Et risikoregister for e-postautentisering bør forklare hvilken forretningstjeneste som kan bli skadet og hvilken beslutning som reduserer risikoen. "DMARC mangler" er et teknisk funn, ikke en fullstendig risikoerklæring. Koble tilstanden til en troverdig trussel- eller feilbane, berørt prosess, eksisterende sikkerhetstiltak og ansvarlig eier.
Beskriv tjenesten og scenarioet
For hver oppføring, registrer tjenesten, domenet, applikasjonseieren, teknisk tilstand, bevistidspunkt og sannsynlig konsekvens. Hold usikkerheten eksplisitt. En uobservert avsender er et bevisgap, mens en verifisert ujustert legitim avsender er en autentiseringsfeil. Ingen av dem beviser automatisk at en angriper har utnyttet tjenesten.
RFC 9989 spesifiserer domeneautentisering og justering oppførsel. Dens beskyttelse fastslår ikke at hver autentisert forespørsel er legitim. Et risikoregister må skille direkte etterligning av domenet ditt fra en kompromittert autorisert konto eller en lookalike domene som passerer autentisering for seg selv.
Separat iboende og gjenværende risiko
Beskriv scenariet før kontroller, og forklar deretter hva hver eksisterende beskyttelse endrer. For fakturainstruksjoner kan tilbakeringingsverifisering av betaling adressere falske forretningsforespørsler som domeneautentisering alene ikke kan løse. Ikke antyd at eksistensen av en skriftlig tilbakeringingspolicy beviser at folk konsekvent følger den.
Bruk organisasjonens avtalte sannsynlighets- og effektdefinisjoner. Unngå å presentere oppfunnet presisjon som en 17,3 % årlig svindelsannsynlighet uten bevis. Der data er utilstrekkelige, bruk en kvalitativ vurdering med dens begrunnelse og vurderingsutløser. Registrer hvem som har myndighet til å akseptere gjenværende risiko, i stedet for å behandle en e-postadministrators tekniske avmelding som forretningsaksept.
Bruk et lenket eksempel
Anta at hypotetisk oppføring R-1 gjelder lønn. Tilstanden mangler gjeldende aligned-pass-bevis på en registrert kritisk tjeneste. Den potensielle konsekvensen er manglende lønnsvarsler hvis en uprøvd rute mislykkes under håndheving. Dette er et betinget scenario, ikke en påstand om at ansatte har gått glipp av meldinger. Finans eier tjenesten, postteamet eier etterforskning og stenging krever en gjeldende rutetest pluss bekreftelse fra tjenesteeier.
R-2 dekker etterligning av fakturabetaling gjennom et angriper-eid lookalike-domene. Den foreslåtte kontrollen er uavhengig verifisering gjennom en allerede pålitelig kontaktrute. Å publisere en sterkere policy på offerets domene tilfredsstiller ikke R-2s lukketest. For hver oppføring, kreve et funn, eier, beslutning og eksplisitt lukkebevis før du behandler det foreslåtte registeret som komplett. Dette er en anbefalt gjennomgangsregel, ikke en utført validering eller bevis på at en kontroll fungerer.
Hold registeret handlingsdyktig
Velg behandling eksplisitt: korriger, unngå den risikofylte aktiviteten, overfør en definert eksponering der det er hensiktsmessig, eller aksepter den gjenværende risikoen gjennom den autoriserte beslutningsprosessen. Angi en forfallsdato og utløser for gjennomgang. En behandlingsplan er ikke bevis på fullføring; beholde selve testen eller beslutningsprotokollen separat.
Disse hypotetiske oppføringene illustrerer ulike scenarier, ikke observerte angrep eller aksepterte forretningsrisikoer. En fullstendighetsvurdering kan identifisere manglende felt, men kan ikke validere en risikovurdering eller fastslå at reelle sikkerhetstiltak fungerer. Hold de faktiske bevisene og den autoriserte akseptbeslutningen atskilt fra den foreslåtte behandlingen.
Gjennomgå registeret etter migrasjoner, nye avsendere, hendelser og forretningsendringer. Lukk bare det spesifikke scenariet hvis bevis oppfyller den angitte testen, og behold nok historie til å forklare hvorfor det ble stengt.
NIST SP 800-30 Rev. 1 avsnitt 2.3 og 3.2 beskriver risikofaktorer, vurderingsmetoder og dokumenterer vurderingsfunn. De støtter å gjøre sannsynlighet, innvirkning og usikkerhet eksplisitt; de e-postspesifikke registerfeltene og eksemplene ovenfor er en foreslått søknad, ikke en foreskrevet sjekkliste for samsvar. Veileder for risikovurdering.