メールセキュリティ

メールを取り巻く脅威

メールは業務コミュニケーションの中心であると同時に、サイバー攻撃の最大の入口です。フィッシング、マルウェア配布、なりすまし、誤送信による情報漏えいなど、メールに関連するリスクは多岐にわたります。ひとり情シスとして、メールセキュリティの強化は優先度の高い課題です。

送信ドメイン認証（SPF/DKIM/DMARC）

なりすましメールを防ぐための3つの技術を正しく設定しましょう。

技術	役割	仕組み
SPF	送信元IPの検証	DNSのTXTレコードに正規の送信サーバーIPを登録。受信側が照合
DKIM	改ざん検知	メールに電子署名を付与。受信側がDNSの公開鍵で署名を検証
DMARC	SPF/DKIMの統合ポリシー	認証失敗時の処理（隔離・拒否）を指定。レポート受信も可能

DMARC導入の手順

1. SPFレコードの設定：DNSにTXTレコードを追加（例：v=spf1 include:spf.protection.outlook.com -all）
2. DKIMの有効化：メールサービスでDKIM署名を有効にし、DNSにCNAMEレコードを追加
3. DMARCポリシーの設定：まずはp=none（監視のみ）で開始し、レポートを分析
4. ポリシーの段階的強化：問題がなければp=quarantine（隔離）→p=reject（拒否）へ引き上げ

2024年2月以降、GmailやYahoo!メールはSPF/DKIM/DMARC未設定のドメインからの大量送信メールを受け取らなくなりました。セキュリティだけでなくメール到達性の観点からも設定は必須です。

メールフィルタリング

受信メールの脅威を軽減するためのフィルタリング対策です。

• スパムフィルター：Microsoft 365のExchange Online ProtectionやGoogle Workspaceの標準機能を活用
• 添付ファイルのサンドボックス検査：不審な添付ファイルを仮想環境で実行して安全性を確認
• URLの書き換え・検査：メール内のリンクをクリック時にリアルタイムで安全性をチェック（Safe Links等）
• 実行可能ファイルのブロック：.exe、.js、.vbsなどの危険な拡張子の添付ファイルを拒否

誤送信防止対策

外部への情報漏えい原因の上位に位置する「メール誤送信」への対策も重要です。

• 送信保留機能：送信ボタン押下後に一定時間（30秒〜5分）の取り消し猶予を設定
• 外部送信時の警告：社外アドレスへの送信時にポップアップで確認
• オートコンプリートの注意喚起：宛先候補の自動補完で誤った相手を選ばないよう注意
• 添付ファイルの暗号化：機密情報を含むファイルはパスワードで保護（ただしPPAP方式は非推奨）

メール暗号化の現在

従来の「パスワード付きZIPを送り、別メールでパスワードを送る」PPAP方式は、セキュリティ上無意味として政府・多くの企業で廃止されています。代替手段として以下を検討しましょう。

• クラウドストレージ経由の共有：OneDriveやGoogle Driveの共有リンクを送付
• S/MIMEやPGP：メール自体を暗号化（導入のハードルは高い）
• Microsoft 365のメッセージ暗号化（OME）：受信者がMicrosoftアカウント不要で暗号化メールを閲覧可能