Een CISO moet weten of de domeincontroles van de organisatie de beoogde assets dekken en of belangrijke legitieme services nog steeds werken. Een mondiaal DMARC percentage beantwoordt geen van beide vragen op zichzelf. Bouw een kleine reeks maatregelen die de implementatie, waargenomen authenticatie, recentheid van bewijsmateriaal en onopgeloste uitzonderingen scheiden.
Onderstaande maatregelen zijn operationele aanbevelingen. Ze gebruiken het protocol en de rapportagegrenzen in RFC's 9989 en 9990, maar het zijn geen gestandaardiseerde DMARC compliancescores.
Begin met een eigen inventaris
Referenties: RFC 9989 §4.10.1, RFC 9989 §5.4.
Definieer de domeinpopulatie op basis van een verantwoordelijke inventaris, inclusief verzendende domeinen, niet-verzendende merken, gedelegeerde services en relevante subdomeinen. Registreer de eigenaar, het beoogde gebruik, het resultaat van de beleidsdetectie en de laatste verificatiedatum. Tel expliciete records en geërfd effectief beleid afzonderlijk als dat onderscheid ertoe doet.
Een implementatiemetriek kan worden geverifieerd voor domeinen die binnen het bereik vallen, met een beoogd effectief beleid, gedeeld door alle domeinen die binnen het bereik vallen. Leg uit wat geverifieerd betekent en welk beleid aansluit bij de doelstelling van de organisatie. Het publiceren van welk document dan ook staat niet gelijk aan het verzoeken om tenuitvoerlegging, en het verzoeken om tenuitvoerlegging garandeert niet dat elke ontvanger dezelfde behandeling krijgt.
Meet de werking van legitieme diensten
Referenties: RFC 9990 §3.1.1.8, RFC 9989 §5.3.5, RFC 9989 §5.3.8.
Houd een geverifieerde applicatie-naar-domein-inventaris bij. Registreer voor elke kritieke dienst de verwachte identiteit, de verantwoordelijke eigenaar, de laatste representatieve test en de waargenomen, afgestemde resultaten. Diensten die tijdens de periode niet zijn nageleefd, weergeven in plaats van deze een pasje te verlenen.
Voor toepasselijk geldig beleid en voltooide evaluaties berekent u een op observatie gebaseerd slagingspercentage door het aantal berichten op te tellen met een uitgelijnde slagingspercentage SPF of DKIM resultaat en gedeeld door opgenomen berichtobservaties. Dekking van de staatsontvanger, tijdvenster, dubbele afhandeling en classificatiecriteria. Scheid dat tarief van een servicedekkingsstatistiek, waarvan de noemer applicaties is in plaats van berichten.
Werk door een misleidend gemiddelde
Synthetisch voorbeeld: een marketingdienst heeft 99.990 goedkeurende waarnemingen, terwijl een geverifieerd factuurtraject tien foutieve waarnemingen heeft. Het gecombineerde slagingspercentage is 99,99 procent. Het waargenomen slagingspercentage van de factuurroute is nul op tien, en een van de twee genoemde services heeft een onopgelost authenticatieprobleem.
Deze feiten rechtvaardigen een dringend onderzoek naar de factuurroute, ook al is het totale percentage hoog. Ze bewijzen niet dat alle tien de facturen zijn afgewezen of dat iedere factuurontvanger een rapport heeft ingebracht. Toon de bevestiging van de factuureigenaar, het bewijs van het voorbeeldbericht en de herstelstatus naast de statistiek.
Voeg zichtbaarheid en uitzonderingsmaatregelen toe
Volg het laatste gedekte interval en de aankomstvertraging voor belangrijke verslaggevers. Toon niet-geclassificeerd waargenomen volume, niet-geteste kritieke routes en achterstallige eigendomsbeslissingen. Een verandering in de bijdragende verslaggevers kan een percentage veranderen zonder enige verbetering van de afzender. Markeer dergelijke veranderingen in plaats van ze in een trend te verwerken.
Meet voor uitzonderingen de leeftijd, bedrijfskriticiteit, volgende actie en vervaldatum in plaats van alleen het aantal open tickets. Eén enkele langdurige uitzondering die van invloed is op een betalingsworkflow verdient mogelijk meer aandacht dan veel snel opgeloste observaties met een lage impact. Noem niet alle fouten van onbekende bronnen geblokkeerde aanvallen.
Maak de bestuurssamenvatting controleerbaar
Bewaar voor elk gepubliceerd getal de populatie, teller, noemer, berekeningsrevisie, bewijsdatum en verantwoordelijke eigenaar. Voeg een gedetailleerd overzicht toe van kritieke services en bekende lacunes. Gebruik niet beschikbaar als de noemer nul is of als er geen bewijs is.
In de controleverklaring moet worden vermeld wat er is geconfigureerd, wat er in bedrijf is waargenomen en wat nog onzeker is. Beoordeling na domeinaankoop, providermigraties of nieuwe verzendapplicaties. Een sterk metrisch programma maakt deze veranderingen zichtbaar en creëert specifieke herstelbeslissingen; het verandert een onvolledige dataset niet in een universele veiligheidsgarantie.
Ga door met het onderzoek
Gebruik de overzicht van totaalrapporten voor de onderliggende velden en de diagnosegids voor uitlijning wanneer het succes van ruwe authenticatie niet voldoet aan DMARC .
Houd de illustratie binnen het bewijsmateriaal
De lokale synthetische berekening geeft 99.990/100.000 = 99,99% in totaal, maar 0/10 = 0% voor facturen. Eén van de twee benoemde services blijft problematisch in het geleverde scenario. Dit is geen gemeten score voor de dekking van onroerend goed, het aantal leveringsverliezen of een branchebenchmark.