CISO perlu mengetahui apakah kontrol domain organisasi mencakup aset yang dimaksud dan apakah layanan penting yang sah masih berfungsi. Sebuah global DMARC persentase menjawab tidak ada pertanyaan sendiri. Buat serangkaian tindakan kecil yang memisahkan penerapan, autentikasi yang diamati, kesegaran bukti, dan pengecualian yang belum terselesaikan.
Langkah-langkah di bawah ini adalah rekomendasi operasional. Skor tersebut menggunakan batasan protokol dan pelaporan dalam RFC 9989 dan 9990, namun skor tersebut bukan merupakan skor kepatuhan DMARC yang distandarisasi.
Mulailah dengan inventaris yang dimiliki
Referensi: RFC 9989 §4.10.1, RFC 9989 §5.4.
Tentukan populasi domain dari inventaris yang dapat dipertanggungjawabkan, termasuk domain pengirim, merek yang tidak terkirim, layanan yang didelegasikan, dan subdomain yang relevan. Catat pemilik, tujuan penggunaan, hasil penemuan kebijakan dan tanggal verifikasi terbaru. Hitung catatan eksplisit dan kebijakan efektif yang diwariskan secara terpisah jika perbedaan tersebut penting.
Metrik penerapan dapat diverifikasi pada domain dalam cakupan dengan kebijakan efektif yang diinginkan dibagi dengan semua domain dalam cakupan. Jelaskan apa yang dimaksud dengan verifikasi dan kebijakan mana yang memenuhi tujuan organisasi. Menerbitkan catatan apa pun tidak sama dengan meminta penegakan hukum, dan meminta penegakan hukum tidak menjamin perlakuan yang sama oleh setiap penerima.
Ukur operasi layanan yang sah
Referensi: RFC 9990 §3.1.1.8, RFC 9989 §5.3.5, RFC 9989 §5.3.8.
Pertahankan inventaris aplikasi-ke-domain yang terverifikasi. Untuk setiap layanan penting, catat identitas yang diharapkan, pemilik yang bertanggung jawab, pengujian perwakilan terbaru, dan amati hasil yang selaras. Menampilkan layanan yang tidak diamati selama periode tersebut daripada memberikan izin kepada mereka.
Untuk kebijakan valid yang berlaku dan evaluasi yang telah selesai, hitung tingkat kelulusan berdasarkan pengamatan dengan menjumlahkan jumlah pesan dengan tingkat kelulusan yang selaras SPF atau DKIM hasil dan membaginya dengan observasi pesan yang disertakan. Sebutkan cakupan penerima, rentang waktu, penanganan duplikat, dan kriteria klasifikasi. Pisahkan tarif tersebut dari metrik cakupan layanan, yang penyebutnya adalah aplikasi, bukan pesan.
Atasi rata-rata yang menyesatkan
Contoh sintetis: layanan pemasaran memiliki 99.990 observasi yang berhasil, sementara rute faktur terverifikasi memiliki sepuluh observasi yang gagal. Tingkat kelulusan gabungan adalah 99,99 persen. Tingkat kelulusan rute faktur yang diamati adalah nol dari sepuluh, dan salah satu dari dua layanan yang terdaftar memiliki masalah otentikasi yang belum terselesaikan.
Fakta-fakta tersebut membenarkan adanya penyelidikan rute faktur yang mendesak meskipun tingkat headline-nya tinggi. Mereka tidak membuktikan bahwa kesepuluh faktur ditolak atau bahwa setiap penerima faktur menyumbangkan laporan. Tampilkan konfirmasi pemilik faktur, bukti contoh pesan, dan status pemulihan di samping metrik.
Tambahkan tindakan visibilitas dan pengecualian
Lacak interval liputan terbaru dan jeda kedatangan untuk reporter penting. Tampilkan volume pengamatan yang tidak terklasifikasi, rute penting yang belum teruji, dan keputusan kepemilikan yang terlambat. Perubahan dalam kontribusi reporter dapat mengubah persentase tanpa adanya perbaikan pada pengirim. Tandai perubahan tersebut daripada memadukannya menjadi tren.
Sebagai pengecualian, ukur usia, kekritisan bisnis, tindakan selanjutnya, dan kadaluwarsa, bukan hanya jumlah tiket yang terbuka. Satu pengecualian jangka panjang yang memengaruhi alur kerja pembayaran mungkin memerlukan perhatian lebih dibandingkan banyak observasi berdampak rendah yang dapat diselesaikan dengan cepat. Jangan menyebut semua kegagalan yang tidak diketahui sumbernya sebagai serangan yang diblokir.
Jadikan ringkasan dewan dapat diaudit
Untuk setiap bilangan yang diterbitkan, dicantumkan jumlah penduduknya, pembilangnya, penyebutnya, revisi perhitungannya, tanggal buktinya, dan pemiliknya yang dapat dipertanggungjawabkan. Sertakan penelusuran terhadap layanan-layanan penting dan kesenjangan yang diketahui. Gunakan tidak tersedia ketika penyebutnya nol atau tidak ada bukti.
Pernyataan pengendalian harus menyatakan apa yang telah dikonfigurasi, apa yang telah diamati pengoperasiannya, dan apa yang masih belum pasti. Tinjau setelah akuisisi domain, migrasi penyedia, atau aplikasi pengiriman baru. Program metrik yang kuat membuat perubahan tersebut terlihat dan menciptakan keputusan remediasi yang spesifik; hal ini tidak mengubah kumpulan data yang tidak lengkap menjadi jaminan keamanan universal.
Lanjutkan penyelidikan
Gunakan panduan laporan agregat untuk bidang yang mendasarinya dan panduan diagnosis keselarasan ketika keberhasilan otentikasi mentah tidak memenuhi DMARC .
Pertahankan ilustrasi tersebut sebagai buktinya
Perhitungan sintetis lokal menghasilkan 99.990/100.000 = 99,99% kelulusan keseluruhan tetapi 0/10 = 0% untuk faktur. Salah satu dari dua layanan yang disebutkan masih bermasalah dalam skenario yang disediakan. Ini bukan skor cakupan properti yang diukur, jumlah kerugian pengiriman, atau tolok ukur industri.