メールセキュリティの重要性と対策

メールセキュリティの重要性と対策

執筆：CISO事業部　野田 崚太
監修：CISO事業部　吉田 卓史

Microsoft TeamsやSlackなどのコミュニケーションツールが一般的になった現在においてもメールはビジネスにおいて重要な存在です。特に取引先等、社外のやり取りではメールを利用することが多いのではないでしょうか？
長きにわたりビジネスのコミュニケーション手段として用いられてきたメールですが利用者の数に比例し攻撃者からの的にされやすいツールでもあります。今回、そんなメールに関わるセキュリティの重要性と問題・課題についてお伝えしたいと思います。

１．メールセキュリティの重要性

アクロニス社が発表した「サイバー脅威レポート2024年上半期版」によると、メールによる攻撃件数は昨年同期比293%と大幅に上昇しているという結果が出ています。[1]

また、件数の増加だけでなくメール攻撃は日々進化していることも非常に深刻な問題です。AIを活用し文章作成の精度が上昇した結果、メールの文章からそのメールが本物かどうかを判断しづらくなっている他、攻撃により取得したデータを利用し実際にやり取りのある連絡先を装ったメールを送信するなど、ユーザによる判断が難しくなっています。
そのため、メールセキュリティの対策としては従業員への教育だけでは対応しきれないのが現状です。
ユーザにメールやファイルの開封、URLへのアクセスの判断を委ねるのではなく、危険なメールや怪しいメールがユーザに届かないようにすることが非常に重要になります。
もちろん、セキュリティを考えるうえで100%安全というものはありませんので、危険なメールがユーザに届いてしまった際の対策も必要です。

図1 不審メールのイメージ

２．メールセキュリティ対策

メールセキュリティの対策としてはいくつかありますが、ここでは特に以下の二点についてお伝えしたいと思います。

①攻撃者からのメールがユーザに届かないようにすること
②万が一届いた場合でもマルウェアのインストール等の攻撃が実行されないようにすること

①はメールの送信者や件名、添付ファイルの有無など、内容によってメールを削除するメールフィルタリング製品や、実際に添付されたファイルやURLへのアクセスを仮想マシンに実行させ、その挙動から危険なものか否かを判断するメールサンドボックス製品の導入が一般的です。
②の対策はExcelファイル等の添付ファイルを受信した際にファイルを修正しマクロを除去したり、URLリンクを削除しユーザがクリックをするだけではアクセスできないようにしたりするメール無害化製品の導入が好ましいです。
また、これらの対策はどれか単一の製品ではなく、複数の製品を組み合わせることが重要です。

図2 複数の製品を使用した多段防御の例

上記のほか、情報セキュリティの7要素とは従来のセキュリティ3要素（機密性・完全性・可用性）に加え真正性・信頼性・責任追跡性・否認防止の4つの要素を加えたものです。[2]

以下は情報セキュリティの7要素への対策の一例です。

情報セキュリティ7要素への対策の一例

これらは先述のメールセキュリティ製品の導入のほか、メールサーバ・メーラソフトの設定や認証設定を見直すことで対応が可能です。

３．まとめ

このようにメールセキュリティ対策といっても複数の観点から対策を考える必要があり、その対策により複数の製品の導入が必要になります。
これはメールに限った話ではありませんが、既存システムのセキュリティを高める際は業務への影響が大きいためセキュリティ製品の導入や構成変更に二の足を踏む企業も多くあります。}
"1分以内に届いていたメールがスキャンにより到達まで5分かかるようになった"、"一斉送信したメールがBCC化されるために宛名に送信先の名前を記載しなくてはいけなくなった"、などユーザの立場からは不便になっただけに感じられるため導入後の運用においても大きな負担となります。
しかし攻撃によりマルウェア感染等の被害に遭ってしまった場合、それ以上の損害が発生してしまいます。
そのため、セキュリティと利便性を天秤にかけ組織ごとに判断する必要があります。

【プロフィール】

野田 崚太（のだ りょうた）

官公庁向けSOCの運用管理を中心にシステム導入、サーバ・ネットワークの運用保守などを幅広く経験。経験を生かした運用管理者視点でのセキュリティ対策の設計・提案を得意とする。2024年にアイディルートコンサルティング株式会社に入社し新サービス立ち上げプロジェクトに携わっている。

監修：吉田 卓史（よしだ たくし）

20年間にわたり、一貫してサイバーセキュリティーに携わる。ガバナンス構築支援からセキュリティ監査、ソリューション導入等、上流から下流まで幅広い経験を有する。また、複数の企業において、セキュリティのコンサルティングチーム立ち上げを0から担い、数億円の売上規模にまで成長させる。IDRにおいても、セキュリティコンサルティングチームの立ち上げを担い、急速なチーム組成、案件受注拡大を行っている。

【参考文献】 

[1]：Acronis International GmbH.2024. "Acronis H1 2024 Cyberthreats Report Highlights a 293% Surge in Email Attacks" Acronis, July 30, 2024.
https://www.acronis.com/en-sg/pr/2024/acronis-h1-2024-cyberthreats-report-highlights-a-293-surge-in-email-attacks/

[2]：Digital Arts Inc. "情報セキュリティ7要素と"理想のファイルセキュリティ"とは" , January 24, 2024. 
https://www.finalcode.com/jp/news/blog/2024/012401/