Les institutions financières sont en tête en matière de mise en œuvre des politiques de sécurité des e-mails : 90,0 % d’entre elles disposent d’un protocole « SPF » valide et 50,0 % utilisent le paramètre « p=quarantine ». Cependant, seules 10,0 % ont mis en place une application complète du paramètre « p=reject », tandis que 30,0 % ne disposent d’aucun paramètre DMARC et 10,0 % restent au niveau « p=none ». De plus, la non-adoption totale du protocole MTA-STS (0,0 %) et du protocole DNSSEC (0,0 %) expose les notifications de transactions interbancaires et les communications avec les clients au risque d’interception.
Les organismes gouvernementaux rwandais font preuve d'un déploiement exemplaire du protocole DMARC : seuls 2,9 % d'entre eux omettent des enregistrements et 94,3 % valident correctement l'SPF . Cependant, les politiques mises en œuvre se concentrent largement sur le paramètre p=quarantine (61,4 %) et sur le paramètre passif p=none (34,3 %), seuls 1,4 % des cas atteignant le niveau strict p=reject. L’absence totale de DNSSEC (0,0 %) et de MTA-STS (0,0 %) expose les communications ministérielles au risque d’interception lors du transit.
En matière de gestion des dossiers cliniques sensibles et des fichiers de laboratoire, le secteur de la santé affiche un taux d’adoption élevé de l’ quarantine (60,0 %) et une validité de l’ SPF de 91,1 %. Cependant, le rejet actif est totalement absent (0,0 % p=reject), 26,7 % des serveurs ne disposant pas de DMARC, 11,1 % étant en p=none et 2,2 % présentant des erreurs de configuration. Combiné à un taux d’adoption de 0,0 % pour MTA-STS et DNSSEC, la confidentialité des patients est menacée au regard de la loi n° 058/2021.
Les établissements d’enseignement supérieur et de recherche occupent la première place au niveau national en matière de rejet strict selon le protocole DMARC (32,7 % de « p=reject »), suivis par 30,9 % de « p=quarantine ». Cependant, ce secteur présente une vulnérabilité de base importante : 45,5 % des domaines éducatifs ne disposent d’aucun enregistrement « SPF », et 18,2 % ne disposent pas de DMARC. Conjugué à un taux de 0,0 % pour le protocole MTA-STS et à une adoption minimale du protocole DNSSEC (3,6 %), les identifiants universitaires et les données de recherche sont exposés à des risques permanents d’usurpation d’identité.
Les opérateurs de services publics essentiels affichent le taux de validité de base le plus élevé du pays en matière d’ SPF , avec 97,0 %. Malgré cette base solide, la transition vers une défense active tarde à se mettre en place : 45,5 % restent bloqués au niveau d’observation passive « p=none », 36,4 % omettent complètement DMARC, et seuls 3,0 % appliquent le paramètre « p=reject ». Avec un taux d’adoption de MTA-STS de 0,0 %, les notifications de la chaîne d’approvisionnement des services publics restent vulnérables à l’usurpation d’identité des dirigeants.
Les diffuseurs, les éditeurs et les agences de presse numériques présentent une vulnérabilité généralisée. La moitié (50,0 %) ne dispose d'aucun enregistrement DMARC, le rejet actif est inexistant (0,0 % p=reject) et 11,1 % présentent des erreurs de syntaxe dans l SPF . L'absence totale de déploiement de MTA-STS (0,0 %) ou de DNSSEC (0,0 %) expose les canaux éditoriaux officiels à la diffusion de fausses informations de presse et au vol d'identifiants.
Les opérateurs de télécommunications et les fournisseurs d’accès à Internet font preuve d’une hygiène irréprochable en matière d’ SPF s de base (100,0 % de conformité) et occupent la première place au niveau national en matière de signature DNSSEC (16,7 %). Cependant, leur posture DMARC est hétérogène : 16,6 % appliquent le paramètre p=reject, tandis que 41,7 % restent en mode d'observation passif (p=none) et 41,7 % ne publient aucun enregistrement DMARC. L'absence de MTA-STS (0,0 %) expose les notifications automatisées des opérateurs à des risques d'interception lors du transport.
En soutenant le commerce transfrontalier régional, les opérateurs logistiques atteignent un taux de conformité de 90,6 % à la norme « SPF ». Cependant, l’application active de cette politique reste limitée : seuls 6,3 % appliquent la valeur «p=reject» et 15,6 % la valeur «p=quarantine », tandis que 40,6 % restent sur la valeur «p=none» et 37,5 % omettent des enregistrements. L’absence totale de MTA-STS (0,0 %) expose les documents d’expédition, les formulaires de dédouanement et les factures au risque de falsification.
