11．暗号化を実施する

　暗号化されていないメールは、絵はがきのようなものだといわれることがある。メールにアクセスできるエンドユーザーやシステムがその内容を簡単に閲覧できるという意味だ。平文を暗号化すれば、メールを傍受した悪意のある攻撃者はその内容を読むことができなくなり、通信する二者間に割り込む「中間者攻撃」（MITM）やビジネスメール詐欺（BEC）などを防ぐことが可能だ。

　ただし、メッセージの暗号化だけでは不十分だ。企業とメールプロバイダー間の通信の暗号化、添付ファイルの暗号化も重要だ。

12．公衆無線LANを使わない

　公衆無線LANは、サイバー攻撃の標的となり得る。公衆無線LANを使って業務用のメールソフトウェアにログインすると、その公衆無線LANを使う誰もが受信トレイにアクセスできる可能性がある。悪意のある攻撃者は、ネットワークのパケット（ネットワークを流れる分割されたデータ）をキャプチャー（データとして保存すること）するWiresharkなどのオープンソースのパケットキャプチャーツールを使用し、個人情報を閲覧したりアクセスしたりすることが可能だ。

　一部のメールソフトウェアは、端末がネットワークに接続されると自動的に受信トレイを更新するように設定されている。メールのチェックには、安全なネットワークのみを使用する。

13．送信ドメイン認証を使用する

　スパムメールをフィルタリングするためのメールセキュリティ標準は以下3つだ。

1. DomainKeys Identified Mail（DKIM）
   • 非対称暗号化を使用してメールのなりすましを防ぐ標準規格。メールの電子署名を確認する他、メールが送信中に改ざんされていないかどうかを検証する。電子署名がメールドメインの公開鍵と一致しない場合はブロックされ、一致する場合は送信される。
2. Sender Policy Framework（SPF）
   • 送信側が特定のドメインを使用する権限を持っているかどうかを確認する。確認できた場合はメールが送信され、できない場合はブロックされる。
3. Domain-based Message Authentication, Reporting and Conformance（DMARC）
   • メールの認証に、DKIMとSPFを使用する。ドメイン所有者はDKIMとSPFの要件を公開し、要件を満たさない場合、送信ドメインへ報告するといった対処を指定できる。

　送信ドメイン認証を使えば、なりすましメールをある程度は防げるが、全てのスパムメールを停止できるわけではない。

14．メールセキュリティツールを使用する

　以下のソフトウェアやツールの導入と運用を徹底する。

• アンチマルウェアソフトウェア
• アンチスパムソフトウェア
• アンチウイルスソフトウェア
• メールフィルタリングソフトウェア
• メールセキュリティゲートウェイ
• メール監視ソフトウェア
• ファイアウォール
• エンドポイントの管理ツール

15．ログインしたままにしない

　他人が触ったり動かしたりできる状態のデバイスでメールを開いたままにしない。従業員には、メールを使用していない時や業務終了時には必ずログアウトするよう指示することが大切だ。