1|2従来のメールセキュリティはじめに、従来のメールセキュリティについて見てみましょう。2012年前後までは、メールのセキュリティに関するリスクは、大きく分類して以下の3種類が大部分を占めていました(もちろん、現在でもこれらのリスクがなくなったわけではありません)。(ア)スパムやウイルスメール(イ)誤送信(ウ)悪意のないデータ持ち出しこれらによって、以下のような事態が発生する可能性があります。「メール経由でのウイルス感染」や「大量のスパムメール送受信」により、社内もしくは関係企業などに被害を与えてしまう「社外秘の内容を顧客に送ってしまった」「見積書を別の会社に送ってしまった」など、メールの誤送信により情報が外部に漏えいしてしまう業務で作成している文書を自宅のPCに送って作業を行った結果、情報が漏えいしてしまう(いわゆる「シャドーIT」のリスク)退職者がメールシステムを利用でき、情報にアクセスできてしまうこれらのリスクに対する運用上の対策では、「利便性を極力犠牲にしない」「コストを掛け過ぎずにミスを減らす」「効率的で必要最低限の出口対策を行う」の3つを考慮することが大切です。以下に、具体的な対策とその実現のためのポイントをまとめます。メール利用ルールを作成し、徹底する特に「社外宛てメール」については必ず宛先を再確認するようにするメール運用ルールを作成し、徹底する特に「アカウント管理」については退職者のアカウントの速やかな削除と定期的な棚卸しを行うメールの通過経路上でウイルスチェックを行うPCにウイルス対策ソフトを導入している場合にも、社外との送受信については別途ウイルスチェックの仕組みを実装する社外宛てメールによる情報漏えい防止策として、監査ツールやカスタマイズにより、メール利用ルールをシステム的に実装する例えば、以下のようなチェックを行い、メールを「停止/保留/通知」するようにする。メール本文や添付ファイル内の文言チェック宛先の数や種類(社内社外など)のチェック添付ファイルの種類や大きさのチェック、自動暗号化(大量の情報漏えいを抑止)メールの一時保留(誤送信防止や上長確認)インシデント発生時に調査できるように、「メール送受信ログ」や「送受信したメールの本体」を長期保管し、後から検索できるような運用機能を実装する対策の実現に当たっては、以下のような順序で作業を進めていきましょう。これらはメールセキュリティ対策の基本となりますので、それぞれの組織に適した方法で運用し、定期的に改善を繰り返していきましょう。近年のメールセキュリティ次に、近年のメールセキュリティについて解説します。最近は、外部からの悪意のあるサイバー攻撃が大きな問題になっています。攻撃には大きく「アプリケーションなどの脆弱(ぜいじゃく)性を狙ったWeb経由の侵入」と「メールによる侵入」の2種類がありますが、メールに関して特に注意が必要なのは、「標的型メール攻撃によるマルウェア感染」です。そこで、以下の4点を前述の「従来の対策」に加えることで、リスクを最低限に抑えます。これらはメールに限らず、情報漏えい全般を防止する上で効果があります。利用者への注意喚起と、セキュリティ意識を維持するための啓発活動を継続的に行う「知らない送信者や“フリーメール”からのメール、不自然な日本語のメールに注意すること」「添付ファイルやURLリンクを不用意に開かないこと」といった継続的な注意喚起、メール訓練を繰り返すことで、ユーザーのセキュリティ意識を維持するようにしますフォルダには必要最低限のアクセス権限を設定する重要な情報資産を扱う共有フォルダは、アクセスできる利用者や操作権限を必要最低限に設定し、マルウェアの攻撃範囲を最低限に抑えます。その上で、重要な情報資産が正しい場所に保管され、適切な権限設定となるよう管理します。重要な情報資産のファイルは、暗号化やアクセス制御により、万が一情報が外部に漏れた場合でも、簡単には利用できないようにします。Management)」「次世代/L7ファイアウォール」「IDS/IPS」などによる通信制御やログの収集を行い、さらに情報の重要度合いに合わせて、エンドポイントでの対策ツールや、前述したファイル暗号化などを組み合わせ、多層防御で備えます標的型攻撃は、どれだけ運用担当者が努力をしても、利用者が十分に気を付けても、100%の防御はできませんので、「侵入を前提とした対策」が必要になります。「侵入されても早期に気付ける仕組みを作る」「万が一情報資産が流出しても、被害を最低限に抑える」という考え方で、追加の対策を施しましょう。以上、本稿では社内のメールシステムに関するセキュリティ対策のポイントを解説しました。情報セキュリティをめぐる状況は日々変化しており、今日まで有効だった対策も、明日には通じなくなってしまう可能性があります。従って、運用部門の担当者は、常に最新の知識を集め、トレンドに合わせた準備を行い、臨機応変に対応することが求められます。実際に発生するインシデントは社内の人間に起因するものが多いのが実情です。セキュリティ対策においては、「従来のメールセキュリティ」の部分で紹介したように、「利用ルール」「運用ルール」などを作成し、できる限りシンプルに、継続的に改善を繰り返すことが大切です。次回は、「企業のITインフラの運用とセキュリティ」について解説します。システム株式会社(現株式会社ラック)で、プロジェクトマネジャーとして、主に、コミュニケーション基盤の提案/構築/維持運用を担当。2015年からは、新サービスの企画を行う部門にて、IoTやFinTech領域で日夜格闘中。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。