1. スパムメール対策やフィッシング攻撃対策
   • スパムやフィッシング攻撃の疑いがあるメールを監視し、ふるいにかける
2. メール送信用のプロトコル「Simple Mail Transfer Protocol」（SMTP）のセキュリティ対策
   • 暗号化通信のプロトコル「Transport Layer Security」（TLS）を使うことにより、HTTPS通信によるWebトラフィックの暗号化と同じような形で、SMTP通信を暗号化できる（SMTPS：SMTP over SSL/TLS）
3. ドメイン認証
   • 「DomainKeys Identified Mail」（DKIM）はメールの送信に使われるドメイン認証技術で、メール詐欺に対抗できる。「Domain-based Message Authentication, Reporting and Conformance」（DMARC）という認証プロトコルと組み合わせて使う場合もある
4. 電子署名
   • 暗号化方式の一つである「Secure/Multipurpose Internet Mail Extensions」（S/MIME）を使って署名されたメールでは、送信側と受信側の両方でメールのデジタル署名と認証ができる
5. モニタリング
   • ハッキングされたアカウントが送信したメールを検出して遮断できる
6. フィルタリング
   • 不正なコンテンツを含む可能性がある特定の種類の添付ファイルを遮断できる
7. メールクライアントに実装されたセキュリティ技術
   • 適切な設定により、悪質なメールのリスクを低減できる

　これらの対策の中には、リスクが高いメールに印を付けるものもあれば、件名に変更を加えて外部から発信されたメールであることを知らせるものもある。

　たとえ会社がメールセキュリティを万全にしているとしても、従業員がメールを使用する際は注意が必要だ。添付ファイルを開く、リンクをクリックする、メールの文面に基づいて金融取引を開始するといった行動を起こすことが適切かどうかについては、依然として受信者が判断しなければならない。

従業員のベストプラクティス

　エンドユーザーにHTMLメールの使用を中止させることは合理性を欠く。たとえそれができたとしても、ハッキング済みのアカウントを通じたフィッシング攻撃は防止できない。エンドユーザーはメールに対して疑い深くなる必要がある。

　従業員向けのメールセキュリティのベストプラクティスには以下のような対策が挙げられる。

• 不審なメールの送信元アドレスが、返信用のアドレスの表示と一致しているかどうかを確認する
• メールに記載されたURLが、正規のWebサイトにつながることを確認する
• 多額の送金を促す「ホエーリング攻撃」のように、潜在的に危険な行動を受信者に取らせようとするメールについては、電話や対面などメールよりも信頼度の高いコミュニケーション手段を通じ、正規の要求かどうかを確認する

　メールのエチケットや利用について、あるいは会社が使っている対策技術について、従業員を対象とした研修を実施することも有効だ。企業はセキュリティ啓発プログラムの一環として、メールセキュリティのベストプラクティスを自ら確立しなければならない。たとえ社内から送信されたものであっても、怪しいメールの添付ファイルやリンクをクリックしないよう、エンドユーザーを訓練することから始める必要がある。

　もう一つのベストプラクティスとして、送金を求める不審なメールが正規のものかどうか見極めることがある。メールのヘッダ情報を全て参照する方法をエンドユーザーに教えるか、少なくとも会社のヘルプデスクに調査を依頼するよう教育しておく対策も検討に値する。

　メールにまつわるリスクは、他のデジタルコミュニケーションにも当てはまる場合がある。インスタントメッセージやソーシャルメディアなどのコミュニケーションチャネルは、個人攻撃の手段としても利用される可能性がある。