「メールセキュリティの負債」：誰も測定していないサイバーセキュリティ指標

どのセキュリティチームにも、自信を持って報告できる数値があります。たとえば、阻止したフィッシング攻撃、マルウェアの検知件数、ログイン失敗件数、漏洩した認証情報、平均対応時間などです。しかし、ほとんど誰も報告しないのが、数ヶ月前に完了するはずだったのに、次々と次のスプリントへと先送りされ続けている作業です。

その未処理案件には、こう呼ぶのがふさわしい名前があります： 「メールセキュリティの負債」 ――これは、メールインフラ全体に蓄積された、未解決の認証、所有権、設定に関する問題のことであり、組織がこれらを抱えたまま成長すればするほど、その解決にかかるコストは高くなっていく。

メールは、こうした情報を集めるのに特に優れています。新しいSaaSプラットフォームが、あなたの代わりにメールを送信し始めたり、移行中にDNSレコードが編集されたり、「一時的な」サブドメインがそのまま残されたり、プロジェクトが終了してからずっと後になってもベンダーがアクセス情報を送り続けたりすることがあります。個々の事象だけを見れば、5分もかからない修正に思えます。

「メールセキュリティの負債」とは実際にはどのようなものか

この概念は、ソフトウェア開発における「技術的負債」から着想を得たものです。つまり、今日の問題を解決するために近道を取り、そのメンテナンスの負担を将来の自分に押し付けるということです。

メールシステムでは、こうしたショートカットがすぐに蓄積されてしまいます。というのも、送信インフラが単一のチームに属していることはほとんどないからです。マーケティング部門がキャンペーンプラットフォームを運用し、人事部門が採用ツールを管理し、サポート部門がチケット管理システムを運用しています。開発者は2つか3つのトランザクションメールAPIを連携させ、IT部門はこれらすべてを結びつけるDNSレコードの維持管理を任されているのです。

代表的な症状：

• あなたのドメインを依然として使用している不明な送信サービス；
• 2年前に終了した移行作業から残ったSPFメカニズム；
• もはや誰も利用していないサービスを指し示しているDKIMキー；
• DMARCポリシー 所有者が明確でない状態で、監視モードに設定されたもの；
• その後二度と確認されることのなかった一時的なサブドメイン；
• 契約終了後も送信権限を保持しているサードパーティベンダー。

これらはいずれも、発生した当日にインシデントを引き起こすことはありません。それこそが、それらが存続している理由なのです。

認証は時間が経つにつれてますます複雑になる

新しいドメインでSPF、DKIM、DMARCを設定するのは、実に簡単です。しかし、インフラが変化し続ける中で、これら3つを長年にわたり正確に維持し続けることが難しいのです。

SPFを例に挙げましょう。最初はGoogle Workspaceと1つのマーケティングプロバイダーから始めます。その後、営業部門がプラットフォームを追加し、採用部門が独自のシステムを導入し、エンジニアリング部門がメールAPIを連携させます。レコードは増えていく一方ですが、古いレコードが同じペースで削除されることはめったにありません。その結果、ドメインはルックアップ制限に達してしまい、 重複したSPFレコードが公開されたり、あるいは 誰も説明できないSPFエラーといった事態を招いてしまいます。 SPFの構文を を一度正しく設定するのは簡単ですが、それを正しい状態に維持し続けることがメンテナンスなのです。

DKIMも同様のライフサイクルに従います。鍵は特定の送信者に属しており、送信者は変化します。公開されたセレクタは、その背後にあるサービスが日常的な運用から姿を消した後も、技術的には有効なままとなる場合があり、 DKIMは 2023年のチケットに埋もれた理由によって、DKIMが失敗し始める。

ここで、DMARCレポートの真価が発揮されます。集計レポートは、あなたがそう思っているシステムではなく、実際にあなたのドメインとしてメールを送信しているシステムを明らかにします。 これらのレポートを確認することで ことで、目に見えないドリフトを、対処可能なリストとして可視化できます。また、PowerDMARCを利用すれば、DMARC、SPF、DKIMの状況を1つの画面で確認できるため、チームが各レコードを個別のDNS作業として処理する必要がなくなります。

これにより、問い方が変わります。「DMARCは有効になっていますか？」という問いは有用ではありません。「現在、当社のドメイン名でメールを送信しているサービスをすべて把握していますか？また、それらのサービスはすべて、依然として当社に属するものですか？」という問いこそが重要なのです。

「送信者不明問題」

すべての記録が技術的に正確であっても、ある程度のメールセキュリティ上の課題は存在します。

2年前に承認されたウェビナープラットフォームを想像してみてください。その設定を担当した社員はすでに退職しています。アカウントは数ヶ月間、一切操作されていません。それでも、このアカウントからは、御社の企業ドメインを通じて認証済みのメールを送信することができます。

攻撃者の視点から見れば、「古い」からといって「無害」とは限りません。忘れ去られたアカウントは、誰も監視していない、メール環境への確実な侵入経路となるのです。

適切な送信者レビューでは、以下の6つの実用的な質問に答えます：

• このメールはどのシステムから送信されているのですか？
• このアカウントの管理権限はどのチームが持っていますか？
• どのドメインまたはサブドメインを使用していますか？
• SPFおよびDKIMの整合性チェックに合格していますか？
• 最後に正当な目的で使用されたのはいつですか？
• それを撤去する権限は誰にあるのでしょうか？

この最後の質問は、技術的な調査全体よりも多くの遅延を招く傾向があります。不要な送信元を特定するのは数分で済みますが、それを無効にするための承認を得るには数週間かかることもあります。

メール認証だけでは攻撃のすべてをカバーできない

企業が、自社の管轄範囲外の問題を、ある管理手法だけで解決できると期待する場合、別の種類の負債が生じます。

DMARCが強制適用されると、ドメインの直接的ななりすましは極めて困難になります。ただし、すべてのフィッシングメールを阻止できるわけではありません。攻撃者は、 類似ドメイン、乗っ取られたサードパーティのアカウント、悪意のある添付ファイル、そして説得力のある認証情報収集ページへと攻撃手法を転換します。

その時点で、問題は送信者の認証の域を超えています。悪意のあるファイルやリンクがユーザーの端末に到達してしまった後は、エンドポイント検知、ブラウザ保護、URLフィルタリング、あるいは 次世代型アンチウイルス ソリューションに、すり抜けた脅威を検知してもらうしかありません。

こうした責任分担は、一般的に考えられている以上に重要です。ある組織は厳格なDMARC適用を行っているにもかかわらず、ユーザーがメールをクリックした瞬間にセキュリティ上のリスクにさらされてしまうことがあります。また、別の組織はエンドポイント対策ツールに多額の投資をしている一方で、そのドメインから信頼できるメールを送信する権限を持つ、見落とされていたサービスが十数件も残っている場合があります。メールセキュリティの「負債」は、こうした2つの間のギャップに潜んでいる傾向があります。

なぜこれがダッシュボードに表示されることがめったにないのか

Eメールセキュリティの「債務」には標準的な測定単位が存在しないため、フィッシングクリック率やMTTRといった指標に比べて報告がはるかに困難である。

四半期ごとのスライドには、正当なメールの98％が認証を通過していることが示されているかもしれません。これは安心できる数字ですが、認証済みのメッセージを送信できるままになっている4つの放棄されたSaaSアカウントについては触れられていません。同様に、 p=reject を達成したからといって、環境全体が安全であるとは限りません。サブドメイン、サードパーティの送信者、および 未解決のDMARC違反 は、いずれもその表向きの数値の範囲外にあります。

より正直なダッシュボードは、成功した項目だけでなく、未解決の項目も追跡します：

• 差出人不明；
• 有効な所有者がいない認定サービス；
• 認証エラーの原因は依然として究明されていない；
• 非アクティブなプラットフォームでも送信は引き続き許可されています；
• 監視モードのまま放置されたドメイン 合意された期間を超えてモニタリングモードのままとなっているドメイン。

そのダッシュボードには「経過期間」も表示されるべきだ。昨日発見された送信元は「調査中」である。9か月経っても未解決のままの同じ送信元は「未回収債権」となる。

すべての例外にライフサイクルを割り当てる

メールセキュリティプログラムが、何か劇的な理由で停止することはめったにありません。停止の原因となるのは、一時的な例外、古くなったスプレッドシート、放置されたチケット、そして責任の所在が不明確なため誰も手をつけようとしない記録などです。

その対策は地味なものだ。未解決の送信者や認証に関する例外には、それぞれ担当者を割り当て、その存在理由を文書化し、確認日を設定する。このたった一つの変更によって、放置されていたインフラが再び可視化されるようになる。

まずはすでに公開されている情報から始めてみてください。現在の設定を確認し、ドメインを ドメインアナライザーにかけ、DMARCレポートを活用して、許可された送信と実際に送信されているものを照合してください。

この指標が完全に客観的になることは決してありませんが、そもそもそうである必要もありません。その価値は実用性にあります。古い送信元、古くなった記録、中途半端なDMARCの導入、そしてメールとエンドポイント保護の間のギャップは、もはや単なる「雑音」として扱われるのではなく、優先的に取り組むべき課題として認識されるようになります。これこそが、「メールセキュリティ債務」という概念を提唱する真の目的です。つまり、「測定されたものは、スケジュールに組み込まれる」のです。

よくあるご質問

「メールセキュリティ債務」とは何でしょうか？ メールセキュリティ債務とは、組織のメールインフラストラクチャにおいて、認証、所有権、設定に関する未解決の問題が蓄積された状態を指します。具体的には、古くなったSPFメカニズム、廃止されたサービス用のDKIMキー、監視モードのまま放置されたDMARCポリシー、そして誰も管理や検証を行っていないサードパーティの送信元などが挙げられます。

メールセキュリティの負債はどのように測定すればよいでしょうか？ 成功事例ではなく、未解決の項目を追跡します。具体的には、身元不明の送信者、管理者がいない承認済みサービス、調査されていない認証エラー、送信が許可されたままの非アクティブなプラットフォーム、合意された期限を過ぎても監視モードのまま放置されているドメインなどです。各項目の経過期間も加味してください。なぜなら、未解決の状態がどれほど長く続いているかが、単に調査中の案件と真のセキュリティ債務とを区別する基準となるからです。

DMARCのp=rejectを達成したからといって、メールセキュリティの「負債」がなくなったと言えるのでしょうか？ いいえ。メインドメインに対してDMARCを適用すれば、そのドメインに対する直接的ななりすましは防止できますが、サブドメイン、サードパーティの送信サービス、および未解決の認証失敗などは、表面上の指標が良好であっても、依然として管理されていないまま残ってしまう可能性があります。

• について
• 最新記事

Ahona Rudra

ドメインおよびメールセキュリティの専門家（所属： PowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

• AIによるフィッシングメール：AIが作成したメールを信用する前に確認する方法 - 2026年8月31日
• 「メールセキュリティの負債」：誰も測定していないサイバーセキュリティ指標 - 2026年8月31日
• PowerDMARC、DMARCソフトウェア分野で13四半期連続の「リーダー」に選出 - 2026年8月28日