권한, 버전 및 관할권으로 시작
EU 이메일 보안 논의에는 지침, 직접 적용 가능한 규정, 국가 시행, 감독 지침, 계약 및 기술 표준이 포함될 수 있습니다. 해당 소스는 동일한 범위나 법적 효력을 갖지 않습니다. 규정 준수 조치로 인증 변경을 권장하기 전에 해당 변경이 적용될 수 있는 정확한 권한과 조직 또는 처리 활동을 식별하십시오.
이 기사는 일반적으로 지침(EU) 2022/2555의 공식 EUR-Lex 원본 게시 텍스트를 유지합니다. NIS2및 규정(EU) 2016/679, GDPR . 원본 출판 URL은 모든 후속 개정, 시행법, 국가 변경 또는 규제 기관 해석에 대한 완전한 검증으로 제시되지 않습니다. 조직의 규정 준수 주장을 하기 전에 현재 관할권별 검토가 여전히 필요합니다.
여기서의 목적은 기술적이고 증거적인 것입니다. 광범위한 보안 의무를 하나의 프로토콜에 대한 지원되지 않는 주장으로 바꾸는 것을 방지하는 방법을 보여줍니다. 이는 법적 조언, 기업의 규제 상태 결정 또는 모든 도메인이 준수한다는 인증이 아닙니다.
증거를 선택하기 전에 NIS2 적용 가능성을 결정하십시오.
보유된 NIS2 텍스트의 2조는 규모에 관계없이 범위에 포함될 수 있는 범주를 포함하여 엔터티 유형, 규모 및 추가 조건별로 범위를 정의합니다. 부록에는 관련 부문과 법인 유형이 명시되어 있습니다. 회사의 웹사이트 위치나 EU 도메인 접미사 보유 여부는 이 분석을 대체할 수 없습니다. 법인, 활동, 서비스 유형 및 관련 관할권을 식별해야 합니다.
제41조는 회원국 전환을 다루고 조치 채택 및 적용 날짜를 명시합니다. 이러한 날짜는 모든 회원국의 실제 구현이 동일하거나 특정 조직의 의무가 지침만으로 결론을 내릴 수 있음을 입증하지 않습니다. 일반적인 EU 요약에서 추론하기보다는 해당 국가 텍스트와 적격 검토를 얻으십시오.
적용 가능성 워크시트에는 엔터티 클래스, 국가, 활동, 소스 버전, 국가 구현 참조 및 해결되지 않은 질문이 보존되어야 합니다. 단지 규모가 작다고 설명한다는 이유만으로 조직을 면제로 표시하거나 공급업체가 중요 인프라라는 문구를 사용한다는 이유만으로 적용 대상으로 표시하지 마십시오. NIS2 , 제2조, 제41조 및 부록 I~II
프로토콜 명령을 개발하지 않고도 위험 관리 업무를 읽어보세요.
유지된 지침의 21조는 위험 기반 및 모든 위험에 대한 접근 방식을 통해 해당 대상에 대한 적절하고 비례적인 기술적, 운영적 및 조직적 조치를 요구합니다. 제20조에서는 해당 조치에 대한 경영진의 승인 및 감독에 대해 다루고 있습니다. 이러한 조항은 하나의 DNS 정책을 게시하면 모든 의무가 종료되는 지름길이 아니라 책임 있는 보안 프로그램을 지원합니다.
관련 사칭 위험에 대한 문서화된 대응의 일부로 이메일 인증을 제안할 수 있습니다. 정당화에는 위협, 도메인 및 발신자 범위, 통제의 한계, 보완적인 보호 장치 및 작동 증거가 설명되어야 합니다. 인용된 일반 조항을 모든 EU 조직이 특정 조항을 게시해야 한다는 보편적인 지침으로 다시 작성하지 마십시오. DMARC 정책 가치.
보다 좁은 분야별 또는 국가별 규칙에는 추가 조치가 필요할 수 있습니다. 그 가능성은 발명을 허가하는 것이 아니라 실제 적용 가능한 소스를 확인해야 하는 이유이다. 검토자가 추론을 볼 수 있도록 법적 요구 사항 텍스트와 기술 제어 매핑을 별도의 필드에 유지하세요. NIS2 , 조항 20 및 21
보고 워크플로에서 개인 정보 보호 평가
GDPR 적용 가능성은 단순히 회사가 DMARC 게시하는지 여부가 아니라 물질적, 영토적 범위 내에서 개인 데이터를 처리하는 것과 관련됩니다. 관련 개인 데이터가 인증 로그, 지원 샘플 또는 보고서에서 처리되는 경우 검토에서는 처리 목적, 역할 및 해당 요구 사항을 다루어야 합니다. 유지된 제3조 텍스트는 영토 범위 조건을 제공합니다. 실제 조직 결정에는 여전히 적격 검토가 필요합니다.
제5조에는 목적 제한, 데이터 최소화 및 저장 제한이 포함되어 있습니다. 제32조는 처리 및 위험을 고려하여 적절한 기술적, 조직적 보안 조치를 요구합니다. 이러한 원칙은 어떤 필드가 필요한지, 누가 액세스할 수 있는지, 얼마나 오래 보관되는지, 보안이 어떻게 평가되는지 묻는 것을 지원합니다. 하나의 보편적인 보고서 보관 기간을 생성하거나 모든 집계 필드가 모든 상황에서 개인 데이터임을 설정하지 않습니다.
보안 모니터링이 자동으로 무제한 수집 또는 공유를 허용한다고 가정하지 마십시오. 공급업체 증거 패키지에는 정의된 수신자, 목적 및 최소화된 범위가 있어야 하며 관련 합법적인 처리 및 계약 관련 질문은 별도로 평가되어야 합니다. 이 원고에 대한 실제 보고서나 개인 정보는 수집되거나 전송되지 않았습니다. GDPR , 제3, 5, 32조
보호 범위 내에서 프로토콜 증거를 유지하십시오.
DMARC 메시지의 보낸 사람 도메인과 관련하여 정렬된 인증을 평가합니다. 이는 특정 스푸핑 방지 제어를 지원할 수 있지만 인증된 메시지의 비즈니스 요청이 안전하다는 것, 모든 유사한 공격이 방지되거나 모든 조직의 보안 의무가 충족되었다는 것을 증명하지는 않습니다. 기술 평가에서는 이러한 제한 사항을 명시적으로 설명해야 합니다.
보고에는 자체 개인 정보 보호 및 보안 검토도 필요합니다. 집계 보고와 오류 보고는 서로 다르며, 둘 다 모든 메시지에 대한 완전한 보기나 본질적으로 신뢰할 수 있는 입력으로 처리되어서는 안 됩니다. 표준 증거는 메커니즘을 설명하는 데 도움이 됩니다. 이는 기업별 법적 적용 가능성 분석이나 완전한 통제 효율성 평가를 대체할 수 없습니다. RFC 9989 , 섹션 2.4 및 4.4; RFC 9990 , 섹션 7 및 8
증거에 대한 통제 워크시트 및 가상의 예
권한 및 버전, 적용 가능성 근거, 정확한 요구 사항, 해결된 위험, 제안된 기술 제어, 영향을 받는 도메인 및 경로, 증거, 소유자, 검토 날짜 및 잔여 제한에 대한 별도의 열이 있는 워크시트를 만듭니다. 해당되는 경우 국가적 구현 및 개인정보 보호 검토 참조를 포함합니다. 해당 법적 소스나 실제 운영 증거가 누락된 경우 행은 해결되지 않은 상태로 남아 있어야 합니다.
다음을 고려하는 가상의 조직을 상상해 보십시오. DMARC 시행 NIS2 입장과 보고서 처리 관행을 평가하는 동안. 보안팀은 발신자 목록과 제안된 인증 증거 계획을 준비할 수 있습니다. 법률 검토자는 법인 범위와 해당 국가 의무를 별도로 결정해야 합니다. 개인정보 소유자는 보고서 필드, 수신자 및 보존을 검토해야 합니다. 공개 DNS 조회 결과가 표시된다는 이유만으로 완전한 규정 준수 평가를 완료할 수 있는 사람은 아무도 없습니다. p=reject.
가상의 조직이 나중에 정렬된 메시지 증거를 획득하면 정의된 범위 내에서 기술 제어 행을 지원할 수 있습니다. 여전히 관리 거버넌스, 사고 처리, 공급망 요구 사항 또는 개인정보 보호 관련 질문을 해결하지 못합니다. 이 예는 실행된 평가나 실제 조직에 대한 주장이 아니라 제안된 증거 책임 분할입니다.
해결되지 않은 검토 및 릴리스 상태
카탈로그에는 규정 준수 주장을 하기 전에 권위 있는 최신 텍스트와 적절한 관할권별 규정 준수 검토가 필요합니다. 유지된 원본 EU 간행물은 위의 좁은 설명을 뒷받침하지만 현재 수정안, 시행 조치, 국내법 및 조직 적용 가능성은 여기에서 완전히 판결되지 않았습니다. 따라서 원본 증거 요구 사항은 여전히 열려 있습니다.
6개의 릴리스 게이트는 모두 열려 있습니다. DNS 변경, 규제 제출, 법적 약속, 테넌트 액세스 또는 규정 준수 인증이 발생하지 않았습니다. 완료된 조직 평가를 게시하기 전에 현재 적용 가능한 권한, 적격 검토 및 실제 통제 증거를 보관하십시오. 이메일 인증을 완전한 법률 준수 솔루션으로 제시하는 대신 범위와 해결되지 않은 질문을 명확하게 설명하세요.