CASE STUDIES 導入事例

乙部氏

当社の事業は大きく二つの柱で構成されています。
一つはシステムインテグレーション事業（SIS事業）で、ソリューションサービスやIT保守サービスを提供しています。もう一つが、私たちが主に関わっているセキュリティソリューションサービス事業（SSS事業）です。

SSS事業では、セキュリティコンサルティング、診断サービス、セキュリティ運用監視サービスに加え、人材教育・リテラシー向上を目的とした教育系のセキュリティサービスも提供しています。教育系のセキュリティサービスは「セキュリティアカデミー」と呼ばれる事業領域として展開しており、そのうちの一つとして標的型攻撃メール訓練を実施しています。

乙部氏

私は、「標的型攻撃メール訓練サービスT3」の運用担当として、主にお客さま対応や問い合わせ対応、メール配信に関する保守業務を担当しています。

森田氏

私はメール訓練を含む、リテラシー教育全体を管轄するグループの運用リーダーです。運用メンバーの取りまとめに加え、プロダクトオーナーとして開発チームとの連携などの役割も担っています。

乙部氏

標的型攻撃メール訓練サービスT3の擬似的な攻撃メールの送信に活用しています。
標的型攻撃メール訓練サービスは、危険なメールを見抜く力を身につけてもらうため、実際の標的型攻撃メールやフィッシングメールを想定した内容のメールが届く、体験型の訓練となっています。メールの内容は「請求書の確認」や「業務連絡」など、実際の攻撃メールでよく使われるものを再現しています。

ご利用いただいているお客さまは、製造業・金融業・官公庁など幅広く、規模も10数名から数万名までさまざまです。ユーザ数も順調に増えてきており、年間では50万〜100万通ほど配信しています。

>>標的型攻撃メール訓練 T3 | 株式会社ラック

乙部氏

最大の課題は、疑似攻撃メールがお客さまに届かなくなったことです。特にGmail環境で受信している複数のお客さまから、ほぼ同時期に「メールが届かない」という問い合わせがありました。
メール訓練というサービスの性質上、実際の攻撃メールと似た内容を送るため、我々のメールサーバや送信元ドメインのレピュテーションが低下してしまったようでした。そうして信頼性が下がり、GmailやOutlookからの判定が非常に厳しくなっている中で大量配信をしたことで、制限をかけられてしまったのです。

森田氏

実は、この問題が表面化する前から、兆候のようなものはありました。 以前にもマイクロソフト宛のメール送信でIPスロットリング（※）が発生したことがあったんです。一時的なものではありましたが、受信していただくべきメールが送れないというのはビジネスインパクトが大きく、何かいい改善方法はないかなと考えていたところでした。

※IPスロットリング：スパムメール対策のひとつで、一定時間内に特定のIPアドレスからの送信量が制限値を超えた場合に、一時的に受信を制限（遅延・拒否）する仕組みのこと

森田氏

メールが届かなければ訓練になりませんから、標的型攻撃メール訓練サービスそのものが成立しなくなってしまいます。
以前ならメール訓練サービスはセキュリティ診断的な位置付けで、「怪しいメールを送って届かないのであれば、それはお客さまの環境が安全だということだから問題ない」という風潮がありました。しかし今は明確に教育のための訓練という位置付けになっているので、メールが届かないことに対するお客さまの温度感も高まっていました。

森田氏

当社メールサーバのログ上での違和感と、お客さまからの声がきっかけでしたね。我々のシステム側でメール送信自体はできていても、お客さまのゲートウェイで隔離されていたとか、配信成功になっているけれど迷惑メールフォルダに入っていたといったことは送信側で検知するのが困難ですから。

乙部氏

IPウォームアップを実施することでレピュテーションを回復させることも検討しましたが、効果が出るまでにどうしても時間がかかります。すでに訓練を予定しているお客さまもいたので、時間をかけるという選択肢は現実的ではなかったですね。

森田氏

社外サービスの検討にあたっては、当社で利用実績のある外資系のメールサービスが候補に挙がりました。
ただ、標的型攻撃メール訓練では、お客さまのメールアドレスや氏名といった個人情報を取り扱います。外資系サービスの場合、これらのデータが海外で管理される可能性があり、データの取り扱いについてお客さまへ詳しく説明する必要が出てきます。
そのため、サービス自体の機能とは別に、データの取り扱いに対する不安や、説明・合意に時間がかかる点が導入のハードルになると感じました。そうした点を考慮し、国内サービスを検討することにしました。

森田氏

まず、ベアメールから提供されている情報が充実していた点です。何かしらメールについて調べものをすると、ベアメールのブログ記事がすぐ出てくるんですよね。内容も具体的で、IPウォームアップやDKIM・DMARCの設定方法など、結構助けられました。
また、同業他社の方々とメールリレーサービスの話をする中で、ベアメールの名前が頻繁に挙がっていました。認知度が高いことから、一定の信頼を得ているサービスなのだと感じ、検討してみようとなりました。

乙部氏

最大の課題だったメール不達について、解消できる見通しが立ったことが大きな理由です。トライアル段階ですぐに確認できました。 また、既存の訓練システムと問題なく連携できるかどうかも重視していました。APIでログが取得できるか、配送遅延やバウンスが発生した際に適切に処理できるかなど、これまで提供してきたサービスに影響が出ないかも確認できました。

森田氏

あとはコスト面です。最初は「この価格でいいんだ」って、凄くびっくりしました。その上手厚いサポートも受けられますし、コストパフォーマンスが高いと感じます。

乙部氏

はい、解決できました。メールが届かないという問い合わせがほとんどなくなり、非常に助かっています。特に問題が多発していたGmail環境でも、現在はエラーがほぼ発生していません。

森田氏

はい、トラブルもなくスムーズに切り替えが完了しました。
正直なところ、もともと使っていたメール環境から送信元を切り替えるのは、サービスへの影響も大きく、慎重にならざるを得ない作業だと感じていました。

しかし、実際にはメンテナンス時間内に切り替えが完了し、その後も特に問題は発生しませんでした。無事切り替えが終わった時は、二人とも本当にほっと胸をなでおろしましたね。

乙部氏

サポートが非常に手厚く、本当に助かりました。
ベアメールを利用するにあたって、当社で管理している訓練システムとの連携が問題なくできるかどうかを、事前にしっかり検証する必要がありました。特にAPIまわりの仕様については確認事項が多かったのですが、問い合わせるとすぐに回答をいただけたので、社内での検討や確認が進めやすかったですね。

森田氏

業務効率の面でも効果を感じています。以前は配信状況やエラーの原因を調べるには、メールサーバからログを取得する必要があり、手間がかかっていました。
それがベアメール導入後は、管理画面でパッと状況を確認できるようになりました。メールログについても管理画面から確認ができますし、不明点があれば相談して見解をいただけるので、調査や対応にかかる時間が短縮されたと感じています。

乙部氏

これまでの話と重なりますが、管理画面のわかりやすさとサポートの手厚さですね。
不達の原因調査のためには、単にログを取得するだけじゃなくて、手作業で集計したりする必要があります。ベアメールの管理画面は、エラーの件数や原因も簡単に確認できるので、おすすめしたいポイントですね。

サポートが手厚く、相談しやすいというのもおすすめポイントです。SPF設定やウォームアップなど、相談する場面が多かったのですが、問い合わせるとすぐに回答をいただけました。
また、必要に応じて電話で状況を確認しながら、対応方針を整理できた点もとても助かりました。
メール配信はトラブル時の切り分けが難しい分野ですが、「困ったときにすぐ相談できる」「一緒に確認してもらえる」という安心感は、導入後の運用を考えると欠かせない要素だと思います。

乙部氏

今後もレピュテーションとメール到達率の維持のために、ベアメールを活用しながら、定期的なウォームアップなどに取り組んでいきます。

森田氏

お客さまのセキュリティリテラシー向上の一助となりたいと考えています。今はチャットなどが普及しているものの、メールが顧客向けのコミュニケーション手段として使われなくなるのは、おそらくずっと先だと思われます。
セキュリティ対策は年々強化されていますが、不審なメールが完全になくなるわけではなく、今後もそれをかいくぐる新しい攻撃が生まれてくると考えています。
だからこそ、日常業務の中で適切に判断し、被害を未然に防ぐためのセキュリティリテラシーを身につけることが重要だと考えています。当社では、そうした考え方をサービスを通じて広めていきたいと考えています。また今後は、日本国内にとどまらずグローバルにもサービスを展開し、より多くの利用者が安全に業務を行える環境づくりに貢献していきます。