度重なるメール攻撃や障害のリスクから解放されたい -IT部門の“泣き所”に効く処方箋は-

　セキュリティ

テレワーク環境が普及する中、メール環境の運用に注意すべき点が増えつつあります。最近は、標的型メール攻撃やビジネスメール詐欺などのリスクも顕在化。昨今話題となった攻撃「Emotet（エモテット）」はその1つです。またメールが止まればビジネスも止まるため、障害発生時でも利用を継続する環境も必要となっています。しかし、その実現は言葉でいうほど簡単なことではありません。実際、大きな運用負担や利用サービスの終了、値上げに喘いでいるIT部門も多いでしょう。メールセキュリティ・BCP強化と運用負荷の軽減を同時に図るにはどうすればよいのか。IIJのサービスプロダクト推進本部所属の和泉と伊藤がその処方箋を紹介します。

写真左：サービスプロダクト推進本部営業推進部マーケティング課和泉瑛一
写真右：サービスプロダクト推進本部営業推進部ネットワークソリューション課伊藤果穂

目次

デジタル化で変容するメールセキュリティ
脅威対策、BCP対策までワンストップで実現
金融機関を含む1000社以上が導入

デジタル化で変容するメールセキュリティ

近年、働き方改革の一環として、業務アプリにSaaSをはじめとするクラウドサービスを利用する企業が増えています。コロナ禍によるテレワークの導入により、こうした傾向は一層顕著になりました。既にMicrosoft 365（旧Office 365）やGoogle Workspace（旧G Suite）を利用している企業も多いはずです。

これに伴い、社外から利用する場合は、ダイレクトにクラウドサービスに接続する形態も増えています。社内ネットワーク経由によるパフォーマンス低下を避けるためです。

ただし、これには注意も必要です。すべての従業員が十分なITリテラシーを持っているとは限りません。「情報システム部の管理の目が行き届かない社外での端末利用が増えたため、メールを悪用したサイバー攻撃によるマルウエア感染の影響が高まっています」と和泉は指摘します。

こうした状況を受けてMicrosoft 365などのクラウドサービスもメールセキュリティ機能を提供していますが、その機能は必ずしも自社のニーズにマッチしたものとは限りません。基本プランとして提供されるセキュリティ機能のほとんどは既知の脅威を対象とした対策である上、日本語の正しいメールが誤判定されてしまうケースもあります。

そのため、既にクラウド型セキュリティサービスを組み合わせて対策を強化している企業も増えている一方で、近年、クラウド型セキュリティサービスのサービス終了や値上げに頭を抱える企業も少なくないはずです。

メールサービスの運用で注意すべきなのは、セキュリティ対策ばかりではありません。BCP対策も見直す必要があります。事業者によって対策の施されたクラウドサービスといえども万全ではないからです。去る2019年11月に発生したMicrosoft 365障害は記憶に新しいでしょう。Exchange Onlineでシステム障害が発生し、メールがまともに使えない状態がほぼ丸一日続きました。障害が起きたのがMicrosoft 365側なので、業務の現場は大混乱に陥ったものの、ユーザー企業の情報システム部門は手の打ちようがありませんでした。また、クラウド事業者が突然、サービスを停止したり、変更したりするリスクもあります。クラウドサービスの障害発生時やサービス停止に備えて、メールの継続性をいかに確保するか。これも重要なテーマになったといえるでしょう。

「今後もテレワークがさらに普及していくことと考えれば、サイバー攻撃対策やBCP対策を含めたメール環境の整備を、いかに運用負荷をかけずに行うかが重要な命題となっています」と和泉は指摘します。

必要な機能を個別に導入していると、管理すべきシステムが増え、コストも膨らみます。運用の負荷が高まると、デジタルを活用したビジネス変革や競争力強化に資するIT活用といった情報システム部本来の仕事にリソースを割けなくなってしまいます。

脅威対策、BCP対策までワンストップで実現

こうした課題の解決策としてIIJが提供するのが、クラウド型の統合メールセキュリティ「IIJセキュアMXサービス」です。これは新しいメール環境に求められる多様な機能をワンストップで提供します。

標的型メール攻撃、ランサムウエア、迷惑メールなどの脅威対策、送信間違いによる情報漏えい防止に有効な誤送信対策、メール送信時の添付ファイルの自動暗号化、ドメイン名と送信元サーバーの整合性を確認する送信ドメイン認証、Microsoft 365とのアカウント連携などを基本機能として提供します。

中でも脅威対策は複数ベンダーのフィルタリングエンジンを組み合わせた多段構成となっています。各エンジンの強みを生かした多重検査により、非常に高精度なウイルスの検知・駆除が可能です（図1）。「最新の脅威情報にも早急に対応し、常に脅威対策のアップデートを図っています」と伊藤は話します。

図1 IIJセキュアMXサービスの脅威対策

多様なフィルタリングエンジンを組み合わせ、それぞれの強みを生かした多層防御が特徴。既知の脅威はもちろん、振る舞いで検知を行うサンドボックスにより未知の脅威も高精度に検知・ブロックする

多様な機能を個別に導入する必要がない上、アセットレスで利用できるメリットは大きいです。「情報システム部の運用負荷も大幅に軽減できるでしょう」と伊藤は述べます。サービス設備は冗長化されているため、自然災害などでサービス設備に異常が発生した場合でも、脅威対策をはじめとする主要機能は継続利用が可能です。

さらに注目したいのが、オプションサービスの1つである「スペアメールオプション」です。これは、緊急時にすぐに使えるバックアップ用のWebメール。Microsoft 365などのSaaSメールサービスに障害が発生しても、いつもと同じドメイン・同じメールアドレスでメールの送受信を継続できます。「IIJセキュアMXサービスを利用すれば、メールのBCP対策も強化できます」（伊藤）。

金融機関を含む1000社以上が導入

利用形態には3つのタイプがあります。オンプレミスのメールシステムで利用する「オンプレミス連携」、外部のクラウドサービスで利用する「クラウド連携」、そしてメールボックスを含むメールシステム全体のアウトソースに対応した「フルアウトソース」です（図2）。

図2 IIJセキュアMXサービスの3つの利用形態

既存資産を生かしたオンプレミス連携、クラウド連携に加え、メールボックスを含むメールシステムのフルアウトソースにも対応する。いずれもIIJのサービス設備をゲートウエイとして経由させる形だ。経路の変更のみで容易に導入できる

導入が容易な点も大きなポイントです。導入の際はDNSサーバーで定義されるMXレコード（メールの配送先情報）を変更して、IIJのサービス設備に接続させるだけ。契約から最短2週間で利用を開始できるため、新規導入だけでなく他社サービスからの移行もしやすくなっています。「お客様のメール環境に応じて容易にセキュリティを強化できます。専門のエンジニアがお客様環境に合わせた最適な導入フロー検討をサポートすることも可能です」（伊藤）。

マルチドメイン対応なので、1つの契約範囲内でオンプレミス連携とクラウド連携を組み合わせられます。フルアウトソースを利用すれば、メールボックスの管理も委託できます。容量の拡張にも柔軟に対応可能になるため、運用負荷の軽減効果はより高まるでしょう。

サービス設備が国内にあることも大きな強みです。提供する各種機能やサポート対応も、もちろん日本語に対応しています。海外にサービス設備があると、海外法令の適用を受け、データ開示などの要請に従わなければならないこともあります。「IIJセキュアMXサービスは国内設備でサービスを提供しており、そうした心配は不要です。こうした点を評価し、秘匿性の高い顧客情報や信用情報を扱う金融機関のお客様にも数多く利用いただいています」と和泉は語ります。

実際、富士キメラ総研の「クラウド型メールセキュリティ市場調査」（2018年度金額ベース）ではシェアNo.1を獲得。業界・規模を問わず1000社以上の企業に導入されています。

あるゼネコン大手では、IIJセキュアMXサービスを導入し、Microsoft 365利用時のメールセキュリティを強化。未知の脅威にも対抗できるサンドボックスによるマルウエア対策を実現し、グループ全体のセキュリティレベルも大幅に向上しました。

サービスをより導入しやすくするための機能も充実しています。利用アカウント数や追加オプションを選択するだけで、Web上で簡単に見積もりを算出可能です。更に定期的なウェビナーやサービス機能や操作性などの体感プログラムも開催しています。利用サービスの終了や値上げに困っている場合は、まずは気軽に情報を確認して見てください。

ビジネスを支えるメールのセキュリティと安定利用の確保は、IT部門の重要なミッションです。働き方の変化や脅威の進化に対応し、対策も継続的に強化していく必要があります。メール環境の強化を図りつつ、IT部の運用負荷も軽減します。IIJ セキュアMXサービスは、相反しがちな2つの課題を両立する有力なソリューションといえるでしょう。

※ 株式会社日経BP「日経クロステック」より転載

2021年1月19日