南アフリカでは、情報規制当局や地元のサイバーセキュリティ関連機関が、企業を装った詐欺や不正な電子メールキャンペーンについて頻繁に警告を発しています。ドメインの境界を無防備なままにしておくと、地域の企業にとって深刻なセキュリティリスクとなります。
PowerDMARCは、正当な送信メッセージの流れ、電子請求書、あるいは顧客との業務チャネルに支障をきたすことなく、完全な適用に向けた移行を加速させます。
適用までのプロセスを加速： p=reject を安全に実現するために設計された自動デプロイメントツール。
南アフリカ向けに最適化： 地域のデータプライバシー枠組みに沿った、現地対応のサポートと技術的専門知識。
高度な可視性： AIを活用した分析ツールにより、ドメインのなりすましを特定・阻止します。
地域の法令においてDMARCという名称が明示的に言及されていない場合でも、南アフリカの法的・ガバナンスの枠組みにおける法的要件を満たすためには、高度な電子メール検証が不可欠です。「個人情報保護法（POPIA）」に基づき、責任ある当事者は、個人情報が不正アクセスや侵害から保護されるよう、適切かつ合理的な技術的措置を講じなければなりません。 さらに、2020年サイバー犯罪法（第19号）や「King IV」などのコーポレートガバナンス指針に基づき、悪意のある偽造からデジタルメッセージングチャネルを保護できない場合、組織は深刻な規制上の責任や評判の毀損にさらされる可能性があります。
| コンプライアンス・フレームワーク | 要件クラス | 業務範囲 |
|---|---|---|
| POPIAの枠組み | 個人データの処理に関する義務的な保護措置（第19条） | 個人データを処理するすべての公的機関および民間団体 |
| 2020年サイバー犯罪法（第19号） | サイバー詐欺および不正アクセスに関する義務 | 金融機関、サービスプロバイダー、および法人 |
| キングIVコード | テクノロジーおよび情報リスクのガバナンス | 上場企業、国有企業、および規制対象事業者 |
| FSCAの規制ガイダンス | サイバーセキュリティのオペレーショナル・リスク管理基準 | 銀行、保険会社、および金融サービス事業者 |
コンプライアンスに関する注意事項：南アフリカにおける規制当局の執行措置は、企業のインフラ全体を包括的に捉えています。中核となる部門や業務ユニットで機密性の高い個人情報や財務情報を処理している場合、マーケティング、請求、経営陣とのコミュニケーションを含むドメインエコシステム全体において、IDなりすましを防止するために最新の認証プロトコルを徹底する必要があります。
急速に拡大を続ける南アフリカのデジタル経済は、ビジネスメール詐欺（BEC）や巧妙なフィッシング攻撃による脅威に頻繁にさらされています。悪意のある攻撃者は、保護されていないドメインヘッダーを悪用し、従業員、ベンダーパートナー、小売顧客を欺いて、不正な金融取引を行わせたり、機密のアクセス認証情報を渡させたりしています。
この地域全体で企業ネットワークが相互接続されているため、セキュリティ対策が不十分な電子メール環境が、より広範なサプライチェーンへの主要な攻撃経路となっています。脅威アクターは、サードパーティベンダーや地域の請負業者の電子メールチャネルを乗っ取り、信頼されたドメインIDを利用して、エネルギー、物流、通信などの重要インフラネットワークに侵入しています。
多くの企業ドメインでは基本的なレコード設定が維持されているものの、メール転送エージェントの厳格な転送セキュリティ（MTA-STS）の設定が広く見落とされているため、電子メール通信経路は脆弱なままとなっています。送信される電子メールは、転送層での傍受、中間者攻撃（MiTM）による改ざん、および強制的な平文への暗号化レベルの引き下げの試みに対して、依然としてさらされた状態にあります。
南アフリカの企業ドメイン空間全体にわたるテレメトリの分析によると、基本的なDNS設定は一般的である一方、包括的なアクティブ保護ルールは依然として広く活用されていないことが明らかになっています：
ドメインの大多数はSPFの基本設定を確立していますが、かなりの割合で構文エラーが見られます。
制限的な「拒否」保護方針を積極的に実施している組織は、ごく一部の少数にとどまっている。
企業ドメインの相当な割合において、依然として公開されたDMARCレコードがまったく存在しない。
MTA-STSプロトコルの適用率が低いため、トランジット操作に対する広範な脆弱性が依然として残っている。
一部の地域ドメインでは、DNSSECの検証機能が完全に有効化されています。
南アフリカのドメインの相当数がSPFなどの基本的な設定を維持しているか、あるいは暫定的なDMARCレコードを公開しているものの、主な脆弱性はポリシーの適用状況にあります。ドメインのトラフィックの大部分は、依然として受動的な監視（p=none）または寛容な隔離レベル（p=quarantine）にとどまっており、デジタルインフラはDNSスプーフィングや送信者偽装の脅威にさらされたままとなっています。
南アフリカの金融機関は、他のセクターと比較して、DMARCの初期導入率が比較的高い。しかし、MTA-STSによるトランスポート層の暗号化については、同セクター全体で依然としてほとんど導入されていない。標的とされた金融機関の一部では、DMARCレコードがまったく設定されていないか、受動的な監視レベルにとどまっており、DNSSECの導入も依然として限定的である。
国有企業や政府系ドメインでは、一般的に基本的なSPFレコードが維持されているものの、積極的な施行に向けたポリシーの強化は遅れている。公共部門のドメインのかなりの割合が、依然として受動的な「p=none」ポリシーを採用しているか、あるいはDMARCによる保護が全く施されていない一方で、MTA-STSの導入はほぼ皆無である。
民間および公的な医療ネットワークは、膨大な量の機密性の高い個人データを扱っているにもかかわらず、なりすまし攻撃に対して依然として極めて脆弱な状態にあります。多くの医療提供者は、依然として受動的な監視方針に依存しており、その結果、医療管理システムや患者データの処理経路がなりすまし攻撃の標的となりやすい状態にあります。
高等教育機関や学術研究ネットワークは、パッシブ監視ポリシーに大きく依存しています。これに加え、p=rejectの適用が不十分であることや認証記録の欠落も相まって、学術ネットワーク、知的財産リポジトリ、および学生間の通信は、継続的なリスクにさらされています。
重要な公益事業および発電事業者は、基本的なSPFレコードを維持しているものの、p=rejectの積極的な適用に向けた移行は依然として完了していない。一部のドメインでは依然として監視のみのポリシーが適用されており、MTA-STS暗号化も実施されていないため、公益事業のサプライチェーン全体において、中継時の傍受リスクが依然として残っている。
メディアや放送機関における最新の電子メール保護フレームワークの導入は限定的である。受動的な対策への過度な依存やDMARC設定の不備により、悪意のある攻撃者が報道機関や企業の広報チャネルを装うことが可能となっている。
通信事業者は、ベースライン設定にばらつきが見られ、SPFの構文エラーが時折発生しています。受動的な監視への依存や、トランジット層での暗号化の導入率が低いことから、加入者の通信チャネルはフィッシングやブランド悪用に対して脆弱な状態にあります。
物流およびサプライチェーンの管理者たちは、積極的なセキュリティ対策の導入において、ある程度の進展を見せている。しかし、依然として相当な割合が監視のみの段階にとどまっており、トランスポート層での暗号化が導入されることはほとんどないため、サプライチェーン関連の文書が傍受されるリスクにさらされている。
迅速な導入と規制順守
POPIAなどの地域のプライバシー関連法や、King IVなどのガバナンス・フレームワークを完全に遵守するとともに、電子メール認証に関する国際的なベストプラクティスにも準拠します。
ドメインのリアルタイム可視性
自社ドメイン名を使用してメールを送信するすべての社内アプリケーション、マーケティングツール、およびサードパーティ製サービスを即座に特定・監査することで、シャドウITを排除します。
オールインワン型クラウド管理
手動によるDNS管理の負担を軽減します。DMARC、SPF、DKIM、MTA-STS、TLS-RPT、BIMIプロトコルの作成、監視、および動的な最適化を、単一のポータル内で一元管理します。
AIを活用した脅威検知
不正な送信元を検知し、フィッシング攻撃を軽減し、セキュリティテレメトリをSIEM/SOARシステムに直接エクスポートする機械学習アルゴリズムにより、境界セキュリティを強化します。
MSPおよびMSSP向けに設計されています
マルチテナント型のアカウント区分、堅牢なAPI連携、そしてプロのIT管理者向けに構築された完全なホワイトラベルのカスタムブランディングを通じて、サイバーセキュリティサービスの提供範囲を拡大しましょう。
ヨハネスブルグ、ケープタウン、ダーバン、プレトリア、グケベルハ、ブルームフォンテーン、ポロクワネなど、主要な経済拠点において企業向けドメインを確保しています。
金融機関、医療機関、エネルギー事業者、および公共セクターのポータルサイトを保護するため、高度なドメイン認証を提供しています。
南部アフリカ全域のITチャネルパートナーに対し、顧客基盤全体にわたる自動化されたメール保護を管理するための、マルチテナント型で完全にホワイトラベル化されたプラットフォームを提供しています。
なりすましを阻止しましょう。フィッシングを防止しましょう。メール環境を安全に保ちましょう。
