DMARCソリューション

弊社は以下のプロセスを順次実施することでDMARCの初期導入～ポリシー変更まで実現できると考えています。
企業はまずゴールから逆算して各プロセスを達成するために必要な情報と出力する情報を定義し、ステークホルダーと認識合わせをしながらプロセスを構築する必要があります。(図4)

①【メールドメインを使用するシステムの特定】：導入対象メールドメインを使用するシステム洗い出し
※DMARCを導入するには、対象メールドメインを使用するシステムにて、SPF/DKIMの設定が必要のため、漏れなく洗い出す必要がある。

②【SPF/DKIMの導入&DMARCの初期導入】：対象メールドメインを使用するシステムのSPF/DKIMの導入と対象ドメインへのDMARC導入（ポリシー-none）

③【認証状況確認】：認証状況レポートをもとに、SPF/DKIMの設定漏れがあるシステムがないかの確認と特定
※認証状況レポート：DMARCの認証状況を取りまとめた日次レポート　

④【ポリシー強化】：DMARCポリシーをquarantine またはrejectに変更

DMARCは技術的に難易度は高くなく、一見すると導入するにあたっての障壁は無いように見えますが、各企業で導入～ポリシー強化まで難航することがあります。下記は実際に案件に携わる中で見えた障壁になります。

【対象システムの洗い出しに難航】：メールドメインの管理が十分になされていない企業が多く、どのシステムが対象メールドメインを使用しているのか管理できておらず、聞き先として関連部署が多くなってしまい難航することがあります。

【ポリシー変更判断が難しい】：DMARCポリシーをnoneからquarantine or rejectに変更する指標として、DMARC認証成功率※1が99%を超えていることが一つの指標としてあります。
一方で、特性上100%認証成功することはない（受信側の何かしらの理由等で認証失敗することもあるため）確実に全システムがSPF/DKIMの導入が成功していると捉えることができず、足踏みしてしまうことがあります。
※1DMARC認証成功率：対象メールドメインを使用して送付された全メールのうち、DMARC認証が成功している割合を出した数値

【認証状況レポートの分析が難しい】：一般的に、認証状況レポートはツールを用いて視覚的に見やすいものであるものの、設定が抜け漏れているシステムの有無を確認するには、技術力とナレッジが求められ、1企業でレポートを取り扱うことができる人材を確保していることは少ないのが現状です。

このように近年横行しているなりすましメール対策対策としてDMARCは有効である一方、まだまだ企業がスムーズに導入するに必要なナレッジや人材は少なく、手の施しが必要であるかと思われます。
弊社は、最適な認証状況レポート分析ツールの導入から、初期導入～ポリシー変更まで、企業の1社員として参画し共になりすましメール対策に尽力することができます。