・なりすましメール対策として、短期間でDMARCエンフォースメントを達成
・成功の鍵は“運用”―可視化と自動化で継続可能な体制を構築
・BIMI実装による「信頼の見える化」まで実現
自社導入事例│サイバネットシステム株式会社
Valimailの自社導入の背景、実施プロセス、導入後の効果、そして取り組みを通じて得た学びをお伝えします。
概要
メールは、顧客・パートナーとの重要なコミュニケーション手段です。
一方で、攻撃者にとっては企業のブランドや信頼を悪用しやすい手段でもあり、自社ドメインを詐称したなりすましメールが出回ることで、フィッシング被害の発生やブランド毀損につながるリスクがあります。
また、生成AIの普及により、自然で丁寧な日本語の攻撃メールが低コストで量産され、受信者の注意や知識だけに頼った対策は難しくなっています。
サイバネットでは、こうした状況を踏まえ、Valimailを活用して送信ドメイン認証（SPF/DKIM/DMARC）を整備し、段階的にDMARCポリシーを強化してエンフォースメント（p=reject）を短期間で達成しました。さらに、ブランド保護の観点からBIMIの実装まで完了しました。
ポイント
目次
1.セキュリティ企業として自社をなりすますメールを放置しない
サイバネットでは月間百万通規模でメールを配信しておりますが、
一方でレポート等から、月間で数千通規模の疑わしいなりすましメールが観測されています。
セキュリティを取り扱う企業として、顧客の安全を支援する立場にある以上、自社を装うなりすましメールが出回る状況を放置することはできません。
そこでサイバネットでは送信ドメイン保護の強化に取り組みました。
DMARCは一度設定すれば終わりではありません。メール送信に関わる仕組みや設定が変化するたびに、SPF・DKIM・DMARCの整合を取り続ける必要があります。
その為、「自社内で運用として回る状態」を前提にツール選定を進めました。
2. なぜ、世界中の企業が「Valimail」を選ぶのか
数あるツールの中からサイバネットがValimailを選定した理由は、
グローバルで最も利用されているDMARCソリューションとしての信頼性と、
運用を効率化する充実の自動化機能にあります。
- 可視化の精度
専門知識がなくても、認証状況をダッシュボードで一目で分析・把握が可能。
IPアドレスの羅列ではなく、送信サービス名で表示されるため、どのサービスから送られているメールかがすぐ分かります。 - 運用効率
従来、エンジニアが手作業で行っていたDNSの更新作業や整合性の確認を、Valimailのツールが自動で代行。
人為的なミスを排除しつつ運用負荷を劇的に抑えられます。 - Instant SPF®
「DNSルックアップ回数制限（10回まで）」というSPF運用の根本的な問題を、独自の特許技術で解決できます。
「海外製品は導入が難しそう」というイメージがありますが、Valimailは、自動化技術により専門知識がなくてもクリック操作で運用できる点に価値があります。
3. 導入プロセス：段階的な強化で、短期間でエンフォースメントへ
①導入スケジュール
- 2024年6月：Valimail導入／DMARC運用開始（p=none）
- 2024年7月：送信元の棚卸し・認証整備を進め、段階的に強化（p=quarantine）
- 2024年8月：最終段階へ（p=reject）
- 2025年1月：BIMI導入検討開始
- 2025年4月：BIMI実装完了
②進め方の要点：送信の棚卸しと整合性の担保
メール送信元の棚卸し
導入初期にまず行ったのは、メール送信元の棚卸しです。
この工程は、技術作業以上に組織的な確認が必要になります。
メール送信は情シス部門だけで完結せず、マーケティングや営業活動で利用するメール送信サービスなど、クラウド時代の送信経路は多岐にわたります。
部門や組織で把握していないメール送信サービス（いわゆるシャドーIT）が見つかるケースもあります。
サイバネットでは、主要な送信サービスの確認において、マーケティング部門と営業部門との連携が特に重要でした。
Valimailの認証レポートで確認されたメール送信元に対し、「このメールサービスを利用しているのか？」を関係部門に確認を図り、正規送信元として確定していきます。
必要に応じて他部門にも確認し、メール送信の担当部署を明確にしながら整理を進めました。
このプロセスにおいて役立ったのが、Valimailの「メール送信元の識別」を支援する仕組みです。
Valimailでは、3500を超えるメール送信サービスのIPアドレスと紐づけしてデータベース化（カタログ）しております。
その機能によってIPアドレスからメール配信サービス名として把握することができます。
この仕組みがなければ、IPアドレスの羅列から、どのメールサービスなのかを手作業で特定する必要があり、担当部門にたどり着くまでに相応の手間と時間を要します。
SPF・DKIMの整備：DNSルックアップ回数制限を回避
メール送信元が整理できた段階で、SPF/DKIMの整備に移ります。
ここで重視したのは「設定すること」よりも、抜け漏れなく整合性を担保し、正規メールの配信に影響を出さないことです。
特にSPFは、DNSのルックアップ回数制限や編集の手間が運用上の課題になりがちです。
※DNSのルックアップ回数制限（10回まで）の詳細は以下を参照
https://www.cybernet.co.jp/valimail/column/InstantSPF/index.html
サイバネットでは、Valimailの Instant SPF® という特許取得済の機能を活用し、SPFの課題であるDNSルックアップ回数制限を回避した形でSPFレコードを自動生成しました。
クラウド時代において、送信メールサービスが多くなるため、DNSルックアップ回数制限への対策が重要な課題となります。
その課題をValimailではワンクリックで自動生成することが可能です。
また、そのレコードのDNSへの反映も、直接DNSに手動で編集する必要なく、Valimail側でワンクリックで反映することが可能です。
複雑化しがちなSPF運用の負荷を軽減することができるため、継続運用において大きなメリットとなります。
サイバネットでは、Valimailの Instant SPF® という特許取得済の機能を活用し、SPFの課題であるDNSルックアップ回数制限を回避した形でSPFレコードを自動生成しました。
クラウド時代において、送信メールサービスが多くなるため、DNSルックアップ回数制限への対策が重要な課題となります。
その課題をValimailではワンクリックで自動生成・自動回避することが可能です。
また、そのSPFレコードのDNSへの反映も、手動で直接DNSを編集する必要なく、Valimail側でワンクリックで反映することが可能です。
複雑化しがちなSPF運用の負担や編集ミスなどによるリスクを軽減することができるため、継続運用において大きなメリットとなります。
DMARCポリシーの強化
最後に、DMARCポリシーの強化もValimailコンソール上のワンクリック操作で簡単に実現可能です。段階移行により、設定漏れや想定外の送信元があった場合でも、Valimailのダッシュボードで認証結果を確認し、専門的な知識がなくても、どこで・どのような認証エラーが起きているのかを簡単に把握できます。
これにより影響を抑えつつ調整でき、結果として約45日という短期間でエンフォースメントに到達できました。
4. 導入後の成果：なりすまし対策の実効性と、運用の定着
DMARCのエンフォースメント達成により、受信側での適切な扱い（隔離・拒否）につながる土台を整備できました。
加えて、導入過程で送信元の棚卸しと部門連携が進んだことで、「どこから、何の目的でメールを送っているか」を説明可能な状態に近づけられました。
これはセキュリティ対策であると同時に、統制・ガバナンスの観点でも有効です。
運用面では、メール送信元の追加・削除など変化があるタイミングで対応し、必要に応じてレポートを確認して調査・是正する形に整理できています。
重い常時監視を前提にせずとも、状況を追える状態を維持できる点も、運用定着に寄与しています。
5. BIMI実装：送信ドメイン保護を“信頼の見える化”へ
DMARCのエンフォースメントを土台として、サイバネットではBIMIの実装まで完了しました。
BIMIは、ブランド保護の観点からの施策であると同時に、受信者に対して「正規の送信元であること」を視覚的に伝えやすくする取り組みでもあります。
メールの信頼性がビジネス成果に直結しやすいBtoB領域において、送信ドメイン保護を“実装と運用”で固めた上で、その先の取り組みへ展開できたことは、今後のメールコミュニケーションにおいても重要な意味を持つと考えています。
6. まとめ
生成AIの普及により攻撃メールはより自然になり、受信者の注意喚起だけでは限界が見え始めています。
だからこそ、DMARCポリシーを段階的に強化してエンフォースメントまで到達することは、なりすましメールから顧客やパートナーを守るためにスタンダードになりつつあります。
一方で、DMARCは「一度設定して終わり」ではありません。メール送信サービスは増減し、設定は変わり、担当部門も複数にまたがります。
実務のボトルネックは、DMARCの設定よりも、送信元の棚卸し・整合性の維持・変更時の運用にあります。ここを人手と属人運用だけで回し続けるのは現実的ではありません。
サイバネットがValimailを採用した理由は、まさにこの“運用の効率性”に対応できる点にあります。
具体的には、
- メール送信元や設定状況を俯瞰でき、やるべきことが明確になる可視性
- メール送信サービスの識別支援により、棚卸しや部門確認の調査負荷を抑えられる推進性
- SPF運用の詰まりどころ（制限・複雑化・変更追従）に対し、Instant SPF®といった自動化ツールで継続運用を支える効率性
といった点です。
これにより、サイバネットは短期間でエンフォースメントを達成し、その後も運用として定着させた上で、BIMI実装まで展開できました。
DMARCは“達成”も重要ですが、より重要なのは維持できることです。
Valimailは、DMARCを継続的に回る運用へ落とし込み、送信ドメイン保護を長期的に支えるための選択肢として有効だと考えています。
