Start med autoritet, version og jurisdiktion
En EU-e-mail-sikkerhedsdiskussion kan involvere et direktiv, en direkte gældende forordning, national implementering, tilsynsvejledning, kontrakter og tekniske standarder. Disse kilder har ikke identisk rækkevidde eller retsvirkning. Inden du anbefaler en autentificeringsændring som en overholdelsesforanstaltning, skal du identificere den nøjagtige myndighed og den organisation eller behandlingsaktivitet, som den kan gælde for.
Denne artikel bevarer de officielle EUR-Lex originale offentliggjorte tekster til direktiv (EU) 2022/2555, almindeligvis kaldet NIS2, og forordning (EU) 2016/679, GDPR . Deres oprindelige udgivelses-URL'er præsenteres ikke som en fuldstændig verifikation af hver efterfølgende ændring, gennemførelsesretsakt, national gennemførelse eller fortolkning af regulatorer. En aktuel jurisdiktionsspecifik gennemgang er fortsat nødvendig, før der fremsættes et krav om overholdelse af organisationen.
Formålet her er teknisk og bevismæssigt: Vis, hvordan man undgår at gøre brede sikkerhedsopgaver til ikke-understøttede påstande om én protokol. Dette er ikke juridisk rådgivning, en bestemmelse af en enheds regulatoriske status eller en certificering af, at et hvilket som helst domæne er kompatibelt.
Bestem NIS2 -anvendeligheden, før du vælger bevis
Artikel 2 i den bibeholdte NIS2 tekst definerer omfang efter enhedstyper, størrelse og yderligere betingelser, herunder kategorier, der kan falde inden for anvendelsesområdet uanset størrelse. Bilag identificerer relevante sektorer og enhedstyper. En virksomheds webstedsplacering eller besiddelse af et EU-domæne-suffiks er ikke en erstatning for denne analyse. Enheden, aktiviteterne, servicetyperne og den relevante jurisdiktion skal identificeres.
Artikel 41 omhandler medlemsstaternes gennemførelse og angiver datoer for vedtagelse og anvendelse af foranstaltninger. Disse datoer viser ikke, at hver medlemsstats faktiske gennemførelse er identisk, eller at en bestemt organisations forpligtelser alene kan udledes af direktivet. Få den gældende nationale tekst og en kvalificeret gennemgang i stedet for at ekstrapolere fra et generelt EU-resumé.
Anvendelsesarket skal bevare enhedsklassen, land, aktiviteter, kildeversion, national implementeringsreference og uløste spørgsmål. Markér ikke en organisation fritaget, blot fordi den beskriver sig selv som lille, eller dækket, blot fordi en leverandør bruger udtrykket kritisk infrastruktur. NIS2 , artikel 2 og 41 og bilag I-II
Læs risikostyringsopgaver uden at opfinde en protokolkommando
Artikel 21 i det bibeholdte direktiv kræver passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for de omfattede enheder med en risikobaseret tilgang og tilgang til alle farer. Artikel 20 omhandler ledelsesgodkendelse og tilsyn med foranstaltningerne. Disse bestemmelser understøtter et ansvarligt sikkerhedsprogram, ikke en genvej, hvor udgivelse af én DNS politik lukker enhver forpligtelse.
E-mail-godkendelse kan foreslås som en del af et dokumenteret svar på relevante efterligningsrisici. Begrundelsen skal forklare truslen, domænet og afsenderomfanget, kontrollens begrænsninger, supplerende sikkerhedsforanstaltninger og dokumentation for drift. Omskriv ikke de citerede generelle bestemmelser som en universel instruktion om, at enhver EU-organisation skal offentliggøre en bestemt DMARC politik værdi.
En snævrere sektorspecifik eller national regel kunne kræve yderligere foranstaltninger. Den mulighed er en grund til at kontrollere den faktiske gældende kilde, ikke tilladelse til at opfinde den. Gem lovkravsteksten og den tekniske kontrolkortlægning i separate felter, så en anmelder kan se begrundelsen. NIS2 , artikel 20 og 21
Vurder privatlivets fred i rapporteringsworkflowet
GDPR anvendelse vedrører behandling af personoplysninger under dets materielle og territoriale omfang, ikke blot om en virksomhed udgiver DMARC . Hvor relevante personoplysninger behandles i autentificeringslogfiler, supportprøver eller rapporter, skal gennemgangen omhandle behandlingsformål, roller og gældende krav. Den bibeholdte artikel 3-tekst giver territoriale betingelser; den faktiske organisatoriske bestemmelse kræver stadig kvalificeret gennemgang.
Artikel 5 omfatter formålsbegrænsning, dataminimering og opbevaringsbegrænsning. Artikel 32 kræver passende tekniske og organisatoriske sikkerhedsforanstaltninger i lyset af behandlingen og risici. Disse principper understøtter spørgsmålet om, hvilke felter der er nødvendige, hvem der har adgang til dem, hvor længe de opbevares, og hvordan deres sikkerhed vurderes. De opretter ikke én universel rapportopbevaringsperiode eller fastslår, at hvert aggregeret felt er personlige data i enhver sammenhæng.
Antag ikke, at sikkerhedsovervågning automatisk tillader ubegrænset indsamling eller deling. En leverandørbevispakke bør have en defineret modtager, formål og minimeret omfang, med de relevante lovlige behandlings- og kontraktmæssige spørgsmål vurderet separat. Ingen egentlig rapport eller personlige oplysninger blev indsamlet eller overført til dette manuskript. GDPR , artikel 3, 5 og 32
Hold protokolbevis inden for dets beskyttende omfang
DMARC evaluerer tilpasset godkendelse i forhold til meddelelsens Fra-domæne. Det kan understøtte en bestemt anti-spoofing-kontrol, men det beviser ikke, at en autentificeret meddelelses forretningsanmodning er sikker, at alle lookalike-angreb er forhindret, eller at enhver organisatorisk sikkerhedsforpligtelse er blevet opfyldt. En teknisk vurdering bør udtrykkeligt beskrive disse grænser.
Rapportering har også brug for sin egen privatlivs- og sikkerhedsgennemgang. Samlet rapportering og fejlrapportering er forskellige, og ingen af dem bør behandles som en komplet oversigt over alle meddelelser eller som iboende troværdige input. Standardbeviset hjælper med at forklare mekanismen; den kan ikke erstatte en enhedsspecifik juridisk anvendelighedsanalyse eller en fuld kontrol-effektivitetsvurdering. RFC 9989 , afsnit 2.4 og 4.4; RFC 9990 , afsnit 7 og 8
Kontrol-til-bevis regneark og fiktivt eksempel
Opret et regneark med separate kolonner for autoritet og version, anvendelighedsrationale, nøjagtige krav, adresseret risiko, foreslået teknisk kontrol, berørte domæner og ruter, beviser, ejer, anmeldelsesdato og resterende begrænsninger. Inkluder referencer til national implementering og gennemgang af privatlivets fred, hvor det er relevant. En række skal forblive uløst, når den relevante juridiske kilde eller faktiske operationelle bevis mangler.
Forestil dig en fiktiv organisation, der overvejer DMARC håndhævelse mens den vurderer sin NIS2 position og rapporteringsbehandlingspraksis. Dets sikkerhedsteam kan udarbejde en afsenderopgørelse og en foreslået plan for godkendelsesbevis. Dens juridiske korrekturlæser skal særskilt bestemme enhedens omfang og gældende nationale forpligtelser. Dens privatlivsejer skal gennemgå rapportfelter, modtagere og opbevaring. Ingen kan lukke den komplette overensstemmelsesvurdering, blot fordi et offentligt DNS opslag viser p=reject.
Hvis den fiktive organisation senere opnår aligned-message beviser, kan det understøtte den tekniske kontrolrække inden for dets definerede omfang. Det løser stadig ikke ledelsesstyring, hændelseshåndtering, forsyningskædekrav eller spørgsmål om privatliv. Eksemplet er en foreslået opdeling af bevisansvar, ikke en udført vurdering eller en påstand om en reel organisation.
Uafklaret gennemgang og udgivelsesstatus
Kataloget kræver autoritativ aktuel tekst og passende jurisdiktionsspecifik overensstemmelsesgennemgang, før der fremsættes et overensstemmelseskrav. Bibeholdte originale EU-publikationer understøtter de snævre forklaringer ovenfor, men aktuelle ændringer, gennemførelsesforanstaltninger, national lovgivning og organisatorisk anvendelighed er ikke fuldt ud bedømt her. Kravet om originalbevis forbliver derfor åbent.
Alle seks udløserporte forbliver åbne. Ingen DNS ændringer, lovgivningsmæssig indsendelse, juridisk forpligtelse, lejeradgang eller overholdelsescertificering fandt sted. Før du offentliggør en gennemført organisatorisk vurdering, skal du beholde de aktuelle gældende myndigheder, kvalificeret gennemgang og faktisk kontrolbevis. Angiv omfanget og de uløste spørgsmål tydeligt i stedet for at præsentere e-mail-godkendelse som en komplet juridisk overholdelsesløsning.