प्राधिकार, संस्करण और क्षेत्राधिकार से प्रारंभ करें
ईयू ईमेल-सुरक्षा चर्चा में एक निर्देश, सीधे लागू विनियमन, राष्ट्रीय कार्यान्वयन, पर्यवेक्षी मार्गदर्शन, अनुबंध और तकनीकी मानक शामिल हो सकते हैं। उन स्रोतों का समान दायरा या कानूनी प्रभाव नहीं है। अनुपालन उपाय के रूप में प्रमाणीकरण परिवर्तन की अनुशंसा करने से पहले, सटीक प्राधिकारी और संगठन या प्रसंस्करण गतिविधि की पहचान करें जिस पर यह लागू हो सकता है।
यह लेख निर्देश (ईयू) 2022/2555 के आधिकारिक EUR-Lex मूल प्रकाशित पाठ को बरकरार रखता है, जिसे आमतौर पर कहा जाता है NIS2, और विनियमन (ईयू) 2016/679, GDPR । उनके मूल-प्रकाशन यूआरएल को प्रत्येक आगामी संशोधन, कार्यान्वयन अधिनियम, राष्ट्रीय स्थानान्तरण या नियामक व्याख्या के पूर्ण सत्यापन के रूप में प्रस्तुत नहीं किया जाता है। संगठनात्मक अनुपालन दावा करने से पहले वर्तमान क्षेत्राधिकार-विशिष्ट समीक्षा आवश्यक है।
यहां उद्देश्य तकनीकी और साक्ष्यात्मक है: यह दिखाना कि व्यापक सुरक्षा कर्तव्यों को एक प्रोटोकॉल के बारे में असमर्थित दावों में बदलने से कैसे बचा जाए। यह कानूनी सलाह नहीं है, किसी इकाई की नियामक स्थिति का निर्धारण या कोई प्रमाणीकरण नहीं है कि कोई डोमेन अनुपालन करता है।
साक्ष्य चुनने से पहले NIS2 प्रयोज्यता निर्धारित करें
बनाए गए NIS2 पाठ का अनुच्छेद 2 इकाई प्रकार, आकार और अतिरिक्त शर्तों के आधार पर दायरे को परिभाषित करता है, जिसमें वे श्रेणियां भी शामिल हैं जो आकार की परवाह किए बिना दायरे में आ सकती हैं। अनुलग्नक प्रासंगिक क्षेत्रों और इकाई प्रकारों की पहचान करते हैं। किसी कंपनी की वेबसाइट का स्थान या ईयू डोमेन प्रत्यय का कब्ज़ा इस विश्लेषण का विकल्प नहीं है। इकाई, गतिविधियाँ, सेवा प्रकार और प्रासंगिक क्षेत्राधिकार की पहचान की जानी चाहिए।
अनुच्छेद 41 सदस्य राज्य स्थानांतरण को संबोधित करता है और उपायों को अपनाने और लागू करने की तारीखें बताता है। वे तारीखें यह स्थापित नहीं करती हैं कि प्रत्येक सदस्य राज्य का वास्तविक कार्यान्वयन समान है या किसी विशेष संगठन के दायित्वों का निष्कर्ष अकेले निर्देश से निकाला जा सकता है। सामान्य ईयू सारांश से निष्कर्ष निकालने के बजाय लागू राष्ट्रीय पाठ और योग्य समीक्षा प्राप्त करें।
प्रयोज्यता वर्कशीट में इकाई वर्ग, देश, गतिविधियाँ, स्रोत संस्करण, राष्ट्रीय कार्यान्वयन संदर्भ और अनसुलझे प्रश्न संरक्षित होने चाहिए। किसी संगठन को केवल इसलिए छूट के रूप में चिह्नित न करें क्योंकि वह खुद को छोटा बताता है, या केवल इसलिए कवर किया गया है क्योंकि कोई आपूर्तिकर्ता महत्वपूर्ण बुनियादी ढांचे वाक्यांश का उपयोग करता है। NIS2 , अनुच्छेद 2 और 41 और अनुबंध I-II
प्रोटोकॉल कमांड का आविष्कार किए बिना जोखिम-प्रबंधन कर्तव्यों को पढ़ें
बरकरार रखे गए निर्देश के अनुच्छेद 21 में जोखिम-आधारित और सभी खतरों के दृष्टिकोण के साथ कवर की गई संस्थाओं के लिए उचित और आनुपातिक तकनीकी, परिचालन और संगठनात्मक उपायों की आवश्यकता होती है। अनुच्छेद 20 प्रबंधन अनुमोदन और उपायों की निगरानी को संबोधित करता है। ये प्रावधान एक जवाबदेह सुरक्षा कार्यक्रम का समर्थन करते हैं, न कि किसी शॉर्टकट का जिसमें एक DNS नीति प्रकाशित करने से हर दायित्व समाप्त हो जाता है।
प्रासंगिक प्रतिरूपण जोखिमों के लिए दस्तावेज़ीकृत प्रतिक्रिया के भाग के रूप में ईमेल प्रमाणीकरण का प्रस्ताव किया जा सकता है। औचित्य में खतरे, डोमेन और प्रेषक का दायरा, नियंत्रण की सीमाएं, पूरक सुरक्षा उपाय और संचालन के साक्ष्य की व्याख्या होनी चाहिए। उद्धृत सामान्य प्रावधानों को एक सार्वभौमिक निर्देश के रूप में दोबारा न लिखें कि प्रत्येक ईयू संगठन को एक विशेष प्रकाशित करना होगा DMARC नीति मूल्य.
एक संकीर्ण क्षेत्र-विशिष्ट या राष्ट्रीय नियम के लिए अतिरिक्त उपायों की आवश्यकता हो सकती है। यह संभावना वास्तविक लागू स्रोत की जांच करने का एक कारण है, न कि इसका आविष्कार करने की अनुमति। कानूनी आवश्यकता पाठ और तकनीकी नियंत्रण मानचित्रण को अलग-अलग फ़ील्ड में रखें ताकि समीक्षक तर्क देख सके। NIS2 , अनुच्छेद 20 और 21
रिपोर्टिंग वर्कफ़्लो में गोपनीयता का आकलन करें
GDPR प्रयोज्यता इसकी सामग्री और क्षेत्रीय दायरे के तहत व्यक्तिगत डेटा के प्रसंस्करण से संबंधित है, न कि केवल यह कि क्या कोई कंपनी DMARC प्रकाशित करती है। जहां प्रासंगिक व्यक्तिगत डेटा को प्रमाणीकरण लॉग, समर्थन नमूने या रिपोर्ट में संसाधित किया जाता है, समीक्षा में प्रसंस्करण उद्देश्य, भूमिकाओं और लागू आवश्यकताओं को संबोधित किया जाना चाहिए। बरकरार रखा गया अनुच्छेद 3 पाठ क्षेत्रीय-दायरे की स्थितियाँ प्रदान करता है; वास्तविक संगठनात्मक निर्धारण के लिए अभी भी योग्य समीक्षा की आवश्यकता है।
अनुच्छेद 5 में उद्देश्य सीमा, डेटा न्यूनतमकरण और भंडारण सीमा शामिल है। अनुच्छेद 32 में प्रसंस्करण और जोखिमों के मद्देनजर उचित तकनीकी और संगठनात्मक सुरक्षा उपायों की आवश्यकता है। ये सिद्धांत यह पूछने का समर्थन करते हैं कि कौन से क्षेत्र आवश्यक हैं, उन तक कौन पहुंच सकता है, उन्हें कितने समय तक बनाए रखा जाता है और उनकी सुरक्षा का मूल्यांकन कैसे किया जाता है। वे एक सार्वभौमिक रिपोर्ट-अवधारण अवधि नहीं बनाते हैं या यह स्थापित नहीं करते हैं कि प्रत्येक समग्र क्षेत्र हर संदर्भ में व्यक्तिगत डेटा है।
यह न मानें कि सुरक्षा निगरानी स्वचालित रूप से असीमित संग्रह या साझाकरण की अनुमति देती है। एक विक्रेता साक्ष्य पैकेज में एक परिभाषित प्राप्तकर्ता, उद्देश्य और न्यूनतम दायरा होना चाहिए, साथ ही प्रासंगिक वैध-प्रसंस्करण और संविदात्मक प्रश्नों का अलग से मूल्यांकन किया जाना चाहिए। इस पांडुलिपि के लिए कोई वास्तविक रिपोर्ट या व्यक्तिगत जानकारी एकत्र या स्थानांतरित नहीं की गई थी। GDPR , अनुच्छेद 3, 5 और 32
प्रोटोकॉल साक्ष्य को उसके सुरक्षात्मक दायरे में रखें
DMARC संदेश के प्रेषक डोमेन के संबंध में संरेखित प्रमाणीकरण का मूल्यांकन करता है। यह एक विशेष एंटी-स्पूफिंग नियंत्रण का समर्थन कर सकता है, लेकिन यह साबित नहीं करता है कि प्रमाणित संदेश का व्यावसायिक अनुरोध सुरक्षित है, कि सभी समान हमलों को रोका गया है या कि प्रत्येक संगठनात्मक सुरक्षा कर्तव्य पूरा किया गया है। एक तकनीकी मूल्यांकन में उन सीमाओं का स्पष्ट रूप से वर्णन होना चाहिए।
रिपोर्टिंग को अपनी गोपनीयता और सुरक्षा समीक्षा की भी आवश्यकता होती है। समग्र और विफलता रिपोर्टिंग अलग-अलग होती है, और किसी को भी सभी संदेशों का संपूर्ण दृश्य या स्वाभाविक रूप से भरोसेमंद इनपुट के रूप में नहीं माना जाना चाहिए। मानक साक्ष्य तंत्र को समझाने में मदद करते हैं; यह इकाई-विशिष्ट कानूनी प्रयोज्यता विश्लेषण या पूर्ण नियंत्रण-प्रभावशीलता मूल्यांकन का स्थान नहीं ले सकता। RFC 9989 , खंड 2.4 और 4.4; RFC 9990 , धारा 7 और 8
नियंत्रण-से-साक्ष्य कार्यपत्रक और काल्पनिक उदाहरण
प्राधिकार और संस्करण, प्रयोज्यता तर्क, सटीक आवश्यकता, संबोधित जोखिम, प्रस्तावित तकनीकी नियंत्रण, प्रभावित डोमेन और मार्ग, साक्ष्य, स्वामी, समीक्षा तिथि और अवशिष्ट सीमाओं के लिए अलग कॉलम के साथ एक वर्कशीट बनाएं। जहां प्रासंगिक हो, राष्ट्रीय कार्यान्वयन और गोपनीयता-समीक्षा संदर्भ शामिल करें। जब लागू कानूनी स्रोत या वास्तविक परिचालन साक्ष्य गायब हो तो कोई विवाद अनसुलझा रहना चाहिए।
एक काल्पनिक संगठन पर विचार करते हुए कल्पना कीजिए DMARC प्रवर्तन इसकी NIS2 स्थिति और रिपोर्ट-प्रसंस्करण प्रथाओं का आकलन करते समय। इसकी सुरक्षा टीम एक प्रेषक सूची और एक प्रस्तावित प्रमाणीकरण साक्ष्य योजना तैयार कर सकती है। इसके कानूनी समीक्षक को इकाई के दायरे और लागू राष्ट्रीय दायित्वों को अलग से निर्धारित करना होगा। इसके गोपनीयता स्वामी को रिपोर्ट फ़ील्ड, प्राप्तकर्ताओं और प्रतिधारण की समीक्षा करनी चाहिए। कोई भी संपूर्ण अनुपालन मूल्यांकन को केवल इसलिए बंद नहीं कर सकता क्योंकि सार्वजनिक DNS लुकअप दिखाता है p=reject.
यदि काल्पनिक संगठन बाद में संरेखित-संदेश साक्ष्य प्राप्त करता है, तो वह अपने परिभाषित दायरे के भीतर तकनीकी नियंत्रण पंक्ति का समर्थन कर सकता है। यह अभी भी प्रबंधन प्रशासन, घटना प्रबंधन, आपूर्ति-श्रृंखला आवश्यकताओं या गोपनीयता प्रश्नों का समाधान नहीं करता है। उदाहरण साक्ष्य जिम्मेदारियों का प्रस्तावित विभाजन है, न कि निष्पादित मूल्यांकन या किसी वास्तविक संगठन के बारे में आरोप।
अनसुलझी समीक्षा और रिलीज़ स्थिति
अनुपालन दावा करने से पहले कैटलॉग को आधिकारिक वर्तमान पाठ और उचित क्षेत्राधिकार-विशिष्ट अनुपालन समीक्षा की आवश्यकता होती है। संरक्षित मूल ईयू प्रकाशन उपरोक्त संकीर्ण स्पष्टीकरणों का समर्थन करते हैं, लेकिन वर्तमान संशोधनों, कार्यान्वयन उपायों, राष्ट्रीय कानून और संगठनात्मक प्रयोज्यता पर यहां पूरी तरह से निर्णय नहीं लिया गया है। इसलिए मूल-साक्ष्य की आवश्यकता खुली रहती है।
सभी छह रिलीज गेट खुले रहेंगे। कोई DNS परिवर्तन, विनियामक सबमिशन, कानूनी प्रतिबद्धता, किरायेदार पहुंच या अनुपालन प्रमाणन नहीं हुआ। पूर्ण संगठनात्मक मूल्यांकन प्रकाशित करने से पहले, वर्तमान लागू प्राधिकारियों, योग्य समीक्षा और वास्तविक नियंत्रण साक्ष्य को अपने पास रखें। ईमेल प्रमाणीकरण को पूर्ण कानूनी-अनुपालन समाधान के रूप में प्रस्तुत करने के बजाय दायरे और अनसुलझे प्रश्नों को स्पष्ट रूप से बताएं।