[調査・レポート]

2024年9月5日(木)日川 佳三（IT Leaders編集部）

リスト

　日本プルーフポイントは、日経225企業および米フォーチュン1000（Fortune1000）企業を対象に、なりすましメール対策に有効な送信ドメイン認証技術「DMARC（Domain-based Message Authentication Reporting and Conformance、ディーマーク）」の導入状況を調査した。

　日経225企業でDMARC認証を設定している企業は83％と、2023年12月調査の60％から大きく伸びている。米グーグルと米ヤフーが2024年2月より、両社のメールサービスを利用する企業に、送信条件に照らしてメール送信時のアクセス制御を厳格化したことが主な要因である。ただし、フォーチュン1000企業の96％（2023年12月調査では92％）の水準には達していない（図1、関連記事：海外に後れをとるDMARC導入─日経225企業の導入は6割、半数は監視設定のみ─プルーフポイント調査）。

図1：DMARC導入率の日米比較（出典：日本プルーフポイント）
拡大画像表示

　DMARCポリシーのレベルについて、日本企業は「None（監視のみ）」が75％で、最も厳格な「Reject（拒否）」と次に厳格な「Quarantine（隔離）」を適用している企業は20％にとどまる。一方、米国企業でRejectまたはQuarantineを適用している企業は64％に上る。日本企業は、DMARC運用の厳格さで米国企業に大きく後れをとっていることが判明した。

日米における業種別DMARC導入状況

　業種別に見ると、DMARC導入率100％の業種は日米とも、情報通信業、不動産業・物品賃貸業などだったが、上述のポリシーレベルには大きな違いがあった。また、日本はDMARC未導入の割合が多い業種（鉱業・採石業・砂利採取業など）がある一方、米国は全業種において「何らかの形でDMARCを導入」の割合が多い（図2）。

図2：業種別に見たDMARC導入率の日米比較（出典：日本プルーフポイント）
拡大画像表示

　DMARCポリシーにRejectを適用している業種は、日本では金融業、保険業（15％）、卸売業・小売業（9％）、製造業（7％）の3業種のみである。米国では、Rejectの適用が全業種に及び、建設業が最多の65％、これに学術研究・専門・技術サービス業（59％）、情報通信業（55％）、金融業・保険業（54％）が続いた。

　Quarantineを適用している業種は、日本では情報通信業（20％）、製造業（17％）、卸売業・小売業（14％）、金融業・保険業（10％）、運輸業、郵便業（6％）の4業種のみ。米国では全業種が適用し、宿泊業・飲食サービス業（33％）、運輸業・郵便業（25％）、情報通信業（23％）の順だった。

　日本の電気・ガス・熱共有・水道業、不動産業・物品賃貸業は、DMARC導入率が100％である一方、ポリシーはいずれもNoneだった。一方、米国の電気・ガス・熱共有・水道業は、Rejectが36％、Quarantineが19％、Noneが41％、DMARC未導入が5％で、不動産業・物品賃貸業は、Rejectが50％、Noneが50％である。

　日本の鉱業・採石業・砂利採取業のDMARC導入率は全業種中最低の33％で、ポリシーもすべてNoneである。一方、米国はRejectが33％、Quarantineが12％、Noneが43％、DMARC未導入が12％だった。

●Next：DMARCポリシーレベルは政府機関でも大きな日米差