Las entidades financieras lideran la aplicación de las políticas comerciales, ya que el 90,0 % mantiene un SPF válido y el 50,0 % opera con p=quarantine. Sin embargo, solo el 10,0 % ha avanzado hasta la aplicación completa del nivel p=reject, mientras que el 30,0 % carece por completo de DMARC y el 10,0 % permanece en el nivel p=none. Además, la falta total de adopción de MTA-STS (0,0 %) y DNSSEC (0,0 %) hace que los avisos de transacciones interbancarias y las comunicaciones con los clientes sean susceptibles de ser interceptados.
Las agencias gubernamentales de Ruanda muestran una implementación ejemplar de DMARC, con solo un 2,9 % que omite registros y un 94,3 % que valida correctamente el SPF. Sin embargo, la aplicación de las políticas se concentra en gran medida en el nivel p=quarantine (61,4 %) y en la observación pasiva p=none (34,3 %), mientras que solo el 1,4 % alcanza el nivel estricto p=reject. La ausencia total de DNSSEC (0,0 %) y MTA-STS (0,0 %) deja las comunicaciones departamentales vulnerables a la interceptación durante el tránsito.
En lo que respecta a la gestión de historiales clínicos y archivos de laboratorio confidenciales, el sector sanitario presenta una elevada tasa de adopción de la cuarentena (60,0 %) y una validez del SPF del 91,1 %. Sin embargo, el rechazo activo brilla por su ausencia (0,0 % p=reject), con un 26,7 % sin DMARC, un 11,1 % en p=none y un 2,2 % con errores de configuración. Si a esto le sumamos que la adopción de MTA-STS y DNSSEC es del 0,0 %, la confidencialidad de los pacientes se ve amenazada en virtud de la Ley n.º 058/2021.
Las instituciones de educación superior e investigación lideran a nivel nacional el rechazo estricto según DMARC (32,7 % en «p=reject»), junto con un 30,9 % en «p=quarantine». Sin embargo, el sector presenta una vulnerabilidad subyacente considerable: el 45,5 % de los dominios educativos omiten por completo el SPF, y el 18,2 % omiten el DMARC. Si a esto le sumamos el 0,0 % de MTA-STS y un uso mínimo de DNSSEC (3,6 %), las credenciales académicas y los datos de investigación se enfrentan a riesgos constantes de suplantación de identidad.
Los operadores de servicios públicos esenciales presentan la mayor validez de referencia del SPF del país, con un 97,0 %. A pesar de esta base sólida, la transición hacia la defensa activa se está retrasando: el 45,5 % sigue estancado en la observación pasiva «p=none», el 36,4 % omite por completo el DMARC y solo el 3,0 % aplica «p=reject». Con una adopción del MTA-STS del 0,0 %, las notificaciones de la cadena de suministro de los servicios públicos siguen siendo vulnerables a la suplantación de identidad de los ejecutivos.
Las cadenas de televisión, los medios de comunicación y las agencias de noticias digitales presentan una vulnerabilidad generalizada. La mitad (50,0 %) carece por completo de un registro DMARC, el rechazo activo es inexistente (0,0 % p=reject) y el 11,1 % presenta errores de sintaxis en SPF. La ausencia total de implementación de MTA-STS (0,0 %) o DNSSEC (0,0 %) deja a los canales editoriales oficiales expuestos a la distribución de noticias falsas y al robo de credenciales.
Las empresas de telecomunicaciones y los proveedores de servicios de Internet muestran unas prácticas básicas de SPF impecables (100,0 % correctas) y lideran el país en la firma DNSSEC (16,7 %). Sin embargo, su postura respecto a DMARC es fragmentada: el 16,6 % aplica p=reject, mientras que el 41,7 % se mantiene en el modo pasivo de observación p=none y el 41,7 % no publica ningún registro DMARC. La ausencia de MTA-STS (0,0 %) deja las notificaciones automatizadas de los operadores expuestas a la interceptación durante el transporte.
Al respaldar el comercio transfronterizo regional, los operadores logísticos alcanzan un cumplimiento del 90,6 % de las normas SPF. Sin embargo, la aplicación activa de las políticas es limitada: solo el 6,3 % aplica la opción «p=reject» y el 15,6 % la opción «p=quarantine», mientras que el 40,6 % se mantiene en «p=none» y el 37,5 % omite los registros. La ausencia total de MTA-STS (0,0 %) hace que la documentación de envío, los formularios de despacho de aduana y las facturas sean vulnerables a la manipulación.
