導入の背景：GoogleのガイドラインによりDMARC対応が優先順位の高い課題に

地方銀行最大手の横浜銀行は、行内での業務効率化や生産性向上と、個人・法人顧客向けのサービス強化や次世代マーケティングという2つの方向でデジタル技術の活用を進めている。同時に、それを下支えする基盤としてセキュリティ対策にも真剣に取り組んできた。

「横浜銀行ではセキュリティを最上位のリスクとして位置づけています。中期経営計画の中で全体の経費の5％というKPIを掲げセキュリティに積極的に投資していく方針を示し、頭取以下、全行体制でセキュリティ強化に取り組んでいます」（五十嵐氏）さらに、こうした取り組みを通して得られた知見を、地銀19行などが集まった連携組織「CMSCSIRT」を通して共有し、地銀全体のセキュリティ水準の底上げを図って「共助」を実践している。

同行はセキュリティ対策の一環として、不正なメールが外部から行内に入ってこないように水際で防ぐメールフィルタリングと、行内からの個人情報・機密情報の漏洩を防ぐDLPという2つの柱でメールセキュリティ対策を実施してきた。ただ、「この対策が対象としていたのは主に行員が利用するOA環境のメールで、横浜銀行からお客様に送付しているメールは配信主体となるサービス管理者に委ね、セキュリティ統括室による一元的な管理はしていませんでした」（伏見氏）。部分的にSPFを導入しているサービスもあったが、全行統一とは言いがたかった。

そんな横浜銀行がDMARCと向き合うようになったのは2023年のことだった。

まず2月に、経済産業省が警察庁、総務省と連名でクレジットカード事業者に対しDMARC対応を推奨する文書を公開した。続く5月のゴールデンウィークには横浜銀行の名前を騙るフィッシングメールが流通してしまった。そこで不正送金対応を進めるとともに、中長期的にDMARCやBIMIへの対応が必要だと判断し、本格的な調査を開始した。

動きが一気に加速したのは、2023年10月にGoogleやYahoo!が「メール送信者のガイドライン」を発表したことだ。「メールを5000件以上送信する場合はSPF、DKIM、DMARC対応が必須とされていたことから、優先度を高めて対応を進めることになりました」（伏見氏）

導入の経緯：DNS Lookupの上限を回避できるHosted SPFが大きな決め手に

…