Ein Vorstand muss wissen, ob das Authentifizierungsprogramm das wesentliche Geschäftsrisiko verringert und wo das Management noch handeln muss. Ein Domänenrichtlinienwert und ein Portfolio-Pass-Prozentsatz sind nützliche Eingaben, aber keine davon beschreibt die gesamte Kontrolle. Bitten Sie das Management, Konfiguration, beobachteten Betrieb, Ausnahmen und verbleibende Bedrohungen mit benannten Diensten in Verbindung zu bringen.
Fragen Sie, was im Umfang enthalten ist
Fordern Sie ein aktuelles Inventar an, das Produktionsabsender, kritische Arbeitsabläufe mit geringem Volumen, Tochtergesellschaften, ruhende Domänen und gegebenenfalls kürzlich erworbene Vermögenswerte umfasst. Der Umfang muss klar genug sein, um Auslassungen aufzudecken. Eine Metrik, die nur Domains abdeckt, die bereits bei einer Überwachungsplattform registriert sind, kann den nicht registrierten Bestand verbergen.
Angenommen, der hypothetische Bericht eines Gremiums deckt vier registrierte Dienste ab, von denen drei über aktuell genehmigte, abgestimmte Nachweise verfügen. Zwei sind kritisch, aber nur für eine dieser beiden gibt es Beweise. Die nützliche Zusammenfassung lautet: 3/4 Serviceabdeckung und 1/2 kritische Serviceabdeckung, wobei die kritische Lücke benannt wird. Das Newsletter-Volumen kann diese fehlenden Beweise nicht ausgleichen. Hierbei handelt es sich um angenommene Werte, nicht um ein mitgeliefertes Kontrollpaket oder einen tatsächlichen Managementbericht.
Fragen Sie, was die Beweise bedeuten
RFC 9989 definiert DMARC Politik und Ausrichtung, während RFC 9990 definiert die aggregierte Berichterstattung. Diese liefern technische Beweise und keine Garantie dafür, dass alle legitimen E-Mails beobachtet wurden oder dass jeglicher Betrug verhindert wurde. Fragen Sie nach, welche Empfangsorganisationen melden, welche Zeiträume fehlen und welche Einzelnachweise wesentliche Geschäftswege abdecken.
Unterscheiden Sie die bereitgestellte Konfiguration vom getesteten Betrieb. „Es existiert eine Ablehnungsrichtlinie“ unterscheidet sich von „Alle genehmigten Routen wurden gemäß dieser Richtlinie überprüft.“ Weder wird nachgewiesen, dass eine böswillige Anfrage von einem kompromittierten Konto stammt oder Lookalike-Domäne wird gestoppt. Fordern Sie eine kurze Erläuterung der verbleibenden Bedrohungen und ihrer einzelnen Kontrollen.
Fragen Sie, welche Entscheidungen noch offen sind
Bitten Sie das Management für die hypothetische kritische Lücke, den Serviceeigentümer, die fehlende Beobachtung, den nächsten autorisierten Test und das Entscheidungsdatum zu benennen. Erkundigen Sie sich bei Betrug mit ähnlichen Rechnungen separat nach der geschäftlichen Verifizierung über eine bereits vertrauenswürdige Kontaktroute. Eine strengere Richtlinie im eigenen Bereich der Organisation schließt dieses Risiko nicht aus. Keine der beiden Antworten sollte aus einem einzelnen Portfolio-Prozentsatz abgeleitet werden.
Nehmen wir nun an, dass Discovery einen fünften im Umfang enthaltenen Dienst ohne aktuellen Test hinzufügt. Die Abdeckung sinkt von 3/4 (75 %) auf 3/5 (60 %), ohne dass ein zuvor verifizierter Dienst seine Beweise verliert. Dieser Rückgang spiegelt eine breitere bekannte Population wider, nicht unbedingt einen verschlechterten Betrieb. Dabei handelt es sich um handgefertigte hypothetische Figuren. Es wird kein Beschluss des Vorstands, keine Genehmigung des Managements oder keine Abhilfemaßnahme geltend gemacht.
Erfordern eine verantwortungsvolle Nachverfolgung
Fragen Sie, wem jede materielle Lücke gehört, welche Beweise sie schließen, wann die nächste Entscheidung fällig ist und was passiert, wenn dieser Termin versäumt wird. Das Management sollte erläutern, ob eine Verzögerung eine Aufstockung des Personals, eine Kooperation mit dem Anbieter, Anwendungsänderungen oder eine ausdrückliche Risikoakzeptanz erfordert. Bei einer erneuten Ausnahme sollten das ursprüngliche Eröffnungsdatum und der ursprüngliche Eröffnungsgrund erhalten bleiben.
Halten Sie die Vorstandszusammenfassung kompakt und bewahren Sie gleichzeitig ein reproduzierbares Beweispaket für Prüfer auf. Melden Sie Trendänderungen mit Angabe ihrer Ursache: Neu entdeckte Dienste, behobene Fehler und geänderter Umfang sind keine gleichwertigen Verbesserungen. Nennen Sie das Programm nicht allgemein konform oder vollständig, weil ein technischer Meilenstein erreicht wurde. Die sinnvolle Schlussfolgerung ist, welche wesentlichen Leistungen abgedeckt sind, welche noch nicht nachgewiesen sind und welche Entscheidungen das Management als nächstes trifft.