「猫を群れに集めるようなもの」：契約社員を擁する組織におけるサイバーセキュリティの課題
自主性のある従業員を擁する組織全体にサイバーセキュリティ対策を導入するのは、まるで猫を群れにまとめようとするようなものかもしれません。dmarcianのシニアアカウントスペシャリスト、ヴィンセント・ウォルストラが、こうした組織構造における自身の経験と、DMARCがもたらすメリットについて語ります。
サイバーセキュリティの面において、特有の課題に直面している特定の業種があります。それは、不動産会社や証券会社など、従業員の大半が独立した契約社員で構成されている企業です。こうした企業の契約社員によるIT環境は、やや無秩序な状態になりがちです。契約社員が各自のパソコンや、雇用主のIT部門による管理・監督の対象外となるサードパーティ製ツールを使用しているケースが少なくないからです。
こうした従業員は、洗練された業務フローや、パーソナライズされたニュースレターやメールキャンペーンといったお気に入りのサードパーティ製マーケティング手法も身につけています。彼らはキャリアを積むにつれて、こうした手法を転職先へと持ち込みます。これらのツールはすっかり定着し、頼りになる存在となっているため、変更するのは困難に思えるのです。
これらは金融商品や、新居の頭金や銀行口座間の送金といった多額の資金のやり取りに関わるものです。住宅購入の決済のような慌ただしい場面では、「一刻を争う」というプレッシャーも加わるため、特にフィッシング攻撃を利用した「ビジネスメール詐欺（BEC）」など、詐欺が発生する絶好の条件が整ってしまうのです。
私は、このような企業に対し、次のようなDMARCポリシーを策定させる経験があります。 p=reject に設定し、不正な送信者がその企業のメールドメインをフィッシング詐欺に悪用できないようにする手助けをしてきました。当初、これらの企業にとって「reject」への道筋は困難に思えるかもしれません。なぜなら、メールドメインを利用している正規の組織が非常に多く、その中には独立心旺盛な個人事業主の従業員も含まれているからです。
明かりをつけてください
DMARCの有用な点の一つは、その可視性です。導入当初、次のようなDMARCポリシーを設定すると p=none に設定することで、そのドメインを名乗って送信されたすべてのメールに関する詳細な情報を得ることができます。
これは、暗い部屋で明かりを灯すようなもので、これにより、自社のドメイン名を使って誰が、どのようなメールを送信しているのかが把握できるようになります。これは、パーキングドメインや、廃止されたドメイン、使用されていないドメインについても同様です。
DMARCポリシーが p=noneに設定されているため、メールのトラフィックは監視されているものの影響は受けておらず、現段階ではメールの流通に支障はありません。これにより、企業は業務の流れを妨げることなく、自社のメール利用の実態や範囲を把握し、導入計画を策定する時間を確保できます。
繰り返しになりますが、DMARCを有効にすると、あなたのドメイン名を通じてメールを送信している送信元を確認できるようになります。知っている送信元もあれば、知らない送信元もあるでしょうが、これにより、あなたのドメインを通じてメールを送信しているすべての送信元を包括的に把握できるようになります。
信頼される
DMARC準拠の明らかな利点には、以下の両方が含まれます 可視性 と セキュリティですが、契約社員が実感できるメリットは 配信率にも及びます。DMARCを導入することで、マーケティング活動は、ブランド保護の強化、顧客の信頼感の向上、そして配信率の向上という恩恵を受けることができます。
企業のあらゆる側面に関わる取り組みと同様に、DMARCの導入にあたっては、契約社員および正社員に対する適切な研修や教育が不可欠です。従業員に対して期待する役割を明確にし、DMARCのメリットや、それが各自の業務および会社の目標達成にどのように寄与するかを理解してもらう必要があります。
独立心旺盛なエージェントで構成されるチームを率いることは、セキュリティ上の問題となるとまるで猫を追い回すようなものかもしれませんが、適切な調整と統合を行えば、DMARCはドメインのセキュリティ、可視性、配信率、そしてブランドの信頼性というメリットをもたらします。
この会話を続けたいですか？dmarcianフォーラムへどうぞ
