日経 xTECH有料会員限定 現在はどなたでも閲覧可能です

 チェック・ポイント・ソフトウェア・テクノロジーズ(Check Point Software Technologies)製のアプライアンスをはじめ、シマンテックやトレンドマイクロなど多数のセキュリティー製品やサービスを取り扱うアズジェント。最近引き合いの強い製品や今後の注目技術について、同社プロダクト営業本部長の杉山卓也取締役とビジネス開発部の太田智博氏に聞いた。

アズジェントプロダクト営業本部長の杉山卓也取締役とビジネス開発部の太田智博氏

ビジネスメール詐欺対策「だけ」では弱かった

最近、売れている製品は。

 ビジネスメール詐欺(BEC)対策の「IRONSCALES」だ。イスラエルのアイアンスケールズ(Ironscales)が提供しているSaaS(Software as a Service)型のソリューションで2018年5月に販売を開始した。ただし、当初のもくろみとは違った形で売れ行きが伸びている。

 販売開始したときはビジネスメール詐欺こそがホットな話題だろうと思っていた。その半年ほど前に国内で大きな事件(※日本航空が約3億8000万円の被害を受けた事件)が明らかになったからだ。ところが、ビジネスメール詐欺について知っていても遭遇したことのある企業は少なく、初めは想定していたほどの導入成果が得られなかった。

 販売当初はビジネスメール詐欺対策の特徴的な部分を前面に押し出していたが、顧客と話をすると、悩んでいるのは(ビジネスメール詐欺という狭い範囲ではなく)メールのばらまき型攻撃・フィッシングメールを防ぎきれず、対応にも手間がかかっていることだと分かった。

 IRONSCALESは、フィッシングメール対策の運用を自動化できる。機能について詳しく顧客に説明したところ、対策の工数を大幅に削減できる、ニーズに直結した製品だと納得してもらえた。

顧客は具体的にはどういう点で悩んでいたのか。

 メールのばらまき型攻撃というと大したことはないと感じるかもしれない。しかし最近はかなり高度化している。昔はその名の通りたくさんの人にばらまくだけだったが、今は短期間に少人数にばらまく攻撃なので、(不正なメールの送信元やタイトルなどを指定する)ブラックリスト方式での防御が難しい。

 またビジネスメール詐欺の場合は、マルウエアが添付されていたり、不正なURLが含まれていたりするわけではないため、既存のゲートウェイやサンドボックスではブロックできない。入り口での防御は限界で、従業員が被害を受けてしまう。

 ビジネスメール詐欺を含むフィッシングメールで対策すべきポイントは大きく3つある。まず、届いたときに気付くかどうか。気付かない人はリスクになる。次に気付いた人がセキュリティーチームへ報告するか。しかし、不審なメールの報告に複雑なルールを設けている企業が多いようで、従業員は面倒に感じて報告しない。報告がないと、チームが攻撃を把握できずリスクを抱えたままになる。

 最後はセキュリティーチームが対処できるか。報告の枠組みができている企業では、チームに届く報告が多すぎて対処が追い付かないことが起こり得る。

 セキュリティーチームがフィッシングを装って従業員にメールを送りつける「メール訓練」をしても、気付かない人は気付かない。訓練が効いて気付く人が増え、報告が多くなったらなったで、対処に時間が掛かることは変わらない。メール訓練だけでは根本的には解決しない。多くの企業が、検知や報告についての教育、報告のとりまとめ、攻撃メールの隔離までの一連の工数が多いことを課題に感じていた。

Office 365へ移行する企業が増えたことも好調の要因

どの点が評価されたのか。

 IRONSCALESは、メールの訓練機能があり報告の体験ができる。報告そのものの操作も簡単だ。それだけでなく最も重要なのは、報告が増えても自動で処理できる点にある。