Eine Absenderinventur ohne Geschäftsinhaber kann Ihnen nicht sagen, ob eine gültige Nachricht erwünscht ist. Die IT kann einen Anbieter identifizieren und die Sicherheit kann die Authentifizierung interpretieren, aber keine der beiden Beobachtungen ergibt, dass die Organisation den Dienst noch benötigt. Durch die Eigentumszuweisung wird aus einer technischen Liste eine Reihe von Entscheidungen, die jemand verteidigen kann, wenn eine Durchsetzung, ein Vorfall oder eine Vertragsverlängerung eine Antwort erfordert.
Definieren Sie den Eigentümer durch Entscheidungsautorität
Der Geschäftsinhaber ist die Person oder Rolle, die in der Lage ist, den Zweck des Dienstes zu bestätigen, seine Zielgruppe zu genehmigen und Störungen zu akzeptieren, wenn der Dienst eingestellt wird. Erfassen Sie einen benannten primären Ansprechpartner und ein dauerhaftes Team oder eine dauerhafte Rolle, damit durch Personaländerungen die Verantwortlichkeit nicht verloren geht. Behalten Sie technische Bediener und Risikogenehmiger als separate Felder bei. In einem kleinen Unternehmen mag eine Person mehrere Rollen ausfüllen, die Entscheidungen sollten jedoch unterscheidbar bleiben.
Erfassen Sie für jeden Dienst das Anbieterkonto oder den Mandanten, Zweck, Kritikalität, erwarteten Sendeplan, sichtbare Absenderidentitäten, Umschlagdomänen, Signaturdomänen und Selektoren. Geben Sie die Genehmigungsreferenz sowie das Datum und den Umfang der letzten autorisierten Prüfung an. Die Bestands- und Konfigurationsverwaltungskontrollen des NIST bieten eine allgemeine Grundlage für die Führung verantwortlicher Komponentenaufzeichnungen. Bei den E-Mail-spezifischen Feldern handelt es sich hier um ein vorgeschlagenes Betriebsdesign und nicht um eine vorgeschriebene NIST Vorlage. NIST Kontrollkatalog.
Überprüfen Sie die Beziehung, anstatt zu raten
Bitten Sie den vorgeschlagenen Eigentümer, die beobachtete Absenderidentität mit einem aktuellen Dienstkonto und Geschäftsablauf zu verknüpfen. Zu den nützlichen Beweisen gehören ein genehmigter Kauf, ein Export der Anwendungskonfiguration und eine kontrollierte Nachrichtenprobe von diesem Konto. Eine bekannte IP-Adresse oder ein Anbieterlogo lassen keinen Rückschluss darauf zu, von welchem Kundenkonto eine Nachricht gesendet wurde. Durch die gemeinsame Infrastruktur ist diese Unterscheidung besonders wichtig.
DMARC wertet die Domänenauthentifizierung aus und Ausrichtung, keine interne Beschaffungsgenehmigung. Ein unerwünschter Legacy-Dienst kann weiterhin funktionieren, während ein legitimer neuer Dienst aufgrund einer Fehlkonfiguration ausfällt. Erfassen Sie geschäftliche Genehmigungen und technische Ergebnisse unabhängig voneinander. RFC 9989. Schließen Sie eine Eigentumslücke nicht, indem Sie die unbekannte Quelle hinzufügen SPF bevor die Namensnennung vollständig ist.
Lösen Sie einen scheinbaren Eigentümer auf, ohne die Autorität zu übernehmen
Angenommen, ein hypothetischer Wahlkampfdienst signiert E-Mails immer noch korrekt, aber sein namentlich genannter Eigentümer hat das Unternehmen verlassen. Der DNS Betreiber weiß, wie der Dienst konfiguriert ist, während der Einkaufsdatensatz ein Team nennt, das ihn nicht mehr nutzt. Keine dieser Tatsachen begründet einen aktuellen Entscheidungsträger oder ein anerkanntes Publikum.
Bitten Sie das Nachfolge-Geschäftsteam, das genaue Konto, den aktuellen Zweck und die beabsichtigten Empfänger zu bestätigen. Wenn dieses Team den Rücktritt bestätigt, planen Sie die Entfernung der verbleibenden sendenden Autorität erst, nachdem die Abhängigkeiten überprüft und die Änderung genehmigt wurden. Wenn die fortgesetzte Nutzung bestätigt wird, bewahren Sie die datierte Entscheidung auf und veranlassen Sie ggf. einen fehlenden Streckentest. Dabei handelt es sich um vorgeschlagene Entscheidungswege, nicht um echte Genehmigungen oder durchgeführte Signaturtests.
Behalten Sie die Eigentümerschaft durch Veränderung
Machen Sie Onboarding, Erneuerung, Mitarbeiterabgang, Mietermigration und Diensteinstellung zu expliziten Überprüfungsauslösern. Senden Sie dem Eigentümer den genauen Dienst- und Identitätsdatensatz zur Bestätigung, nicht eine allgemeine Aufforderung zur Genehmigung aller E-Mails eines Anbieters. Erfassen Sie einen Ersatzkontakt und eine Eskalationsroute für dringende Fälle. Regelmäßige Überprüfungen ergänzen diese Veranstaltungen, können sie jedoch nicht ersetzen.
Messen Sie den verifizierten Besitz einer definierten Bestandspopulation und zeigen Sie unbekannte Dienste separat an. Eine Serviceanzahl unterscheidet sich von einem Prozentsatz des Nachrichtenvolumens: Eine Gehaltsabrechnungsbenachrichtigung mit geringem Volumen kann wichtiger sein als eine große Kampagne. Schließen Sie eine Eigentumsfeststellung erst dann ab, wenn die verantwortliche Partei und unterstützende Beweise feststehen oder wenn eine genehmigte Außerdienststellung den Dienst und seine verbleibende Autorität entfernt.
Enge Verantwortung mit einem erreichbaren Entscheidungsträger
Notieren Sie, wer den Dienst bestätigt hat, welches Konto und welchen Zweck er bestätigt hat, wann er dies getan hat und wer in seiner Abwesenheit handeln kann. Wenn der Kontakt die Verwendung nicht genehmigen kann, behalten Sie die Lücke bei und eskalieren Sie, anstatt technische Vertrautheit in eine Genehmigung umzuwandeln.