★☆★JNSAメールマガジン 第303号 2025.1.10☆★☆
2025/01/10 (Fri) 15:30
★☆★JNSAメールマガジン 第303号 2025.1.10☆★☆
こんにちは
JNSAメールマガジン 第303号 をお届けします。
メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed
コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。
今回のメールマガジンは
株式会社TwoFive 加瀬 正樹様にご寄稿いただきました。
【連載リレーコラム】
今注目されているDMARC
株式会社TwoFive 加瀬 正樹
電子メールに関連する技術として送信ドメイン認証が開発され、DMARCはその
技術の一つとして広く普及し、多くの企業やサービス提供事業者が導入してい
ます。今回はそのDMARCの解説とその狙い、BIMIという可視化のしくみをご紹介
します。
【送信ドメイン認証技術のおさらい】
電子メールのなりすましを確認する技術としては、SPFとDKIMがよく知られてい
ます。いずれもDNS上に真正であることを確認するための情報が宣言されており、
前者は真正な送信元メールサーバーのIPアドレスが、後者は真正なメールに
付与される電子署名の公開鍵が宣言されています。いずれの認証技術も適切な
運用をすることで、詐称を見分けることができますが、最も重要なヘッダー
Fromドメインの詐称には効果がありません。ヘッダーFromドメインは、読み手
がどこから届いたメールかを確認するための情報であり、ここを保護できなけ
れば、昨今のフィッシングメールの対策としては十分とは言えません。
【DMARCの特徴とその狙い】
DMARCは、このヘッダーFromドメインを保護するという特徴があります。具体的
には、SPFやDKIMの認証成功だけではなく、ドメイン名の一致（アライメント）
を必要とすることで、この課題を解決しています。また、DNS上にドメイン管理
者の宣言（DMARCレコード）を記述することで、なりすましと判定されたメール
の取り扱い方法（ポリシー）を指定することができます。ポリシーとしては、
「none（モニタリングだけ）」「quarantine（隔離）」「reject（拒否）」が
選択でき、運用状況によって、このポリシーを使い分けます。電子メールの
世界では、これら3つの技術を活用して、悪意のあるなりすましメールを見分け
ることがだんだんと容易になってきました。
【組織・企業のDMARC導入が進む一方で課題も】
GoogleやYahooといった主要なメールサービスだけではなく、携帯電話のメール
アドレスでも、このDMARCの認証が実装され、その重要性が増しています。
国内でも多くの組織・企業がドメイン管理者としてDMARCを導入しています。
TwoFiveの調査では、日経225銘柄の組織では、92%がすでにDMARCを導入済みで
あり、業界によってはこの数字以上に普及しています。一方、DMARCを導入して
いても、ポリシーが「none（モニタリングだけ）」では、本来の狙いである
なりすましメールへの対策としては不十分です。なぜならば、多くの組織・企
業は、届いてほしいメッセージが誤って隔離・拒否されることを気にしている
からです。メール送信環境をきちんと整備して、真正なメール送信にはSPFや
DKIMの対応を必須とし、DMARCのポリシーを強化することが今後の課題とも言え
ます。
【BIMIという可視化のしくみ】
最後になりすましメール対策の「可視化」機能について紹介します。真正な
メッセージに対してブランドアイコンを表示するBIMIという技術があります。
これは、あらかじめ証明書という形でドメイン名とロゴを紐づけ、真正な
メッセージの隣にそのロゴを表示することで、読み手が安心してメッセージを
閲覧できる仕組みです。この仕組みを利用するためには、DMARCの導入とその
ポリシーの強化（quarantineまたはreject）が前提です。ポリシーを強化する
という課題に対する大きな動機づけになる可能性を秘めています。今後の動向
を注目していきたいです。
以上
＃連載リレーコラム、ここまで
＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://tinyurl.com/mr3yffw3
※googleアンケートフォームを利用しています。
【JNSAイベントのお知らせ】
★1月24日開催 JNSA主催セミナー「Network Security Forum 2025（NSF2025）」
参加登録受付中です。会場参加もまだお席ございます！
https://www.jnsa.org/seminar/nsf/2025/index.html
【部会・WGからのお知らせ】
★JNSA主催セミナー／イベントの動画・講演資料順次公開中！
JNSAホームページをご確認ください
https://www.jnsa.org/
★＜会員限定！＞事業コンプライアンス部会による
「法令リスク一覧」「法令リスク一覧（プレゼンテーション版）」公開中です。
（会員限定ページでご覧いただけます）
★組織で働く人間が引き起こす不正・事故対応WGインタビュー連載
「日本の人事と内部不正」「特別編 第12回 経済産業省における人材戦略と取り組みに
関するインタビュー」公開中です
https://www.jnsa.org/result/soshiki/index.html
【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
https://www.jnsa.org/telework_support/telework_security/index.html
☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
sec@jnsa.org
☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <https://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第303号
発信日：2025年1月10日
発 行：JNSA事務局 sec@jnsa.org
*************************************
こんにちは
JNSAメールマガジン 第303号 をお届けします。
メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed
コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。
今回のメールマガジンは
株式会社TwoFive 加瀬 正樹様にご寄稿いただきました。
【連載リレーコラム】
今注目されているDMARC
株式会社TwoFive 加瀬 正樹
電子メールに関連する技術として送信ドメイン認証が開発され、DMARCはその
技術の一つとして広く普及し、多くの企業やサービス提供事業者が導入してい
ます。今回はそのDMARCの解説とその狙い、BIMIという可視化のしくみをご紹介
します。
【送信ドメイン認証技術のおさらい】
電子メールのなりすましを確認する技術としては、SPFとDKIMがよく知られてい
ます。いずれもDNS上に真正であることを確認するための情報が宣言されており、
前者は真正な送信元メールサーバーのIPアドレスが、後者は真正なメールに
付与される電子署名の公開鍵が宣言されています。いずれの認証技術も適切な
運用をすることで、詐称を見分けることができますが、最も重要なヘッダー
Fromドメインの詐称には効果がありません。ヘッダーFromドメインは、読み手
がどこから届いたメールかを確認するための情報であり、ここを保護できなけ
れば、昨今のフィッシングメールの対策としては十分とは言えません。
【DMARCの特徴とその狙い】
DMARCは、このヘッダーFromドメインを保護するという特徴があります。具体的
には、SPFやDKIMの認証成功だけではなく、ドメイン名の一致（アライメント）
を必要とすることで、この課題を解決しています。また、DNS上にドメイン管理
者の宣言（DMARCレコード）を記述することで、なりすましと判定されたメール
の取り扱い方法（ポリシー）を指定することができます。ポリシーとしては、
「none（モニタリングだけ）」「quarantine（隔離）」「reject（拒否）」が
選択でき、運用状況によって、このポリシーを使い分けます。電子メールの
世界では、これら3つの技術を活用して、悪意のあるなりすましメールを見分け
ることがだんだんと容易になってきました。
【組織・企業のDMARC導入が進む一方で課題も】
GoogleやYahooといった主要なメールサービスだけではなく、携帯電話のメール
アドレスでも、このDMARCの認証が実装され、その重要性が増しています。
国内でも多くの組織・企業がドメイン管理者としてDMARCを導入しています。
TwoFiveの調査では、日経225銘柄の組織では、92%がすでにDMARCを導入済みで
あり、業界によってはこの数字以上に普及しています。一方、DMARCを導入して
いても、ポリシーが「none（モニタリングだけ）」では、本来の狙いである
なりすましメールへの対策としては不十分です。なぜならば、多くの組織・企
業は、届いてほしいメッセージが誤って隔離・拒否されることを気にしている
からです。メール送信環境をきちんと整備して、真正なメール送信にはSPFや
DKIMの対応を必須とし、DMARCのポリシーを強化することが今後の課題とも言え
ます。
【BIMIという可視化のしくみ】
最後になりすましメール対策の「可視化」機能について紹介します。真正な
メッセージに対してブランドアイコンを表示するBIMIという技術があります。
これは、あらかじめ証明書という形でドメイン名とロゴを紐づけ、真正な
メッセージの隣にそのロゴを表示することで、読み手が安心してメッセージを
閲覧できる仕組みです。この仕組みを利用するためには、DMARCの導入とその
ポリシーの強化（quarantineまたはreject）が前提です。ポリシーを強化する
という課題に対する大きな動機づけになる可能性を秘めています。今後の動向
を注目していきたいです。
以上
＃連載リレーコラム、ここまで
＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://tinyurl.com/mr3yffw3
※googleアンケートフォームを利用しています。
【JNSAイベントのお知らせ】
★1月24日開催 JNSA主催セミナー「Network Security Forum 2025（NSF2025）」
参加登録受付中です。会場参加もまだお席ございます！
https://www.jnsa.org/seminar/nsf/2025/index.html
【部会・WGからのお知らせ】
★JNSA主催セミナー／イベントの動画・講演資料順次公開中！
JNSAホームページをご確認ください
https://www.jnsa.org/
★＜会員限定！＞事業コンプライアンス部会による
「法令リスク一覧」「法令リスク一覧（プレゼンテーション版）」公開中です。
（会員限定ページでご覧いただけます）
★組織で働く人間が引き起こす不正・事故対応WGインタビュー連載
「日本の人事と内部不正」「特別編 第12回 経済産業省における人材戦略と取り組みに
関するインタビュー」公開中です
https://www.jnsa.org/result/soshiki/index.html
【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
https://www.jnsa.org/telework_support/telework_security/index.html
☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
sec@jnsa.org
☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <https://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第303号
発信日：2025年1月10日
発 行：JNSA事務局 sec@jnsa.org
*************************************