「最悪のシナリオ」対策とメール監査体制構築のススメ：GDPR順守だけではない電子メールセキュリティ（後編）

メールに起因する最悪の事態は常に起こり得る。こうした事態の対策と、開封確認メッセージを利用して「メール監査」ができる体制を作っておこう。GDPRに順守しつつ、組織を守る一助となる。

[Peter Ray Allison，Computer Weekly]

　前編（Computer Weekly日本語版　11月1日号掲載）では、電子メールのセキュリティに有効な各種対策方法を紹介した。後編では、DMARCによる偽装アドレスメールの防御、開封確認メッセージによる監査、そして「最悪の事態」への対処法を解説する。

Computer Weekly日本語版　11月15日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版　11月15日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

• Computer Weekly日本語版　11月15日号：モバイル端末管理最新トレンド

なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。

DMARCの導入

　「DMARC」（Domain-based Message Authentication, Reporting & Conformance：ドメインベースの認証、レポーティング、適合）を電子メール認証に使用すると、主要な攻撃手法の1つである偽装アドレスを使用した電子メールをブロックできる。電子メールのリスク評価ツールを使用しても、疑わしい電子メールを特定し、後で解析するために隔離できる。

　DMARCは大企業や公的機関で導入されるのが一般的だ。中小企業（SME）も、利用しているインターネットプロバイダーや電子メールプロバイダー側でDMARCを導入できるかどうかの調査を求めることができる。

　小規模組織の場合は、全ての電子メールが外部委託サプライヤーの電子メールスキャンサービス経由で組織の電子メールサーバに転送されるようにすることを検討すべきだ。

　また、ネットワークのセグメント化によって、電子メールサーバを他のネットワークから隔離して、機密度の高いネットワーク領域へのアクセスを制限することも検討しておきたい。ネットワークのセグメント化は、規制されたアクセス制御と侵入検知を併せて導入することにより、アクセスを細かく制限することが欠かせない。

　電子メールフィルタリングは、電子メールがサーバに届く前に通過するネットワークアプライアンスに導入する。この手法を利用すると、疑わしいプログラムを仮想サンドボックス環境の中でアクティブ化することで、ホストやネットワークのアクティビティーを検査し、マルウェアを発見できる。

最悪のシナリオ

　組織は最悪のシナリオを考えて、惨事が起きたときの手順を整備し、この手順を定期的に更新すべきだ。「もしも」ではなく、「実際に」マルウェア感染がネットワークで広がったときに何をすべきかを詳しく記述しておく。

　「企業は、1つのアプリケーションでセキュリティの全側面をカバーする『何でも屋』的な方法を用意するよりも、さまざまなサプライヤーが提供する多様なセキュリティアプリケーションの使用を検討すべきだ。機能が重複するかもしれないが、それにより防御層が厚くなる」とMimecastでプロダクトマネジャーを務めるピータ・バナム氏は話す。

　だが、100％のセキュリティなどあり得ない。組織は、不正な電子メールを見抜く方法を従業員に教育し、悪意のある電子メールの危険性を注意喚起する必要がある。

　このような教育で参加者の関心を引くには、内容を理解しやすいものにして、専門用語には頼らないようにする。疑わしい電子メールを報告するように従業員を積極的に促し、報告された電子メールについてはフィードバックを返す。そうすれば、セキュリティ設定を更新できるだけでなく、従業員に対する教育もさらに進むだろう。

　また、特定のユーザーに向けてメッセージを調整することも不可欠だ。例えば、人事部の従業員に社外アドレスからの添付ファイルは開かないように指示しても意味がない。人事部は求職者からの応募に対応しなければならない。

　電子メールが漏えいした最近のインシデント以降、既存の電子メールアプリに暗号化プロトコルを拡張機能としてインストールし、電子メールを暗号化する企業が増えている。

　これらのシステムはエンドツーエンドの暗号化を利用してコンテンツのセキュリティを確保するだけではない。その中には一般データ保護規則（GDPR：General Data Protection Regulation）への準拠を確実にするものもある。「電子メールのセキュリティサービスや暗号化サービスは何百種類も存在するが、顧客が必要としているのは検証可能性であることが分かった。検証可能性の需要が高いのはGDPRが原因だ」とregifyでCEOを務めるカート・カンメラー氏は述べる。

開封確認メッセージの送信

　電子メールの設定によって、受信者は開封確認メッセージの要求を無視できる。だが、こうした確認メッセージの送信を強制する、セキュリティに優れた電子メールアプリケーションが存在する。電子メールが送信されると、そのメールが電子メールサーバに転送されたことを知らせる電子メールが送信者に届く。送った電子メールが開かれると、その事実が後続の電子メールで送信者に通知される。3日以内に電子メールが開かれなかった場合は、3通目の電子メールが送信者に届き、メールが開かれていないことが通知される。

　「これは送信者を守ってくれるため、GDPRを順守するには最適だ」とタンカード氏は言う。

　こうしたアプリケーションには、電子メールトラフィックが増加する欠点がある。だが、電子メールが意図した受信者に送信され、受信されて、読まれたことを組織で明確に追跡して監査できることは確かだ。GDPRに準拠するには、このような電子メールの監査が求められる。電子メールが送信されたことだけでなく、受信され、読まれたことまで証明されるためだ。

　「2016年ごろまで、電子メールを保護することにはそれほど関心が向けられていなかった。だが、2017年になってその関心が急速に高まっている。過去数年間と比較すると10倍の伸びだ」とタンカード氏は言う。

　だが、暗号化では電子メールコンテンツの漏えいは防げるが、悪意のあるコンテンツや添付ファイルはブロックされない。

　一連の電子メール多層型セキュリティプロトコルは、GDPRへの準拠を確実にすることには大いに役立つ。だが、電子メール経由の攻撃から確実に組織を守るには、従業員に適切な教育を施し、積極的に電子メールの保護を奨励するしかないだろう。

　「このような素晴らしい水準のセキュリティを用意しても、誰もそれに従わなければ組織は無防備になる。セキュリティと従業員の両方が結び付くことが必要だ」（カンメラー氏）

別冊Computer Weekly　脱Microsoft の理想と現実（転載フリー版）も公開中！

ヨーロッパ各国の政府機関で脱Microsoft プロジェクトが進んでいる。だが、さまざまな政治的な思惑や政府機関間の温度差、局所的なレベルにとどまっている運動はまた、脱Microsoftだけが唯一の正解ではないという現実を示している。

• 脱Microsoft の理想と現実（転載フリー版）

※本PDFは、TechTargetジャパン会員でなくても無料でダウンロードできます。