編集部からのお知らせ
New! 記事まとめ「ISMAP-LIU」
話題の記事まとめ「通信障害と社会リスク」

変化の時代のメール対策 ── 安全な取引のためのセキュリティDXとは

ZDNet Japan Ad Special

2022-07-22 10:45

[PR]2022年7月8日に開催された、「ITセキュリティフォーラム2022 これからのセキュリティ対策は、『起きることを前提』に考える」のイベントよりキヤノンマーケティングジャパン豊田匡俊氏の講演のレポートをお届けする。

 現代は変化の時代である。これまで経験したことのないほど、生活や仕事の環境、私たちの考え方も急速に変わってきている。「これまでの常識は、今日の常識ではない」 ── キヤノンマーケティングジャパン セキュリティソリューション事業推進部 セキュリティソリューション促進第一課 主任の豊田匡俊氏は、講演『「変化の時代のDX」、取引先から求められるメールセキュリティ対策とは?』の冒頭でそうした可能性について述べ、変化の時代に合わせた施策が必要となることを示唆した。

  情報通信研究機構(NICT)が公表している研究データによれば、2012年に日本を狙った攻撃の“総観測パケット数”は約78億であった。それが2016年には1,440億、2021年には5,180億にまで膨れ上がっている。1日あたり5,900万、毎秒274件という大きな数字だ。

キヤノンマーケティングジャパン株式会社 セキュリティソリューション事業推進部 セキュリティソリューション促進第一課 主任 豊田匡俊氏
キヤノンマーケティングジャパン株式会社
セキュリティソリューション事業推進部
セキュリティソリューション促進第一課 主任
豊田匡俊氏

  企業がデジタルトランスフォーメーション(DX)を推進していく中では、さまざまなサプライチェーンをICTで連携させようとする施策も多い。中にはクラウドサービスを活用して、効率的に高い効果を得ようとする組織もあるだろう。そこで問題になるのが、こうしたサプライチェーンとクラウドサービスのセキュリティである。

 例えば、A、B、Cという3社が、メールなどのクラウドサービスを活用して取引しており、それぞれ個別にセキュリティ対策を講じているとしよう。ここでC社の対策が不十分でサイバー攻撃を受けている状況になったとき、A社やB社は何も対応せずにクラウドを介して連携し続けてよいのだろうか。もしサプライチェーンから外れるしかないのであれば、事業として存続し続けることができるだろうか。

 「そこでポイントとなるのがゼロトラストです。すべての場所に脅威があると想定し、常に何も信頼せずに対策を徹底すること ── それがDX時代のあるべきセキュリティ対策だと考えます。得意先とのサプライチェーンから退場するような事態にならないように、あらゆる組織がしっかりと考えていかなければならない時代なのです」(豊田氏)

ファイルを安全にやり取りできなければ取引しない!?

 サプライチェーンの取引に最も活躍するのはメールやファイル共有といったコミュニケーションツールだ。それでは、しっかりとセキュリティに投資を行っている企業は、どのような対策を実施しているのだろうか。

 コミュニケーションツールでの対策は、大きく「送信メール」「受信メール」「コラボレーション/ファイル共有」に分類できる。送信メールの対策としては、2020年にデジタル改革大臣が発表した中央省庁における「PPAP対策」が挙げられる。

 PPAPとは、やり取りするファイルを暗号化ZIPファイルとして送付し、パスワードを別のメールで送るという手法を意味し、現在も多くの組織が標準的なルールとして定めている。PPAPは、(1)暗号化ZIPファイルは攻撃者が悪用する/(2)平文で送るパスワードを盗聴される恐れがある/(3)送受信に手間がかかる/(4)モバイルデバイスが対応できない──といった問題があり、安全性が懸念されることから別のファイル共有方式を選択したり、「PPAPを利用している企業とは取引しない」と定めたりと、脱PPAPやPPAP受け取り拒否を実施する組織も増えている。

 「とはいえ、すべての取引をファイル共有に転換できるでしょうか。利便性やBCP対応としては有用ですが、セキュリティ運用は負荷やコストが増大する可能性もあります。そこで、文書や情報の性質に合わせて、最適な共有手段を採りたいものです。手紙や書留、内容証明郵便、宅配便といったものと同じように、上手に使い分ければよいのです」(豊田氏)

 脱PPAPを目指すからといって、メールでファイルを送信する利便性の高さから脱却することは難しい。そこで豊田氏は、“メールで簡単に資料を送れる”ことを維持しつつ、セキュリティレベルを高められる方法があればよいと指摘する。そんなセキュリティDXを実現するのが「GUARDIANWALL Mailセキュリティ」だ。

 GUARDIANWALLのメール送信対策機能(Outbound Security for Microsoft 365)は、Microsoft Outlookのアドインとして実装される。送信者がファイルを添付してメール送信を実行すると、自動的にクラウド上にアップロードされる。メールの受信者は記載のURLへアクセスしてログイン認証(MicrosoftアカウントかGoogleアカウントによるソーシャル認証、もしくはワンタイムパスワード)をし、安全にファイルをダウンロードできる。管理者も、最初にOutlookアドインを設定すればよく、運用負担が肥大する心配もない。

負荷なく導入・運用できる多層防御型メール受信対策

 現代の企業にとってデータは極めて重要なビジネス要素の1つである。仮にデータがサイバー攻撃に侵害されれば、事業の復旧には莫大なコストがかかってしまう。特に注目したいのが、「Emotet」のような恐るべき脅威である。サプライチェーン保護という視点では、コラボレーション/ファイル共有環境の感染対策も欠かせない。マルウェアの多くは、正常に事業を継続できない“被害者”になると同時に、取引先・顧客へ感染を広げる“加害者”となる恐れもあるためだ。

 最新の攻撃メールは極めて巧妙で、メールの返信を偽装したり、前述のPPAPを悪用(既存のセキュリティで検閲できない暗号化ZIPにマルウェアを仕込み、感染させる)したり、窃取した情報から取引先や顧客になりすましたりと、一見して気づきにくい。Emotetはその最たるもので、2022年第一四半期にはjpドメイン(日本企業)を狙ったものが急激に増えた。この状況を無視したままでいることはできない。

 GUARDIANWALLのメール受信対策(Inbound Security for Microsoft 365)は、API連携でMicrosoft 365に多層防御を実装する機能である。具体的には、スパムメール対策/不正プログラム検索(暗号化ZIPのファイル分析)/ファイルブロック(暗号化ZIPの禁止等)/Webレピュテーション/情報漏えい対策/仮想アナライザ(サンドボックス)/サニタイジング(脅威無力化)といった機能が盛り込まれており、既知・未知のマルウェアを高い精度で検出・防御できる。

 「多層防御は優れているだろうが導入や運用が大変ではないかと危惧する方も多いでしょう。 GUARDIANWALLのメール受信対策(Inbound Security for Microsoft 365)は API連携で実現しており、メール経路などの既存環境を変更する必要はありません。そのため容易に導入し、負荷なく運用できるのです」(豊田氏)

 さらに2022年4月に施行された改正個人情報保護法対策として、クラウドへメールアーカイブを取得する「GUARDIANWALL MailArchive on Cloud」を活用する方法も合わせて検討したい。メールが送受信情報を含めた原本のまま、改ざんできない状態で保管でき、改正法で求められる運用・対策に適用できる。また2024年1月に施行される予定の改正電子帳簿保存法対応についても、この機能が有用に働くはずだ。

 「GUARDIANWALLは、安価な月額料金でメールセキュリティ対策を実装できるサービスです。30日間の無償評価も用意していますので、安心・安全に取引先とやり取りできるような仕掛け、激しく変化する時代のセキュリティDXを体験してください」(豊田氏)

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]