本記事では、サイバーセキュリティにおいて不可欠な役割を果たす「DMARC」の特徴や導入すべき理由について解説します。

現在、世界各国で企業を標的としたサイバー攻撃が増加しており、日本企業も例外ではありません。日本はほかの国に比べてサイバーセキュリティ対策が進んでいないと評価されることも多く、速やかな対応が求められます。

DMARCとは

DMARCはDomain-based Message Authentication, Reporting and Conformanceの略称で、電子メールを運用する上で遭遇する、送信者のなりすましやメール内容の改竄のような不正行為を回避するためのセキュリティ技術です。
DMARCの技術は、SPF（Sender Policy Framework）とDKIM（DomainKeys Identified Mail）という既存の電子メール認証技術をベースにしています。

メール送信に関する不正は、主に送信者を偽装することが簡単に行えるために発生するとされてきました。送信ドメインの認証手続きを経ることや、送信元IPアドレスの確認などにより、送信元の偽装を回避できます。

比較的シンプルな対策ともいえるDMARCですが、その導入効果は非常に高く、膨大な数のなりすましメールなどを回避できると評価されていることから、最低限のセキュリティ対策として企業における導入が求められています。

DMARCとDKIM・SPFの違いと関係性

メールを狙ったサイバー攻撃の手口はさまざまです。メール向けのセキュリティ対策としては、前述したDKIMやSPFと呼ばれるものがありました。

DKIMは、メールの送信元ドメインの公開鍵とメール本文の署名が一致するかどうかを確認する技術です。
SPFは、メールの送信元IPアドレスがドメイン所有者の指定したIPアドレスの範囲内にあるかどうかを確認する技術です。

DMARCは、SPFとDKIMの認証結果を組み合わせることで、なりすましメールやフィッシングメールなどの被害をより確実に防ぐことができます。
DKIMとSPFは、DMARCの導入を前提とした技術であるため、DMARCを導入する前にSPFとDKIMを導入しておくことが重要です。
そうすることにより、スパムメールやフィッシングメールの判別をこれまでより高い精度で実現することができるのです。

日本で進まないDMARC導入

DMARCは高く評価されるべきメール認証手段ですが、その導入実態は芳しいものではありません。

日本プルーフポイント株式会社の調査によると、日経225企業の過半数となる69％がDMARC認証を導入しておらず、自組織のドメインになりすます詐欺メールを判別できていないと考えられるということです。日本におけるDMARCの導入率の低さは、世界と比べてもとても低いといわれており、日本企業のセキュリティ意識の低さがこの結果からうかがえます。

なぜDMARCを導入すべきなのか

DMARC導入が強く求められる背景として、日本企業ではメールの運用頻度が依然として高いことが挙げられるでしょう。メールを経由したサイバー攻撃はポピュラーで、メールを利用している限り常に攻撃のリスクにさらされています。

また、メール詐欺やメールによるマルウエア被害は、企業に甚大な被害を与える可能性があるため、リスクを最小限に抑えることが重要です。

最も理想的な対策方法は、メールの運用をやめることです。専用のSNSやチャットツールを使うなどして、社内のメール運用をゼロにした企業は近年増加傾向にあります。メールの運用は外部の関係者に限定し、リスクを回避することが大切です。

もしメールの運用をやめることが難しい場合に有効な対策方法の一つが、DMARCの導入です。メール運用を極力控える仕組みづくりとDMARC導入によって、サイバー攻撃の脅威を取り除けるよう、企業努力を続けましょう。

DMARCの導入でサイバー攻撃のリスクを回避しよう

この記事では、DMARCの役割や日本企業の導入状況について解説しました。DMARCはサイバー攻撃のきっかけとなる、なりすましメールを回避する上で重要な役割を果たす技術です。セキュリティ対策が遅れている日本企業は、今後も世界中のハッカーから標的とされることが想定されます。
DMARCの導入を推進し、企業内のセキュリティ強化に努め、予期せぬサイバー攻撃からの被害を回避しましょう。