メールセキュリティをクラウド型にするメリットとは | サービスの選び方や導入事例も解説

メールは企業の事業活動に欠かせないツールですが、さまざまなリスクや脅威の温床にもなり得ます。メールを介してランサムウェアに感染したり標的型攻撃を受けたりすると、業務停止や金銭的損失、信用の失墜など、事業の存続を左右する事態にもなりかねません。この記事では、リスクを防ぐメールセキュリティについて解説します。ぜひ参考にしてください。

メールシステムとは？

メール（電子メール）は、インターネットを介してメッセージを届ける通信手段です。メール（電子メール）の起源は、プログラマーのRay Tomlinson​​によって開発されました。目的は、ARPANET（Advanced Research Projects Agency Network）のシステムを構成するさまざまなコンピュータに、効率的にメッセージを届けることでした。

「メールシステム」は、メールの送受信、メールの閲覧、メールの管理に関する機能を包括的に提供するシステムの総称です。

主なメールシステムに、Microsoft Exchange ServerやPostfix、などのサーバーにインストールして利用するアプリケーションから、Microsoft 365で提供されるクラウドメールサービスExchange Onlineや個人向けのクラウドメールサービス、Outlook.com、Gmailがあります。

メールシステムに関するリスクや脅威

コミュニケーション手段として普及しているメールには、次のようなリスクがあります。

迷惑メール

迷惑メールとは、受信者の意思に反して一方的に送られてくるメールの総称で、スパムメールとも呼ばれます。宣伝目的から詐欺、情報窃取、ウイルス感染まで多岐にわたる種類があります。情報漏えいや金銭被害、システム障害といった重大な損害を及ぼすリスクがあるため、警戒と対策が必要です。

関連記事：迷惑メールとは？迷惑メールが届く原因、受信拒否や対処法をわかりやすく解説 　

マルウェア感染

マルウェアは、システムやネットワークに被害をもたらす悪意あるプログラムの総称です。おもにメールの添付ファイルや不審なリンク経由で侵入し、情報の窃取やデータの損壊、端末の遠隔操作といった被害を企業に与えます。また、他のデバイスに被害を広げる踏み台になる可能性もあります。

関連記事：メールによる情報漏えいの原因は誤送信とマルウェア感染だった！必要な対策を解説 　

ランサムウェア感染

ランサムウェアとはマルウェアの一種で、特に金銭の要求を目的とするものを指します。端末のロックやデータの暗号化によって利用不能にしたうえで、復元と引き換えに金銭を要求する攻撃です。 業務停止や巨額の復旧費用などの金銭的損失、情報の暴露脅迫など、企業に大きな損害が生じるおそれがあります。

関連記事：ランサムウェアとは？攻撃の種類や被害事例、感染経路、対策などに加え、最新の傾向も解説 　

標的型攻撃

標的型攻撃とは、特定の企業や組織、個人を対象に、機密情報の窃取や業務妨害などを狙うサイバー攻撃です。事前に標的の業務内容や関係者などを調べて、取引先や社内担当者になりすまして、業務連絡を装ったメールを送る手口が代表的です。相手に合わせた具体的な内容で巧妙にアプローチするため、見分けるのは困難です。

関連記事：標的型メール攻撃を対策！見分ける方法やセキュリティ対策の選び方を解説 　

ビジネスメール詐欺

ビジネスメール詐欺は、取引先や社内の経営層などになりすまし、口座変更や送金指示などを通じて金銭をだまし取る攻撃手法です。悪意あるプログラムを使わずに巧妙な文面で人間の心理を突くため、セキュリティシステムによる検知が難しい点が特徴的です。

関連記事：ビジネスメール詐欺（BEC）とは？標的型攻撃との違いや手口、事例、セキュリティ対策を解説 　

メール誤送信

メールの誤送信とは、宛先や本文、添付ファイルなどを誤って送ってしまうことです。 宛先の間違いや添付ミス、To・Cc・Bccの指定誤りなど、多くの場合、従業員の不注意によって生じます。メール誤送信は、重大な個人情報漏えいや機密流出を引き起こす要因となり、企業の信頼失墜に直結します。

関連記事：ビジネスパーソンの6割が経験するメール誤送信：効果的な対策とサービスの選び方ポイントを解説 

メールセキュリティとは

メールに潜むリスクや脅威へ対応するために「メールセキュリティ」を導入します。ここでは、メールセキュリティの目的と対策について解説します。

メールセキュリティの目的とは？

メールセキュリティの目的は、主に次の５つに分類できます。全ての目的を包括的に達成するメールセキュリティ対策が求められます。

1. 脅威が潜む危険なメールを受信しないようにする
2. 脅威が除去された状態でメールを受け取れるようにする
3. 人的ミスによるメールの誤送信を防止する
4. 業務効率を落とさずに脱PPAPを図る

メールシステムのセキュリティ対策

メールの利用者が、安心してメールの送受信ができるように、さまざまなセキュリティ対策の導入が欠かせません。メールシステムには、以下のようなセキュリティ対策や技術が求められます。

メールセキュリティ	技術	メールセキュリティの目的
メール認証	DMAR、DKIM、SPF	なりすましメールの受信防止 フィッシングメールの受信防止 ビジネスメール詐欺対策
迷惑メール判定	RBL（Real-time Blackhole List)、DNSBL(DNS-Base Blackhole List)	迷惑(スパム)メールの受信防止
コンテンツフィルタリング	メールコンテンツ、添付ファイルのスキャン	迷惑(スパム)メールの受信防止 メール情報漏洩の防止
マルウェア検知	ウイルススキャン	マルウェア、コンピュータウイルスの受信防止、拡散の防止
未知の脅威検知	サンドボックス	マルウェア、コンピュータウイルスの受信防止、拡散の防止
メールの無効化(無害化)	実行ファイルの削除／マクロの除去／HTMLメールのテキスト変換	マルウェア、コンピュータウイルスの受信防止、拡散の防止
添付ファイルの保護	添付ファイルの分離送信／ポリシーに基づくファイル送信	脱PPAPの実現 効率的で安全なファイル送信
メールの保管、監査	メールアーカイブ	メール誤送信 情報漏洩の防止 eDiscovery対応

メールセキュリティの種類

メールセキュリティの運用形態には、クラウド型とオンプレミス型があります。以下で詳しく解説します。 　

クラウド型メールセキュリティ

クラウド型のメールセキュリティは、自社に専用機器を置かず、 サービス事業者が準備したデータセンターにメールセキュリティシステムを構築し、メールを保護する仕組みです。 送受信メールをクラウド上で監視し、ウイルスやフィッシングなどの脅威を検知・隔離してから安全な状態のメールのみを届けます。 　

オンプレミス型メールセキュリティ

オンプレミス型メールセキュリティとは、サーバやネットワーク機器などの物理的な設備を自社内に設置し、システムの構築から運用・管理までをすべて自社で完結させる 方式です。社内に設置したメールサーバや専用機器を通して送受信メールを検査し、迷惑メールやウイルスなどの脅威を防ぎます。

自社の運用ルールに基づいた一貫した保護対策を講じやすく、独自の監視環境下でメールの安全を維持できます。 

メールセキュリティをクラウド型にするメリット

クラウド型メールセキュリティ導入のメリットは、最新の脅威を防御する多層的なメールセキュリティ対策をアウトソーシングできることです。その結果、セキュリティ対策の導入や運用の負荷を軽減できます。以下で詳しく解説します。 　

導入・運用の負担を軽減できる

企業は、自社でメールセキュリティのシステムを構築する手間や時間、コストを削減できます。サービス事業に、システムの更新や保守運用を一任できるため、自社で機器管理やパッチ適用といった作業をする必要がありません。セキュリティの専門人材が不足している企業でも、サーバ構築や維持管理、運用の負担を大幅に軽減できます。 　

最新の脅威にも対応できる

トロイの木馬のEmotetやランサムウェアといった最新の脅威には、多層的なメールセキュリティ対策が欠かせません。また、常に最新化される脅威情報を自動で対策できるため、新種のマルウェアや未知の攻撃にも迅速に対応可能です。変化し続ける未知の脅威に対し、常に最新の防衛体制を維持できることは、大きなメリットです。 　

拡張性が高い

クラウド型メールセキュリティは、ユーザー数やメールの利用量に応じて、ライセンス数や契約プランを柔軟に調整できる点がメリットです。機器の調達が不要で、設定変更のみで迅速に変更できます。従業員の増加や新拠点の開設、テレワーク環境の拡大などにも対応しやすく、事業規模の変化に応じた運用が可能です。 

クラウド型メールセキュリティの選び方

メールセキュリティは、さまざまなサービスが提供されています。ここでは、サービスやサービス事業者を選ぶ際に検討すべきポイントについて解説します。

包括的な対策をワンストップで導入できるか？

業務に欠かせないメールには、なりすましやフィッシング、ビジネスメール詐欺などの迷惑メール、コンピュータウイルス、トロイの木馬、ランサムウェアなどのマルウェア、メール誤送信による情報漏洩など、様々な脅威とリスクがあります。

これらの脅威やリスクの全てに対応できる多層的なメールセキュリティ対策の導入が欠かせません。

次のようなメールセキュリティ対策をワンストップで導入できるクラウドサービスを選択します。

• メール認証
• なりすまし、フィッシングメール対策
• 迷惑（スパム）メール対策
• マルウェア、コンピュータウイルス対策
• PPAP受信メールのウイルス検知
• メール添付ファイルの安全な送信
• サンドボックス
• メール無害化
• メールアーカイブ、メール監査

目的にあったセキュリティ対策の機能を選べるか

目的や、必要なメールセキュリティ対策のみを選択できることも、対策の強化には欠かせません。不足しているメールセキュリティのみを選択して導入することで、コストを抑えながらメールセキュリティを強化できます。

導入済みのメールシステムと連携できるか？

メールセキュリティのクラウドサービスは、サービス事業者が構築したクラウドサービスを利用するために容易にできます。また、サービス事業者の信頼性、サービスの使い勝手も選定時に重視するポイントになります。さらにMicrosoft 365やGoogle Workspaceなどのクラウドサービスやオンプレミスのメールシステムと連携できることも重要なポイントになります。

適正なコストで導入できるか？

Microsoft 365やGoogle Workspaceなどのクラウドサービスには、メールセキュリティ対策が標準で提供されています。しかし、Microsoft 365 で複合的なメールセキュリティの導入には多額のコストがかかります。リーズナブルなコストで導入できるクラウドメールサービスを選択しましょう。

出所：Microsoft Defende for Office 365 サービス説明書 – Service Descriptions | Microsoft Learn

h3：脱PPAPを実現できるか

PPAPとは、メール経由でファイルを送る際の流れを表す用語で、「Password付きのzip暗号化ファイルを送る」「Passwordを送る」「Aん号化（暗号化）」「Protocol（方法）」の頭文字をとった造語です。現・PPAP総研 大泰司 章（おおたいし あきら）さんが日本情報経済社会推進協会（JIPDEC）に所属していた時に名付けました。

PPAPはファイルを暗号化して送ることから、安全にファイルを送信する手段と考えられがちですが、暗号化したファイル経由でコンピュータウイルスやマルウェアに感染する危険性が指摘されています。そのため、2021年に政府が停止を呼びかけたことにより、脱PPAPの機運が高まっています。

PPAPは日本で独自に普及した手法であるため、Microsoft 365やGoogle Workspaceといった、グローバルクラウドサービスは脱PPAPに対応していません。これらのメールクラウドサービスを利用しつつ、脱PPAPを実現できるクラウドメールセキュリティを検討する必要があります。 　

国内企業の運用スタイルに対応できるか？

文書作成や表計算、プレゼンテーションスライドのなどの業務アプリケーションは、海外製のクラウドサービスを利用していても、ワークフローやグループウェアは国産の製品・クラウドサービスを利用している日本企業は少なくありません。

メールシステムは、グループウェア製品・サービスと密接に連携して利用されます。それに伴いメールセキュリティのクラウドサービスは、導入済みのグループウェア製品に対応できること。運用スタイルに合わせてカスタマイズした設定ができることが重要になります。

また、業務に欠かせないメールでシステム障害が発生すると業務が中断し、事業への大きな影響があります。Microsoft 365は頻繁に障害が発生していることが報道されています。Mirosoft 365やGoogle Workspaceで障害が発生しても継続的にメールを利用できる対応を準備することも事業継続性（BCP）の観点からは不可欠な対応です。

次のような要件を満たしているか確認することをお勧めします。

• 各社のグループウェアに対応でき、カスタマイズできること
• 不測の事態に備えたSLAが用意されていること。
• 国内にサポート拠点が設置されており対応できるメンバーが稼働していること
• 国内での運用実績の多さと安定性の高さ
• 多様な業種・業態での運用実績があること

サイバーソリューションズが提供する「Cloud Mail SECURITYSUITE」は、上記の要件を満たしているメールセキュリティシステムです。日本企業での運用実績が多く、サポートも国内の拠点で対応しています。

サポート体制は万全か

メールセキュリティ製品を選ぶ際には、障害やトラブル発生時に備えたサポート体制の確認が重要です。日本語での問い合わせ対応や24時間体制の有無、回答の速さと技術水準の高さなど、迅速かつ的確な対応を受けられるかを見極める必要があります。

異常を早期に察知するリアルタイム監視や、迅速なインシデント対応が可能な事業者を選定することが、被害防止につながります。 

メールセキュリティをクラウド型にする際の注意点

クラウド型メールセキュリティは、インターネット障害の影響を受けるほか、オンプレミス型と比べて細かなカスタマイズが難しい点に注意が必要です。必要な機能や自社の運用環境に適しているかの確認が不可欠です。

さらに、毎月の定額利用料が継続して発生するコスト面も考慮しなければなりません。サービス品質は提供事業者によって異なるため、サポート体制や障害時の対応、長期的な費用や管理負担まで含めて検討することが重要です。 

クラウドメールセキュリティサービスの導入事例

サイバーソリューションズのメールセキュリティサービス「Cloud Mail SECURITYSUITE」を導入されたお客様の事例を紹介します。 　

脱PPAPソリューションの導入事例

株式会社ネットワールド様は、クラウドストレージを経由した脱PPAPソリューションを導入していました。しかし、取引先のポリシーに合わせて手動で送信していたため、ファイル送信に月20時間を要していました。

この課題を解決するために、サイバーソリューションズが提供する、Cloud Mail SECURITYSUITE（CMSS）の脱PPAPソリューション（350円/月〜）を導入したことで、脱PPAP添付ファイル分離送信の作業負担がゼロに​​なりました。詳しくは、ネットワールド様の導入事例をご覧ください。

包括的なクラウドメールセキュリティの導入事例

不動産大手のレオパレス21様は、Microsoft 365で運用していた7,000のメールアカウントのセキュリティ対策をオンプレミスで運用していました。2021年頃より、取引先から脱PPAP対応を求められたことから、、3社4製品のメールセキュリティ対策を、サイバーソリューションズのクラウドメールサービス CMSSを導入しました。

CMSSの導入により、メールセキュリティのワンストップ化を実現し、最新の脅威を防御しながらメールセキュリティの運用負荷を大幅に軽減しました。詳しくは、レオパレス21様の導入事例をご覧ください。

メール無害化クラウドサービスの導入事例

茨城県五霞町様は、サイバーソリューションズが提供するクラウド型メール無害化サービス「CYBERMAIL Σ ST（サイバーメール シグマ エスティー）」を導入。「メールとファイルの無害化を自動で行い、PCで受信できること」や「PPAPも安全に受信できること」「予算内で導入・運用ができるクラウドサービスであること」などを重視してサービスを選定されました。

運用開始から10ヶ月で、受信したメールと添付ファイルの確認作業を年間2万5000時間削減​​できました。詳しくは、五霞町様の導入事例（PDF）をご覧ください。

まとめ

メールシステムは、迷惑メールやフィッシング、マルウェア、なりすまし、誤送信など、情報漏えいや金銭被害など、に甚大な損害につながる脅威に常に直面しています。企業においては、ひとたび被害が発生すると業務停止や信用低下などの影響も生じかねません。

そのため、複数の脅威に対応できるメールセキュリティを導入し、継続的に対策を強化することが重要です。

サイバーソリューションズが提供するCloud Mail SECURITYSUITEは、Microsoft 365、Google Workspaceに対応したオールインワンのメールセキュリティサービスです。脅威防御・標的型攻撃対策、誤送信・個人情報漏えい対策、メールアーカイブをワンストップで提供しています。

受信メールは多段階でチェックすることで、ウイルスや迷惑メール、マルウェアの侵入を防御し、送信時には誤送信や情報漏えい対策を自動で実行するなど、送受信対策と管理機能でセキュリティを強化します。

CMSS – Cloud Mail SECURITYSUITEについて詳しく見る