ITトレンドがおすすめする製品・サービス
- ■メールセキュリティの目的別
- マルウェア・フィッシング対策：Microsoft 365 with IIJ、使えるメールバスター、Acrive! zone SS、OneOfficeメールソリューション、Techvan Cloud App Security、MailDefender
- 不審メールの判定・従業員訓練：まるっとメールセキュリティ for Outlook、AironWorks:PhishDetectAI
- ビジネスメール詐欺対策：使えるメールバスター、OneOfficeメールソリューション、Techvan Cloud App Security
- 誤送信防止：まるっとメールセキュリティ for Outlook、Microsoft 365 with IIJ、OneOfficeメールソリューション、MailDefender
- なりすまし対策（送信ドメイン認証）：Valimail、DMARC/25Analyze
- メールアーカイブ：OneOfficeメールソリューション、MailDefender、SYNCDOTMailKeeper
受信メールの脅威から社員と端末を守る目的
メールセキュリティの目的として最初に挙げられるのが、外部から届く危険なメールから社員と端末を守ることです。受信メールを通じた脅威には、手口の異なる3つの種類があり、それぞれに対策が必要です。
マルウェア感染の防止
マルウェアとは、端末の情報を盗んだりファイルを暗号化したりする不正なプログラムです。メールの添付ファイルや本文のリンクから感染する場合があり、1台の感染が社内のネットワーク全体に広がるおそれもあります。
この目的のためには、添付ファイルをウイルス検査する機能や、隔離した環境で動かして挙動を確かめるサンドボックスが使われます。端末側のウイルス対策ソフトと組み合わせて、メールの入口と端末の両方で防ぐ考え方が基本です。メールの入口で止められなかった場合にも、端末側で検知できる可能性を残せるためです。
フィッシングによるアカウント乗っ取りの防止
フィッシングメールは、実在するサービスを装って偽のログイン画面に誘導し、IDやパスワードを入力させる手口です。業務で使うクラウドサービスのアカウントが盗まれると、社内の情報への不正アクセスにつながるおそれがあります。
対策としては、本文中のURLの安全性を検査する機能や、クリックした時点で接続先を確かめる機能があります。メールでの対策に加えて、ログイン時に複数の要素で本人を確認する多要素認証を組み合わせると、被害を抑えやすくなります。不審なメールを社員が報告できる窓口を設けておくことも有効です。
ビジネスメール詐欺による金銭被害の防止
ビジネスメール詐欺（BEC）は、取引先や経営者になりすまし、偽の口座への送金を求める詐欺です。添付ファイルやリンクを使わない文面だけのメールもあるため、マルウェア対策とは別の観点での対策が求められます。
送信元のドメインが本物か、表示名と実際のアドレスが一致しているかを確かめる機能が役立ちます。ただし、メールの対策だけで防ぎきれるとは限りません。振込先の変更依頼は電話で確認するなど、社内の確認手順もあわせて定めておきましょう。
メールセキュリティで送信時の情報漏えいを防ぐ
メールセキュリティには、外からの脅威を防ぐだけでなく、自社から送るメールによる情報漏えいを防ぐ目的もあります。送信側の対策は、うっかりミスへの備えと、情報の持ち出しへの備えに分けて考えます。
誤送信による情報漏えいの防止
宛先の選び間違いや添付ファイルの取り違えは、誰にでも起こりうるミスです。2022年4月に施行された改正個人情報保護法では、一定の要件にあたる漏えいが起きた場合、個人情報保護委員会に報告し、本人に通知することが義務となりました。
誤送信防止の機能には、送信前に宛先と添付ファイルの確認を促す機能や、一定時間送信を保留して取り消せるようにする機能があります。社外の宛先が含まれる場合だけ確認を求めるなど、業務の手間とのバランスを考えて設定しましょう。
参考：漏えい等報告・本人への通知の義務化について｜個人情報保護委員会
添付ファイルの安全な受け渡し
パスワード付きZIPファイルを送り、別のメールでパスワードを送る方法は、PPAPと呼ばれ見直しが進んでいます。同じ経路でパスワードを送るため盗み見への備えとして弱いことや、受信側のウイルス検査をすり抜けやすいことが理由です。
代わりの方法として、添付ファイルをメールから切り離し、ダウンロード用のリンクを送る仕組みがあります。ダウンロードの期限や回数を決められるか、誰がいつダウンロードしたかを確認できるかが、比べる際のポイントです。
なお、従来のパスワード付きZIPファイルによる送信機能を提供する製品もあるため、脱PPAPを進める場合は、添付ファイルのリンク共有やダウンロード制御への対応を確認しましょう。
内部からの情報持ち出しの抑止
情報漏えいは、ミスだけでなく、退職予定者などによる意図的な持ち出しによって起こるケースもあります。社外へ送るメールの内容や添付ファイルを、あらかじめ決めた条件で確認する仕組みが抑止につながります。
例えば、特定のキーワードを含むメールや、大きな添付ファイルを送る場合に上長の承認を求める設定があります。ルールを社員に周知しておくこと自体が抑止につながるため、運用ルールとあわせて導入を検討しましょう。業務に必要な送信まで止めてしまわないよう、条件は部署ごとに調整することが大切です。
自社ドメインの信用と取引先を守る目的
メールセキュリティの目的は、自社の中を守ることだけではありません。自社の名前をかたったメールや、自社のアカウントから送られる不正なメールによって、取引先や顧客に被害が及ぶのを防ぐことも重要な目的です。
なりすましメールから顧客を守る
攻撃者が自社のドメインを装ってメールを送ると、受け取った顧客や取引先がだまされ、自社の信用が損なわれるおそれがあります。これを防ぐのが、SPFやDKIM、DMARCといった送信ドメイン認証です。
DMARCを設定すると、自社のドメインを名乗るメールがどこから送られているかの報告を受け取れます。報告の内容は専門的なため、集計や分析を支援するサービスを利用する方法もあります。設定を厳しくする段階では、正規のメールが届かなくならないよう順を追って進めましょう。
自社が攻撃の踏み台になるのを防ぐ
社員のアカウントが乗っ取られたり、端末がマルウェアに感染したりすると、自社のアドレスから取引先へ不正なメールが送られる場合があります。受信者から見ると本物のアドレスのため、被害が広がりやすい点に注意が必要です。
送信メールの量の急な増加や、普段と異なる送信先への大量送信を検知できる仕組みがあると、早い段階で異常に気づけます。異常があった際に取引先へ注意を呼びかける手順も、あらかじめ決めておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でメールセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
メールの記録を残して説明責任を果たす目的
メールは、取引の記録や、社内で意思決定に至った経緯を残す手段でもあります。送受信したメールを適切に保存しておくことも、メールセキュリティの目的の一つです。保存した記録は、法令への対応や問題が起きた際の調査に使われます。
メールアーカイブによる保存
メールアーカイブとは、送受信したメールを一定期間保存し、必要に応じて検索・確認できるようにする仕組みです。製品によっては、改ざん防止やアクセス制御にも対応し、社員がメールを削除した場合でも記録を確認できます。
電子帳簿保存法では、メールに添付して受け取った請求書などの電子取引データを、電子のまま保存することが求められています。ただし、メールアーカイブの導入だけで保存要件を満たせるとは限りません。改ざん防止措置や検索機能などの要件を、国税庁の公式情報とあわせて確認しましょう。
参考：電子取引関係｜国税庁
問題が起きたときの調査への備え
誤送信やマルウェア感染が起きた場合、いつ、誰が、どのメールを送受信したかを調べる必要があります。メールのログや保存した記録があれば、被害の範囲を特定し、関係者への説明や再発防止策の検討に役立てられます。
ログをどのくらいの期間保存できるか、必要な情報を検索して取り出せるかは、製品によって異なります。調査を外部の専門家に依頼する場合を考え、ログを出力できる形式も確認しておくと安心です。
自社のメールセキュリティの目的を決める進め方
すべての目的に一度に対応しようとすると、費用や運用の負担が大きくなる場合があります。自社にとって優先度の高い目的を決めてから、必要な対策を選ぶ進め方を紹介します。
業務とヒヤリハットの洗い出し
まず、自社でメールをどのような業務に使っているかを整理します。顧客の個人情報をやり取りする部署、取引先への請求や支払いを扱う部署など、部署ごとに想定されるリスクを書き出しましょう。
あわせて、過去に起きた誤送信や不審なメールの受信といったヒヤリハットを集めます。実際に起きかけた事例は、優先して対応すべき目的を決める材料です。利用中のメールサービスにすでに備わっている対策も確認しておきます。
目的ごとに達成度を確かめる方法
対策を導入した後は、目的を達成できているかを確かめることが大切です。例えば、隔離された不審なメールの件数や、誤送信防止機能で送信が取り消された件数は、製品のレポートやログで確認できる場合があります。
DMARCの報告では、自社ドメインを名乗る不正な送信の有無を確認できます。数字を定期的に見直し、目的に対して不足している対策がないかを検討しましょう。確認の方法は、導入前にベンダーへ問い合わせておくと進めやすくなります。
目的別に確認したいメールセキュリティの特徴一覧
受信メールの脅威対策、誤送信防止、なりすまし対策、メールの保管といった目的ごとに、検討しやすい製品の特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| まるっとメールセキュリティ for Outlook | Outlook向け。送信前の宛先・本文チェックや添付ファイルの自動暗号化、受信時の不審メール警告に対応 |
| Microsoft 365 with IIJ | Microsoft 365のメール対策を強化。多層フィルタリングと送信メールの一時保留・取り消しに対応 |
| 使えるメールバスター | 迷惑メールやウイルス、フィッシング、BECなどをメールサーバへの到達前に検知・遮断する完全クラウド型 |
| Acrive! zone SS | 添付ファイルの分離・マクロ除去・プレビュー機能で標的型メール攻撃に対策。送信元の国旗表示にも対応 |
| AironWorks:PhishDetectAI | AIによる不審メールの危険度判定と報告管理に対応。標的型メール訓練や従業員教育も支援 |
| OneOfficeメールソリューション | BEC対策やクラウドサンドボックス、誤送信防止、メールアーカイブなどを選んで組み合わせられる |
| Techvan Cloud App Security | クラウドメールとAPI連携。サンドボックスや不正URL対策、AIによるなりすまし判別に対応 |
| MailDefender | 標的型攻撃対策、誤送信防止、メールアーカイブを提供。既存のメール環境に追加できる統合型 |
| Valimail | DMARC・DKIM・SPFの運用を自動化。送信サービスの可視化やドメインのなりすまし対策を支援 |
| SYNCDOTMailKeeper | 送受信メールを複製・保存。添付ファイルを含む全文検索や追跡調査、メールの復元に対応 |
| DMARC/25Analyze | SPF・DKIM・DMARCの設定・解析を支援。送信ドメインのなりすまし検知と運用管理に対応 |
守りたいものから探すメールセキュリティ製品
受信メールの脅威対策や誤送信防止、なりすまし対策、メールの保管など、守りたい対象や対策の目的が異なる製品を紹介します。自社の優先課題にあわせて比較してみましょう。
まるっとメールセキュリティ for Outlook
- チェック機能とガード機能の両方を備えたシンプルで頼もしい設計
- 必要な機能だけを絞り込んだことでリーズナブルな価格を実現
- 社外への送信時は暗号化やパスワード自動生成機能等で誤送信防止
株式会社トインクスが提供する「まるっとメールセキュリティ for Outlook」は、メールの誤送信防止と標的型攻撃メールへの注意喚起を備えたOutlook向けのサービスです。送信前に宛先や本文の確認画面を表示し、社外宛ての添付ファイルを自動でZIP形式に暗号化できます。パスワードの自動生成や別メールでの送信にも対応。受信時には標的型攻撃メールの特徴を検知して警告を表示します。攻撃そのものをブロックする機能ではなく、利用者の気づきを促す仕組みです。日常的な送受信時のヒューマンエラー対策を重視する企業に適しています。
Microsoft 365 with IIJ
- 料金そのままでMicrosoft 365のメールセキュリティを強化
- うっかりミスによる誤送信はメール取り消し機能で対策
- Microsoft 365 障害発生時もメール送受信を継続
株式会社インターネットイニシアティブが提供する「Microsoft 365 with IIJ」は、Microsoft 365の料金を変えずにメールセキュリティを強化できるクラウドサービスです。IIJ独自の多層フィルタリングにより、なりすましメールや迷惑メール、ランサムウェア、標的型攻撃などの脅威に備えます。また、送信メールを一定時間保留し、宛先の再確認や送信取り消しを行えるため、誤送信防止にも役立ちます。Microsoft 365の障害時にもメールの送受信を継続できるオプションを提供。対象は従業員250名未満の企業です。
使えるメールバスター
- かんたん設定でメールセキュリティ向上
- フィッシング・ビジネスメール詐欺・ウイルス攻撃に効果的
- Office365等の主要メールサービスにも対応
使えるねっと株式会社が提供する「使えるメールバスター」は、スパムやウイルス、フィッシング、ランサムウェアなどをメールサーバへの到達前に検知・遮断する完全クラウド型のサービスです。独自の学習型AI技術によるフィルタリングで、標的型攻撃メールやビジネスメール詐欺（BEC）にも対応します。受信フィルタに加え、自社のメールサーバから迷惑メールが不正に配信されるのを防ぐ送信フィルタも提供。ソフトウェアのインストールが不要で、DNSのMXレコードを変更して導入できます。受信メールの脅威対策を中心に強化したい企業に適しています。
Acrive! zone SS
- Emotet（エモテット）に効果を発揮！検知・ブロック実績も多数！
- Microsoft 365/Google Workspaceと連携する標的型メール攻撃対策
- 感染拡大するマルウェア対策！すぐに始められるクラウドサービス
株式会社クオリティアが提供する「Acrive! zone SS」は、添付ファイルを介したマルウェア感染などに備えるクラウド型の標的型メール攻撃対策サービスです。受信した添付ファイルをメールから分離し、ブラウザ上でプレビューできます。内容を確認したうえで、マクロ除去やPDF化などの方法を選んでダウンロード可能です。送信元や配送経路の国を国旗で表示する機能も備え、利用者が不審なメールに気づく手がかりを提供します。Microsoft 365やGoogle Workspaceとの連携にも対応し、添付ファイルの安全な取り扱いを重視する企業に向いています。
AironWorks:PhishDetectAI
- 従業員一人ひとりのAIアシスタントが メール危険度を判断
- ワンクリックで メールの危険性を判定
- メール・SNS・SMSなど、さまざまな攻撃ベクトルで訓練を実施
AironWorks株式会社が提供する「AironWorks:PhishDetectAI」は、AIを活用したサイバーセキュリティ訓練・教育・メール防御サービスです。従業員の手元に届いた不審なメールをスキャンし、危険度を判定します。報告された不審メールはダッシュボードで一元管理でき、CSIRTの確認作業や対応の効率化にも役立ちます。また、AIによる攻撃メールの自動生成や、企業ごとの脅威にあわせた訓練・教育プログラムを提供。フィッシング対策を技術面だけでなく、従業員の判断力や報告体制の強化から進めたい企業に適しています。
OneOfficeメールソリューション
- 最新の脅威から会社を守る！アンチスパム・ウイルス対策
- 選べる機能でメールセキュリティを万全に
- お使いのメールサーバはそのままにゲートウェイ型でも利用可能！
株式会社TOKAIコミュニケーションズが提供する「OneOfficeメールソリューション」は、受信メールの脅威対策から送信時の情報漏えい対策、メールの保管まで、必要な機能を組み合わせられるクラウド型サービスです。ビジネスメール詐欺を含むソーシャルエンジニアリング攻撃対策や、未知の脅威を解析するクラウドサンドボックスに対応します。また、誤送信防止や添付ファイルの暗号化、メールアーカイブなども選択可能です。Microsoft 365などの外部メールサービスとの連携にも対応しており、複数のセキュリティ課題をまとめて解決したい企業に向いています。
Techvan Cloud App Security （テクバン株式会社）
- 1か月の無料トライアルで自社のクラウド環境に潜む危険がわかる
- クラウドメールを保護し巧妙化するメール攻撃から情報資産を守る
- 未知の脅威を仮想OSで解析できるクラウドサンドボックス
MailDefender （株式会社CYLLENGE）
- 標的型攻撃対策に必要な機能を網羅し、未知のウイルスにも対応。
- 誤送信・情報漏洩を防止しセキュアなメール送信環境を提供
- 送受信メールを保管し、高速検索と不正メール監視が可能。
Valimail （Valimail）
- DMARC/DKIM/SPFを自動化、認証導入を最大4倍速く実現。
- 多数の送信サービスを自動識別・可視化。
- BIMI対応で信頼性と開封率向上
SYNCDOTMailKeeper （富士通株式会社）
- 堅牢なメールアーカイブ機能で誤送信・不正を抑止。
- 添付ファイルも含め全文検索で即座に追跡・復元。
- 既存システムへ容易に導入可能。
DMARC/25Analyze （株式会社TwoFive）
- SPF/DKIM/DMARCの自動設定と解析機能
- 偽装メール検知：送信元IPアドレスレピュテーションチェック
- ドメインなりすまし・偽装をリアルタイムで検知
まとめ
メールセキュリティの目的は4つに整理できます。受信メールの脅威から社員と端末を守ること、送信メールからの情報漏えいを防ぐこと、自社ドメインの信用と取引先を守ること、メールの記録を残すことです。
目的によって必要な対策は異なるため、業務とヒヤリハットを洗い出し、優先する目的を決めることが大切です。目的にあう機能を備えたメールセキュリティを比べるために、資料請求を活用してみてください。
