企業向けメールセキュリティコンプライアンスチェックリストをイメージした画像

企業向けメールセキュリティコンプライアンスチェックリスト

企業メールのセキュリティと監査対策の要点


著者: Milena Baghdasaryan
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 Cybersecurity Compliance Checklists For Enterprise Email And Messaging Platforms の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. メール認証を徹底すること：すべてのドメインでSPF、DKIM、DMARCを導入し、なりすましに強く、コンプライアンス要件を満たしたメール環境を構築しましょう。
  2. ID管理を強化すること：多要素認証（MFA）、最小権限の原則、自動化されたアクセス管理を導入し、内部・外部の両方のリスクを低減しましょう。
  3. データを適切に保護・管理すること：通信を暗号化し、機密情報を分類するとともに、データ保持ポリシーを法令や業界の要件に合わせて運用しましょう。
  4. コンプライアンスを一元管理すること：PowerDMARCのようなソリューションを活用して、メール認証を一元管理し、不正利用を監視するとともに、監査で必要となる証跡を容易に提示できる体制を整えましょう。

現代の企業活動では、メールやチャットが業務の中心となっています。
一方で、その利便性と引き換えに、サイバー攻撃のリスクも高まっています。
攻撃者はメールやメッセージングを企業への主要な侵入口と捉えており、規制当局は、それらが適切に保護・管理されていることを示せる運用体制を企業へ求めています。

この記事では、企業が業務効率を維持しながらサイバーセキュリティ要件に対応するための、監査にも役立つ実践的なチェックリストを紹介します。
また、PowerDMARCのようなプラットフォームが、メールスプーフィングを防止し、メールの到達率を向上させ、ドメインの信頼性を大規模な環境でも維持する方法についても解説します。

企業メールにおいてサイバーセキュリティコンプライアンスが重要な理由

メールやメッセージングは、企業において最も厳格な管理が求められる通信手段の一つです。
監査担当者は、メールが適切に認証されていること、個人情報が保護されていること、必要な記録が保持されていること、そしてインシデントが適切に管理されていることを示す証跡を求めます。

一方で、攻撃者は人の心理や信頼関係を巧みに悪用します。
2024年だけでも、FBIのInternet Crime Complaint Center（IC3）は、インターネット犯罪による被害総額が166億ドルに達したと報告しており、日常的なメールやメッセージング業務が重大なリスクとなっていることを示しています。

チェックリスト1：基本的なメールセキュリティ対策

高度なセキュリティ対策を評価する前に、監査担当者が必ず確認する基本項目です。
それぞれの項目について、文書化されたポリシーと実際の運用設定が対応していることを確認しましょう。

メールセキュリティプロトコルで送信ドメインを保護する
主要ドメインだけでなく、保有のみのドメインやマーケティング用ドメインを含め、すべての企業ドメインでSPF、DKIM、DMARCを設定してください。
SPFやDKIMとFromドメインとのアライメントエラーはポリシー違反として扱い、誤検知を十分に解消した後は、DMARCポリシーを監視モード（none）から適用モード（quarantineまたはreject）へ移行しましょう。

これらのメール認証技術は、なりすましメールを防止するとともに、メールの到達率向上にも役立ちます。
また、組織全体のセキュリティ強化とコンプライアンス対応の両面で重要な役割を果たします。
認証済みメール送信元を一覧化する
マーケティングツール、CRM、請求システム、チケット管理システムなど、自社ドメインを利用してメールを送信するすべてのシステムを一覧で管理してください。
各システムについて、利用目的、管理者、認証状況を記録し、毎月内容を見直しましょう。
受信メールを保護する
添付ファイルのサンドボックス実行、URLの書き換え、なりすまし検知などの高度なメールセキュリティ機能を有効にしてください。
また、可能な限り取引先とのメール通信ではTLSによる暗号化を必須としましょう。
例外を設ける場合は、その理由を文書化しておくことが重要です。
外部からのなりすましを防止する
表示名を悪用したなりすましや、類似ドメイン、取引先を装ったなりすましに対する厳格なポリシーを適用してください。
高リスクな依頼をメールで受けた場合には、電話など別の手段で内容を確認するよう従業員へ周知しましょう。
ログとレポートを一元管理する
DMARC集計レポート（RUA）やフォレンジックレポート（RUF）を分析ツールへ集約し、設定ミスや不正利用を迅速に検知できるようにしてください。
これらのレポートは、監査時に重要な証跡として活用できます。

組織で音声通話も利用している場合は、発信者番号なりすましへの対策についても理解しておくと、電話とメールのなりすまし対策を統一でき、監査時にも一貫した説明がしやすくなります。

チェックリスト2：役割ベースのアクセス制御とID管理

ユーザに付与するアクセス権限は、セキュリティリスクだけでなく、コンプライアンスの適用範囲にも大きく影響します。
メールやチャット環境全体で適切なID管理が行われていることを証明できるようにしておきましょう。

あらゆる環境でMFAを必須にする
管理者や高リスクユーザには、FIDO2/WebAuthnやパスキーなど、フィッシング耐性の高い認証方式を採用してください。
SMSによるMFAを例外として認める場合は、その理由や補完策、見直し予定日を文書化しておきましょう。
最初から最小権限で運用する
「メールボックス管理者」と「メール転送管理者」など、役割ごとに権限を細かく分けて管理者ロールを設計してください。
常時利用するグローバル管理者アカウントは廃止し、機密性の高い操作では承認付きのJust-in-Time（JIT）昇格を利用しましょう。
入社・異動・退職に伴う権限変更を自動化する
IDプロバイダ（IdP）を利用して、メールやメッセージングへのアクセス権限を自動的に付与・削除してください。
退職時には認証トークンを無効化し、メールボックスは保持ポリシーに従って適切にアーカイブしましょう。
サードパーティー製アプリを管理する
メールやメッセージの送受信権限を持つOAuthアプリは、許可リスト方式で管理してください。
アクセス権限は四半期ごとに見直し、利用されていない連携は速やかに削除しましょう。

チェックリスト3：データ保護と保持

サイバーセキュリティコンプライアンスでは、特に個人情報や規制対象データを含む通信を、どのように保護・保存・管理するかが重要です。

コンテンツを分類・ラベル付けする
メールやチャット内の個人情報（PII）、保護対象保健情報（PHI）、財務情報などを自動的に分類・ラベル付けしてください。
また、情報漏洩防止（DLP）ポリシーを適用し、不正な持ち出しを防止するとともに、必要に応じて正当な理由の入力を求めるようにしましょう。
送信中および保存中のデータを暗号化する
送受信するメールにはTLSによる暗号化を必須とし、チャットデータについても標準で暗号化してください。
法令や業界要件で求められる場合は、S/MIMEまたはPGPを利用し、暗号鍵についても監査可能な形で管理しましょう。
データ保持期間を適切に設定する
データ保持期間は、法令や業務要件に合わせて設定してください。
例えば、金融関連の通信は7年間保存するなど、業界ごとの要件を満たす必要があります。
また、訴訟ホールド機能を利用するとともに、電子情報開示（eDiscovery）の手順を文書化し、定期的に検証してください。
外部共有を制御する
メッセージングプラットフォームでは、外部組織との接続やゲストアクセスを承認済みの組織だけに制限してください。
さらに、機密性の高い会話には透かし（ウォーターマーク）を付与することで、スクリーンショットなどによる情報流出の抑止にも役立ちます。

チェックリスト4：脅威検知とインシデント対応

監査担当者は、インシデント対応手順が文書化されているだけでなく、実際に運用されていることを示す証跡も確認します。

DMARCと不正利用を監視する
認証失敗や未承認の送信元が急増していないか、継続的に監視してください。
異常を検知した場合は、定められたSLAに従って調査を実施し、その対応内容を記録しましょう。
詐欺の兆候を検知する
支払先口座の変更依頼、経営層を装ったメール、不自然な請求書など、詐欺につながる兆候を監視してください。
ビジネスメール詐欺（BEC）は依然として企業に大きな損害を与える脅威です。
FBIは、2013年以降に発生したBEC/EACによる世界全体の被害総額が550億ドルを超えたと報告しており、企業にとって重要なリスク管理項目となっています。
フィッシングシミュレーションと教育を実施する
定期的にフィッシング訓練を実施し、セキュリティポリシーに関する教育と組み合わせましょう。
特に、送金を承認する前には、登録済みの正式な電話番号で担当者へ確認することなど、実際の業務で求められる行動を定着させることが重要です。
インシデント対応手順を整備する
メールボックスの侵害、OAuthトークンの窃取、大規模フィッシング攻撃などを想定した対応手順を整備してください。
手順には、インシデントの封じ込め、フォレンジック調査、必要に応じた規制当局への報告、顧客対応まで含めておきましょう。

チェックリスト5：メッセージングプラットフォーム（Slack、Teamsなど）のセキュリティ

メール認証だけでは十分ではありません。
チャットプラットフォームにも機密情報が保存され、重要な意思決定が行われるため、攻撃者にとって魅力的な標的となっています。

ワークスペース構成とライフサイクルを管理する
チャネル名、アクセス権限、アーカイブ方法を標準化してください。
また、プライベートチャネルを利用できる条件や、外部パートナーを安全に招待するための手順も定めておきましょう。
eDiscoveryとデータ保持に対応する
チャット履歴についても、メールと同様の保持要件を満たすよう管理してください。
法的要請に応じて記録を保持・エクスポートできることを、定期的に確認しておくことが重要です。
セキュリティアプリとボットを管理する
ボットの権限やイベント購読は定期的に確認し、必要最小限に制限してください。
また、機密情報を扱う社内ボットについては、コードレビューを実施することを推奨します。
ファイル共有を制御する
公開設定でのファイル共有を制限し、アップロードされたファイルはマルウェアや機密情報パターンを自動的に検査するよう設定してください。

チェックリスト6：監査担当者へ提示する証拠

優れたセキュリティ対策を実施していても、それを裏付ける証跡がなければ監査で十分に評価されません。
日常業務の中で、必要な証跡を継続的に残す運用を定着させましょう。

設定のベースラインを保存する
SPF、DKIM、DMARCレコード、受信メールポリシーの設定画面、MTA/TLS設定などを四半期ごとに保存してください。
変更履歴は、バージョン管理システムなどで管理すると効果的です。
レポートを定期的に作成する
毎月、DMARCサマリーレポート、フィッシング訓練の結果、不正利用への対応履歴をまとめ、対応内容や改善状況も記録してください。
これらのレポートは、自社の統制フレームワークとひも付けて管理すると、監査時の説明が容易になります。
教育実施記録を管理する
全従業員の教育受講状況を記録・管理してください。
特に、決済業務や顧客データを扱う高リスク部門には、追加の教育を実施することが望まれます。
長期的な教育プログラムを構築する場合は、サイバーセキュリティ教育の効果を理解することで、人材育成への投資効果も説明しやすくなります。

攻撃者はメールだけでなく、SMSやSNSなど複数の通信手段を組み合わせて攻撃を仕掛けるため、複数チャネルを対象とした教育が効果的です。
例えば、メッセージングアプリにおけるハニートラップ詐欺の手口を理解している従業員は、その直後にメールで届いた不審な送金依頼にも違和感を持ちやすくなります。
このようなチャネル横断型のセキュリティ意識を育てることが、インシデントの減少と監査品質の向上につながります。

企業メッセージングにおけるセキュリティファーストの文化

技術的な対策は重要ですが、その効果を最大限に引き出すには、従業員一人ひとりがセキュリティを意識した行動を実践することが欠かせません。

高リスクな操作は慎重に行う
銀行振込や取引先口座の変更、通常とは異なる請求書の処理など、高リスクな操作を行う際は、メールに記載された連絡先ではなく、正式に登録されている電話番号など別の手段で必ず確認してください。
この習慣を徹底するだけでも、多くのビジネスメール詐欺（BEC）を防ぐことができます。
暗記ではなく状況判断を身に付ける
「危険なキーワード」を覚えるだけでは十分ではありません。
文体の変化、不自然な緊急性、予定していた電話連絡を避けようとする依頼など、メール全体の文脈から違和感を見極める力を養うことが重要です。
実際に発生した事例や、従業員が日常的に利用している画面を使った教育を行うことで、より高い効果が期待できます。
機密情報はメールやチャットで送信しない
ワンタイムパスワード、アカウント復旧リンク、認証トークンなどは、社内の相手であってもメールやチャットで送信しないよう徹底してください。
可能であれば、このような情報はシステム側で自動的にマスクまたはブロックする仕組みを導入しましょう。
情報公開は必要最小限にとどめる
新しい送信元やドメインを作成できるユーザは必要最小限に制限してください。
また、チャットでは承認作業をダイレクトメッセージで行うのではなく、記録が残る共有チャネルで実施することを推奨します。
不審なメッセージには直接返信しない
不審なメールやメッセージを受け取った場合は、そのまま返信するのではなく、正式な連絡先や別の通信手段で事実確認を行ってください。
このような基本的な対応を徹底することが、安全なコミュニケーション環境を維持するうえで重要です。

PowerDMARCがサイバーセキュリティコンプライアンスで果たす役割

コンプライアンスチェックリスト自体は特定の製品に依存するものではありませんが、実際の運用では、それを効率的に管理できる仕組みが重要になります。
PowerDMARCは、複数のドメインやサードパーティーのメール送信サービスに対するSPF、DKIM、DMARCの設定と運用を一元管理できます。
これにより、複雑になりがちなメール認証の運用を、ポリシー適用、不正利用の監視、レポート作成まで含めた継続的な運用へと効率化できます。

また、監査時に必要となる証跡の作成や管理も容易になります。
さらに、大規模環境でもメール認証を適切に運用することで、メールの到達率向上にもつながり、顧客や取引先へ正当なメールを確実に届けられるようになります。

まとめ

コンプライアンスは、単に監査へ対応するためのものではありません。
メールやメッセージングを安全に運用するための日常的な取り組みを積み重ねた結果として実現されるものです。
まずは適切なメール認証プロトコルを導入し、すべての操作を適切なIDとひも付けて管理するとともに、その過程で必要な証跡を継続的に残していきましょう。

PowerDMARCのようなプラットフォームは、ドメイン単位でのメール認証やレポート作成を効率化し、運用負荷を軽減します。
一方で、ガバナンスの整備や従業員教育、インシデント対応計画の策定といった取り組みも、組織全体のセキュリティを強化するうえで欠かせません。
明確なチェックリストに基づき、継続的な改善を積み重ねることで、サイバーセキュリティは監査のためだけの活動ではなく、組織に根付いた日常業務の一部となります。