その共有メール、誰に届いていますか？自動転送・フィルタ・代理権限を月1回点検する方法

info@会社ドメイン

support@会社ドメイン

order@会社ドメイン

recruit@会社ドメイン

代表窓口や問い合わせ対応のため、複数の従業員が同じメールアドレスを利用している会社は少なくありません。

共有メールは、担当者が不在でも問い合わせを止めず、複数人で対応状況を確認できる便利な仕組みです。

一方で、設定した当時の担当者が退職しても転送先に残っている、休暇中だけの予定だった転送が何年も続いている、会社が把握していない個人メールアドレスへ転送されている、といった状態が起こります。

さらに注意したいのが、受信トレイの「ルール」や「フィルタ」です。

ルールやフィルタは、メールを別のアドレスへ転送するだけではありません。

条件に一致したメールを別フォルダへ移す、既読にする、削除する、以降のルール処理を止めるといった操作もできます。

攻撃者がメールアカウントを乗っ取った場合、受信メールを盗み見るだけでなく、本人へ気づかれないように重要なメールを隠すためにルールを作ることがあります。

本記事では、共有メール、自動転送、受信トレイルール、フィルタ、代理アクセス、管理者による配送設定を、月1回点検する方法を解説します。

「共有メール」は一つの機能ではない

会社で「共有メール」と呼んでいる仕組みは、実際には複数の方法に分かれます。

方式	主な仕組み	確認すべき事項
共有メールボックス	一つのメールボックスへ複数人が個人アカウントからアクセスする	メンバー、送信権限、直接ログインの可否
メール委任・代理アクセス	所有者が別の利用者へ閲覧・送信権限を付与する	委任先、委任範囲、退職者・異動者
メーリングリスト・グループ	一つのアドレスへ届いたメールを複数人へ配信する	グループメンバー、社外メンバー、投稿権限
エイリアス	別名アドレスで届いたメールを特定のメールボックスへ届ける	実際の受信者、所有者、廃止済みアドレス
利用者による自動転送	利用者が自分の設定で別アドレスへ転送する	転送先、外部転送、業務目的
受信トレイルール・フィルタ	件名や送信者等の条件で移動・転送・削除する	条件、実行内容、作成者、必要性
管理者による配送設定	管理画面で転送、リダイレクト、アドレスマップ等を設定する	管理者設定、対象範囲、期限、承認者

例えば、利用者の画面で自動転送が無効になっていても、管理者が別の配送ルールを設定している場合があります。

反対に、管理者の転送一覧に何もなくても、利用者が受信トレイルールやGmailのフィルタを使って、特定のメールだけを転送している可能性があります。

「転送設定を確認した」という一言だけでは、どの設定を確認したのか分かりません。

2026年に実際に確認された「メールを隠すルール」

Microsoftは2026年4月、従業員のメールアカウントを乗っ取り、給与振込先を攻撃者の口座へ変更させる攻撃について公表しました。

攻撃者は侵害したメールボックスに、「direct deposit」や「bank」といった語句を含むメールを別フォルダへ移し、その後のルール処理も停止する受信トレイルールを作成していました。

このため、本人には人事部門とのやり取りが見えにくくなり、攻撃者が本人になりすまして給与振込先の変更を進めることができました。Microsoftは、実際に一人の利用者で金銭的被害が発生したと報告しています。

この事例で重要なのは、「外部への自動転送」だけが危険なのではないという点です。

攻撃者は、メールを転送せず、次の方法で本人から隠すこともあります。

特定の言葉を含むメールを別フォルダへ移す
メールを自動的に既読にする
メールを削除済みアイテムへ移す
迷惑メールフォルダへ移す
特定の送信者からのメールを削除する
ルールの処理を途中で止める
自動返信によって取引先を別の連絡先へ誘導する

これらは、通常業務でも利用される正規の機能です。

したがって、ルールが存在するだけで攻撃と断定することはできません。業務目的、作成者、作成日時、対象となるメール、実行内容を確認して判断する必要があります。

2026年7月のメールシステム事案と今回の点検の関係

中部テレコミュニケーションは2026年7月6日、KDDIが提供するISP事業者向けメールシステムへの不正アクセスに関連し、同社サービスで作成されたメールアドレス72万7,176件と、メールパスワード72万4,344件の漏えいが確認されたと公表しました。

対象者については、システム側でメールパスワードの強制変更を進めると説明されています。

この公表資料には、攻撃者が自動転送や受信トレイルールを設定したとの記載はありません。そのため、この事案で不正な転送が行われたと推測してはいけません。

ただし、メールの認証情報が第三者へ知られた可能性がある場合、パスワード変更だけでなく、次の確認も必要になるという実務上の教訓があります。

有効なログインセッションが残っていないか
多要素認証の登録内容が変更されていないか
知らない転送先が追加されていないか
受信トレイルールやフィルタが作られていないか
代理アクセス権が追加されていないか
不審な送信済みメールや削除済みメールがないか

Microsoftも、アカウント侵害時には、侵害されたトークンやセッションの失効、不正な受信トレイルールの削除、認証情報と多要素認証方法の再設定を行うよう案内しています。

共有メールで起こりやすい七つの問題

1　退職者・異動者が転送先に残る

担当者が退職した後も、代表メールから本人のメールアドレスへ転送され続けている場合があります。

社内アカウントが停止されていれば受信できないこともありますが、個人メールアドレスや転送先となる別サービスが残っていれば、退職後も会社のメールを受け取れる可能性があります。

退職処理では、本人のアカウントだけでなく、共有メールのメンバー、代理権限、グループ、転送先、受信ルールも確認する必要があります。

2　私物メールアドレスへ転送される

「外出先でも確認したい」「会社メールは通知が遅い」といった理由で、従業員が個人のGmail等へ自動転送していることがあります。

私物メールへ転送すると、会社は転送後の保存期間、アクセス端末、再転送、バックアップ、削除を管理できません。

顧客情報、契約書、見積書、請求書、採用情報などが含まれる場合は、会社の管理範囲から情報が外れます。

原則として、業務メールは会社が管理するアカウントと端末で利用し、私物メールへの自動転送は認めない方針が適切です。

3　休暇・休職中の転送が残る

休暇中だけ別の担当者へ転送する予定だった設定が、復職後も残ることがあります。

転送された側もそのことを忘れ、担当外の顧客情報や人事情報を受け取り続ける可能性があります。

一時的な転送には、開始日と終了日を設定し、終了日の翌営業日に解除確認を行います。

4　共有パスワードが使われる

info@やsupport@のパスワードを複数人へ配布し、全員が直接ログインしている会社があります。

この運用では、誰がメールを読んだのか、送信したのか、削除したのかを確認しにくくなります。

また、担当者が退職するたびに共有パスワードを変更し、全利用者へ再配布しなければなりません。

共有メールアドレスが必要であっても、認証情報まで共有する必要はありません。

5　送信済みメールを全員が確認できない

Microsoft 365の共有メールボックスでは、初期状態では共有メールボックス名義で送信したメールが、実際に送信した利用者個人の「送信済みアイテム」へ保存されます。

共有メールボックス側の送信済みアイテムへも保存する設定にしなければ、他の担当者が返信済みか確認できないことがあります。

担当者が同じ相手へ重複して返信する、前任者の回答内容を後任者が確認できないといった問題につながります。

6　メールを隠す古いフィルタが残る

以前は必要だったフィルタでも、組織変更や担当変更後には不適切になることがあります。

例えば、特定の顧客からのメールを旧担当者のフォルダへ移すルールが残っていると、新担当者が受信に気づかない可能性があります。

悪意のない設定でも、問い合わせや請求書、障害連絡を見落とす原因になります。

7　管理画面と利用者画面の設定が一致しない

メールの配送先は、利用者本人の設定だけでなく、管理者の配送ルール、グループ、アドレスマップ、エイリアスでも変更できます。

利用者へ「転送していませんか」と聞くだけでは、管理者設定による転送を確認できません。

反対に、管理者画面だけを見ても、利用者自身が作成した受信ルールやフィルタを見落とす場合があります。

共有メールは「パスワード共有」ではなく「権限共有」にする

Microsoft 365の場合

Microsoft 365の共有メールボックスは、info@やsupport@などを複数人で利用することを想定した仕組みです。

利用者は、自分自身のライセンス付きメールボックスから、付与された代理権限を使って共有メールボックスへアクセスします。

Microsoftは、共有メールボックスに対応するアカウントで直接サインインすることを想定しておらず、サインインを常にブロックしておくよう案内しています。

つまり、次の運用にします。

従業員は自分の個人別アカウントでサインインする
必要な従業員だけに共有メールボックスへの権限を付与する
「読み取りと管理」「名前を指定して送信」「代理送信」を業務に合わせて分ける
共有メールボックス自体への直接ログインを禁止する
退職・異動時は本人の権限だけを削除する
送信済みメールを共有メールボックス側にも保存するかを決める

Google Workspaceの場合

Google Workspaceでは、Gmailのメール委任機能を使い、同一組織内の利用者へメールの閲覧・送信権限を付与できます。

Googleグループを委任先として設定し、グループのメンバーへ一括して権限を与える構成もあります。

ただし、委任機能を管理画面で無効にしても、既存の委任関係は削除されません。後から機能を再度有効にすると、以前の委任関係が直ちに有効になります。

そのため、単に「メール委任を無効にした」ことを確認するだけでは不十分です。

不要な委任先自体を削除し、グループを使っている場合はグループメンバーも確認します。

「外部転送を禁止したから大丈夫」とは限らない

Microsoft 365の自動転送

Microsoft 365では、利用者が受信トレイルールを使って外部へ転送する方法と、管理者がメールボックス単位で転送先を設定する方法があります。

さらに、送信スパムポリシー、リモートドメイン、メールフロールールなども、自動転送の可否に関係します。

Microsoftの現行資料では、送信スパムポリシーの初期値である「Automatic – System-controlled」は、現在は外部自動転送を無効にする設定として動作します。

ただし、これは外部宛ての自動転送に関する制御であり、組織内部の転送には影響しません。また、複数の設定が関係するため、どこか一か所だけを確認して完了としないことが重要です。

Microsoft 365では、クラウド上の利用者が外部へ自動転送している状況を「Auto forwarded messages report」で確認できます。

Google Workspaceの自動転送

Google Workspaceでは、管理者が利用者による自動転送を許可するかを管理できます。2026年7月22日更新のGoogle公式資料では、この機能は初期状態で有効と説明されています。

有効な場合、利用者は一つの転送先を設定できます。また、Gmailのフィルタを使えば、特定条件に一致するメールだけを転送することもできます。

管理者が利用者側の自動転送を無効にしていても、管理者が「アドレスマップ」を使って別の利用者へリダイレクトまたは転送する構成は別に存在します。

Googleは、退職者のメールを後任者へリダイレクトする場合や、休職者のメールを代行者にも配信する場合の例を公式資料で示しています。

つまり、Google Workspaceでは少なくとも次を分けて確認します。

利用者本人が設定した自動転送
フィルタによる条件付き転送
管理者が設定したアドレスマップ
Gmailの配送ルール
メール委任
Googleグループのメンバー
エイリアス

月次点検を八つの手順で行う

以下は、中小企業向けの実務上の運用例です。

月1回という頻度や判定基準は、すべての企業へ一律に課される法的義務ではありません。扱う情報、メールの重要度、利用者数、取引先要求に応じて調整してください。

手順1　共有メールアドレスを一覧にする

最初に、社内で利用している共有・代表メールアドレスを洗い出します。

代表窓口
問い合わせ
注文・予約受付
採用
請求書・支払
サポート
個人情報相談窓口
セキュリティ連絡窓口
ウェブサイト管理
SNSやクラウドサービスの登録先
システム監視通知
退職者・休職者の一時転送

「誰のアドレスか」ではなく、「どの業務のアドレスか」という視点で整理します。

手順2　業務責任者と管理責任者を分ける

共有メールには、少なくとも二つの責任者を設定します。

役割	主な責任
業務責任者	誰が受信し、誰が返信し、いつまで保存するかを決める
技術管理責任者	メンバー、権限、転送、ルール、ログ等を設定・確認する

例えば、採用メールの業務責任者は人事責任者、技術管理責任者は総務またはIT事業者となります。

技術担当者だけでは、旧担当者が現在も必要かを判断できません。業務部門だけでは、管理画面に隠れた配送設定を確認できません。

両者で確認します。

手順3　現在の受信者・メンバーを確認する

次の項目を確認します。

現在のメンバーは誰か
退職者・異動者・休職者が残っていないか
委託先や外部協力者が含まれていないか
グループ内に別のグループが含まれていないか
社外メンバーを含むグループではないか
閲覧だけでよい人に送信・削除権限がないか
管理者権限を必要以上に付与していないか
代理責任者が決まっているか

一覧上では「営業部グループ」としか表示されない場合でも、そのグループの実際のメンバーまで確認します。

手順4　すべての転送経路を確認する

次の設定を別々に確認します。

確認対象	主な確認内容
メールボックス転送	すべてのメールを別アドレスへ転送していないか
受信トレイルール	条件付きで転送・リダイレクトしていないか
Gmailフィルタ	特定の送信者・件名だけを転送していないか
管理者配送ルール	管理画面で別の受信者を追加していないか
アドレスマップ	退職者・休職者の転送が残っていないか
グループ	意図しない利用者や社外者へ配信されていないか
エイリアス	古いアドレスが現在の誰へ届いているか
外部サービス連携	CRMや問い合わせ管理ツールへ転送されていないか

転送先が会社ドメイン内であっても、現在の業務上必要かを確認します。

「社内転送だから安全」とは限りません。人事、給与、相談窓口など、受信者を限定すべきメールもあります。

手順5　転送以外のルール・フィルタを確認する

特に確認したい操作は次のとおりです。

削除する
別フォルダへ移動する
既読にする
迷惑メールとして扱う
アーカイブする
以降のルール処理を停止する
外部アドレスへ転送する
添付ファイルとして転送する
自動返信する
特定の語句を条件にする

次のような条件が設定されている場合は、業務責任者へ確認します。

振込先
口座
請求書
パスワード
セキュリティ警告
ログイン
多要素認証
退職
給与
契約解除
苦情
個人情報

これらの語句を含むことだけで、不正なルールとは断定できません。

しかし、金銭、認証、事故、苦情に関するメールを利用者から見えなくするルールは、優先して確認すべきです。

手順6　共有パスワードの有無を確認する

共有アドレスへ、全員が同じパスワードで直接ログインしていないかを確認します。

共有パスワードが使われている場合は、次の順番で個人別アクセスへ変更します。

現在の利用者を一覧にする
各利用者へ個人別アカウントを用意する
共有メールボックスまたは委任機能で権限を付与する
送信・削除・管理権限を分ける
共有アカウントへの直接ログインを停止する
共有パスワードを利用不能にする
操作ログを確認する

個人別アカウントへ切り替えると、異動・退職時に対象者の権限だけを削除できます。

手順7　テストメールを送る

設定画面の確認だけでなく、実際にメールを送信します。

少なくとも次の組合せを試します。

社外から共有アドレスへ送る
社内から共有アドレスへ送る
共有アドレスから社外へ返信する
共有アドレスから社内へ返信する
添付ファイル付きメールを送る
迷惑メールと誤判定されやすい内容を避けた通常文を送る

次を確認します。

想定した担当者全員へ届いたか
想定外の人へ届いていないか
二重に届いていないか
迷惑メールや別フォルダへ移っていないか
返信元アドレスが正しいか
送信済みメールを他の担当者が確認できるか
自動返信が正しい内容か
退職者や旧担当者へ配信されていないか

手順8　点検記録を残す

共有メールの設定は、画面を見ただけでは、後から何を確認したか説明できません。

次の項目を記録します。

確認日
対象メールアドレス
業務責任者
確認者
メンバー
権限
転送先
ルール・フィルタ
管理者配送設定
テスト結果
削除・変更した設定
変更理由
承認者
次回確認日

IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、経営者が認識すべき指針と、社内で対策を実践するための手順・手法を整理し、個人事業主や小規模事業者を含む中小企業の段階的な取組を想定しています。

共有メール・転送台帳の記載例

項目	記録する内容
メールアドレス	`info@`、`support@`など
業務目的	問い合わせ、採用、請求書等
方式	共有メールボックス、グループ、委任、転送等
業務責任者	業務上の利用を判断する人
技術管理責任者	設定を確認・変更する人
代理責任者	主担当不在時の確認者
メンバー	現在アクセスできる人
閲覧権限	メールを閲覧できる人
送信権限	共有アドレス名義で送信できる人
削除・管理権限	メール削除や設定変更ができる人
転送先	社内・社外の転送先
ルール・フィルタ	名称、条件、動作
管理者配送設定	アドレスマップ、メールフロールール等
自動返信	内容、開始日、終了日
保存期間	業務上必要な保存期間
作成理由	なぜ現在の設定にしたか
開始日	権限・転送を開始した日
終了予定日	一時設定を解除する日
最終確認日	最後に点検した日
確認結果	継続、要修正、停止、調査
証跡	CSV、設定票、承認記録等

パスワードや多要素認証コードを、この台帳へ記載してはいけません。

台帳には、認証情報の保管場所と管理者だけを記録します。

Microsoft 365で確認したい項目

共有メールボックス

メンバーは現在の担当者だけか
「読み取りと管理」の権限が必要か
「名前を指定して送信」の権限が必要か
「代理送信」の権限が必要か
共有メールボックスへの直接サインインがブロックされているか
共有メールボックス名義の送信済みメールを共有側でも確認できるか
自動返信の内容が古くないか
メール転送が設定されていないか

Microsoft 365の共有メールボックスには、任意の有効なメールアドレスや配布リストへの転送を設定できます。社外へ転送したメールについては、転送先側でも迷惑メールやフィッシング、マルウェアを検査する必要があります。

自動転送

送信スパムポリシーで外部転送を許可していないか
外部転送を認める例外利用者がいるか
リモートドメイン設定が残っていないか
メールフロールールで外部転送していないか
利用者の受信トレイルールで転送していないか
自動転送レポートに見覚えのない利用者がいないか

外部転送を全面的に許可するのではなく、業務上必要な例外がある場合だけ、対象者、転送先ドメイン、期間を限定します。

受信トレイルールと監査ログ

Microsoftは、現在の受信トレイルールを確認する方法としてGet-InboxRuleを案内しています。

管理者向けの確認例は次のとおりです。

Get-InboxRule -Mailbox <対象メールボックス> |
  Format-List Name,Description,DeleteMessage,MoveToFolder,Enabled

また、ルールの作成・変更・削除について、統合監査ログでは次の操作を確認できます。

New-InboxRule
Set-InboxRule
Remove-InboxRule

誰がルールを作成・変更・削除したかを確認する際は、現在のルールと監査ログの両方を調べます。

管理画面の表示や利用できる監査機能は、契約プラン、権限、保存期間によって異なる場合があります。実際の確認はMicrosoftの最新公式資料と契約内容に基づいて行ってください。

Google Workspaceで確認したい項目

利用者の自動転送

組織で自動転送を許可しているか
組織部門ごとに例外設定がないか
利用者が設定した転送先はどこか
個人メールアドレスへ転送されていないか
Gmailフィルタを使った条件付き転送がないか
転送後の元メールを受信トレイへ残す設定になっているか
Email Log Searchで転送状況を確認できるか

Googleの公式資料では、自動転送を管理者が無効にすると、利用者のGmail設定画面から転送項目が利用できなくなります。

ただし、利用者のフィルタ、管理者による配送設定、メール委任、グループは別途確認が必要です。

管理者のアドレスマップ

退職者から後任者へのリダイレクトが残っていないか
休職者のメールを複数人へ配信し続けていないか
元の受信者にも配信する設定になっているか
社外アドレスが転送先に含まれていないか
設定名から目的が分かるか
終了日と承認者が記録されているか

アドレスマップは、利用者本人の転送設定とは別の管理者設定です。

退職・休職時に便利ですが、終了日を決めなければ恒久的な転送になりやすいため、例外台帳で管理します。

Gmailのメール委任

委任先は同一組織の現在の担当者か
グループを委任先にしていないか
グループメンバーに不要な人がいないか
代理送信時に実際の送信者を表示する設定か
過去に機能を無効化しただけで、委任関係を削除していない状態ではないか

委任機能を無効にしただけでは、以前の委任関係は削除されません。

将来再有効化したときに古い権限が復活しないよう、不要な委任先は個別に削除します。

退職者のメールは「無期限転送」にしない

退職者宛てのメールを後任者へ転送すること自体は、引継ぎのために必要な場合があります。

問題は、転送期間、対象、責任者を決めずに続けることです。

退職時の推奨手順

退職者本人のサインインを停止する
有効なセッションを失効させる
業務上必要なメール・ファイルを引き継ぐ
共有メールやグループから本人を削除する
本人が作成した転送・ルール・代理権限を確認する
必要な場合だけ、管理者が後任者または部署共有メールへ一時転送する
退職を知らせる自動返信を設定する
取引先やウェブサイトの連絡先を正式なアドレスへ変更する
転送の終了日と確認者を記録する
終了日に転送を解除し、テストメールを送る

転送先は後任者個人のメールより、部署の共有メールを優先します。

後任者が異動・退職するたびに転送先を変更する必要がなくなり、業務を個人へ依存しにくくなるためです。

退職者・異動者のアカウント棚卸しについては、既存記事の「退職者・異動者アカウントの消し忘れをなくす：月次棚卸チェックリスト」と組み合わせて確認すると、メール以外のクラウドや外部サービスも含めて整理できます。

点検結果を四段階に分類する

判定	状態	対応
継続	業務目的、担当者、権限、期限を説明できる	次回確認日を記録する
要修正	業務上必要だが、権限過剰、期限不明、所有者不明等がある	権限・条件・期限を修正する
停止	退職者、旧委託先、私物メール、目的不明の転送等	転送・権限・ルールを停止する
調査	作成者不明、隠しフォルダへの移動、削除、見覚えのない外部転送等	証拠を保存し、侵害の有無を調べる

「使われていないようだから削除する」と担当者だけで判断すると、年に数回だけ使う重要な設定を消してしまう可能性があります。

一方、「何かに使っているかもしれない」という理由で永久に残すことも適切ではありません。

業務責任者が必要性を判断し、技術管理者が設定内容を確認します。

不審な転送・ルールを発見した場合

見覚えのないルールを発見しても、最初から削除だけを行うと、作成日時や設定内容などの調査情報を失う可能性があります。

一方、現在も情報が外部へ送信されている場合は、記録より被害の停止を優先しなければなりません。

最初に記録する内容

対象メールボックス
ルール・フィルタ名
有効・無効の状態
条件
転送先
移動先フォルダ
削除・既読・処理停止等の動作
作成日時・更新日時
作成者
設定画面の記録
関連する監査ログ
最初に異常へ気づいた日時

初動の例

不正な転送が進行中なら、ルールを無効化または転送を遮断する
対象アカウントの有効なセッションを失効させる
パスワードを変更する
登録済みの多要素認証方法を確認・再設定する
不審な代理権限や転送先を削除する
サインイン履歴を確認する
送信済み、削除済み、迷惑メール、隠れたフォルダを確認する
金銭、給与、振込先、請求書等の変更が行われていないか確認する
同じ設定が他のメールボックスにもないか調べる
対応時系列と判断内容を記録する

振込先変更や請求書送付に関係する場合は、メール本文に書かれた電話番号ではなく、契約書や取引先台帳に登録済みの連絡先を使って確認します。

MicrosoftのStorm-2755に関する公表でも、侵害されたセッションの失効、不正ルールの削除、認証情報と多要素認証方法の再設定が対処策として示されています。

影響範囲を判断できない場合や、個人情報・営業秘密・取引先情報が関係する場合は、IT事業者、情報処理安全確保支援士、弁護士等へ相談します。

月1回確認したい共有メールの数字

以下は、本稿で提案する月次確認の例です。

指標	確認する意味	目指す状態
共有・代表メールアドレス数	管理対象を把握できているか	台帳と実態が一致
所有者不明の共有メール数	誰が必要性を判断するか明確か	0
共有パスワード利用数	操作者を個人別に識別できるか	原則0
外部自動転送数	社外へ情報が送られていないか	原則0または承認済みのみ
私物メールへの転送数	会社管理外へ情報が出ていないか	0
退職者・異動者の残存権限数	古い権限が残っていないか	0
期限切れの一時転送数	例外設定が恒久化していないか	0
所有者不明のルール数	設定理由を説明できるか	0
自動削除・隠しフォルダ移動ルール数	重要メールを見落としていないか	すべて理由を確認
社外者を含むグループ数	意図しない配信がないか	すべて承認済み
テスト送信失敗数	正しく届き、返信できるか	0
点検期限超過数	月次確認が止まっていないか	0

数字をゼロにすることだけが目的ではありません。

業務上必要な例外について、誰が、なぜ、いつまで認めたのかを説明できる状態にすることが重要です。

30日で共有メールの管理を整える

期間	実施すること	完成させるもの
第1週	共有メール、グループ、エイリアス、転送先を洗い出す	共有メール台帳の初版
第1週	業務責任者と技術管理責任者を決める	責任者一覧
第2週	メンバー、代理権限、共有パスワードを確認する	権限一覧、改善対象一覧
第2週	外部転送、受信ルール、フィルタを確認する	転送・ルール一覧
第3週	退職者、旧担当者、私物メールへの転送を停止する	停止・変更記録
第3週	共有パスワードから個人別アクセスへ変更する	権限付与記録
第4週	社内・社外からテストメールを送る	配送テスト記録
第4週	不審ルール発見時の初動を机上確認する	初動チェック表
第4週	月次点検日と報告項目を決める	月次点検票

最初からすべてのメール設定を完全に把握できなくても構いません。

まずは次の五つから始めます。

代表メール
問い合わせメール
請求書・支払メール
採用メール
セキュリティ・システム通知メール

会社の業務や金銭、個人情報に直結するアドレスを優先してください。

経営者が確認したい五つの質問

経営者がメール管理画面やPowerShellの操作を理解する必要はありません。

担当者やIT事業者へ、次の五つを質問してください。

会社の共有・代表メールアドレスをすべて一覧にできるか
各メールについて、現在誰が受信・送信・削除できるか説明できるか
個人メールや退職者へ自動転送されていないことを確認したか
メールを削除・移動・既読にするルールを最後に確認したのはいつか
不審な転送やルールを発見した際、セッション停止とログ確認を誰が行うか

この五つに答えられないからといって、直ちにメールアカウントが侵害されているとは限りません。

しかし、会社としてメールの配送先と権限を管理できていない可能性があります。

まとめ

共有メールは、問い合わせ対応や業務継続に欠かせない仕組みです。

問題は、複数人で利用することではありません。

誰に届いているか、誰が操作できるか、どのルールが動いているかを会社が把握していないことです。

月次点検では、次の項目を分けて確認します。

共有メールボックスやグループのメンバー
閲覧・送信・削除・管理権限
利用者が設定した自動転送
受信トレイルールやGmailフィルタ
管理者が設定した配送ルールやアドレスマップ
メール委任・代理アクセス
退職者・異動者・委託先の残存権限
送受信テストと点検記録

特に覚えておきたいのは、次の二点です。

共有メールアドレスは必要でも、共有パスワードは必要ない。

不正なルールは、メールを外へ転送するだけでなく、本人から隠すためにも使われる。

最初の一歩として、info@やsupport@など、会社で最も重要な共有メールを一つ選んでください。

そして、次の質問へ具体的に答えます。

このメールは、現在誰に届き、誰が送信でき、どの転送・ルール・代理権限が設定されているか。

画面と台帳を使って説明できれば、共有メールを「何となく全員で使っている状態」から、「会社が管理している業務窓口」へ変えることができます。

ライトハウスコンサルタントの「中小企業セキュリティ現状診断」では、メール、クラウド、共有アカウント、退職者対応、管理者権限、インシデント対応体制などを含め、現在の設定と実際の運用を整理します。

共有メールのパスワードを何人が知っているか分からない、退職者宛てメールの転送が何年も続いている、Microsoft 365やGoogle Workspaceの管理画面で何を確認すればよいか分からない場合は、製品を追加する前に、現在のメールアドレス、受信者、権限、転送、ルールを見える化することが重要です。

投稿タグ: Google Workspace, Microsoft 365, アカウント乗っ取り, メールフィルタ, メール委任, 中小企業セキュリティ, 共有メール, 共有メールボックス, 受信トレイルール, 自動転送