メール配信のセキュリティ対策は大丈夫？企業の一斉メール配信で取り組むべきポイントをご紹介

企業がメルマガ等の一斉メール配信を活用してサービスを顧客に提供するのが日常茶飯事の昨今ですが、セキュリティ対策の重要性はますます高まっています。もしメール配信のセキュリティ対策に不備があれば顧客には重大な被害が発生し、企業にとっては賠償問題へと発生するという驚異があります。企業が顧客へ提供するサービスをより安全・安心なものにするために、セキュリティ対策のポイントを解説・紹介します。

さてメール配信を日常的におこなう企業では多くの情報資産を取り扱います。顧客のメールアドレスや氏名等の個人情報といったものがまず挙げられます。それらを適切に守るべく、セキュリティ対策を強化しつつメルマガ等で企業や製品の価値を訴求していくことは、企業が優先的に取り組むべき課題のひとつです。

また顧客の個人情報だけでなく、経営情報、製品の秘密、従業員情報やそれらを保管する記録装置や紙など守るべきものは多岐に渡りますので、各種情報を有効活用しつつ、強固なセキュリティ対策として一般的なもの・メール配信に特有のものについて取り組むべきポイントをご紹介します。

変化を続けるセキュリティ対策の必要性

IPA（情報処理推進機構）が2022年3月29日に発表した 情報セキュリティ10大脅威 2022 では「個人」と「組織」向けとして、以下のとおりセキュリティ上の驚異を順位付けしています。

前年度と比較して驚異そのものの内容はほぼ同等ですが、順位が変動しており攻撃する側も試行錯誤している様子が伺えます。

とりわけ個人の部の「フィッシングによる個人情報等の窃取」が、2019年度以降はじめて2位から1位へとランクアップしたことは、一斉メール配信をおこなう企業においては注目すべき点です。

また企業の部の「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」がはじめてランクインしたことは、企業が今後さらにセキュリティ対策の準備と対応を高めていく重要性を示しています。

企業が守るべき重要な情報とは？

顧客への一斉メール・メルマガの配信をするためにメールアドレスや氏名といった重要な顧客情報を取得し、最優先に守るべき情報となる場合が多いでしょう。

また通常それだけでなく、日々の企業活動を進めていくなかで製品秘密・市場情報・取引先情報といった営業機密も蓄積されていきます。それらを管理するための記録媒体・紙資料といったように、情報の保管・運用方法も守るべき対象といえます。

セキュリティ対策の不備による驚異と対策のポイント

1.提供サービス・管理システムの不正利用

セキュリティ驚異：
ログインフォームは悪意ある者から不正利用を常に試みられていることを考慮しておきましょう。顧客に提供しているマイページや設定画面、注文情報といったパーソナルエリアだけでなく、企業担当者が日常的に利用している管理システム等もターゲットになりえます。それらが不正利用されれば、顧客・企業のいずれのケースでも情報漏洩といった損害を与えます。

対策のポイント：
もっとも基本的なこととしては、すべての通信にSSLを用いることが挙げられます。マイページ・管理システムのログインをより強固なものにするべく二要素認証を採用したり、パスワードの強度をあげたりすることで不正利用のリスクを軽減できます。それらは自前で実装が難しい場合は、専用のサービスを利用することを検討しましょう。

2.外部からの攻撃

セキュリティ驚異：
上述したログイン機能以外にも、外部からの攻撃は日常的に試みられています。提供しているサービスからは見えない部分、例えば、インターネットを介してのサーバーへの不正侵入については、システムやミドルウェアの脆弱性を利用したもの・ウィルスに感染させて被害をばらまくものといったことが挙げられます。

対策のポイント：
外部からの攻撃に対応するのは、ネットワークやシステム開発等の専門的な知識と対策が必要です。レンタルサーバーやメール配信等の外部サービスを採用する際には、外部からの攻撃に対策してあることを明記しているところを選びましょう。確認すべき点としては、ファイアウォールの設置、脆弱性対策、ウィルスチェックを日常的におこなっているかどうかを確認しておきましょう。

3.クラウドやインフラの影響

セキュリティ驚異：
今やほとんどの企業が顧客との接点を最大化するためにサーバーやクラウドサービス等を利用することは珍しくありません。レンタルサーバーやECシステム等は常に稼働しており、いつでも好きなときに顧客はサービス利用できるという認識でいます。何らかの障害でシステムが停止したり、復旧したものの不備によりデータが消失してしまったりした場合、顧客からの信頼を失ってしまうことになります。

対策のポイント：
稼働率が高いサーバー・クラウドサービスを採用しましょう。99.9%以上あると良い水準であるといえるでしょう。データセンターがどこにあるのか（国内、海外など）、地震災害等への対策がしてあるか、機器や電源等は冗長化されているか、障害検知や復旧対策の仕組みが徹底されているか、24時間監視とメンテナンスが定期的に行われているかが確認できると安心できます。

4.社内のヒューマンエラー

セキュリティ驚異：
自社従業員のシステム誤操作やメールの送り間違え、認識不足等を発端にして顧客情報の漏洩やサービス停止等が発生し、賠償問題まで発生してしまうこともあります。

対策のポイント：
管理システムやサーバーを操作する専任者を配置し、情報や処理に適切な権限を設けましょう。操作ログを記録しておくと、トラブルの際に後から参照できるのでなお安心です。情報取扱の規定や運用マニュアルも整備しておきましょう。

メール配信に特有のセキュリティ対策

メール配信には特有のセキュリティ対策が必要です。詐欺業者等がなりすましメールを紛れ込ませたりするためです。メルマガの購読開始や配信停止が法で定められていますので、受信者がいつでも操作できる機能や設定を用意する必要もあります。またメール受信者やメールソフト等の環境は企業が直接制御できる範疇ではありませんが、信頼性向上と詐欺被害低減に可能な対策はしておく必要があります。

具体的には送信元メールアドレスが偽装されていないことを担保する電子署名・認証の技術であるDKIM、SPFやS/MIME、メール通信の内容を暗号化するSTARTTLSなどがあります。それらに対応していくのもメール受信者の安心感を強化できます。

以下にメール配信に特有のセキュリティ驚異と対策のポイントについて一部ご紹介します。

1.メール送信者のなりすましとフィッシング詐欺

セキュリティ驚異：
受信したメールに表示される送信者（Fromメールアドレス）は、システムやメールソフトで簡単に本物そっくりに偽装することができてしまいます。それを利用してある企業になりすまして受信者をだまし、偽装したホームページへ誘導することで、ログインID・パスワードやクレジットカード番号などを不正に取得する詐欺被害が発生します。

対策のポイント：
最近のメール配信システムや受信ソフトでは、メールが正しいサーバーから送信されたかを確認できる仕組みに対応していますので、それらでなりすましやフィッシング被害を軽減できます。対応するにはDKIM、SPFという認証技術で送信者が本物であることを担保し、STARTTLS（メール暗号化）によってGmail等の警告表示を避けたりといったことが挙げられます。

2.マイページ不正ログインによる情報詐取

セキュリティ驚異：
メール・メルマガ配信をおこなっている場合、顧客専用のマイページを設けていることも少ないでしょう。もし何らかの事情でマイページを第三者によって利用されてしまうと、顧客情報が流出してしまうだけでなく、資産を盗まれてしまうといった被害に発展してしまうこともありえます。

対策のポイント：
マイページへのログインに必要なメールアドレスやパスワード等の顧客の個人情報を流出させないよう徹底することはもちろんですが、マイページ側でも不正アクセスに耐えうる設計が必要です。悪意ある第三者システムによるパスワード突破の試みを防ぐための連続ログイン失敗ロックや、ログインする人物が実在するかを確認するための二要素認証等の仕組みを用意しましょう。

3.オプトイン・オプトアウト不備による信頼性低下

セキュリティ驚異：
オプトイン・オプトアウトはどちらかといえばコンプライアンスに関するものですが、きちんと対応しなければ顧客からの信頼を大きく低下してしまうことになりますので軽視することはできません。特にオプトアウトの処理をおこなったにも関わらず、その後も継続してメールが届いてしまうようであれば、メール配信だけでなく企業やサービスに対する信頼感が大きく揺らいでしまうことになります。

対策のポイント：
メール購読を開始する際には確実に同意を得て、その証拠を一定期間保存すること。購読をいつでもやめられるように手段を提供しわかりやすく表示することが大切です。メルマガサービスを利用する際には、オプトイン・オプトアウトの仕組みが用意されていて、同意記録が保管されていることを確認しておきましょう。

メール配信セキュリティ機能・対策を標準搭載のCuenote FC

当社が提供するメール配信システム・メルマガのCuenote FCでは、ここまでに紹介したようなセキュリティ機能・対策を標準搭載しており、お客様に安心してご利用いただけるように万全を期しています。

実際のお客様の事例紹介を交えて、「システム利用・メール配信に関するセキュリティ機能」「外部からの攻撃に対するセキュリティ対策」「インフラ・ファシリティのセキュリティ対策」「内部対策・ヒューマンエラーの防止」の観点から詳しくご紹介していますので、以下のリンク先もご参考ください。

メール配信システム Cuenote FC > セキュリティ

まとめ

いかがでしたでしょうか。いまや企業の営業活動でインターネットの活用は当然の世の中ですが、技術が発展するに伴ってセキュリティの課題とそれに対する難易度も高度化・複雑化していることも事実です。セキュリティ驚異は絶えず変化しており、企業が取り組むべきセキュリティ対策も常に対応していく必要があります。

企業が守るべき情報は何か、セキュリティ対策の不備によってもたらされる驚異とは何か、それらの対策のポイントを改めてしっかり抑えましょう。また企業やサービス・製品の価値を顧客に届けるのに有用なメール・メルマガ配信ですが、日常的に接することが多いがゆえに特有のセキュリティの考え方と対策が必要なことも、今一度しっかりと確認しておきましょう。

この製品に関してのお問い合わせ