サイバーセキュリティ庁（CSA）およびデータ保護委員会（DPC）は、ガーナ全土で企業を装った詐欺や高度なメールフィッシングが増加しているとして、引き続き警告を発しています。企業のメッセージング境界を無防備なままにしておくと、組織は甚大な金銭的損失や業務の混乱にさらされることになります。PowerDMARCは、厳格なプロトコル適用への移行をシームレスに加速させ、正当な経営陣からのメッセージ、取引関連の請求書、日常的な顧客とのやり取りを、メッセージの未達リスクなしに保護します。
確実な適用への直接的な道筋： 正当なビジネストラフィックを停滞させることなく、安全に「p=reject」の状態に到達するための、ガイド付き実装プロトコル。
ガーナ向けにカスタマイズ： 2020年サイバーセキュリティ法およびガーナ中央銀行のサイバーセキュリティフレームワークに沿った専門的なアドバイスを提供します。
インテリジェントな脅威テレメトリ： 不正なサーバーを特定し、ドメインのなりすましをブロックし、悪意のあるトラフィックの発信元を特定する高度な脅威分析。
ガーナの国内法では、DMARCという頭字語が明示的に規定されているわけではありませんが、国内の規制枠組みの下では、厳格な電子メール検証の導入が不可欠です。 2020年サイバーセキュリティ法（法律第1038号）に基づき、重要情報インフラ（CII）の管理者は、電子詐欺やシステムへの侵入に対して厳格な運用管理措置を講じることが義務付けられています。さらに、2012年データ保護法（法律第843号）では、データ管理者が個人情報の傍受を防止するための適切な技術的保護措置を講じることが義務付けられており、ガーナ中央銀行は銀行ネットワーク全体において、ドメインおよびメッセージングの衛生管理を厳格に実施しています。
| コンプライアンス・フレームワーク | 要件クラス | 業務範囲 |
|---|---|---|
| 2012年データ保護法（法律第843号） | 技術データの保護に関する義務規定（第27条および第28条） | ガーナ全土のすべての企業におけるデータ管理者およびデータ処理者 |
| 2020年サイバーセキュリティ法（法律第1038号） | 重要情報インフラ（CII）に関する指針および基準 | 指定された必須の公共、金融、通信、およびエネルギー分野 |
| BoGサイバー・情報セキュリティ指令 | 必須のサイバーセキュリティ対策および不正防止アーキテクチャ | 商業銀行、農村銀行、フィンテック企業、および決済サービス |
| NCA規制指針 | 電子通信の完全性とネットワークの健全性 | 通信ネットワーク、インターネットプロバイダー、およびデジタル通信事業者 |
コンプライアンスに関する注意事項：ガーナの規制要件では、組織全体にわたる説明責任が義務付けられています。主要ドメインが規制対象の金融サービス、公開データ、または通信回線に関連する場合、すべての送信サブドメイン、外部のクラウド型マーケティングエンジン、および内部のCRM中継サーバーは、悪意のある攻撃者がブランドを偽装できないよう、暗号化による検証を常に同期させておく必要があります。
ガーナで急速に拡大しているフィンテックおよびモバイル金融のエコシステムにより、企業はビジネスメール詐欺（BEC）、不正な送金転送、CEOなりすまし詐欺などの標的として狙われやすくなっています。詐欺師たちは、保護されていないメールヘッダーを悪用して本物そっくりの社内メモを偽造し、財務部門、取引先、一般消費者を騙して、偽の資金支払いを承認させています。
西アフリカ全域に広がる相互に連携したサプライチェーンにより、電子メールのヘッダーが、サプライチェーンを悪用した攻撃の脆弱性経路となってしまった。攻撃者は、保護されていないサブドメインや現地の技術請負業者を標的とし、その正当性が確認された企業ブランドを悪用して、政府ポータル、海上輸送ハブ、公益事業施設などに標的型マルウェアを送り込んでいる。
基本的なSPFレコードは比較的広く普及しているものの、MTA-STS（Mail Transfer Agent Strict Transport Security）がほぼ完全に欠如しているため、ガーナの企業向けメールサーバーは転送中にセキュリティ上のリスクにさらされています。パブリックインターネットエクスチェンジを経由するメッセージは、盗聴、中間者攻撃（MiTM）による改ざん、および通信を平文に強制する暗号ダウングレード攻撃の脅威にさらされたままとなっています。
ガーナの各企業分野で収集された実証データによると、基礎的な体制は部分的に整っているものの、ドメインの積極的なセキュリティ強化には大きな不足が見られる状況が明らかになっています：
SPFレコードの86.0%が正しく設定されていた（3.9%は設定ミス、10.1%はレコードが全く存在しなかった）。
9.1%が、保護ポリシーを積極的に適用し、p=拒否した。
51.2%ではDMARCの設定がまったく行われておらず（さらに1.1%では設定に誤りがある）。
MTA-STSが導入されていないため、転送中の傍受に対して99.1%無防備である（有効なのはわずか0.9%）。
3.9%が、アクティブなDNSSEC暗号化レコード検証機能を有効にしている（96.1%は無効）。
調査対象のドメインの86%以上が基本的なSPF設定を維持している一方で、実に51.2%がDMARCをまったく導入していない。レコードを作成しているドメインのうち、その大部分は「パッシブ監視（p=none）」（24.4%）または「暫定措置（p=quarantine）」（14.2%）の状態で停滞しており、企業のデジタルアイデンティティが不正利用、乗っ取り、ブランドなりすましの危険にさらされたままとなっている。
金融機関およびフィンテック企業は、SPFの正確性が89.8％と高い水準を維持しており（誤り6.1％、記録なし4.1％）、DNSSECの有効化率も10.2％と国内で最も高い水準を示している（無効89.8％）。 ポリシー設定については、16.3%が「p=reject」を適用し、32.7%が「p=quarantine」を適用している一方、20.4%は「p=none」のままとなっている。しかし、30.6%はDMARCによる防御が全く行われておらず、100.0%が機能するMTA-STSトランスポート暗号化を欠いている（有効なものは0.0%）。
公共機関および政府ポータルは、96.3％（記録欠落率3.7％）という、国内で最も高いSPF設定率を達成しています。 しかし、実際の DMARC ポリシーの採用は著しく遅れており、省庁および自治体のドメインの 80.3% には DMARC レコードがまったく存在せず、12.3% はパッシブな p=none で運用されており、p=reject を適用しているのはわずか 2.5% に留まっています（p=quarantine は 4.9%）。 DNSSECの導入率は1.2％（98.8％が無効）にとどまり、MTA-STSは有効なものが0.0％（100.0％がレコードなし）で、完全に導入されていない状況です。
医療ネットワークはなりすまし攻撃に対して深刻な脆弱性を抱えており、p=reject に達しているのはわずか 5.8% に留まっています。医療施設の半数以上（54.6%）が公開された DMARC レコードを保有しておらず、29.1% は p=none のままであり、9.3% は p=quarantine、1.2% は設定ミスが見られます。 SPFの整合率は81.4％（不正確が4.6％、欠落が14.0％）にとどまっています。MTA-STSおよびDNSSECの導入率はともに0.0％であり、患者記録や臨床ネットワークは、転送時の改ざんやなりすましに対して無防備な状態にあります。
高等教育機関および研究機関において、p=rejectによる強制適用を行っているのはわずか5.2%にとどまります。半数以上（51.9%）はDMARCレコードを一切設定せずに運用しており、24.7%はp=noneのまま受動的な状態を保ち、18.2%はp=quarantineを使用しています。SPFへの準拠率は79.2%（誤設定5.2%、未設定15.6%）となっています。 MTA-STSの導入率は0.0％（100.0％が記録なし）で、事実上存在せず、DNSSECの有効化率は1.3％（98.7％が無効）とごくわずかである。
エネルギー供給業者および公益事業者は、調査対象の全セクターの中で最も厳格な電子メール防御策を講じており、24.1%が「p=reject」を、14.8%が「p=quarantine」を適用しています。それにもかかわらず、38.9%がDMARCを導入しておらず（うち1.8%は設定ミス）、20.4%が「p=none」のままとなっています。 SPFの正確性は81.5%（不正確が11.1%、未設定が7.4%）である。このセクターは、ガーナ国内で最も高いMTA-STS導入率を示しており、有効なものが3.7%（記録なしが96.3%）であるほか、9.3%がDNSSECを有効にしている（無効が90.7%）。
ガーナのメディア企業、出版社、ニュース放送局におけるp=rejectの適用率は、全国で最低の0.0%を記録しています。過半数（53.9%）はDMARCレコードを持たず、32.7%はパッシブなp=noneに依存し、11.5%はp=quarantineを利用しており、1.9%は設定ミスがあります。 SPFの正確性は88.5％（11.5％が欠落）と比較的高いが、メディアドメインの100.0％がMTA-STSトランスポート暗号化を欠いており（有効なものは0.0％）、DNSSECを有効にしているのはわずか5.8％にとどまっている（94.2％が無効）。
通信事業者は比較的穏健な姿勢を示しており、12.0%が「p=reject」を適用し、16.4%が「p=quarantine」を適用しています。しかし、通信事業者のドメインの44.0%はDMARCを完全に欠いており、26.1%は「p=none」のままであり、1.5%は設定ミスがあります。 SPFの正確性は86.6％（不正確が3.7％、未設定が9.7％）となっています。有効なMTA-STSの導入率は2.2％にとどまり（97.8％がレコードなし）、DNSSECの採用率は4.5％です（95.5％が無効化されています）。
物流事業者、海運代理店、サプライチェーン運営事業者において、p=rejectの適用率は10.3%を記録しています。44.8%というかなりの割合でDMARCレコードが完全に欠如しており、34.5%はp=none（監視のみ）のままであり、6.9%はp=quarantineを使用しており、3.5%は設定ミスのあるエントリを持っています。SPFの正確性は82.8%（17.2%はレコードなし）です。 MTA-STSは0.0％（100.0％が未設定）で完全に欠如しており、DNSSECが有効になっているドメインは3.4％にとどまり（96.6％が無効）、
「データ保護法（法律第843号）」で義務付けられているデータ保護基準、「サイバーセキュリティ法（法律第1038号）」のCII保護要件、およびガーナ中央銀行のサイバー・情報セキュリティ指令に完全に準拠することを確保する。
ドメイン名を使用してメールを送信するすべてのSaaSシステム、サードパーティの配車プラットフォーム、および外部マーケティングエンジンをカタログ化・監視することで、不正なシャドウクラウドアプリケーションを排除します。
DNSの設定ミスがもたらすリスクを排除します。単一の集中型Webコンソールから、DMARC、SPF、DKIM、MTA-STS、TLS-RPT、およびBIMIレコードを統合的に管理し、動的に運用できます。
高度なAIアルゴリズムを活用して通信チャネルを保護します。このアルゴリズムは、不正な送信者を自動的に特定し、フィッシング攻撃を無力化し、正規化されたセキュリティログを企業のSIEM/SOARインフラストラクチャに送信します。
ガーナのITチャネルプロバイダー向けに特別に構築された、マルチテナント型のワークスペース分離機能、柔軟なAPI連携、そして包括的なホワイトラベル機能を活用して、収益源を拡大しましょう。
アクラ、クマシ、テマ、タコラディ、タマレ、ケープ・コースト、スニャニ、コフォリドゥアなど、ガーナの商業・産業の中心地において、企業のアイデンティティを保護しています。
ガーナの銀行ネットワーク、地域の医療施設、通信事業者、および各省庁のWebリソースを保護するため、堅牢なドメインセキュリティを提供しています。
ガーナのMSPおよびMSSPに対し、多様な顧客ポートフォリオにわたる電子メールセキュリティを管理するための、エンタープライズグレードの完全ホワイトラベル対応ソフトウェアエンジンを提供します。
なりすましを阻止しましょう。フィッシングを防止しましょう。メール環境を安全に保ちましょう。
