メールセキュリティ8社10製品の地図 受信と誤送信の対策は別に考える

メールのセキュリティを足す前に確認したいのは、いまの契約にすでに入っている分です。Microsoft 365は、契約の種類によってDefender for Office 365がもう付いています。Google Workspaceも、Business Standard以上などのエディションで添付ファイルのサンドボックスが使えます。ただし、既定ではオフのままです。

11月3日から6日にかけて、流出したメールアドレスの発表が続きました。モスフードサービスの約752万件、IIJmioの約98万件など、どれも「当社を装った不審なメールに注意」と呼びかけています。社員が会社のアドレスで登録していれば、偽メールは会社の受信箱にも届きます。漏えいの発表29件の図解に並ぶ会社の名前を名乗るメールが、これから来うるわけです。

製品を比べる前に、受信と送信のどちらを守るのか、MXレコードを変えられるのかを決めると、候補は大きく絞れます。¹

まず、いまの契約に入っている対策を確認する

Microsoftの説明では、クラウドのメールボックスを含むすべてのMicrosoft 365の契約に、組み込みの保護があります。その上がDefender for Office 365で、Plan 1はMicrosoft 365 E3/G3やBusiness Premiumなど、Plan 2はMicrosoft 365 E5などに含まれます。機能の例には、安全なリンクと安全な添付ファイルが挙がっています。

自社がどちらかは、Defenderのポータルで見分けられます。「リアルタイム検出」が出ればPlan 1、「脅威エクスプローラー」が出ればPlan 2と読めます。ページの例に無いBusiness BasicやBusiness Standardの会社は、ライセンスの一覧で確認が要ります。

Googleは、Gmailのセキュリティ サンドボックスで添付ファイルを仮想環境に置いて調べます。対応するエディションは、Frontline Plus、Business Standard、Business Plus、Enterprise Standard、Enterprise Plusの5つ。Business Starterは対象外です。しかも既定の設定はオフで、管理者が有効にしないと動きません。

つまり、契約に機能が入っていても、設定を見ないうちは使っていない可能性があります。製品を足す前に管理画面を開くのが、いちばん安く済む一手でしょう。

足すなら、MXを変えられるかで絞る

受信の対策を足す製品は、入れ方が違います。

MXレコードを変えたくない、まず試したいなら、APIを選べるProofpointとBarracudaが候補に入ります。メールの経路に置けるなら、ゲートウェイの3社と、自社のサーバーに置くm-FILTERも並びます。

検査が終わるまで、メールを止めるか

もう1つ決めておきたいのが、添付ファイルの検査が終わるまでメールを止めるかどうかです。

Microsoftの安全な添付ファイルは、既定の「ブロック」では、検出したメールを配信せずに検疫します。そのぶん、安全なメールの配信が遅れることもあります。「動的配信」を選ぶと、メールはすぐ届き、検査が終わるまで添付ファイルが仮の表示に置き換わります。ただし動的配信は、Exchange Onlineのメールボックスでしか動きません。

Gmailのサンドボックスは、スキャンでメールの配信が最大3分遅れることがあるとしています。Barracudaのサンドボックスは、遅れを出さない「配送優先モード」と、検査が終わるまで届けない「スキャン優先モード」を選べます。

偽メールが増える時期にどちらを選ぶかは、受け取る部署の仕事の速さとの釣り合いで決まります。営業や問い合わせの窓口が数分の遅れを受け入れられるかを、先に聞いておきたいところです。

誤送信対策は、多くが受信とは別の製品か別のエディション

送信の側は、見落とされやすい部分かもしれません。この地図では、上司の承認、送信の一時保留、Bccへの変換などの誤送信対策を「送信を守る」列に置きました。10製品のうち、それを受け持つのは4製品で、そのうち3つは受信とは別の製品か別のエディションでした。

とはいえ、海外のゲートウェイも送信の側を持っていないわけではありません。中心は暗号化とDLPで、CiscoはDLPとSecure Email EncryptionをAdvantageに含め、Essentialsではアドオンにしています。Barracudaも、電子メールの暗号化とData Inspectorを並べています。

受信の対策を強めても、誤送信は防げません。流出の発表に「メールアドレス」が並ぶ時期は受信に目が向きがちですが、自社が送る側で事故を起こさない手当ても、別の予算で考える必要があります。

見積もりを取るとき、各社に聞くこと

公式ページだけでは分からない点もあります。見積もりの場で、次の4つを聞いておくと、あとで食い違いが出にくくなります。

まず、手元のMicrosoft 365やGoogle Workspaceの機能と重なる部分です。安全なリンクや添付ファイルの検査が二重になるなら、どちらを止めるかを決めておかないと、問い合わせの切り分けが難しくなります。

次に、APIで入れる場合の動き方です。届いたメールをあとから消す形なのか、受信箱に入る前に止められるのかで、社員が偽メールを目にする時間が変わります。

3つ目は、誤送信対策が同じ契約に入るかどうか。入らないなら、送信の製品の見積もりも並べて取ります。最後に、日本語での問い合わせの窓口と、障害のときの連絡の手段を聞いておきます。

週明けに社内で進める段取り

1. Microsoft 365かGoogle Workspaceの管理画面で、自社の契約と設定を確認します。Defenderのポータルの表示でPlan 1かPlan 2かを見分け、Gmailのセキュリティ サンドボックスがオンかを見ます。
2. 足りないのが受信か送信かを決めます。送信なら、受信の製品の見積もりとは分けて取ります。
3. MXレコードを変えられるかを、DNSを管理する部署や委託先に聞きます。変えられないなら、APIで入れられる製品から見ます。
4. 検査が終わるまでメールを止めてよいかを、営業や問い合わせ窓口など、返事の速さが要る部署に聞きます。
5. 漏えいの発表で名前の出た会社を、社内に一言で知らせます。「この会社を名乗るメールのリンクは開かず、会社のサイトから確認してください」。

製品の数に比べて、決めることは多くありません。手元の契約と設定を見て、受信か送信かを分ければ、比べる相手は2、3社まで減るはずです。