ホーム›ガイド›メールセキュリティ
メールセキュリティ · 理解する
メールシステムに内蔵されたフィルターが守るのは、そのメールシステムだけです。セキュリティゲートウェイはその前段に配置されます。ドメインの MX がゲートウェイを指定し、ゲートウェイがメールを受け取って分析し、どのようなメールボックスサーバーであってもそこへ配送します。本当の違いは分析のタイミング、つまりメッセージがメールボックスに入る前か後かにあります。
ビジネス用のメールシステムは、すでにメールをフィルタリングしています。Microsoft 365、Google Workspace、Exchange サーバー、ホスティング型サーバーには、スパム対策とウイルス対策が内蔵されています。このフィルターは、それを搭載するプラットフォームのために設計されています。ルール、レポート、ログはそのプラットフォーム内にあり、プロバイダーを変更すると一緒に失われます。
SMTP ゲートウェイ。メールボックスの上流に配置されるメールサーバーです。インターネット上のメール転送を規定する RFC 5321 は、メッセージを受け取って先へ転送するサーバーを「転送エージェント」（MTA）と呼んでいます。ドメインの MX レコードがゲートウェイを指定するため、送信元サーバーが最初に接続するのはゲートウェイです。
分析後、ゲートウェイはメッセージをメールボックスサーバーに渡します。ユーザーからはゲートウェイは見えません。メールソフト、Web メール、スマートフォンはそのまま使えます。
実務上の影響として、ゲートウェイはメールボックスに依存しません。フィルターを変えずにメールサーバーを変更することも、サーバーを変えずにフィルターを強化することもできます。この二つは別々に判断する別個の購入です。
フィルターが動作するタイミングは二つあり、その選択には意味があります。
多くの場合、二つの方式は組み合わせて使われます。上流で分析し、さらにクリック時にも保護を続けます。受信時には安全だったサイトが、その後に不正に改ざんされることがあるからです。どちらもすべてを止められるわけではありません。
Klytic が分析をメールボックスの前に置く理由は単純です。配信されなかったものは、後から回収する必要がないからです。ただし、CEO 詐欺のように、もっともらしいメッセージがすべてのチェックを通過した場合には、人による判断が引き続き必要です。
コストとしては、経路上の仲介者が一つ増えます。メールボックスサーバーにゲートウェイを登録しておかないと、すべてのメールが単一のアドレスから届くように見え、実際の送信者を正しく判断できなくなります。また、SPF、DKIM、DMARC も見直す必要があります。これらの設定は今お使いのメールシステムを守るで説明しています。
ANSSI（フランス国家情報システムセキュリティ庁）によれば、メールは「業務用端末への感染の主要な経路」であり、メールシステムは「非常に広く使用され、インターネットにさらされているため、攻撃の主要な経路の一つ」です（翻訳）。フィッシング、悪意のある添付ファイル、偽の送金指示。標的になるにはメールアドレスが一つあれば十分であり、小規模事業者も大企業と同じように狙われます。
ANSSI はメールの保護をデジタルセキュリティの「10の黄金ルール」の一つに挙げており、その対策基準ではスパム対策・フィッシング対策ソリューションの導入を推奨しています。また、情報システムのインターネット接続に関するガイドでは、業務でのメール利用は「組織の規模や業種を問わず」広く普及しており、スパム対策と悪意のあるコンテンツの検出の仕組みを「導入しなければならない」としています（翻訳）。
つまり、メールのセキュリティフィルタリングはもはやオプションではありません。本当の問題は、それをどこに配置し、メッセージがメールボックスに届く前に何を止められるかです。
ゲートウェイは、メールシステムのフィルターに加えて、メールボックスのベンダーに依存しない分析、複数のサーバーや複数の会社に共通のポリシー、そして説明可能な判定を提供します。
内蔵型でも前段配置型でも、フィルターは ANSSI が呼びかける基本の心がけの代わりにはなりません。疑わしいリンクや添付ファイルをクリックしない、不審なメールに返信しない、別の手段で確認する、二要素認証を有効にする、といったことです。
判定を下すために、ゲートウェイはメッセージ全体を読みます。名乗られた送信者と送信元サーバー、認証結果（SPF、DKIM、DMARC）、本文、リンク、添付ファイルです。そこから、配信、隔離、拒否、または未知の送信者の受信保留という判定を導きます。
読むことと保存することは別です。プロバイダーに尋ねるべきなのは、「何が残り、どれだけの期間保存されるのか」という点です。Klytic MTA では、三つのケースと、判定の記録を区別しています。
| 状況 | 保存されるもの | 期間 |
|---|---|---|
| 通常の配信 | 分析に使用した個人データ（送信者、宛先、件名、本文、添付ファイル名）は削除されます。残るのはタイムスタンプ、送信元ドメイン、スコア、判定です。 | デフォルトで 2 日後に削除。期間は調整可能 |
| 隔離された危険なメッセージ | 暗号化されたメッセージ全体 | 解放リンクの有効期間である 7 日間 |
| メールボックスサーバーに接続できない場合 | 暗号化（AES-256-GCM）されたメッセージをキューで保持 | 配信完了または期限切れまで |
| すべての判定 | スコアと理由（内容は含まない） | 統計のために保存される技術データ |
つまり「通常運用時にはメッセージを保存しない」とは、配信済みメールの永続的なコピーを持たないという意味です。「データゼロ」という意味ではありません。ゲートウェイは判定の記録を残し、分析の詳細を数日間保持します。各期限についてはメールセキュリティログの保管と確認で詳しく説明しています。
この経路は SMTP の通常の動作に基づいています。一時エラーを受け取ったサーバーは、メッセージを保持して再送を試みます。業務を止めずにメールシステムを移行する方法のガイドで、この仕組みによって MX 変更中にメールを失わずに済む理由を説明しています。
はい。メール攻撃は標的を規模で選びません。ゲートウェイは、メールシステムを変えずにこのフィルタリングを導入する方法の一つです。今お使いのメールシステムを守るをご覧ください。
いいえ。内蔵フィルターはゲートウェイの後段で引き続き動作します。各ベンダーは、自社の分析が正確さを保てるようゲートウェイを登録する方法を説明しています。今お使いのメールシステムを守るをご覧ください。
分析によってステップが一つ増えます。目に見える遅延は意図的なものです。未知の送信者を短時間保留することで、再送を行わない自動送信を排除します。
はい。MX は引き続きゲートウェイを指定し、配信先サーバーだけが変わります。切り替えの手順は業務を止めずにメールシステムを移行する方法をご覧ください。
削除されず、隔離されています。隔離、誤検知、報告をご覧ください。
それはフィルターではなくメールボックスの問題です。クラウド、専用、オンプレミスのメールシステムで扱っています。
Klytic MTA はこの種類のゲートウェイです。Klytic Mail なしで単体で契約でき、Klytic Mail、Microsoft 365、Google Workspace、Exchange、その他のメールサーバーへ配信します。
サービスは Klytic クラウド、専用インスタンス、または貴社のサーバー上に導入できます。Klytic クラウドは、サービスの提供状況に応じて、適用される法域に対応する任意の地域（たとえば欧州やモーリシャス）でホストされます。運用開始までは通常 24～48 時間です。Klytic が設定を準備した後、貴社がドメインの MX を変更するか、Klytic が代行します。
Klytic MTA が行わないこと：メールシステムやそのアカウント、権限を置き換えるものではなく、Klytic MTA を経由するメールしか見ることはできません。Microsoft 365 やその他のメールシステムについては、今お使いのメールシステムを守るをご覧ください。
本ページは一般的なアーキテクチャを説明したものです。具体的な設定は、お使いのメールシステムとドメインによって異なります。
2026年10月に参照。
