DORAとDMARCの接点
本記事では、「デジタル・オペレーショナル・レジリエンス法（DORA）」とDMARCの関連性について解説し、金融セクターのデジタルセキュリティとレジリエンスを強化するというDORAの目的を、DMARCがいかに補完し得るかを示します。
DMARCを導入することで、ドメイン所有者はビジネスメール詐欺、フィッシング、なりすましに対抗することができます。
DORAとは
DORAとは、Digital Operational Resilience Act（デジタル・オペレーショナル・レジリエンス法）の略称です。これは、2022年に欧州連合（EU）が提案した規制枠組みであり、金融セクターで事業を行う組織に適用されます。この規制は2025年1月から施行されています。ICT（情報通信技術）の障害や脅威に対処し、適切に対応するためには、適切な安全対策が求められます。
DORAの下では、関係組織は、ICT関連のインシデントに対する保護、検知、封じ込め、復旧、および修復の能力に関する規則に従わなければならない。DORAはICTリスクを明示的に言及しており、ICTリスク管理、インシデント報告、業務継続性テスト、およびICT第三者リスクの監視に関する規則を定めている。
本規制は、金融機関が従来のリスク（市場変動、信用リスク、流動性不足）をカバーするのに十分な資本を保有している場合でも、ICT上の問題が金融システムの安定性を損なう脆弱性を生じさせる可能性があることを認識している。つまり、十分な財務的余力があるからといって、ICTインシデントや業務上の弱点に起因する混乱から必ずしも守られるわけではないということである。
DORAは以下の7つの章で構成されています：
- 総則
- ICTリスク管理
- ICT関連のインシデント管理、分類、および報告
- デジタル・オペレーショナル・レジリエンスのテスト
- ICTにおけるサードパーティ・リスクの管理
- 情報共有の枠組み
- 所管当局
メールのなりすましやフィッシング攻撃を防ぐためのDMARCアラインメントについて、詳しくはこちらをご覧ください。
DORAとDMARCの共通点
DORAではDMARC自体について明示的に言及されていませんが、DMARCは、DORAが想定する通り、フィッシングやなりすまし攻撃からメールドメインを保護することで通信のセキュリティと業務のレジリエンスを強化するなど、強固なサイバーセキュリティ体制を確保することにより、各章で掲げられた目標の達成に寄与することができます。
以下の表は、DMARCがその目的の達成に寄与できるDORAの各章をまとめたものです：
DORA 第2章：ICTリスク管理
本章では、ICT関連のインシデントの特定、保護、検知、対応、復旧を含む、堅牢なICTリスク管理の必要性について詳しく解説しています。DMARCを活用することで、組織は適切に承認されていない電子メールの活動を特定でき、電子メール詐欺に伴うリスクを低減し、組織の評判向上に寄与することができます。
ICTリスク管理の枠組みには、不正アクセスや不正使用といった脅威に関する情報およびICTリソースを組み込んだ戦略、方針、および解決策を含める必要がある。金融機関は、適切な方針や措置を講じ、関連するICTリスクを監督当局に速やかに開示することで、ICTリスクの影響を軽減することが求められる。
DORA 第2章 第6条
DORA 第3章：ICTインシデントの管理、分類、および報告
本章では、ICTインシデントの管理、分類、および報告について解説します。DMARCは、業務のレジリエンスやコンプライアンスに対する典型的な脅威となる、電子メールのなりすましやフィッシング攻撃に起因するセキュリティインシデントを検知し、その影響を最小限に抑えるのに役立ちます。
最も一般的で広く利用されている攻撃手法の一つがフィッシングであることを忘れてはなりません。サイバー犯罪者は、人々を騙して個人情報、ログイン情報、あるいは金融情報を開示させ、機密データを流出させるために、しばしばこの手法を利用します。例えば、ランサムウェア攻撃の多くは、メールを使ったフィッシングキャンペーンから始まります。そこでは、ユーザーが騙されて感染した添付ファイルを開いたり、悪意のあるリンクをクリックしたりさせられるのです。
金融機関は、ICT関連のすべてのインシデントおよび重大なサイバー脅威を記録しなければならない。金融機関は、ICT関連のインシデントについて一貫性のある統合的な監視、対応、およびフォローアップを確実に行うための適切な手順およびプロセスを確立し、当該インシデントの再発を防止するため、根本原因を特定、記録し、是正措置を講じなければならない。
DORA 第3章 第17条
DORA 第4章：デジタル・オペレーショナル・レジリエンスのテスト
本章では、デジタル・オペレーショナル・レジリエンスのテストフレームワークについて解説します。DMARCポリシーを導入・テストすることで、電子メールを介した脅威の検知および対応におけるその有効性を実証でき、あらゆる金融機関の包括的なサイバーセキュリティ戦略の構築に寄与します。
DORA 第5章：サードパーティのICTリスク管理
本章では、サードパーティプロバイダーのリスク管理について取り上げます。サードパーティとの契約に厳格なDMARCポリシーを盛り込むことは、通信の完全性とセキュリティを維持し、ひいては電子メールを介した脅威から保護するための重要な一歩となります。
DORA 第6章：情報交換協定
本章では、サイバー脅威に対する集団的な防御と対応を強化するため、組織間および公的機関間でサイバー脅威インテリジェンスを共有することの重要性について焦点を当てています。すべてのドメインにDMARCを導入することで、電子メール環境におけるフィッシングやスプーフィングなどの脅威を特定するのに役立ちます。
dmarcianのようなDMARC分析ツールは、あらゆる組織のメール環境を継続的に監視するための重要な資産です。このツールは、情報共有活動において共有される可能性のある潜在的な脅威を特定するのに役立ちます。
事例研究：アイルランド銀行協会の会員
アイルランド銀行協会（BFI）は、アイルランドの銀行および決済業界を代表する組織です。同協会の会員には、数多くの金融機関が名を連ねています。私たちは、BFI会員におけるDMARCの導入状況を調査し、会員各社の電子メールセキュリティ対策に関する有益なデータを提供しました。
以下は、BFI加盟団体のDMARC導入状況およびポリシーを示す図表です：
これらの数字が示すように、会員の62％はある程度DMARCを導入しているものの、かなりの割合（38％）が依然としてDMARCが提供し得る制御機能を備えていない。
データによると、DMARCレコードをすでに設定している組織の69%が、隔離または拒否の適用ポリシーを導入しています。しかし、p=none を採用しているドメイン（31%）については、依然として改善の余地があります。これは、詐欺メールに対する保護措置が一切講じられていないことを意味します。
DMARCは、安全で強靭なデジタル金融セクターの実現というDORAの目標を達成するための基盤の一つです。金融機関は、自社のメールシステムにDMARCを導入することで、メールを介した脅威からの保護、規制要件への準拠、および体制内の業務継続性の向上といったメリットを得ることができます。
金融機関は、本規制を確実に遵守し、欧州の金融システム全体におけるデジタル・オペレーショナル・レジリエンスの調和強化がもたらす期待される効果を後押しできるよう、現在から2025年1月までの間に講じるべき措置を計画すべきである。
私たちがサポートします
メールセキュリティのエキスパート集団であるdmarcianは、「ドメインセキュリティを通じて、メールとインターネットをより信頼できるものにする」というミッションを掲げ、お客様の組織のドメイン状況を評価し、長期にわたってDMARCの実装と管理をサポートいたします。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
