企業のビジネスメール環境のシェアは、Microsoftが6割以上のシェアを占めるなどメールシステムにクラウドサービスを利用する企業が増えています。それに伴い、メールセキュリティのクラウドサービスが導入されます。クラウド型メールセキュリティは、常に最新のセキュリティ機能を使え、運用管理の手間がかからないといったメリットを期待できます。しかし、実際に提供されている機能やサービスの内容は、ベンダーによって異なります。この記事では、メールセキュリティの選定に欠かせない8つの比較ポイントを徹底解説します。
CMSS – Cloud Mail SECURITYSUITEについて詳しく見る
メールセキュリティとは
メールセキュリティとはサイバー攻撃や不正メール、誤送信を防止し、安全にメールを利用するための対策です。一般的に、対策用に作られたメールセキュリティ製品を用います。近年、メールによるサイバー攻撃が増加しているため、多くの企業が重要なデータを守るためにメールセキュリティ製品を導入しています。
企業がメールセキュリティを導入する目的・効果
より具体的に、企業がメールセキュリティを導入する主な3つの目的について解説します。
迷惑メール（スパム）を受信しないようにするため
1つ目は、迷惑メールを受信しないようにするためです。迷惑メールには一方的に送り付けられるスパムメールや、送信元を偽ってメールを送りユーザーIDやパスワードなどの情報を抜き取ろうとするフィッシングメールなどがあります。
これら企業にとってリスクのあるメールを受信しないためにも、送信ドメインの認証を設定し問題のあるメールは受信しないよう対策します。
機密情報や金銭を流出させないため
2つ目は、個人情報や金銭を流出させないためです。2023年に発生した個人情報事故は175件で、そのうちの半数以上がウイルス感染や不正アクセスが原因でした。サーバーが不正アクセスを受けると、顧客や従業員の名前やメールアドレスなどの大量の個人情報が流出するおそれがあります。メールセキュリティにより、個人情報や金銭の流出を防ぐ効果が期待できます。
メールの誤送信を防止するため
3つ目は、メールの誤送信を防止するためです。企業間のメールのやり取りにおいては機密情報や個人情報を多く取り扱うため、メールの誤送信は大きな問題を引き起こす可能性があります。
メールセキュリティを導入すると送信ボタンを押したあとにメールを一時保留するという手順を挟むため、改めて宛先や添付ファイルの再確認を行います。ヒューマンエラーによるメールの誤送信や添付ファイルの誤りなどを未然に防ぐうえで効果的です。
メールセキュリティ対策の種類と主な機能
メールセキュリティ対策には4つの種類があります。種類とそれぞれの機能について解説します。
クラウド型
クラウド型のメールセキュリティは、インターネット上で利用可能です。メールの送受信時に一度、ASPを通る仕組みとなっています。ASPとは、インターネット上にあるソフトウェアの実行プログラムデータへとインターネット回線を通じてアクセスし、ソフトウェアを利用する仕組みです。
メールサーバーを自社で準備する必要がないため、事前の手間を省けます。そのため、多額の費用をかけず、容易にセキュリティ対策が可能です。
ゲートウェイ型
ゲートウェイ型のメールセキュリティでは、メールサーバーのゲートウェイにおいてメールをチェックします。ネットワーク同士の中継を実施するゲートウェイでメールをチェックすることで、悪意のあるメールやなりすましメールを見分けてブロックします。
ゲートウェイ型はメールサーバー周辺に専用機器を取り付けて利用するものであるため、メールサーバーを利用しているオフィスにおすすめです。
エンドポイント型・オンプレミス型（ソフトウェア型）
エンドポイント型・オンプレミス型（ソフトウェア型）のメールセキュリティは、利用しているパソコンやタブレットなど端末それぞれに、直接セキュリティソフトをインストールして運用する方法です。サーバの知識がなくても利用できる点や、ソフト自体は比較的低コストである点がメリットです
メールセキュリティの主な機能
メールセキュリティ製品には、外部からの脅威対策や内部統制まで、複数の機能が搭載されています。それぞれの機能や役割について解説します。
スパムメールフィルタリング機能
スパムメールフィルタリング機能は、迷惑メールや広告メールを自動で振り分け、受信ボックスへの到達を防ぐ機能です。あわせてフィッシング対策も備え、偽装されたメールや不審なURLを検知してユーザに警告することで、外部からの脅威を未然に防ぎます。
ウイルス・マルウェア検知機能
ウイルス・マルウェア検知機能は、メール本文や添付ファイルに含まれるウイルス・マルウェアを検知し、隔離する機能です。HTMLメールのプレーンテキスト変換やURLリンクの無害化、添付ファイルの破棄・無害化などにより、安全な状態でメールを受信できるようにします。
ログ管理・メール監査機能
ログ管理・メール監査機能は、メールの送受信履歴を記録し、可視化する機能です。誰がいつ、どのようなメールを送受信したかを確認できるため、内部統制やコンプライアンス対応に役立ちます。不審な操作の早期発見や、インシデント発生時の原因調査にも活用できます。
送信制限設定機能
送信制限設定機能は、社外へのメール送信を条件付きで制限する機能です。宛先や添付ファイルの有無、部署や個人の権限に応じて送信を制御することで、意図しない情報漏洩や機密情報の外部流出を防ぎます。たとえば、機密情報を含むメールの外部送信を自動的に制限する運用も可能です。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードメールセキュリティの脅威
サイバー攻撃の脅威の9割はメール経由で侵入します。
ランサムウェアやEmotet（エモテット）などのマルウェアの侵入と感染により、システム停止、バックドアの設置、外部へのデータの自動送信、業務停止などの被害が発生します。また、メールによる情報漏洩は、内部からの誤送信によるものと、ウイルス感染や不正アクセスによるものに分類されます。毎年、被害件数が増加傾向にあります。
メールセキュリティの脅威（外部からの脅威）
標的型攻撃やフィッシングメールに注意
実在する組織や人物になりすましたメールや、業務や取引を装ったメールの添付ファイルにマルウェアが潜んでおり、それを実行したことによって感染します。
- ビジネスメール詐欺（BEC）
- 標的型攻撃メール
- フィッシングメール
添付ファイル経由のウイルス感染とスパムメールのリスク
HTMLメールの読み込み時に悪意のあるスクリプトが自動実行、メールに記載されているリンク先URLからのマルウェアの侵入など、様々な手段で脅威が侵入します。
- スパムメール、迷惑メール
- トロイの木馬、ランサムウェア、ワームなどのマルウェア
- PPAPメール（ZIPパスワードで暗号化されたメール
関連記事
マルウェアとは？種類、脅威や影響、必要な対策をわかりやすく解説
DMARCとは？ なりすましメールからお客様、取引先、従業員を守るために
メールセキュリティの脅威（内部からのリスク）
メール送信時のヒューマンエラーという課題
慌ててメールを送信したことにより、メールの送信先を誤ってしまうケースや、メールに添付するファイルを誤ってしまうケースなど、些細なミスによるメールの誤送信が後を絶ちません。
- メール送信先の誤送信
- 誤った添付ファイルの誤送信
マルウェア感染や内部不正による情報流出
マルウェア感染により、メールへのファイル添付で個人情報や機密情報が自動送信されるケースもあります。
- マルウェア感染によるファイルの自動送信
- 意図的な情報漏洩
関連記事
メールによる情報漏洩の原因は誤送信とマルウェア感染だった！必要な対策を解説
ビジネスパーソンの6割が経験するメール誤送信：効果的な対策とサービスの選び方ポイント！
情報漏洩とは？原因やリスクと企業が取るべき対策をわかりやすく解説
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードメールセキュリティの選び方・比較ポイント５選
多様化するメールの脅威に対応するために、メールセキュリティを比較するうえで特に重視すべき8つのポイントを紹介します。製品やサービスの選定にお役立てください。
1. 多層防御に対応
多層防御とは、サイバー攻撃を受けることを前提に複数の防御階層（レイヤー）を築くセキュリティ対策です。1つの階層の対策が破られても、次の階層の対策で攻撃を阻止し、検知した攻撃へ迅速に対応します。メールセキュリティは、多層防御の「入口対策」と「出口対策」に有効です。
メールセキュリティの比較では、外部からの脅威の侵入を防御する「入口対策」と外部への情報流出を防ぐ「出口」対策を実現できるか確認します。
関連記事
多層防御とは？巧妙化するサイバー攻撃手法を踏まえた3重の鉄壁、その技術的対策
SASEとゼロトラストとの違いや、クラウド時代に必要なセキュリティモデルの考え方とは?
ゼロトラストが注目される背景と、導入時に検討すべきこととは？
2. 多重防御に対応
「多重防御」は、ひとつの防御階層（レイヤー）に、複数のセキュリティ対策を配備することで、多様化するセキュリティの脅威へ確実に対応します。
メールセキュリティの「入口対策」では、次のメールセキュリティの多重防御ができるか確認します。
- スパムメール対策
- ビジネスメール詐欺（BEC）対策
- なりすましメール対策
- PPAP受信メールの脅威検知
- 複数のエンジンでマルウェア対策
- メール文中のURLフィルタリング
- サンドボックスでの未知の脅威検知
メールセキュリティの「出口対策」では、次の多重防御を実現できるか、確認します。
- メール誤送信防止
- メール情報漏洩防止
- 送信
- 情報漏洩対策、DLP（データ損失防止）、などを用いることで、メール経由での情報漏洩を防止します。
3. Microsoft 365 メールセキュリティを補完・強化
Microsoft 365は、企業メール環境のシェアの6割を占めています（出所：「企業のメールセキュリティへの取り組みに関するアンケート調査」2024年1月、サイバーソリューションズ）。Microsoft 365のメールセキュリティには、Exchange Online Protection（EOP）が付随しています。メールセキュリティの多重防御の視点では、EOPでは、必要な対策が不足しています。Microsoft 365のメールセキュリティで多重防御を行うには、Defender for Office 365 の追加契約が必要です。しかし、受信時のPPAP対策、メール送信時の脱PPAP、自己承認や上長承認の機能が不足します。
これらの、Microsoft 365で不足する機能を補完できるメールセキュリティ機能を有していることを確認します。
関連記事
Exchange Online Protection とは？
Microsoft 365の値上げや相次ぐSaaSライセンスの価格変動にどう対応するか
4. 脱PPAPの実現
PPAP（ピーピーエーピー）は、メールでファイルを送信する際に、パスワード付きzipファイルを送信した後に、別のメールでパスワードを送る方法のことです。セキュリティ対策として十分ではないどころか、ウイルスやマルウェアの危険性を助長する誤った対策です。
一方で、送信先の組織には、それぞれのポリシーやルールに合わせた現実的な方法として、以下の方法を選択できることを確認します。
- ファイルをそのまま添付して送る
- 添付ファイルをzip圧縮して、解凍パスワードを別送する（PPAP）
- クラウドサーバやストレージにアップロードし、URLを送る
- クラウドサーバやストレージにアップロードし、クラウド上でウイルス検知をおこない、安全を確認しURLを送り、パスワードは別経路で送る
関連記事
脱PPAPとは？PPAPに潜む課題と廃止の背景や対策方法まで解説！
5. 国内サポート
サービスへの問い合わせやトラブル対応のときにはサポートの品質や対応速度が重要です。海外ベンダーの製品やサービスの場合、国内販売代理店を経由し海外の拠点での対応になるため時差の関係で回答に時間がかかることがあります。「日本語での問い合わせできる」、「迅速に的確な回答をえられるか」などを事前に確認します。
6. 自社の運用体制に合った導入形態
メールセキュリティの導入形態には、クラウド型・ゲートウェイ型・エンドポイント型があります。クラウド型は自社でサーバーを用意せず短期間で運用でき、運用の手間もかかりません。ゲートウェイ型は保護対象の端末数が多い企業に、エンドポイント型は専任担当者がいない少人数体制の企業に適しています。
7. コスト（費用面）
メールセキュリティのコストは、ID単位またはドメイン単位の月額・年額課金が一般的です。ID単位では1IDあたり月額数百円程度が相場で、ドメイン単位は契約アカウント数が多いほど単価が割安になる傾向があります。初期費用の有無は製品によって異なるため、総コストで比較することが重要です。
8. 動作環境
メールセキュリティ製品を選ぶ際は、対応OSの動作環境の確認が必要です。Windows・Macだけでなく、Linuxやモバイル端末（Android・iOS）に対応しているかも確認することで、社内で利用するさまざまなデバイスに一貫したセキュリティ対策を適用できます。また、動作が重くなりすぎないかも事前の確認が必要です。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロードおすすめのメールセキュリティの３選
メールセキュリティの5つの比較ポイントを兼ね備えたおすすめのメールセキュリティを3つ紹介します。
Micrososft 365 対応の多重メールセキュリティ｜Cloud Mail SECURITYSUITE
Cloud Mail SECURITYSUITE（CMSS）は、Microsoft 365のメールセキュリティを補完できます。サービス料金は、月額200円からとリーズナブルです。全ての受信メールをチェックし、DMARCによるなりすましメールの受信防止、ビジネスメール詐欺やフィッシングメールの受信防止、ウイルス、マルウェア対策、迷惑メール対策、サンドボックス、受信時のPPAP対策も提供します。また、メール送信時には、セルフチェック、上長チェック、添付ファイルチェック、送信時の脱PPAPを提供します。サービスの詳細は、Cloud Mail SECURITYSUITE（CMSS）をご覧ください。
既存のメールシステムに対応する多重メールセキュリティ｜MAILGATES Σ
MAILGATE Σ（メールゲーツ シグマ）は、オンプレミス製品とMicrosoft365に対応できるクラウドメールセキュリティサービスです。CMSSと同様にメールセキュリティの比較ポイントを全て兼ね備えています。現在ご利用中のメール環境のままで、お客様が抱えているセキュリティ問題も解決できます。詳しくは、エモテット対策やパスワード管理等の総合メールセキュリティサービス MAIL GATES Σ をご覧ください。
10万ID規模でも安定稼働の実績を持つ多重メールセキュリティ｜MailGates
MAILGATE（メールゲーツ）は、オンプレミス製品とクラウドメールのセキュリティ
に対応したオンプレミス型のメールセキュリティ製品です。10万ID規模でも安定稼働の実績を持つ多重メールセキュリティ製品です。日本企業独自のセキュリティニーズに柔軟に対応します。詳しくは、日本企業独自のセキュリティニーズを解決するメールゲーツ をご覧ください。
メールもTeamsも長期保管・監査できるメールアーカイブ｜ENTERPRISEAUDIT Σ
ENTERPRISEAUDIT Σ（エンタープライズオーディットシグマ）は、メールとMicrosoft Teamsメッセージを削除や改ざんができない状態で保管し、検索や監査まで行えるクラウド型のサービスです。eDiscovery（電子情報開示）に対応し、監査や訴訟への備えにも活用できます。クラウドメールやオンプレミスなど、さまざまなメール環境で利用できます。
PPAP対策やメールセキュリティ強化サービス
資料ダウンロード
