スイスは、電子メール詐欺の主要な標的となっています。世界的な金融ハブであるため、スイスのドメインは、ビジネスメール詐欺、CEO詐欺、および なりすましの格好の餌食となっていますが、依然として多くの企業ドメインでは「p=reject」ポリシーが適用されていません。この隙は攻撃者にとっての「開かれた扉」であり、その対策を講じる第一歩はここから始まります。 PowerDMARC は、メール認証を自動化し、不正なメッセージが従業員や顧客の受信箱に届く前にブロックすることで、この運用上のリスクに対処します。
執行の迅速化： ドメインをp=rejectへ円滑に移行させることを目的とした、ウィザードによる迅速な設定。
DACH地域向けに最適化： 欧州向けの専用インターフェース構成と、現地の専門家による指導を組み合わせたソリューション。
高度な脅威インテリジェンス： あらゆる送信元におけるなりすまし攻撃を暴く、AIを活用した分析機能。
一方、「DMARC」を明示的に規定する単独の法令はスイス法には存在しないものの、電子メール認証の導入は、現代のデータ保護の枠組みによって事実上義務付けられている。改正データ保護法（nFADP）および情報セキュリティ法（ISA）の下では、 NCSCへの24時間以内のサイバー攻撃報告義務に基づき、組織は通信ネットワークおよび個人データを保護するための予防的な技術的措置を講じなければならない。改正nFADPでは、単なる文書化された方針だけでなく、実証可能な技術的および組織的な管理措置が求められており、ドメインスプーフィングから電子メールチャネルを保護できないことは、個人データの保護における基本的な義務違反とみなされる可能性がある。
| 規制の枠組み | 義務の種類 | 事業上の重点 |
|---|---|---|
| nFADP / FADP | 暗黙の技術的保護措置（プライバシー・バイ・デザイン、データセキュリティ） | 市民や従業員の記録を扱うすべての組織 |
| 情報セキュリティ法（ISA） | NCSCへのインシデント報告義務 | 重要インフラの運営事業者および連邦機関 |
| DORA | 技術的レジリエンスに関する必須規則 | 銀行、金融機関、保険会社 |
| FINMAのサイバーリスクに関する要件 | セクターごとのサイバーセキュリティ要件の遵守 | 監督対象の金融・保険事業者 |
コンプライアンスに関する注意事項：スイスの最新のサイバーセキュリティ要件では、リスク管理に対して「組織全体」を包括的に捉えたアプローチが求められています。ある部門が技術的な義務を発生させた場合、マーケティングシステム、バックオフィス業務、関連会社を含む企業ドメイン全体の体制を調整し、なりすましを防止しなければなりません。
スイスは、デジタル化が進み、富が集中している経済構造を持つため、認証情報の自動収集やビジネスメール詐欺（BEC）の標的として魅力的な環境となっています。近年、国内当局に報告されるCEO詐欺の件数は再び増加しており、フィッシングは常に最も多く報告されるカテゴリーの一つに挙げられています。悪意のある攻撃者は、セキュリティ対策が不十分なドメイン名を利用して企業幹部になりすまし、従業員、ベンダー、下流のパートナーを欺いて、不正な請求書の支払いをさせたり、高権限のシステムアクセス認証情報を提供させたりしています。
中央ヨーロッパ全域にわたる企業間パートナーシップの高度に統合された性質により、周辺部のサプライヤーの電子メールネットワークは、より深刻な攻撃の足掛かりとして好んで利用されるようになっています。攻撃者は、商業ネットワークの中で最も脆弱な部分を探し出し、外部の技術パートナーや地域のベンダーのセキュリティ対策が不十分なドメイン境界を悪用して、中核となる上流の標的、政府機関、あるいは産業用インフラを侵害しようと頻繁に試みています。
基本認証の設定はますます一般的になっていますが、スイスのドメインの多くは依然としてMTA-STS（Mail Transfer Agent Strict Transport Security）を採用していません。この広範なセキュリティ上の脆弱性により、送受信されるビジネスメールは、中間者攻撃（MiTM）による改ざん、トラフィックの盗聴、および強制的な平文への暗号化ダウングレード攻撃のリスクにさらされています。
スイスのデジタル環境における技術的な状況を見ると、基本的な認識レベルは高い一方で、能動的な防御態勢には顕著な不足が見られます。多くの組織が、 SPF の公開やDMARCの設定を成功させていますが、中核となる脆弱性はポリシーの選定に関連しています。
ドメインの大部分は、受動的な「p=none」の監視設定のまま変化がなく、さらに一部のドメインは中間的な「p=quarantine」の設定にとどまっています。その大半がまだ完全な拒否段階には至っていないため、多くの組織では、攻撃者が自社の企業アイデンティティを完全に模倣した電子メールを送信することを防ぐ自動化された手段を欠いています。MTA-STSによるトランスポート層の保護は依然として最も利用されていない対策であり、メッセージの転送過程は広範囲にわたり無防備な状態のままとなっています。
弊社チームまでお問い合わせください スイス向けの無料ドメインセキュリティ診断について、弊社チームにご相談ください
スイスの金融機関は、FINMAの監督およびDORAのレジリエンス要件に後押しされ、通常、境界防御の分野で市場をリードしています。このセクターでは、基本的なSPFおよびDMARCの導入率が最も高く、厳格な「p=reject」ポリシーの適用も比較的多く見られます。しかし、MTA-STSによるトランスポート層の保護については、他の点では成熟しているドメインであっても、依然として大きな弱点となっている場合が少なくありません。
スイスの連邦、州、および自治体のドメインでは、ISAによる公的機関への報告義務も相まって、技術的な追跡体制が堅固に構築されています。とはいえ、この分野ではポリシーの強化に対して慎重な姿勢が見られ、多くのドメインでは完全な拒否ではなく、監視または隔離の閾値にとどめる傾向があります。ゾーンの完全性は概ね堅固ですが、MTA-STSの積極的な適用は依然として低水準にとどまっています。
スイスの医療・保健インフラでは、極めて機密性の高い患者記録が取り扱われているため、なりすまし対策が極めて重要である。基本的な記録管理体制は概ね安定しているが、業界全体での積極的な取り組みにはばらつきが見られる。暗号化層には依然として未解決の抜け穴が残っており、MTA-STSの導入はごく限定的である。
接続ネットワークの主要な運営事業者として、スイスの通信事業者は広範なSPFカバレッジを維持しています。こうした枠組みがあるにもかかわらず、p=rejectの厳格な適用は遅れがちであり、一部のドメインでは依然として完全なDMARCレコードが設定されていません。この課題は、業界全体でのMTA-STSの導入率が低いことによってさらに深刻化しています。
スイスの大学や高等教育機関では、多くの学部や研究ユニットにまたがる分散型の送信アーキテクチャを運用しています。この複雑さのため、教育分野のかなりの部分が完全なDMARC防御の対象外となっており、厳格な「p=reject」ポリシーを適用しているのはごく一部にとどまっていることが多く、その結果、学術ネットワークは研究助成金の不正受給やフィッシング攻撃のリスクにさらされています。また、MTA-STSの導入率は依然として低いままです。
物流ネットワークは、地域間の貿易や国境を越えた貨物の移動を支える中核的な役割を果たしています。この分野における実効的な電子メール防御対策は依然として限定的であり、相当数のドメインがまったく保護されていないほか、厳格な「拒否（p=reject）」ポリシーへの移行が進んでいるのはごく一部にとどまっているため、この業界は請求書詐欺や支払いの流用詐欺の絶え間ない標的となっています。
迅速な導入と規制への準拠
スイスのデータプライバシー規則（nFADP）および情報セキュリティ法やFINMAの監督に基づく技術的リスク管理要件への完全な準拠に向けた取り組みを加速させましょう。
リアルタイムの監視とポリシーのエスカレーション
自社ドメインからメールを送信しているすべてのクラウドプロバイダー、自動化プラットフォーム、マーケティング代理店を監査することで、隠れたシャドウITを洗い出し、業務に支障をきたすことなく「p=reject」への安全な移行を実現します。
オールインワン・メール認証スイート
異なるシステムに分散したレコードを個別に管理する手間を省きましょう。DMARC、SPF、DKIM、MTA-STS、TLS-RPT、BIMIの各レコードの公開、変更、分析を、単一のダッシュボードから行えます。
AIによるスレット・インテリジェンス
機械学習システムを活用して、不審な送信IPを特定し、世界規模で組織的に行われるスプーフィング活動を検知し、フォレンジックテレメトリデータをセキュリティチームのSIEM/SOAR環境に直接ストリーミングすることで、積極的な防御態勢を維持します。
現代のサービスプロバイダー向けに設計
最新のMSPおよびMSSP向けに構築された、専用のマルチテナント・プラットフォームを活用して、セキュリティポートフォリオを拡張しましょう。このプラットフォームは、包括的なAPIアクセスと柔軟なホワイトラベル・ブランディング機能を備えています。
スイスの主要な経済・商業拠点において、デジタル上のブランド存在感を確立する。
スイスの金融インフラ、政府プラットフォーム、保健当局、および交通システムを保護するための、高度な認証アーキテクチャを提供しています。
スイスのMSPおよびMSSPに対し、マルチテナント型でホワイトラベル対応のコントロールハブを提供し、顧客基盤全体におけるメール保護を容易に監視、調整、収益化できるようにします。
なりすましを阻止しましょう。フィッシングを防止しましょう。メール環境を安全に保ちましょう。
