ابدأ بالسلطة والإصدار والاختصاص القضائي
يمكن أن تشتمل مناقشة أمن البريد الإلكتروني في الاتحاد الأوروبي على توجيهات، وتنظيمات قابلة للتطبيق بشكل مباشر، وتنفيذ وطني، وتوجيهات إشرافية، وعقود، ومعايير فنية. وليس لهذه المصادر نفس النطاق أو الأثر القانوني. قبل التوصية بتغيير المصادقة كإجراء امتثال، حدد السلطة الدقيقة والمؤسسة أو نشاط المعالجة الذي قد ينطبق عليه ذلك.
تحتفظ هذه المقالة بنصوص EUR-Lex الأصلية المنشورة للتوجيه (الاتحاد الأوروبي) 2022/2555، والتي تسمى عادة NIS2واللائحة (الاتحاد الأوروبي) 2016/679، GDPR . ولا يتم تقديم عناوين URL الخاصة بالنشر الأصلي كتحقق كامل من كل تعديل لاحق أو قانون تنفيذي أو تحويل وطني أو تفسير منظم. تظل المراجعة الحالية الخاصة بالولاية القضائية ضرورية قبل تقديم مطالبة الامتثال التنظيمي.
الغرض هنا تقني وأدلة: أظهر كيفية تجنب تحويل الواجبات الأمنية الواسعة إلى تأكيدات غير مدعومة حول بروتوكول واحد. هذه ليست نصيحة قانونية، أو تحديد الوضع التنظيمي للكيان أو شهادة بأن أي مجال متوافق.
تحديد قابلية تطبيق NIS2 قبل اختيار الأدلة
تحدد المادة 2 من نص NIS2 المحتفظ به النطاق حسب أنواع الكيانات وحجمها والشروط الإضافية، بما في ذلك الفئات التي يمكن أن تقع ضمن النطاق بغض النظر عن الحجم. وتحدد الملاحق القطاعات وأنواع الكيانات ذات الصلة. لا يعد موقع موقع الويب الخاص بالشركة أو امتلاك لاحقة نطاق الاتحاد الأوروبي بديلاً عن هذا التحليل. يجب تحديد الجهة والأنشطة وأنواع الخدمات والولاية القضائية ذات الصلة.
تتناول المادة 41 تبديل الدول الأعضاء وتحدد مواعيد اعتماد وتطبيق التدابير. ولا تثبت هذه التواريخ أن التنفيذ الفعلي لكل دولة عضو متطابق أو أنه يمكن استنتاج التزامات منظمة معينة من التوجيه وحده. احصل على النص الوطني المنطبق والمراجعة المؤهلة بدلاً من الاستقراء من ملخص عام للاتحاد الأوروبي.
يجب أن تحافظ ورقة عمل قابلية التطبيق على فئة الكيان والبلد والأنشطة والإصدار المصدر ومرجع التنفيذ الوطني والأسئلة التي لم يتم حلها. لا تضع علامة على مؤسسة معفاة لمجرد أنها تصف نفسها بأنها صغيرة، أو مغطاة لمجرد أن المورد يستخدم عبارة البنية التحتية الحيوية. NIS2 ، المادتان 2 و 41 والملاحق من الأول إلى الثاني
اقرأ واجبات إدارة المخاطر دون اختراع أمر بروتوكول
تتطلب المادة 21 من التوجيه المحتفظ به اتخاذ تدابير فنية وتشغيلية وتنظيمية مناسبة ومتناسبة للكيانات المشمولة، مع اتباع نهج قائم على المخاطر وجميع المخاطر. تتناول المادة 20 موافقة الإدارة والإشراف على التدابير. تدعم هذه الأحكام برنامجًا أمنيًا خاضعًا للمساءلة، وليس طريقًا مختصرًا يؤدي من خلاله نشر سياسة DNS واحدة إلى إغلاق كل التزام.
يمكن اقتراح مصادقة البريد الإلكتروني كجزء من الاستجابة الموثقة لمخاطر انتحال الشخصية ذات الصلة. يجب أن يوضح التبرير التهديد، والمجال ونطاق المرسل، وقيود التحكم، والضمانات التكميلية، ودليل التشغيل. لا تقم بإعادة كتابة الأحكام العامة المذكورة باعتبارها تعليمات عالمية مفادها أن كل منظمة تابعة للاتحاد الأوروبي يجب أن تنشر أحكامًا خاصة بها DMARC قيمة السياسة.
وقد تتطلب القاعدة الأضيق الخاصة بقطاع معين أو القاعدة الوطنية اتخاذ تدابير إضافية. وهذا الاحتمال هو سبب للتحقق من المصدر الفعلي القابل للتطبيق، وليس الإذن باختراعه. احتفظ بنص المتطلبات القانونية وخرائط المراقبة الفنية في حقول منفصلة حتى يتمكن المراجع من رؤية الأسباب. NIS2 ، المادتان 20 و 21
تقييم الخصوصية في سير عمل التقارير
يتعلق قابلية تطبيق GDPR بمعالجة البيانات الشخصية ضمن نطاقها المادي والإقليمي، وليس فقط ما إذا كانت الشركة تنشر DMARC أم لا. عندما تتم معالجة البيانات الشخصية ذات الصلة في سجلات المصادقة أو عينات الدعم أو التقارير، يجب أن تتناول المراجعة غرض المعالجة والأدوار والمتطلبات المعمول بها. ينص نص المادة 3 المحتفظ به على شروط النطاق الإقليمي؛ لا يزال التحديد التنظيمي الفعلي يتطلب مراجعة مؤهلة.
تتضمن المادة 5 تحديد الغرض وتقليل البيانات وتقييد التخزين. تتطلب المادة 32 اتخاذ تدابير أمنية فنية وتنظيمية مناسبة في ضوء المعالجة والمخاطر. تدعم هذه المبادئ السؤال عن الحقول الضرورية، ومن يمكنه الوصول إليها، ومدة الاحتفاظ بها، وكيفية تقييم أمانها. ولا تنشئ فترة واحدة للاحتفاظ بالتقرير العالمي أو تثبت أن كل حقل مجمع عبارة عن بيانات شخصية في كل سياق.
لا تفترض أن مراقبة الأمان تسمح تلقائيًا بجمع أو مشاركة غير محدودة. يجب أن يكون لحزمة أدلة البائع مستلم محدد وغرض ونطاق مصغر، مع تقييم المعالجة القانونية والمسائل التعاقدية ذات الصلة بشكل منفصل. لم يتم جمع أو نقل أي تقرير فعلي أو معلومات شخصية لهذه المخطوطة. GDPR ، المواد 3 و5 و32
احتفظ بأدلة البروتوكول ضمن نطاق الحماية الخاص بها
يقوم DMARC بتقييم المصادقة المحاذاة فيما يتعلق بنطاق الرسالة. يمكن أن يدعم عنصر تحكم معينًا لمكافحة الانتحال، لكنه لا يثبت أن طلب العمل الخاص بالرسالة المصادق عليها آمن، أو أنه تم منع جميع الهجمات المشابهة، أو أنه تم استيفاء كل واجب أمني مؤسسي. ويجب أن يصف التقييم الفني تلك الحدود بوضوح.
يحتاج إعداد التقارير أيضًا إلى مراجعة الخصوصية والأمان الخاصة به. يختلف الإبلاغ عن الفشل والإجمالي، ولا ينبغي التعامل مع أي منهما على أنه عرض كامل لجميع الرسائل أو على أنه مدخلات جديرة بالثقة بطبيعتها. تساعد أدلة المعايير في شرح الآلية؛ ولا يمكن أن يحل محل تحليل قابلية التطبيق القانوني الخاص بالكيان أو التقييم الكامل لفعالية الرقابة. RFC 9989 ، القسم 2.4 و4.4; RFC 9990 ، القسم 7 و 8
ورقة عمل "التحكم في الأدلة" ومثال خيالي
قم بإنشاء ورقة عمل تحتوي على أعمدة منفصلة للسلطة والإصدار، ومبررات التطبيق، والمتطلبات الدقيقة، والمخاطر التي تمت معالجتها، والمراقبة الفنية المقترحة، والمجالات والمسارات المتأثرة، والأدلة، والمالك، وتاريخ المراجعة والقيود المتبقية. قم بتضمين مراجع التنفيذ الوطني ومراجعة الخصوصية حيثما كان ذلك مناسبًا. يجب أن يظل الخلاف دون حل عندما يكون المصدر القانوني المعمول به أو الدليل التشغيلي الفعلي مفقودًا.
تخيل منظمة خيالية تفكر تنفيذ DMARC أثناء تقييم موقف NIS2 وممارسات معالجة التقارير. يمكن لفريق الأمان الخاص به إعداد قائمة جرد للمرسلين وخطة أدلة المصادقة المقترحة. ويجب على المراجع القانوني أن يحدد بشكل منفصل نطاق الكيان والالتزامات الوطنية المنطبقة. يجب على مالك الخصوصية مراجعة حقول التقرير والمستلمين والاحتفاظ. لا يمكن لأحد إغلاق تقييم الامتثال الكامل لمجرد ظهور بحث DNS العام p=reject.
إذا حصلت المنظمة الخيالية لاحقًا على دليل رسالة متوافق، فيمكن أن يدعم ذلك صف التحكم الفني ضمن نطاقه المحدد. لا يزال الأمر لا يحسم حوكمة الإدارة أو التعامل مع الحوادث أو متطلبات سلسلة التوريد أو مسائل الخصوصية. المثال هو تقسيم مقترح لمسؤوليات الأدلة، وليس تقييمًا منفذًا أو ادعاءً حول منظمة حقيقية.
حالة المراجعة والإصدار التي لم يتم حلها
يتطلب الكتالوج نصًا حاليًا موثوقًا ومراجعة امتثال مناسبة خاصة بالولاية القضائية قبل تقديم مطالبة الامتثال. تدعم منشورات الاتحاد الأوروبي الأصلية المحتفظ بها التفسيرات الضيقة المذكورة أعلاه، ولكن التعديلات الحالية وتدابير التنفيذ والقانون الوطني وقابلية التطبيق التنظيمي لم يتم الفصل فيها بشكل كامل هنا. ولذلك يظل شرط الدليل الأصلي مفتوحا.
تظل جميع بوابات التحرير الستة مفتوحة. لم تحدث أي تغييرات DNS أو تقديم تنظيمي أو التزام قانوني أو وصول المستأجر أو شهادة الامتثال. قبل نشر التقييم التنظيمي المكتمل، احتفظ بالسلطات المعمول بها الحالية والمراجعة المؤهلة وأدلة الرقابة الفعلية. اذكر النطاق والأسئلة التي لم يتم حلها بوضوح بدلاً من تقديم مصادقة البريد الإلكتروني كحل كامل للامتثال القانوني.