「グローバルITインフラプロジェクト」を推進する中で半導体の子会社にDMARC対応の指示

荏原製作所は「ゐのくち式渦巻ポンプ」を製作する大学発ベンチャー企業として1912年に創業、1920年に設立された。ポンプ事業として古くは八郎潟の干拓、最近では首都圏外郭放水路などの排水ポンプで知られているが、その事業は建築・産業、エネルギー、インフラ、環境、精密・電子と多岐にわたっており、それぞれの事業をカンパニー化している。

さらに水素、航空宇宙、マリン、バイオ、ライフといった新規事業にも取り組み、まさに創業者である畠山一清氏の「熱と誠」の精神を具現している。荏原製作所はグローバルにビジネスを展開し、海外売上比率は6割を超える。そのため全世界でITインフラを統一する「グローバルITインフラプロジェクト」を立ち上げ、ERPやCRM、GWS（Google Workspace）をグローバル展開するとともに、セキュリティプロジェクトを同時に推進してセキュリティ強化に取り組んでいる。

2023年6月、荏原グループの半導体事業の子会社に、非常に重要な顧客企業からDMARCに対応するよう指示があったという。「その顧客企業からは、2022年6月にもWebサイトの脆弱性を改善するよう指示がありました。これらはその顧客企業のサプライチェーンマネジメント強化の一環だったわけです」と話すのは、情報通信統括部ITアーキテクト部の部長である千葉一機氏。ITアーキテクト部では海外の支社・支店を含む全社のセキュリティを統括している。

荏原製作所ではISMSやCIS Controlsに則って網羅的にセキュリティ対策を実施していく方針であり、CIS ControlsのIG2ではDMARC対応が推奨されている。「そのためDMARC対応は考えていましたが、優先順位の高いところから対策していたので未着手でした。こんなに早く取り組むことになるとは、というのが正直な気持ちでした」と話すのは、ITアーキテクト部 ITセキュリティ管理課の課長である木村太郎氏。その顧客企業は特にサイバーセキュリティ対策に積極的に取り組んでいる。

DMARC対応は、ITアーキテクト部 ネットワーク・セキュリティ管理課の蜂谷紀之氏が中心となって進めていくことになった。「メールシステムはネットワーク周りの位置づけなので、ネットワーク担当のメンバーと一緒に進めていきました。メール担当や海外とやり取りするための英語担当などにも手伝っていただきました」（蜂谷氏）。メールセキュリティは2017年にGWS（Google Workspace）の導入でGmailに移行したこともあり、特にSPFを厳密に設定し対応していたという。

Proofpoint EFDの導入により困難だったレポートの読み取りやMTAの検知を可能に

SPFは問題なかったが、DKIMでは海外のグループ会社が導入予定のCRMシステムの設定や操作の理解が十分でなく、DKIMキーの生成のために必要な認証情報を提出させるといった手間が発生した。
そしてそれ以上に困難だったのがDMARC対応だったという。「まずは受信側認証のレポートが読めなかったこと、そしてどのような効果が見込めるのか、そういった情報が少ない状況で、専用のツールの必要性を痛感しました」と千葉氏は振り返る。悩んでいた時に、10年以上の付き合いのあるテクマトリックスからセミナーを勧められ、試用も可能だからとプルーフポイントを紹介された。
…