日本企業のメールセキュリティ対策とは？DMARC導入率や国際比較を解説

株式会社デージーネットの調査*によれば、30%の企業がDMARC（ディーマーク）に対応していることがわかりました。DX時代の到来が叫ばれる昨今、メールセキュリティ対策に力を入れている企業が大半です。

同社による調査では、セキュリティレベルが「危険」と判断された企業はありませんでしたが、半数近くが「強化・改善」を必要とするとされています。今回は、メールサーバセキュリティの概要や、今後の展望について紹介します。

調査に活用されたMScheckerの概要

この調査ではMScheckerというセキュリティ状態を確認するツールを利用して行われました。サイトのフォームに「氏名」「会社名」「メールアドレス」「メールアドレス（再入力）」を記載し、確認メールを送信するだけで、セキュリティを簡単に確認できます。具体的には以下の項目です。

・メール通信が暗号化されているかどうか
・メールが不正に中継されているかどうか
・メールの送信元がSPFレコードに登録されているかどうか
・メールの送信元のドメインがDMARCレコードに登録されているか

他にもDNSサーバのDNSSEC対応や、ブラックリスト登録などの項目を、無料で確認できます。

メールサーバのセキュリティ対策の必要性

メールサーバのセキュリティ対策が必要になる理由は、メールが「業務上欠かせないツール」でありながら、「セキュリティ上の様々なリスクを抱えている」からです。

たとえば、なりすましメールを送りつけ、受信者が添付ファイルを開いた途端、ウイルスに感染させるといった手口があります。場合によっては、自社だけでなく、取引先にも重大な影響を及ぼしかねません。

金銭的な被害以外にも、機密情報の流出など、企業の信用問題に関わる例も多くあります。こうした意味でも、メールサーバのセキュリティを強化しておく必要性は高いといえるでしょう。

DMARCとは

メールサーバのセキュリティを考えるうえで欠かせないのが、DMARC対応です。DMARC（Domain-based Message Authentication, Reporting and Conformance）とは、送信ドメイン認証に関する技術であり、簡単にいえば「なりすまし」などを防止するためのシステムです。

DMARCでは、メールの送信者が受信者に対してポリシーを設定します。具体的には、認証に失敗した場合、どのようにメールを処理するかを「送信者」が決定できる仕組みです。

DMARCは、メールの受信者側が送信者にレポートを送付できるようになっています。これにより、なりすましメールの送信元の確認や、セキュリティ対策の改善などに役立てられるようになりました。

DMARCは、既存の技術である「SPF」と「DKIM」を活用しています。両者の違いは以下の通りです。

・SPF（Sender Policy Framework）：送信元メールサーバのIPアドレスなどの情報が適正かどうかを判断する

・DKIM（DomainKeys Identified Mail）：電子署名欄を追加してなりすましや改ざんなどを防ぐ

上記のシステムに「受信者側での挙動を設定できる機能」を付け加えたのが、DMARCです。SPFやDKIM、DMARCに関する調査結果は以下のようになっています。

・SPFのみ対応している：2％
・DKIMのみ対応している：37％
・両方対応している：45％
・DMARCに対応している：31％

DMARC導入の国際比較

あるサイバーセキュリティ企業が日経225企業に対して2022年12月に実施した調査によれば、日本のDMARC対応率は、世界18カ国の中で最下位となっています。デンマークは、DMARC対応率100％です。他にもオランダ（92％）、スイス、スウェーデン（いずれも90％）など、高い数字を出している国も多くあります。

なりすましや詐欺に関するセキュリティについては、諸外国に比べて大幅に遅れを取っていることがわかります。ヨーロッパ諸国では、業種によってDMARC導入が義務化されているところもあるため、もちろん単純比較は難しいでしょう。しかしDX時代が到来する中では、セキュリティ強化が喫緊の課題となるのは間違いありません。

まとめ

MScheckerによるセキュリティ診断では、「危険」と判断されるサンプルはありませんでした。日本のメールサーバのセキュリティレベルは、年々上がってはいるものの、国際的には大きく遅れを取っている状態です。

複雑化するサイバー攻撃に対応するために、今後もDMARC導入が進むと考えられています。政府がどのような施策を実施するかによって、セキュリティのあり方が大きく変わってくるでしょう。

*【調査概要】
・調査対象：株式会社デージーネットが提供しているサービス「MSchecker」でセキュリティ診断を受けたドメイン（有効回答249）
・調査方法：オンライン（MSchecker）
・調査期間：2022年1月1日〜2022年12月31日

■参考サイト
@Press｜日本企業のメールセキュリティ対策調査結果
株式会社デージーネット｜メールサーバセキュリティ診断｜MSchecker