メールセキュリティに求められるのは、ルールの照合だけではありません。そのメッセージを信頼してよいのかを、自ら推論する力が必要です。
1804年、ナポレオンはフランスに一つの法典を与えました。その法典は、今も世界の多くの国々で法制度の土台になっています。民法典（Code civil）は、入り組んだ各地の慣習を、整然として誰にでもわかる単一の成文法に置き換えました。この伝統のもとで、裁判官の役割はモンテスキューの言葉を借りれば「法の口」であることであり、それ以上でも以下でもありません。目指したのは確実性でした。
しかし、確実性には代償があります。成文化された制度は、法典の内容が更新されている範囲でしか通用しません。法典が想定しなかった新技術や新手の詐欺が現れても、適用できる条文はなく、誰かが新たな条文を書くのを皆で待つことになります。
あなたのメールセキュリティも、まさにこの仕組みで動いています。そして、そこに問題があります。
制定法としてのセキュリティ
シグネチャは、いわば制定法です。誰かが攻撃を観察してそれを記述するルールを書けば、その時点から、その攻撃とよく似た亜種に対して防御できるようになります。対応は速く確実ですが、法典に書かれていないものは見えません。
シグネチャだけでは不十分だったため、業界は法典を厚くしてきました。異常検知や振る舞いモデルは、いわば分厚くなった法令集です。過去の事象で学習し、メッセージがそこからどれだけ逸脱しているかをスコア化します。シグネチャより高度ではあるものの、思想は同じです。ゼロデイ攻撃とは、適用できる条文のない犯罪にほかなりません。
ニュースレター
CSO First Lookで最新情報を見逃さない
その日の主要なサイバーセキュリティニュースと詳細な解説を、受信箱にお届けします。
月曜～土曜に配信
成文化された防御の限界を最も明確に示すのは、チェックをすり抜けられずに失敗する攻撃ではありません。すべてのチェックを通過してしまう攻撃です。取引先のメールボックスが侵害されると、メッセージは実在するドメインから、有効な認証情報と積み上げられた信頼性を伴って届きます。インフラが本物であるため、あらゆるチェックが問題なしと判定します。 Verizonの「2026 Data Breach Investigations Report」によると、第三者が関与した侵害は全体の48%を占め、1年で60%増加しました。 認証は、本来確認すべきことを確実に果たしています。つまり、手紙が名乗りどおりの送り手から届いたことは確認できても、その内容を信じてよいかを判断するルールは持っていません。法典は参照され、「有効」と判定されました。しかし、そのメッセージは進行中の窃盗だったのです。
攻撃者はこの点を理解しています。成文化された防御を迂回するのは容易です。法典を破る必要はなく、法典が想定していない手口を使えばよいからです。 FBIの「2025 Internet Crime Report」では、ビジネスメール詐欺（BEC）による被害額が1年間で30億ドルを超えました。その多くは、どのルールにも記述されていないがゆえに、ルール違反にならなかったメッセージによって引き起こされています。
もう一つの伝統
英語圏の国々は、別の制度を選びました。コモン・ローは、必ずしも立法府の動きを待ちません。裁判官は、制定法が想定していない事態に直面しても、原則と先例から推論して判決を導けます。事案ごとに適応していくのです。書き換えを待つだけの法典とは違います。新たな事実関係を比較衡量する方法を心得た法廷だといえます。
これが、検知と推論の違いです。推論するシステムも過去から学ぶのではないか、という指摘はもっともです。確かにそのとおりです。ただし、事案を保存済みのパターンと照合することと、見たことのない事案に原則を適用することは別物です。あなたの抱える紛争をまだ一度も扱ったことのない裁判官でも、証拠をどう比較衡量すべきかは知っています。
だからといって、法典を捨てろと言っているわけではありません。大半のメールは白黒がはっきりしており、数ミリ秒で決着をつけるべきです。判断の容易なものは高速なルールに任せ、争いのあるものに対してこそ本格的な審理を行うのです。
法廷は、法典が苦手とする「なぜ」という問いにも答えられます。成文化されたシステムが示せるのは、「一致した」「逸脱した」という結果までです。一方、判決は証拠を挙げて根拠を示せます。送信者の実態は何か、両者の関係はその依頼を裏づけているか、メッセージは何を求めているか、といった具合です。推論そのものを信用する必要はありません。確かめるのは証拠です。判決の成否を決めるのは、裁判官の内心ではなく、事実が裏づけられるかどうかだからです。これはブラックボックスの対極にあります。読み、異議を唱え、覆すことのできる判断なのです。
これはゼロトラストからの後退ではありません。ゼロトラストが扱うのは、誰を中に入れ、何に触れさせるかというアクセスの問題であり、何も前提としません。ここで論じているのは判決、つまりメッセージが名乗りどおりのものかどうかです。この場面で取るべき姿勢は、有罪とも無罪とも決めてかからず、証拠に判断させることです。
最終審としての人間
最も重大な案件については、成熟した法制度は機械仕掛けだけに判断を委ねません。セキュリティでも、資金が動こうとしている当事者本人が判断すべき場面があります。
メッセージが送金や取引先の振込先変更、給与の振込先変更を求めている場合、適切な設計は、黙って判定を下して祈るようなものではありません。エスカレーションを行い、所有者に操作そのものの承認を求めます。通常の案件は推論に任せ、人間は最終審として、それに値する判断のために控えます。リスクの大きさに応じて、プロセスを使い分けるのです。
完璧な例えはありません。実際の裁判官は、どちらの伝統においてもここに述べたこと以上の役割を担っており、大陸法の制度も独自の法理を通じて進化しています。
最後に投げかけたい問い
この業界の歴史の大半において、選択の余地はありませんでした。機械は法典を適用できても、証拠を比較衡量して判断を導くことはできなかったからです。しかし、今はもうそうではありません。
自社がどちらのシステムで動いているかを知る簡単な方法があります。ユーザーに到達した攻撃のうち、すでに信頼しているインフラから届いたものがどれだけあるかをチームに尋ねてみてください。侵害された取引先、実在するアカウント、本来とは異なる目的に転用された本物のDocuSignやMicrosoftの通知などです。その数が多いなら、防御はコードの執行に失敗しているのではありません。コードを完璧に執行しているのです。ただし、コードが記述することを想定していなかった脅威に対して、です。
したがって、問うべきは防御が最新かどうかではありません。法典とは、定義上、常に昨日までの状況に対して最新なものです。問うべきは、あなたのセキュリティが法典なのか法廷なのか、そして一度も見たことのない事案に判断を下せるのか、という点です。あなたを傷つけるのは、そうした事案だけだからです。
