Una auditoría de adquisición debería establecer quién controla las identidades de correo electrónico heredadas, qué servicios comerciales dependen de ellas y qué sucederá durante la integración. No comience copiando la plantilla DNS del adquirente en cada dominio adquirido. Preservar los flujos de trabajo al tiempo que identifica la autoridad no gestionada y las lagunas en la evidencia.
Control del mapa y propiedad.
Registre la propiedad legal o comercial por separado del acceso técnico. Identifique cuentas de registrador, DNS , buzón de correo, retransmisión, firma y generación de informes, con administradores responsables y planes de transición. Registre el acceso no resuelto sin asumir que la finalización de la adquisición transfirió todos los permisos técnicos. Mantenga las credenciales y los secretos confidenciales de las cuentas fuera del registro de auditoría.
Asigne cada servicio a su dominio visible Desde, dominio de sobre, DKIM dominio de firma, inquilinos de origen y destino, relación con el proveedor y evento comercial crítico. El correo de solicitud puede pasar por alto por completo la plataforma del buzón de correo de los empleados. Incluya facturación, recuperación de contraseñas, herramientas de soporte, avisos automatizados y campañas estacionales.
Establecer la línea base de autenticación
Capture las configuraciones DNS actuales y de remitente aprobadas, luego compárelas con observaciones de receptores confiables. DMARC depende de una autenticación exitosa y alineación del identificador, no simplemente un proveedor familiar o un SPF pasar por algún punto de la ruta. RFC 9989. La publicación de claves DKIM y el servicio de firma son dependencias distintas que deben sobrevivir a cualquier migración planificada. RFC 6376.
Utilice informes agregados para descubrir patrones de fuentes observados, pero no los trate como un inventario de servicios completo o prueba de aprobación comercial. RFC 9990. Concilie los hallazgos con los propietarios de aplicaciones, registros de cuentas de proveedores y muestras de mensajes autorizados. Mantenga a los remitentes desconocidos sin aprobar hasta que se establezca la atribución.
Probar el estado objetivo por servicio
Definir transacciones representativas antes de la estandarización. Registre los identificadores esperados, los resultados de la autenticación y el recibo comercial en los destinos apropiados. Incluya el envío normal, las rutas de reenvío o puerta de enlace relevantes y los flujos programados que son importantes para la empresa. Establezca criterios de recuperación y conserve la dependencia anterior hasta que se verifique la transición aprobada.
Considere una auditoría hipotética de tres rutas heredadas. La nómina tiene una muestra autorizada vigente con un válido alineado firma DKIM y recibo comercial confirmado. La campaña tiene un propietario conocido, pero su muestra probada falla en ambas rutas de autenticación alineadas. Legacy no tiene una muestra representativa actual e identidades sin resolver. Nómina tiene evidencia de su alcance probado; La campaña requiere diagnóstico técnico, mientras que el legado necesita recopilación de evidencia. Un único pase para toda la cartera ocultaría esas diferentes acciones siguientes.
Estos son hallazgos asumidos, no verificaciones de autenticación ejecutadas, aprobaciones reales o inquilinos migrados. El resultado de la campaña supone que se examinaron todas las rutas de alineación SPF y DKIM válidas y no solo una firma defectuosa. Bajo RFC 9989 En las secciones 4.4 y 5.3.5, cualquiera de las rutas de autenticación alineadas puede satisfacer el resultado a nivel de mensaje. Por separado, las secciones 7.4 y 8 requieren la publicación de dominios. p=reject aplicar firmas DKIM válidas y no depender únicamente de SPF . Un mensaje pasajero no es prueba suficiente para todas las obligaciones de despliegue.
Informe de decisiones que los equipos de integración pueden utilizar
Separe el control confirmado, la operación observada, las excepciones aprobadas y los hallazgos no resueltos. Nombre el propietario de cada hallazgo, el impacto, la próxima acción y la evidencia de aceptación. Priorice los servicios críticos y la autoridad no administrada sin ocultar aspectos desconocidos dentro de una tasa de aprobación general.
Vuelva a ejecutar las comprobaciones pertinentes después de la mudanza del inquilino, los cambios DNS , los cambios de clave de firma y el retiro del proveedor. Preserve la evidencia de la era de la adquisición para que incidentes posteriores puedan distinguir la configuración heredada de los cambios de integración. Cerrar la fase de auditoría únicamente con una declaración clara del alcance probado y el trabajo restante; La aceptación del riesgo humano y la publicación de una declaración de aseguramiento siguen siendo decisiones separadas.
Este flujo de trabajo de inventario y revisión es un modelo operativo recomendado. NIST SP 800-53 Rev. 5 CM-8 y CM-3 proporcionan una base general para inventarios contables y cambios controlados; no prescriben estos campos específicos de correo electrónico ni confieren aprobación. Catálogo de controles NIST.