするためのものです。
Gmailのようにメールサーバー自体がその機能を持っているものもありますが、使用しているサーバーにそのような機能がない場合は、クラウド型のサービスを利用するなど自社で対策をすることが必要です。
メールの無害化
メールの無害化とは、被害を抑えるためにメールの本文や添付ファイルに含まれる危険なマルウェアなどの削除や、HTML形式で送られてくるメールをテキスト化するなどの適切な処理を行うことです。
HTML形式のメールが危険な理由は、中に悪意のあるプログラム（スクリプト）を含ませることが可能なためです。
そのようなメールの中のリンクをクリックすると危険なサイトに誘導され、マルウェアに感染する可能性があります。
また、悪意のあるプログラム（スクリプト）によってメール受信者の個人情報が配信者によって抜き取られるリスクも存在します。
メールを無害化させるための対策として専用のソフトやクラウドサービスがあります。
Gmailのようにメールサーバーの機能としてもともと含まれているものもありますので、リスクを防ぐために活用しましょう。
メールの暗号化
機密情報や重要な内容のメールの場合、メールの暗号化を利用することも効果的です。
メールに記載された個人情報が、第三者にのぞかれた場合、個人情報漏洩につながる大きな問題に発展します。
しかし、メールを暗号化することで第三者に情報を抜き取られるリスクを防ぐことができます。
通信の暗号化方式ではSSL／TSLという手法がよく用いられています。
そのなかでもメールに特化したSTARTTLSという方式があり、対応しているメーラーやメールサーバーであれば簡単に導入が可能です。
送信ドメイン認証の利用
偽装された差出名から送られてくるなりすましメールでは、メール内のリンクから危険なサイトに誘導されるなどの可能性があります。
なりすましメールや送信元ドメインの詐称への対策として、送信ドメイン認証を使うことが有効です。
送信ドメイン認証には3種類（SPF・DKIM・DMARC）の認証方式があります。
「SPF」は送信元のIPアドレスをもとに送信したメールが正当なものであるかを判断します。「DKIM」はメールに電子署名を付与することでなりすましを検知します。
さらに、「DMARC」を用いると、「SPF」または「DKIM」の検証に合格しなかった場合に、そのメールの処理方法を受信サーバーに指示することができます。
メールセキュリティ対策をする目的は？
先にご紹介したようなメールセキュリティ対策をする目的を3つご紹介します。
個人情報や秘密情報の保護
メールにはさまざまな重要情報が含まれています。
例えばメールアドレス、社名、名前などの個人情報や企業間の秘密情報などです。
さまざまな企業が業務において日常的に活用しているメールですが、セキュリティ対策をおこなわなければ、情報漏洩や賠償等の金銭的な損失を引き起こし、企業の存続に大きな影響を与える可能性があります。
メールセキュリティ対策を実施することで、個人情報や機密情報の不正なアクセスや盗聴、改ざんなどから守ることができます。
マルウェアやスパムメールの防止
マルウェアやスパムメールは、添付ファイルやリンクを通じてPCやネットワークに侵入し、悪意のあるソフトウェアをインストールしたり、個人情報を盗んだりする可能性があります。
マルウェアに感染すると、業務や取引に関わるシステムやデータが破壊されるだけでなく、社内ネットワークに感染を広げるリスクもあります。
添付ファイルの制限、不審なメールの警告など、適切な対策を講じることで、悪意のあるメールのリスクを低減することができます。
法的コンプライアンスの確保
一部の業界や規制要件には、メールのセキュリティに関する特定の基準や要件が存在します。
たとえば、金融業界や医療業界では、個人情報保護や機密性の確保が法的に義務付けられています。
これらの規制要件に適合しない場合、企業は法的な処罰を受ける可能性があるだけでなく、顧客や取引先からの信頼を失いビジネスの存続の危機にも繋がります。
適切なメールセキュリティ対策を実施することで、個人情報の適切な取り扱いやデータの暗号化、データ保持期間の管理など、法的要件を満たすことができます。
法的リスクを最小限に抑え、ビジネスの安定性と信頼性を確保する上でもメールセキュリティ対策は重要です。
メールセキュリティ製品を選ぶ際のポイント
実際にメールセキュリティ製品を選ぶ際はどんなことに注意したらよいのでしょうか。
メールセキュリティ製品を選ぶときのポイントを3つご紹介します。
対策をおこなう種類・範囲は適切か
先に記載した通り、「メールフィルターの利用」「ウィルス対策ソフト」「メールの暗号化」「メールの無害化」「送信ドメイン認証の利用」などメールセキュリティ製品にはさまざまな種類があります。
「重要な部門のメールのみ暗号化したい」、「メール受信時のみのリスクを抑制したい」、「全てのメールに対して網羅的にセキュリティ対策をおこないたい」など企業のニーズやリスクに応じて、適切なメールセキュリティの種類や範囲を選択しましょう。
ただし、別のシステムと併用することで処理動作が重くなったり、不具合が起きたりすることもあるので、問題なく使えるかどうか確認するようにしましょう。
自社業務に支障をきたさないか
一部のメールセキュリティ製品は、高度なスキャンや暗号化処理をおこなうため、処理に時間がかかることがあります。
また、PCのリソースを消費することがあり、動作環境に影響が出てしまう製品もあります。
導入前にメールセキュリティ製品の導入によって、処理動作の重さやパソコンの動作環境への影響がないかなど、自社の業務に支障が出ないか確認をおこないましょう。
他システムと連携ができるか
メールセキュリティ製品を選ぶ際、自社で使用しているメールサーバとの連携がスムーズにおこなえるかどうかは重要なポイントです。
検討中のメールセキュリティ製品と連携できるかどうか、使用中のメールサーバの提供元に確認をおこないましょう。
ビジネスメールでよく利用されるOffice365やGoogle Appsなどと連携できるとより安全な通信につながります。
メール送信における人的リスク
ここまでメールセキュリティの重要性や目的、製品を選ぶときのポイントについてお伝えしてきました。
主にメール受信者側での対策をご紹介してきましたが、メールセキュリティにおけるリスクは受信時だけでなく送信時の人的要因によるものもあります。
ここからはメール送信時における人的リスクについて解説します。
メールの誤送信
メールの誤送信は最も起こるヒューマンエラーです。
単純なメールアドレスの入力ミスであり、誰にもメールが届かなければ、大きな問題には発展しません。
しかし、誤って入力したメールアドレスに届いてしまった場合、受け取った方に対して失礼にあたるだけでなく、メールの内容によっては情報漏洩やハッキングを受けるなどさまざまなリスクが伴うことが考えられます。
さらに、誤った添付ファイルを送信してしまうことで、社外秘の情報を流出させてしまう可能性もあります。
そのようなミスを回避するためには、クラウド型のメール誤送信防止サービスを利用すると効果的です。
メール誤送信防止サービスには送信メールの一時保管や、添付ファイルURL変換、送信時の第三者（上司など）確認といった機能が装備されています。
送信するメールの種類によって機能を使い分けることで、致命的なミスの発生を防ぐことができるでしょう。
CCとBCCの間違い
CCとBCCの間違いは、一斉送信メールを送る際におこりがちなミスです。
CCとBCCの最大の違いは、前者はメール受信者全員が受信対象者のアドレスを把握できるのに対し、後者はほかの受信者には表示されないという点です。
本来はBCCを使って配信する予定だったメールを、CCで送ってしまい情報が漏洩するケースもしばしば見受けられます。
このようなミスを防ぐためには、配信用のメーリングリストを作成したり、送信前にダブルチェックを行う体制を整えたりする必要があります。
また、人的リスクを抑えるためには、メール配信サービスを活用することも有効な対策の1つです。
メール配信のブラックリストに登録されてしまう
メール配信のブラックリストとは、迷惑メールやなりすましと判断されたメールのドメイン名、もしくはIPアドレスが登録される拒否リストのことです。
このリストは、DNSBL（Domain Name System Black List）と呼ばれ、多くのメールサービスによって共有されています。
メールが相手に届かない、もしくは開封されないようなメールを大量に配信し続けるとブラックリストに登録され、ある日突然メールが送信できなくなる可能性があります。
企業で顧客向けに、CCやBCCで大量のメール配信をしている場合は、エラーアドレスの適切な管理が必要です。
メール配信サービス「アララ メッセージ」のセキュリティ対策
先にご紹介した人的リスクを防ぎながら、安全に一斉メール配信を実施したい場合は、メール配信サービスの利用もおすすめです。
メール配信サービス「アララ メッセージ」は、改ざんやなりすまし等を防ぐため様々なセキュリティ機能が備わっています。
前述した送信ドメイン認証である「SPF」や「DKIM」。また、電子証明書を用いて送信者の身元を証明する「S/MIME」。通信を暗号化することで盗み見を防ぐ「TLS暗号化」などがあります。
どの機能も、お客様へ安全にメールを届けるために必要な機能であり、配信されるメールを守るだけでなく、「私たちは迷惑メール業者ではない」という証明にもなります。
アララ メッセージのセキュリティ対策は、導入企業様から評価をいただいており、自治体や銀行、証券会社などセキュリティ対策が厳しい企業様にもご利用いただいています。
もし、メールセキュリティに関して何かお悩みや疑問点などございましたら、お気軽にお問い合わせください。
まとめ
メールセキュリティ対策を進める際には、今回ご紹介したポイントを意識して、製品選定やルール策定をおこないましょう。
また、メール受信時のセキュリティ対策に加え、メール送信時のセキュリティ対策も大切です。
メルマガなどメールを一斉送信したい時には、人的ミスやなりすましメール扱いなどのリスクがあることも覚えておきましょう。
メール送信時のリスク軽減には、メール配信システムが有効です。
メール配信システム「アララ メッセージ」は1ヶ月からご利用いただけますので、メールセキュリティでお悩みの方は一度ご相談ください。
関連コラム
