CASE STUDIES 導入事例

伊藤氏

JPデジタルは、日本郵政の戦略的子会社として2021年7月に設立されました。日本郵政グループのDXを牽引することをミッションに、グループが持つリアルなネットワークやブランド、テクノロジーを掛け合わせ、お客さまにより便利で価値の高いサービスを提供しています。

具体的には、グループ共通のID基盤「ゆうID」やポイントサービス「ゆうゆうポイント」のほか、「郵便局アプリ」「e転居」「デジタル窓口」など、様々なサービスの企画、開発、運営を行っています。

吉川氏

ユーザーサポート部全体を統括しており、情報セキュリティを担当するサイバーセキュリティ課も管掌しています。お客さまに送るメールのなりすまし対策や到達率にも関心があり、本プロジェクトには立ち上げ当初から参画しています。

金谷氏

ユーザーサポート部サイバーセキュリティ課の課長を務めています。各プロダクトのセキュリティ審査のサポートや脆弱性対応など、セキュリティ全般を担当しています。メール領域では、なりすまし対策やDMARCポリシーの引き上げに関する技術的な支援を行っています。

伊藤氏

シニアプロダクトマネジャーとして、ゆうIDや郵便局アプリに紐づくグループ横断施策の推進を担当しています。今回のプロジェクトでは、ツールの選定や運用方針の策定、施策全体の推進を担当しました。

伊藤氏

配信しているメールは、主に3種類あります。1つ目はログイン完了や会員登録完了などを通知するシステムメール、2つ目は「ゆうゆうポイント」や郵便局をご利用のお客さまへ、キャンペーン情報などを届けるマーケティングメールです。3つ目は、お客さまサポートや法人向けサービスに関するメールです。

導入時点での配信数は月間50万通ほどでしたが、現在は100万通規模のメルマガを月に数回程度配信しており、配信規模は大幅に拡大しています。

金谷氏

フィッシング対策協議会や関係省庁から、フィッシングメールへの注意喚起やメール送信事業者へのセキュリティ対策を促す通知が出されていたことが背景にあります。

当社でもDMARCを設定しており、ポリシーは「none」として運用していました。公共サービスを支える企業として、より実効性のある対策が必要だと考え、DMARCポリシーの引き上げに向けて具体的な対応を進めることになりました。

吉川氏

グループ全体でDMARCレポートは受信していたのですが、ドメイン単位でのメール送信状況を継続的に把握・確認できる状態にはなっていませんでした。まずは現状を可視化し、運用判断に活かせる環境を整える必要があると考え、DMARC分析ツールの導入を検討しました。

吉川氏

ベアメールを知ったきっかけは、日本郵政グループ内での利用実績がある事業者からの推薦です。

伊藤氏

ツールの比較検討では、サポート体制と、実際にトライアルで検証できるかという点を重視しました。

サポート体制を重視したのは、メール領域の専門知識を持つ人材をこの施策の専任担当者として配置するのが難しく、プロダクトマネジャーや関係部門のメンバーがセキュリティ担当と連携しながら進める必要があったためです。比較検討にあたっては、コンサルタントを介した手厚い支援を前提とするサービスよりも、必要な支援を受けながら自分たちで運用できるサービスであることを重視していました。

また、導入前に実際の使用感を確認できることも重要でした。海外製のDMARC分析サービス2社も含めて比較しましたが、他社ではエージェントやコンサルタントを介した検証が前提となる提案もあり、当社が求めるコスト感とはギャップがありました。一方、迷惑メールスコアリングでは実際に管理画面を操作できるトライアル環境が用意されていたため、まずはトライアルで機能や操作性を検証することにしました。

伊藤氏

最初は管理画面の数値の見方が難しいと感じるメンバーもいましたが、トライアル期間中に担当者から管理画面の使い方や見るべきポイントを教えていただいたことで、理解が深まりました。

金谷氏

DMARC分析機能で評価したのは、ダッシュボードでDMARCレポートを分かりやすく可視化できる点と、アラート通知を柔軟に設定できる点です。

DMARCポリシーを「reject」まで引き上げた後も、メールの送信状況を継続的に監視する必要があります。そのため、異常が発生した際にすぐ対応できる仕組みがあるかを特に重視していました。

伊藤氏

トライアル期間中は、確認を進めるたびに新たな疑問が出てくる状態で、サポート担当者に何度も質問しましたが、その都度丁寧に対応していただきました。実際のやり取りを通じて、プレミアムサポートがあれば、必要な専門的知見を取り入れながらDMARC対応を継続的に進められると感じたことは、大きな決め手でした。

また、海外製サービスについても比較しましたが、為替変動や契約条件の影響により、コストの見通しが立てにくい面もありました。その点、ベアメールはサポートの質に加え、費用面でも当社の方針に合っていると判断しました。最終的には、支援内容も含めて「コストパフォーマンスが高い」という評価で一致し、社内承認もスムーズに進みました。

金谷氏

コスト面では、ドメイン追加時の費用の見通しが立てやすかった点も、選定理由の一つでした。今後プロダクトが増え、新たなサブドメインを追加する可能性もあるため、複数ドメインを継続して管理していくうえで、追加時の費用は重要なポイントでしたね。

吉川氏

管理画面が日本語で表示されている点も高く評価しました。画面の見方さえ分かれば、「日本語なので、必要な情報を自分たちで確認しやすく、認識の齟齬も防げる」という安心感がありましたね。技術部門以外の関係者でも内容を理解しやすく、社内でも使いやすさを評価する声がありました。

伊藤氏

対象となるサービスドメインを整理し、6ドメインから対応を始めました。当初は、ポリシーを適用するメールの割合を教科書通りに10%、25%、50%、75%と段階的に引き上げ、影響を確認してから次へ進む方法をとっていました。

プレミアムサポートでは、毎月の状況を確認しながら、次に進めるタイミングや注意点についてアドバイスをいただきました。問題が見られない場合は早めに次の段階へ進み、その後状況観察を行うという方法も教えていただき、効率よくポリシーの引き上げを進められたと思います。

金谷氏

作業を大きく加速させたのが、ベアメールのタグ別エラー分析機能です。主要な送信システムはあらかじめ整理できていたため、正規の送信元にタグを付けることで、それ以外から送信されているメールをすぐに絞り込めました。送信元のプロダクトやシステムを迅速に特定し、正規のメールかどうかを確認できた点が良かったです。

伊藤氏

最優先としていた「ゆうID」などの主要サービスドメインについては、DMARCポリシーを「reject」まで引き上げ、予定通り2026年3月末までに対応を完了できました。残りのドメインについても順調に対応が進んでおり、当初対象としていた6ドメインすべてで、引き上げ完了の見通しが立っています。

吉川氏

ポリシーを引き上げることで、お客さまにメールが届かなくなるなどの影響が出ないか、当初は不安もありました。そのため、事前にお客さま向けのお知らせを掲載するなど、慎重に対応を進めました。

結果として、「メールが届かない」といった問い合わせは発生せず、大きな影響なく進めることができました。運用が安定してからは、お知らせの掲載を除けば、特別な対応を必要とする場面もほとんどありませんでした。

金谷氏

特に役立っているのは、アラート通知機能です。DMARCエラー率やなりすまし可能性メール率が一定の値を超えた場合に、通知を受け取れるよう設定しています。

送信に使用しているメールサービスがブラックリストに登録された際、すぐに検知できる点も非常に助かっています。異常を早期に把握し、送信環境の切り替えや除外といった対応を速やかに行えるため、継続的な監視・運用に役立っています。

吉川氏

ダッシュボードが見やすく、メールの送信状況を可視化できる点を評価しています。

また、グループ会社からセキュリティ対応の状況について照会を受けた際にも、「継続的に監視しており、異常時には対応できる」ということを明確に説明できるようになりました。

伊藤氏

プレミアムサポートの質の高さを評価しています。毎月の打ち合わせでは、その時点の課題を的確に捉え、次に取るべき対応について具体的なアドバイスをいただいています。その内容を踏まえて、ポリシー引き上げの判断や対応を着実に進められています。

また、社内でメール認証の設定について意見が分かれた際にも、第三者の専門的な視点から助言をいただけるため、関係者への説明や合意形成がしやすくなりました。継続して相談できる体制があり、ポリシーの引き上げについては「大きな不安なし」と感じています。

金谷氏

プレミアムサポートを通じて、専門知識を持つ担当者に伴走していただける点です。自社の送信環境や運用体制を理解したうえで、「ここまで引き上げても問題ないのではないか」と具体的に助言していただけます。

第三者の専門的な見解があることで、社内の関係者にも説明しやすくなります。裏付けを得たうえで、スピード感を持ってDMARCポリシーの引き上げを進められる点は、大きなメリットだと思います。

吉川氏

管理画面が分かりやすく、技術部門以外の関係者でも状況を把握しやすい点です。操作方法や見るべきポイントが分かれば、画面を読みながら状況を理解できます。

月1回のプレミアムサポートも、ほかのサービスと比べて手厚いと感じています。レポートには細かな内容まで記載されているため、打ち合わせに参加していないメンバーが後から見ても、状況や対応内容を理解できます。サポートの内容まで含めて考えると、費用対効果は非常に高いと思います。

伊藤氏

DMARC分析ツールには、海外製サービスやオープンソースを含めて、様々な選択肢があります。ただ、社内のリソースや時間には限りがあるため、実運用に根ざした知見、いわば「秘伝のタレ」を適宜取り入れながら進めることが重要だと考えていました。

ベアメールでは、必要な機能に加えて、自社だけでは得にくい長年の知見やノウハウも活用できます。すべてをコンサルタントに任せるのではなく、必要なときに専門家へ相談しながら自分たちで進められる。その距離感が、私たちの組織にはちょうどよくフィットしていました。

また、海外の主要なメールサービスだけでなく、国内のメールプロバイダに関する知見が豊富な点も心強いですね。国内の様々なメールサービスを利用するお客さまへ配信している企業にとって、頼りになるパートナーだと思います。

伊藤氏

まずは、残りのドメインについてもDMARCポリシー引き上げの完了を目指しています。

並行して、社内の別チームではBIMIの対応も進めています。今回DMARCポリシーを「reject」まで引き上げたことは、BIMIの対応を進めるうえでの重要な基盤になると考えています。

金谷氏

DMARCエラー率の変化と、フィッシングメールに関する外部の報告などを組み合わせて分析したいと考えています。実際に、DMARCエラー率の変化とフィッシングサイトが検知された時期が近いケースもあり、「これは一つのシグナルになる」と感じています。

今後は、なりすまし攻撃の兆候を早期に検知し、必要に応じてお客さまへの注意喚起を行うなど、より能動的にお客さまを守れる体制を整えていきたいですね。