サイバー攻撃の入り口となるメールをそもそも使わずに、チャットツールなど別の手段で情報をやりとりすることで、代表的なサイバー攻撃の脅威から身を守ることができます。とはいえ近年では、誰でも利用できるフリーメールサービスが普及しており、その利便性を享受している人は少なくありません。メールアドレスが個人を特定するID代わりになっていることもあり、メールの利用を中止するのは現実的ではないことも確かです。そのため、さらに以下の対策2以降の対策をお薦めします。

対策2．メールの添付ファイルを安易に開封しない

　メールの添付ファイルは、とても簡単に情報の受け渡しができる便利な方法です。ただし前述の通り、添付ファイルの安易な開封を引き金としたサイバー攻撃が幾つもあるのも事実です。メールに添付ファイルが付いていた場合「本当にこれは開いても大丈夫なのかどうか」と疑う姿勢が必要でしょう。

対策3．メールフィルタリングツールを利用する

　自分のメールボックスにメールが届く前に、自動でウイルスの可能性があるメールやスパムメールを除外するメールフィルタリングツールを積極的に活用しましょう。ただしフィルタリング機能も万能ではないので「危険なメールを振り分けているから安全」と思わずに、フィルターをすり抜ける脅威が存在することも理解しておく必要があります。

対策4．メールだけでやりとりを完結させない

　メールでのやりとりは、相手の時間を奪うことなく用件を伝えられる利便性がある一方、対面でのやりとりではないからこそ詐欺が成功してしまう場合もあります。特に高額な金銭の支払いのように重要な用件ならば、メールだけで仕事を完結させることなく、相手に電話もして間違いがないかどうか確かめる一手間を習慣付けるといいでしょう。

対策5．関係者との情報のやりとりは、チャットツールなどの閉じた環境を利用する

　取引先や関係会社など既に顔見知りの関係である場合、コミュニケーションや情報のやりとりを本当にメールでする必要があるかどうかを再考してください。お勧めは閉じたコミュニケーション環境を用意することです。例えば、クローズドに特定のメンバーと情報のやりとりができるチャットツールやメッセージングツールの利用です。

対策6．関係者とのデータのやりとりにはファイル共有サービスなどを利用する

　そもそも「メールにファイルを添付して送る」という旧来型の情報のやりとりにリスクがあります。対策5と同様に取引先や関係各社など既に顔見知りの関係である場合は、ファイル共有サービスやファイルサーバなどを利用して情報をやりとりするとセキュリティリスクを低減できます。

対策7．全従業員に「標的型攻撃訓練メール」を送付する

　セキュリティ対策の最終的な手法は「人」のセキュリティを強化することです。1人のうっかりミスが全体に影響を及ぼす危険性がある標的型攻撃への対策は、まずこのような実態があることを「知ること」から始める必要があります。そのためには「標的型攻撃訓練メール」を全社員に送付し、疑似訓練をすることも必要な対策です。訓練の効果を一時的なものにしないためにも、こうした訓練は一度切りで終えるのではなく、継続することが重要です。

　セキュリティは「桶（おけ）の理論」に例えられます。どんな対策をしても、最も弱いところから水が流出してしまう、ということです。メールは誰もが使うビジネスツールだからこそ、それを使う「人」の脆弱性が狙われていることに留意し、全社的な対策を講じてください。

著者紹介

那須慎二（なす・しんじ）　CISO代表取締役

大手情報機器メーカーにてインフラ系SE、大手経営コンサルティングファームにて経営コンサルティング、サイバーセキュリティコンサルティングを経て、現在、サイバーセキュリティ対策の専門会社CISO（Chief Information Security Officer）代表取締役。

日本の中小企業がサイバー被害で大きなダメージを受ける状況を看過することができず「日本にセキュリティのバリアを張る」をモットーに、中小企業向け情報セキュリティのマルチベンダー対応、ならびにコンサルティング活動を実施。難易度の高いサイバーセキュリティ技術を誰にでも分かりやすく伝えることに定評がある。

参考リンク

「小さな会社のIT担当者のためのセキュリティの常識」（Amazon.co.jp）