Eine Zahlungsmitteilung kann authentisch sein, aber nach einer Kontokompromittierung eine nicht autorisierte Änderung der Bankverbindung enthalten. Die Authentifizierung hilft bei der Bewertung der Domänenidentität. Die Beschaffungsbefugnis ergibt sich aus dem genehmigten Prozess und den verantwortlichen Personen. Gestalten Sie die beiden Kontrollen so, dass sie sich gegenseitig verstärken, ohne dass eine die andere ersetzen kann.
Ordnen Sie die Bekanntmachung dem Beschaffungsdatensatz zu
Notieren Sie für Ausschreibungsveröffentlichungen, Lieferantenmitteilungen und delegierte Beschaffungen das Aufzeichnungssystem, die Bekanntmachungskennung, den zugelassenen Absender und die Rolle des verantwortlichen Vertragspartners. Die Benachrichtigung soll einem Lieferanten helfen, den maßgeblichen Beschaffungsdatensatz über einen bekannten Kanal zu finden. Vermeiden Sie es, einen Link in einer unerwarteten Nachricht als unabhängige Überprüfung derselben Nachricht zu behandeln.
Zeichnen Sie den Anwendungsmandanten, die Von-Domäne und die Umschlagdomäne auf. DKIM Domäne und Wähler für jede Route. Ein ausgelagertes Beschaffungsportal verfügt möglicherweise über eine von der Personalpost der Behörde getrennte Versandinfrastruktur. Eine gebrandete Fußzeile oder Antwortadresse stellt keinen abgestimmten Authentifizierungspfad dar. Behalten Sie die Antwortverarbeitung in der Routenübersicht bei, da eine echte Benachrichtigung Antworten an ein anderes operatives Postfach weiterleiten kann.
Behalten Sie Folgeänderungen hinter Ihrer eigenen Zustimmung
Klassifizieren Sie Mitteilungen danach, wozu sie den Empfänger auffordern. Eine Ankündigung der offenen Ausschreibung, eine Änderung der Frist, eine Zuschlagsmitteilung und eine Anfrage zu Zahlungsdetails haben unterschiedliche betriebliche Konsequenzen. Dieser Leitfaden empfiehlt eine separate Beschaffungs- und Finanzüberprüfung für sensible Lieferanten- oder Bankänderungen unter Verwendung etablierter Kontaktdatensätze und nicht einer Telefonnummer, die in der umstrittenen E-Mail angegeben wird.
DMARC prüft nicht die Bedingungen eines Angebots und stellt auch nicht fest, wer einen Zuschlag genehmigt hat. Auch eine Passunterschrift beweist nicht, dass ein Bankkonto dem vorgesehenen Lieferanten gehört. Bewahren Sie die Änderungsberechtigung, den genehmigten Datensatz und das Ergebnis der unabhängigen Überprüfung im Beschaffungssystem auf. Hierbei handelt es sich um Workflow-Empfehlungen und nicht um eine Aussage zum Vergaberecht einer Gerichtsbarkeit.
Testen Sie den delegierten Absender vor Ablauf einer Frist
Führen Sie genehmigte Muster zur Erstbenachrichtigung, Änderung und Stornierung durch, mit fiktiven Ausschreibungsdetails. Bestätigen Sie ggf. die beabsichtigte Absenderidentität und das Signaturergebnis Ausrichtung, Antwortziel und erfolgreicher Zugriff auf die amtliche Akte. Durch eine Unterschriftenprüfung kann nicht festgestellt werden, dass die Mitteilung vor Ablauf der gesetzlichen Frist eingegangen ist. Bewahren Sie die entsprechenden Liefer- und Veröffentlichungsnachweise gesondert auf.
Wenn ein Auftragnehmer während einer aktiven Ausschreibung den Bahnsteig wechselt, behalten Sie die alte Route bei, bis die genehmigte Umstellung und die Warteschlangenabwicklung verstanden sind. Legen Sie einen Eigentümer für fehlgeschlagene Benachrichtigungen und einen dokumentierten alternativen Benachrichtigungsprozess fest. Senden Sie eine Benachrichtigung nicht stillschweigend erneut über eine neue Identität, weil eine Integration fehlgeschlagen ist. Eine solche Änderung kann Lieferanten verwirren und muss im Rahmen des vom Beschaffungsteam genehmigten Kommunikationsprozesses gehandhabt werden.
Bewerten Sie die Grenzen gegenüber dem Lieferanten neu
Überprüfen Sie Berichte nach Beschaffungsdiensten, nicht nur nach dem gesamten Postaufkommen der Abteilung. Ein scheinbar gesundes Aggregat kann einen Änderungssender mit geringem Volumen verbergen. Eskalieren Sie unerwartet signierte Domänen, neue Antwortziele und nicht im Besitz befindliche Anbieterkonten. Bevor Sie eine Domäne oder einen Selektor außer Betrieb nehmen, stellen Sie fest, welche Ausschreibungsdatensätze und wiederkehrenden Benachrichtigungen noch davon abhängen. Authentifizierungsnachweise gehören neben die Beschaffungsprüfungsaufzeichnungen und ersetzen diese nicht.
Arbeiten Sie drei schriftliche Routenaufzeichnungen durch
Diese reservierten Beispieldomänen, Selektoren, Rollen und übergebenen DKIM Prämissen sind fiktiv. Für diese Fälle werden keine signierten Nachrichten, Schlüssel, kryptografischen Überprüfungen, DNS Suchen, SMTP Transaktionen oder Live-Service-Tests bereitgestellt oder ausgeführt. Für die Überprüfung der folgenden Argumentation ist kein Testcode oder externe Probe erforderlich.
- Ausschreibungsveröffentlichung: sichtbar Von der Domain tenders.civic.example ; DKIM d=tenders.civic.example; Selektor Demo1; Wir gehen davon aus, dass DKIM ausschließlich für diesen schriftlichen Fall gilt. SPF POST VON Identität und Ergebnis unbekannt; weitere Unterschriften unbekannt; Die tatsächliche Entdeckung und Bereitstellung der Richtlinien ist unbekannt. Vorgeschlagener Eigentümer: Beschaffungsleiter. Nächste Aktion: Fordern Sie eine autorisierte Probe und ein vertrauenswürdiges Empfängerergebnis für genau diesen Mandanten an.
- Lieferantenhinweis: sichtbar Von der Domain suppliers.civic.example “; DKIM d=suppliers.civic.example; Selektor Demo2; Wir gehen davon aus, dass DKIM ausschließlich für diesen schriftlichen Fall gilt. SPF MAIL FROM Identität und Ergebnis unbekannt; weitere Unterschriften unbekannt; Die tatsächliche Entdeckung und Bereitstellung der Richtlinien ist unbekannt. Vorgeschlagener Eigentümer: Eigentümer der Lieferantenkommunikation. Nächste Aktion: Bestätigen Sie diese separate Route und ihr Geschäftsereignis, anstatt das Ergebnis der ersten Route zu erben.
- delegierte Beschaffung: sichtbar aus der Domäne contracts.civic.example “; DKIM d=provider.example.net; Selektor Demo3; Wir gehen davon aus, dass DKIM ausschließlich für diesen schriftlichen Fall gilt. SPF MAIL FROM Identität und Ergebnis unbekannt; weitere Unterschriften unbekannt; Die tatsächliche Entdeckung und Bereitstellung der Richtlinien ist unbekannt. Vorgeschlagener Eigentümer: Auftraggeber. Nächste Aktion: Fragen Sie den verifizierten Lieferanten nach dem unterstützten ausgerichteten Signaturpfad dieses Mandanten. Erweitern Sie die Autorisierung nicht auf das gesamte Netzwerk.
Für die ersten beiden festgelegten Signaturen entspricht d= genau der From-Domäne, sodass der Bezeichner sowohl eine strikte als auch eine entspannte Ausrichtung erfüllt. Angesichts des festgelegten erfolgreichen DKIM Ergebnisses existiert ein abgestimmter Authentifizierungspfad für diese hypothetischen Nachrichten. Der dritte Unterzeichner hat bewusst keinen Bezug zur Autorendomäne und kann diesen ausgerichteten Pfad nicht bereitstellen. Nennen Sie die dritte Nachricht nicht einen DMARC Fehler: ausgerichteter SPF oder eine andere ausgerichtete Übergabe DKIM Signatur könnte den Mechanismus immer noch erfüllen, und diese Eingaben sind unbekannt. Schließen Sie aus keiner Zeile auf die tatsächliche Bereitstellung oder Posteingangsplatzierung ab.
Eine kryptografische Signatur authentifiziert die Verantwortung einer signierenden Domäne, nicht die Wahrheit oder Autorisierung jeder Anweisung. Änderungen an abgedeckten kanonisierten Bytes können eine Signatur ungültig machen; Nicht jede sichtbare Bearbeitung ändert zwangsläufig die signierte Eingabe. Authentifizierung und Akzeptanz auf Anwendungsebene bleiben getrennt.
Nutzen Sie eine kündigungsspezifische Akzeptanzkarte
Für die fiktive Ausschreibung T-01-Änderung Version 2 sind die genehmigte Datensatzversion, die autorisierte Vertragsrolle, die Identität des Absenders, das Antwortziel, die Veröffentlichungszeit und der Nachweis der Empfängerbenachrichtigung erforderlich. Wenn die Authentifizierung erfolgreich ist, der offizielle Datensatz jedoch weiterhin Version 1 bleibt, stoppen Sie die Änderung und gleichen Sie sie mit der Beschaffung ab. Kennzeichnen Sie es nicht als genehmigt. Wenn die Aufzeichnung korrekt ist, die Benachrichtigung jedoch fehlschlägt, rufen Sie das bereits genehmigte alternative Benachrichtigungsverfahren auf und bewahren Sie die Zeitnachweise auf. Ein geänderter Begünstigter löst unabhängig von einem der Ergebnisse den separaten Finanzüberprüfungsprozess aus. Dabei handelt es sich um Entscheidungsvorschläge, nicht um vergaberechtliche Vorgaben oder abgeschlossene Prüfungen.
Wenden Sie die Standards an, ohne Anspruch auf Einhaltung zu erheben
RFC 9989 Abschnitte 4.4 und 5.3.5 unterstützen die Ausrichtung und Mechanismusunterscheidung. In Abschnitt 7.4 wird vor der Interoperabilität indirekter E-Mails gewarnt: Domänen verwenden p=reject Es muss ein gültiges DKIM verwendet werden, nicht nur SPF , und die allgemeine Verwendung von Mailinglisten erfordert besondere Sorgfalt. Eine Routeninventarisierung selbst ist keine Erlaubnis, eine Ablehnung zu erzwingen. RFC 6376 Abschnitte 3.4–3.7 und 6.1 Beschreiben Sie signierte Eingaben und die Überprüfung. RFC 9990 Abschnitt 3.1 Bietet einen Berichtskontext und keinen Empfangsnachweis pro Empfänger. RFC 5321 Abschnitt 4.2.5 unterscheidet die Verantwortung für die Serverakzeptanz von späteren Lieferergebnissen. Bei den Auswahlmöglichkeiten für Branchen-Workflows handelt es sich hier um redaktionelle Empfehlungen. Der rechtliche Geltungsbereich, die Faktoreignung und die örtliche Zulassung bedürfen einer eigenen, verantwortungsvollen Prüfung.