多くのセキュリティチームはいまだに、フィッシング対策をクリック率で測っています。追跡しやすく、スライド資料にも載せやすい一方で、誤解を招きます。クリックを測るのは「潮の満ち引きを測っている」ようなもので――自然に上下し、現実世界での影響を予測することはほとんどありません。
より意味のある問いは、多くのプログラムが答えられないこれです。攻撃者がメールボックスに侵入した場合、どれほどの被害を与えられるのか？
それこそが真の成熟度指標です。完了率でもなく、URLにホバーすることを覚えていたかどうかでもありません。クリック率が極めて低くても、注意を払っていない従業員が1人いるだけで十分です。ましてや、フィッシング攻撃が一切なくても発生する受信箱侵害が増えていることを考えればなおさらです。
フィッシングは入口の一つにすぎない；危機はその後に起きる
CISOを眠れなくさせるインシデントでは、フィッシングはアクセスを得る手段にすぎません。本当の問題は、攻撃者が内部に入った後に起きることです：
- 彼らは何年分もの機微なメールボックスデータや共有ファイルを持ち出します。
- メールボックスを使って、下流のアプリのパスワードをリセットします。
- 侵害されたIDを使い、信頼された送信元を装って他の従業員をフィッシングします。
ここでMFAは万能薬ではありません――クラウドワークスペースには、それを完全に回避して侵入できる方法がいくつもあります。侵害が避けられないのなら、目標は完璧な予防からレジリエンスへと移ります。
推測に頼らずGoogle Workspaceを保護する
クラウドワークスペース向けの自動修復ワークフローを実装することで、Material Securityは、機微な添付ファイルの回収やリスクの高いサードパーティアプリ権限の取り消しといった面倒な作業を、イベントごとに手動介入を必要とせずに処理します。
レジリエントなメールセキュリティのための多層アプローチ
現在市場にある多くのメールセキュリティツールは、受信攻撃の阻止――予防――にのみ焦点を当てています。これはもちろん重要ですが、それだけが防御ではいけません。現代の攻撃は速すぎ、規模が大きすぎ、そして高度すぎます。受信防御だけに依存するプログラムでは不十分です。
- 予防 – 受信脅威のブロック、設定ミスの修正、リスクの高いファイル共有の強化。攻撃が起きる前に、可能な限り多くの手を打って防ぐこと。
- 検知と復旧 – 被害が出る前に侵害や乗っ取りの兆候を見つけられる可視性を持つこと。単なる不審なログイン挙動だけでなく、データアクセスのパターン、メール転送ルール、ファイル共有の挙動、その他アカウントが通常どおりに振る舞っていないことを示す兆候も含みます。
- 封じ込め – 常時稼働のリスク低減により、爆発半径を縮小し、攻撃者がアカウントを侵害した後に与えられる被害を最小化すること。機微データの持ち出し、横展開、環境全体への攻撃拡散を制限します。
多くの組織は予防はそれなりにできていますが、範囲が狭すぎることがよくあります。より成熟した組織は、ある程度の検知と対応能力を備えています。しかし、封じ込めを効果的に運用できているところはごくわずかです。
欠けている層：封じ込め
封じ込めは華やかではなく、既存のセキュリティ分類にもきれいに収まりません。しかし、侵害の深刻度に驚くほど大きな影響を与え得ます。
こう考えてみてください。予防は、車を整備し、安全運転し、事故を避けること。検知と対応は、事故後に全員の無事を確認し、助けを呼ぶこと。封じ込めはシートベルトとエアバッグです――衝突を致命的でないものにする安全対策です。
封じ込めはスローガンではありません。侵害後の攻撃者の目的に向けた、実務的なコントロールの集合です：
- メールボックスからの持ち出しを難しくする： なぜアカウントへのアクセス獲得が、何年分もの個人情報（PII）や財務報告書への無制限アクセスを意味するのでしょうか？機微なメッセージに追加の検証を要求する内部セグメンテーションにより、攻撃者が「略奪」できる範囲を制限します。
- パスワードリセット経由の横展開を遮断する： 侵害の軌道を変えるコントロールを一つ挙げるなら、これです。パスワードリセットメールをインターセプトし、追加のMFAチャレンジを強制することで、侵害されたメールボックスが侵害されたIDにならないようにします。
- 「設定負債」を解消する： 攻撃者はレガシーなデフォルト設定を好みます。（MFAを回避する）IMAP/POPを無効化し、アプリ固有パスワードを整理するのは、爆発半径を大きく縮める基本的な衛生対策です。
手動トリアージを超えて
ほとんどのチームにとっての障壁は時間です。すべてのファイル権限を手動で監査したり、すべてのユーザー報告をトリアージしたりする余裕はありません。
封じ込めに本気なら、退屈な作業を自動でこなすシステム――リスクを検知し、バックグラウンドで修復する――が必要です。そうすれば、実際に判断が必要なときだけチームが介入できます。
代わりに何を測るべきか
クリック率がただの潮の満ち引きにすぎないのなら、これらの指標こそが実際のリスクを反映します：
- メールボックスの略奪可能性： 追加の検証なしにアクセスできる機微なコンテンツはどれほどあるか？
- リセット経路の露出： メールのみのパスワードリセットでアクセスできる重要アプリはいくつあるか？
- 封じ込めまでの時間： 攻撃者が内部に入った後、その行動をどれだけ速く制限できるか？
メールセキュリティは長年、玄関ドアに執着してきました。今こそ問い直すべきです。もし攻撃者が今この瞬間メールボックス内にいるなら、次の10分で何ができるのか――そして、その力をどれだけ速く奪えるのか？
