CloudflareがArea 1の買収を決めた理由

Cloudflareは、より良いインターネットの構築に貢献するというミッションを掲げています。Cloudflareは、お客様により高速かつ安全で、信頼できるインターネットを提供するために、世界で最もパワフルなクラウドネットワークを構築できるよう多額の投資を続けてきました。本日、Cloudflareは、お客様の安全を守るためにより大きな一歩を踏み出します。

先ほど、CloudflareがArea 1 Security社の買収に合意したことを発表しました。Area 1はメールベースのセキュリティ脅威からビジネスを保護するために、卓越したクラウドネイティブなテクノロジーを構築しています。CloudflareではArea 1のテクノロジーをCloudflareのグローバルネットワークに統合し、市場で最も完成されたZero Trustセキュリティプラットフォームを提供します。

今世紀に入り、我々は迷惑メールとのバトルに携わってきました。当時、クラウドベースのメールはまだ一般的に普及しておらず、迷惑メールは大きな悩みの種でした。ユーザーの受信ボックスを満杯にしたり、ダウンロードにうんざりするほど時間がかかったり、ユーザーのインターネット接続料金を跳ね上げたりと、迷惑メールの問題はさまざまでした。迷惑メールとのバトルには、技術とアーキテクチャの2つの面で問題ありました。

技術的には、迷惑メールと正規のメールを的確に見分けるために、機械学習を活用する方法を見出しました。また、短期間にメールがクラウドベースに移行されました。ところが、こうした変化が迷惑メールを駆逐することはかなわず、それどころか、迷惑メールは確認されないまま迷惑メールフォルダーへと押し込められることになりました。

一時は迷惑メールのせいでメール自体が姿を消すのではないかと危惧されましたが、現実になることはありませんでした。実際に、メールは現在でもとても重要なツールのままです。また、その重要性から、メールはビジネスや個人を標的にした脅威の大きなベクトルになっています。

個人のほとんどがクラウドベースのメールに移行したのに対し、企業は依然としてオンプレミスのメールサーバーを使用し続けています。また、サイバーセキュリティ業界における他の多くのものと同様に、メールには使用されているメールプロバイダー純正の保護ではなく、クラス最高の保護が必要です。

Cloudflareが設立されたばかりのころ、私たちはメールで運ばれてくる脅威への対応を検討していましたが、ネットワークとWebの防御の構築を優先して注力してきました。そして時は流れ、Cloudflareでは保護対象を大きく拡張し、インターネットに接続する領域全体の保護を望まれるお客様に、当社のサービスをご利用いただくようになりました。

たとえば、Magic Transitを使用してDDoS攻撃からメールサーバーを守ることはできますが、これはメールが攻撃される可能性のあるほんの一手段に過ぎません。さらに油断ならないことは、組織に送信されるメールに詐欺のような不正行為、マルウェア、その他の脅威が含まれているという点です。CloudflareがHTTPを使用するアプリケーションを保護するように、アプリケーションとコンテンツレベルでメールを保護する必要があります。

新聞を開けば、たったひとりの従業員がフィッシングメールに引っかかったばかりに、企業の膨大なデータが流出したというニュース記事を頻繁に目にします。

サイバー攻撃の脅威はメールを介してビジネスに忍び込んできます。はっきりと申し上げましょう。あらゆるビジネスにおいて、脅威に対する最大の露出部分はメールなのです。

既存のメールセキュリティソリューションでは、脅威を完全に断つことはできませんでした。歴史的に見ると、企業は旧式のボックスベース製品を何層にも積み重ねることで、メールの脅威に立ち向かってきました。そして複数のレイヤーを成すように、Fortune 1000社の7社に1社が、2つ、またはそれ以上のメールセキュリティソリューション1を使用しています。Cloudflareをご存知の皆さんなら、Cloudflareが従来のボックス式のソリューションとは無縁であることはお分かりのはずです。ビジネスのクラウドへの移行が継続するにつれ、メールも同じようにクラウドに移行しています。Gartner社では企業の71%が、最も一般的なソリューションとしてGoogleのG SuiteやMicrosoftのOffice 365などのクラウド、またはハイブリッドクラウドメールを使用していると推定しています2。これらの企業では自社のメール製品に、組み込み型の保護機能を提供していますが、多くの企業では、こうした保護機能が適切にユーザーを保護するとは見ていません（これらの不足点については、当社の体験からさらに詳しくお話しましょう）。

メールセキュリティについては、かなり前から検討を重ねてきました。

昨年、CloudflareではEmail Security DNS Wizardを発表しました。これは、Cloudflare初のメールセキュリティ製品です。メールのスプーフィングやフィッシングといった脅威に対応し、数百万件にも及ぶメールの配信可能性を改善するためのツールとしてデザインしました。これが私たちの目指すメールセキュリティへの第一歩でした。Area 1のオンボードはその次の一歩であり、道のりにおける各段に大きな一歩となります。  

私たちは、セキュリティ企業として常に攻撃を受けています。こうした攻撃から従業員を保護するために、一定期間Area 1を利用してきました。

2020年の初め、当社のセキュリティチームは、従業員が報告するフィッシングの回数が増加していることに気づきました。当社が利用しているクラウドベースのメールプロバイダーは、強力なスパムフィルターを提供していましたが、悪意のある脅威や他の先進的な攻撃をブロックするという点では不十分でした。さらに、当社が利用しているプロバイダーが提供していたのは大元のWebアプリケーションを保護するためのコントロールのみで、iOSアプリやメールにアクセスする代替手段を保護するためのコントロールは不十分でした。つまりプロバイダー提供の保護機能の上に、メールセキュリティソリューションを多層レイヤーにする必要がありました（階層化については後半でさらに詳しく）。

担当チームはベンダー選びの際に次の4つの点に注目しました。メールの添付ファイルをスキャンする機能、疑わしい悪意のあるリンクを分析する機能、ビジネスメールの漏えい保護機能、そして強固なAPIを備えていることをクラウドネイティブのメールセキュリティに求めました。私たちは少なくない数のベンダーを試したあと、従業員を保護するにはArea 1が最適であるという結論にたどり着いたのです。2020年の初めにArea 1のソリューションを実装すると、驚くべき成果が見られました。Area 1を使用したことで、フィッシングの動きをいち早く察知し、被害が出る前にフィッシング対策を採ることができるようになりました。フィッシングのメールは激減し、その効果は長期にわたり持続しています。それだけではありません。Area 1のサービスがメールの生産性に影響を与えることはほとんどありませんでした。これは、セキュリティチームを悩ます誤検知の数が最低限であること意味しています。

実際にArea 1のテクノロジーは利用開始時点で非常に効果的であったことから、当社のCEOは最高セキュリティ責任者（CSO）にメールのセキュリティ機能が停止していないか確認したほどでした。サービスの利用開始から何週にもわたり、従業員からフィッシングの報告がCEOに寄せられなかったのです。このような状況はそれまでほとんどありませんでした。結局のところ、Area 1によって、すべてのフィッシングメールが従業員のメールの受信箱にたどり着く前にフィルタリングされていたために、従業員の誰もフィッシングメールが届いたという報告をしてこなかったということが分かりました。

Area 1が他のプロバイダーに比べてより良い成果を上げることができた理由には、2つの要素があります。第一に、メールのパターンを特定できる重要なデータプラットフォームを構築した点です。メールはどこから来るのか？メールはどのようなものか？メールの送信元のIPは何か？Area 1はメールセキュリティ分野に携わって9年になります。また、Area 1は、脅威インテリジェンスデータにおいて非常に価値のあるデータを蓄積してきました。さらに、Area 1はこのデータを使用して、最新の機械学習モデルをトレーニングすることにより、脅威を封じることに成功したのです。      

クラウドベースのメールセキュリティ製品を提供することは、それだけでも意味のあることです。しかしながら、Area 1のテクノロジーをCloudflareへ取り入れるという私たちのビジョンははるかに大きなものです。私たちは、既存のZero Trustセキュリティプラットフォームにメールセキュリティを追加することで、お客様に最高の保護を提供できると確信しました。

Cloudflareが既存のメールソリューションの前にArea 1を設置したように、多くの企業では2つ以上のメール保護製品を一緒に階層化しています。しかし、階層化は容易なものではありません。それぞれの製品にはそれぞれの構成メカニズムがあり（あるものはUIで、あるものはAPIで、あるものはTerraformをサポートしないなど）、それぞれのレポートメカニズムがあり、回避しなければならない非互換な部分があります。

基礎となるメールプロトコルのSMTPは、1982年の策定以来使用されてきたわけですが、この40年という年月にSMTPの安全性向上、詐欺行為への対策の追加、送信者の検証、その他多数のプロトコルがSMTPに関連して作られてきました。階層化されたメールセキュリティ製品がこれらの追加プロトコルのすべてと円滑に機能するように調整するのは容易ではありません。

そして、メールはそれだけで機能しているわけでもありません。ユーザーのメールアドレスは会社でのログインIDと同じであることも多いです。これだけでもZero Trustとメールセキュリティを融合させることに意味があります。

これまで見てきたとおり、メールは攻撃の主要なベクトルではあるものの、メールが唯一の攻撃対象というわけではありません。メールセキュリティは、企業の防御システムの1つのレイヤーに過ぎないのです。ほとんどのビジネスが自社の従業員や資産を守るために、複数のセキュリティレイヤーを設置しています。これらの防御レイヤーは、企業のシステムが攻撃者に潜り込まれるリスクを減らします。想像してみてください。もし、これらのレイヤーが互いにシームレスに機能する専用のもので、同じソフトウェアスタックに構築され、これを1社のベンダーが提供し、世界中の250以上のロケーションで利用できたとしたら、どうでしょう？

たとえば、フィッシング対策としてメールセキュリティをオンすることができたとします。しかし、何らかの理由で攻撃者が従業員のメール受信ボックスへ到達できたとしても、未知のリンクはテキストの入力が許可されていない、隔離されたリモートブラウザで開くというルールを作成でき、既知のマルウェアに対してメールの添付ファイルをすべてスキャンできたとしたらどうでしょう？これこそが、Area 1のテクノロジーをCloudflareのZero Trustセキュリティプラットフォームに追加することで達成したいと考える世界です。

メールとZero Trustを融合することで、メールと企業を守る可能性に満ちた世界の扉を開くことができるのです。

Cloudflareは、連携することで単独では成しえない価値を提供できる、緊密に結び付いた製品を好みます。私たちはこれを1+1=3と呼んでいます。CloudflareのZero TrustプラットフォームにArea 1を組み込むことで、お客様に大きな価値をお届けします。ただし、メールの保護は始まりに過ぎません。

Area 1は世界クラスのセキュリティを提供するためにメールデータを使用し、機械学習モデルをトレーニングするため長い年月を費やしてきました。メールの脅威データとCloudflareがグローバルネットワークから得る脅威データを融合させることで、Cloudflareの製品を利用するお客様に、より良いセキュリティ機能をお届けするとてつもないパワーが生まれます。

私たちは、Area 1チームとともに力を合わせることで、世界で最も堅牢なクラウドネットワークとZero Trustセキュリティプラットフォームの構築を引き続き支援していきます。

最後に、私たちがArea 1について最も驚いたのは、より良い（そしてより安全な）インターネットを構築するというCloudflareと共通するビジョンを持っていたことでした。Area 1のチームはスマートで気取らず、好奇心が旺盛です。Cloudflareは、Area 1の特性のすべてを高く評価しています。この2つのチームの力が重なることで、お客様に非常に高い価値をお届けできると確信しています。

今後のメールセキュリティ関連製品にご関心をお持ちの方は、こちらよりご登録ください。今回の買収ついてさらに詳しくお知りになりたい場合は、こちらまたは、Area 1のブログをご覧ください。

本買収は、2022年第2四半期前半に完了する見込みで、慣習的な買収完了条件が満たされることが前提となります。取引が正式に成立するまでCloudflareおよびArea 1 Securityは、別々の独立した企業です。

.....

¹Piper Sandler 1Q2021 Email Security Survey：Market Share

²Gartner社、Market Guide for Email Security、2020年9月8日