最終更新日：2026年8月8日
fe fe-technology security
まず結論
電子メールのセキュリティ対策は、何を確認するのか・何を防ぎたいのか で切り分けます。
基本情報技術者試験では、次のように整理すると選択肢を選びやすいです。
宛先や添付を確認する
→ 電子メールの誤送信対策
送信元サーバのIPアドレスを確認する
→ SPF（Sender Policy Framework）
デジタル署名を使って確認する
→ DKIM（DomainKeys Identified Mail）
SPF・DKIMの結果を基に受信側の扱いを決める
→ DMARC
外向き25番ポートを制限する
→ OP25B（Outbound Port 25 Blocking）
第三者にメールサーバを勝手に使わせない
→ 電子メールの不正中継対策
特に試験では、SPFはIPアドレス、DKIMはデジタル署名 と切り分けるのが重要です。
直感的な説明
電子メールの対策は、同じ「メールの安全対策」でも、確認している対象が違います。
例えば、宛先確認は、人の操作ミスを防ぐ対策です。
本当にこの宛先に送りますか？
添付ファイルは正しいですか？
と確認することで、間違った相手にメールを送るリスクを下げます。
一方、SPF・DKIM・DMARCは、なりすましメールを見分けるための送信ドメイン認証に関係します。
SPF → このIPアドレスから送ってよいか
DKIM → この署名は正しいか
DMARC → SPF・DKIMの結果をどう扱うか
さらに、OP25Bは迷惑メールの直接送信を抑え、不正中継対策はメールサーバの悪用を防ぎます。
このように、人のミスなのか、送信元認証なのか、通信制限なのか を分けると理解しやすくなります。
定義・仕組み
代表的な電子メール対策を整理すると、次のようになります。
| 対策 | 主に見るもの | 主な目的 |
|---|---|---|
| 誤送信対策 | 宛先・添付ファイル | 送信ミスを防ぐ |
| SPF | 送信元サーバのIPアドレス | 正当な送信サーバか確認する |
| DKIM | デジタル署名 | メールの署名を検証する |
| DMARC | SPF・DKIMの認証結果 | 認証失敗メールの扱いを決める |
| OP25B | 外向き25番ポート | 迷惑メールの直接送信を抑える |
| 不正中継対策 | メールサーバの中継可否 | 第三者による中継悪用を防ぐ |
電子メールの誤送信対策
誤送信対策は、送信者の操作ミスによる情報漏えいを防ぐための対策です。
例えば、次のようなものがあります。
宛先アドレスの確認を求める
添付ファイルの確認を求める
社外宛てメールに警告を出す
一定時間送信を保留する
試験で「宛先アドレスの確認」が出てきたら、誤送信対策と判断します。
SPF（Sender Policy Framework）
SPFは、送信元ドメインに対して、正当なメールサーバのIPアドレスなどをDNSに公開しておく仕組みです。
受信側メールサーバは、実際にSMTP接続してきたメールサーバのIPアドレスと、送信元ドメインがDNSで公開しているSPF情報を照合します。
送信元ドメインを確認する
↓
DNSからSPF情報を取得する
↓
実際に送ってきたサーバのIPアドレスと照合する
↓
許可された送信元か確認する
FE試験では、IPアドレスで送信元を確認するならSPF と考えると切りやすいです。
DKIM（DomainKeys Identified Mail）
DKIMは、送信側が電子メールにデジタル署名を付け、受信側がDNSに公開された情報を使って署名を検証する仕組みです。
試験では、細かな暗号処理よりも、次の切り分けを押さえることが重要です。
IPアドレスを照合する → SPF
デジタル署名を検証する → DKIM
つまり、選択肢に「デジタル署名」が出てきたら、SPFではなくDKIMを疑います。
DMARC
DMARCは、SPFやDKIMの認証結果を利用し、認証に失敗したメールをどう扱うかという方針を送信側ドメインが示す仕組みです。
例えば、認証に失敗したメールについて、受信側に次のような扱いを求めます。
そのまま受信する
迷惑メールとして隔離する
受信を拒否する
FE試験では、SPF・DKIMを組み合わせて受信ポリシーを決める → DMARC と整理すると分かりやすいです。
OP25B（Outbound Port 25 Blocking）
OP25Bは、Outbound Port 25 Blocking の略です。
外部のメールサーバへ直接SMTP接続しようとする通信を制限し、迷惑メールの直接送信を抑える考え方です。
Outbound = 外向き
Port 25 = SMTPで使われる代表的なポート
Blocking = 遮断
つまり、OP25Bは 外向き25番ポートを制限する対策 です。
電子メールの不正中継対策
不正中継とは、第三者がメールサーバを勝手に中継用として使い、迷惑メールなどを送ることです。
不正中継対策では、メールサーバが誰でも中継できる状態にならないようにします。
認証された利用者だけ中継を許可する
許可されたネットワークからの送信だけ許可する
外部から外部への中継を禁止する
公式の出題範囲やシラバスは、IPA：基本情報技術者試験 から確認できます。電子メール対策は、ネットワークやセキュリティ分野の基礎知識として出題されることがあります。
科目Aでどう出る？
科目Aでは、説明文から該当するメール対策を選ぶ形で出題されやすいです。
選択肢を切るときは、次のキーワードを見ます。
| 問題文のキーワード | 選ぶ対策 |
|---|---|
| 宛先アドレスを確認する、添付ファイルを確認する | 誤送信対策 |
| DNS、送信元ドメイン、送信サーバのIPアドレスを照合する | SPF |
| デジタル署名、署名を検証する | DKIM |
| SPF・DKIMの結果、隔離・拒否などの受信方針 | DMARC |
| 外向き25番ポート、SMTP直接送信を制限する | OP25B |
| メールサーバを第三者に使わせない、中継を制限する | 不正中継対策 |
特にSPFとDKIMは、次のように切り分けます。
送信元ドメイン
＋
送信サーバのIPアドレス
＋
DNSで照合
→ SPF
デジタル署名
＋
署名の検証
→ DKIM
「なりすまし対策」という言葉だけで決めず、IPアドレスなのか、デジタル署名なのか を確認するのがポイントです。
科目Bでどう使う？
科目Bでメール対策が出る場合は、用語名だけでなく、どのリスクを、どの仕組みで下げているか を読むことが大切です。
例えば、業務メールの情報漏えい対策なら、
宛先確認
添付確認
送信前の警告
上長承認
などが出やすくなります。
一方、なりすましメール対策なら、
SPF → 送信サーバのIPアドレスを確認
DKIM → デジタル署名を確認
DMARC → 認証結果に応じた扱いを決める
という役割分担を読むことが重要です。
単に「メールの安全対策」とまとめず、人的ミス対策・送信元認証・通信制限・中継制限 に分けて考えるとよいです。
SG試験との違い
情報セキュリティマネジメント試験では、電子メール対策は 業務上の情報漏えい防止や運用上の判断 として出ることがあります。
例えば、次のような観点です。
宛先を確認する
添付ファイルを確認する
誤送信時の報告手順を決める
社外送信時の承認を設ける
一方、基本情報技術者試験では、メールの仕組みや技術対策もあわせて問われます。
SPF：IPアドレスで送信元サーバを確認する
DKIM：デジタル署名を検証する
DMARC：SPF・DKIMの結果を基に扱いを決める
OP25B：外向き25番ポートを制限する
FE向けの記事では、誤送信対策だけでなく、メール配送や送信ドメイン認証に関係する技術対策まで並べて整理するのが合っています。
よくある誤解・混同
一番重要なのは、SPF・DKIM・DMARCの切り分けです。
| 混同しやすい点 | 正しい理解 |
|---|---|
| SPFはデジタル署名を使う | SPFは送信サーバのIPアドレスをDNS情報と照合する |
| DKIMは送信サーバのIPアドレスを照合する | DKIMはデジタル署名を検証する |
| DMARCはSPFと無関係 | DMARCはSPFやDKIMの認証結果を利用する |
| 宛先確認はSPFで行う | 宛先確認は誤送信対策 |
| OP25Bは送信元認証を行う | OP25Bは外向き25番ポートを制限する |
| 不正中継対策は添付ファイル確認のこと | 不正中継対策はメールサーバの中継悪用を防ぐこと |
試験中は、次の3行を思い出すと切りやすいです。
IPアドレス → SPF
デジタル署名 → DKIM
SPF・DKIMの結果をどう扱うか → DMARC
「なりすましメール対策」という目的は似ていますが、何を使って確認するか が違います。
まとめ（試験直前用）
- SPFはIPアドレス：送信元サーバが正当かDNS情報と照合する
- DKIMはデジタル署名：メールに付与された署名を検証する
- DMARCは認証結果の扱い：SPF・DKIMの結果を基に隔離・拒否などの方針を決める
- 宛先や添付ファイルの確認は、電子メールの誤送信対策
- OP25Bは、外向き25番ポートを制限する対策
- 不正中継対策は、第三者にメールサーバを勝手に使わせない対策