Zacznij od władzy, wersji i jurysdykcji
Dyskusja na temat bezpieczeństwa poczty elektronicznej w UE może dotyczyć dyrektywy, bezpośrednio stosowanego rozporządzenia, wdrożenia na szczeblu krajowym, wytycznych nadzorczych, umów i standardów technicznych. Źródła te nie mają identycznego zakresu ani skutku prawnego. Zanim zalecisz zmianę uwierzytelnienia jako środek zapewniający zgodność, określ dokładny organ oraz organizację lub czynność przetwarzania, której może ona dotyczyć.
W artykule tym zachowano oficjalne, oryginalne opublikowane teksty EUR-Lex dyrektywy (UE) 2022/2555, powszechnie zwane NIS2oraz Rozporządzenie (UE) 2016/679, GDPR . Adresy URL ich oryginalnych publikacji nie są przedstawiane jako pełna weryfikacja każdej kolejnej nowelizacji, aktu wykonawczego, transpozycji krajowej lub interpretacji organów regulacyjnych. Przed złożeniem wniosku o zgodność organizacji konieczny jest bieżący przegląd dotyczący konkretnej jurysdykcji.
Cel jest tutaj techniczny i dowodowy: pokazać, jak uniknąć przekształcania ogólnych obowiązków bezpieczeństwa w niepoparte twierdzeniami na temat jednego protokołu. Nie jest to porada prawna, określenie statusu regulacyjnego podmiotu ani zaświadczenie, że jakakolwiek domena jest zgodna.
Przed wybraniem dowodów należy określić możliwość zastosowania NIS2
Artykuł 2 zachowanego tekstu NIS2 definiuje zakres według rodzajów podmiotów, wielkości i dodatkowych warunków, w tym kategorii, które mogą mieścić się w zakresie niezależnie od wielkości. Załączniki identyfikują odpowiednie sektory i typy podmiotów. Lokalizacja strony internetowej firmy lub posiadanie sufiksu domeny UE nie zastępuje tej analizy. Należy określić podmiot, działalność, rodzaje usług i odpowiednią jurysdykcję.
Artykuł 41 dotyczy transpozycji przez państwa członkowskie i określa daty przyjęcia i stosowania środków. Daty te nie pozwalają na ustalenie, czy faktyczne wdrożenie w każdym państwie członkowskim jest identyczne, ani czy na podstawie samej dyrektywy można wywnioskować obowiązki konkretnej organizacji. Uzyskaj mający zastosowanie tekst krajowy i kwalifikowaną recenzję, zamiast ekstrapolować z ogólnego podsumowania UE.
Arkusz zastosowania powinien zawierać klasę podmiotu, kraj, działania, wersję źródłową, krajowe odniesienie do wdrożenia i nierozwiązane pytania. Nie oznaczaj organizacji wyłączonej tylko dlatego, że opisuje siebie jako małą, lub objętej tylko dlatego, że dostawca używa wyrażenia „infrastruktura krytyczna”. NIS2 , art. 2 i 41 oraz załączniki I–II
Przeczytaj obowiązki związane z zarządzaniem ryzykiem bez wymyślania poleceń protokołu
Artykuł 21 zachowanej dyrektywy wymaga odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych dla podmiotów objętych dyrektywą, przy zastosowaniu podejścia opartego na ryzyku i uwzględniającego wszystkie zagrożenia. Artykuł 20 dotyczy zatwierdzania środków przez kierownictwo i nadzoru nad nimi. Przepisy te wspierają odpowiedzialny program bezpieczeństwa, a nie skrót, w którym opublikowanie jednej polityki DNS zamyka wszystkie obowiązki.
Uwierzytelnianie poczty elektronicznej można zaproponować jako część udokumentowanej reakcji na istotne ryzyko podszywania się pod inne osoby. W uzasadnieniu należy wyjaśnić zagrożenie, zakres domeny i nadawcy, ograniczenia kontroli, zabezpieczenia uzupełniające oraz dowód działania. Nie należy przepisywać przytoczonych przepisów ogólnych jako uniwersalnej instrukcji, że każda organizacja unijna musi opublikować konkretny przepis DMARC wartość polisy.
Węższe przepisy sektorowe lub krajowe mogą wymagać dodatkowych środków. Możliwość ta jest powodem sprawdzenia faktycznego źródła, a nie pozwoleniem na jego wymyślenie. Zachowaj tekst wymagań prawnych i mapowanie kontroli technicznej w oddzielnych polach, aby recenzent mógł zobaczyć uzasadnienie. NIS2 , art. 20 i 21
Oceń prywatność w procesie raportowania
Zastosowanie GDPR dotyczy przetwarzania danych osobowych w zakresie rzeczowym i terytorialnym, a nie tylko tego, czy firma publikuje DMARC . Jeżeli odpowiednie dane osobowe są przetwarzane w dziennikach uwierzytelniania, wzorach wsparcia lub raportach, przegląd musi dotyczyć celu przetwarzania, ról i mających zastosowanie wymagań. Zachowany tekst art. 3 określa warunki o zasięgu terytorialnym; faktyczne ustalenia organizacyjne nadal wymagają przeglądu z kwalifikacjami.
Artykuł 5 obejmuje ograniczenie celu, minimalizację danych i ograniczenie przechowywania. Artykuł 32 wymaga odpowiednich technicznych i organizacyjnych środków bezpieczeństwa w świetle przetwarzania i zagrożeń. Zasady te wspierają pytanie, które pola są niezbędne, kto może uzyskać do nich dostęp, jak długo są przechowywane i jak ocenia się ich bezpieczeństwo. Nie ustanawiają jednego uniwersalnego okresu przechowywania raportów ani nie ustalają, że każde pole zbiorcze stanowi dane osobowe w każdym kontekście.
Nie zakładaj, że monitorowanie bezpieczeństwa automatycznie pozwala na nieograniczone gromadzenie lub udostępnianie. Pakiet dowodów dostawcy powinien mieć określonego odbiorcę, cel i zminimalizowany zakres, przy czym odpowiednie kwestie dotyczące zgodnego z prawem przetwarzania i umowy powinny być oceniane oddzielnie. Na potrzeby tego manuskryptu nie zebrano ani nie przekazano żadnego rzeczywistego raportu ani danych osobowych. GDPR , art. 3, 5 i 32
Zachowaj dowód protokołu w jego zakresie ochronnym
DMARC ocenia dopasowane uwierzytelnianie w odniesieniu do domeny Od wiadomości. Może wspierać określoną kontrolę zapobiegającą fałszowaniu, ale nie dowodzi, że żądanie biznesowe uwierzytelnionej wiadomości jest bezpieczne, że zapobiega się wszelkim atakom podobnym lub że spełniono wszystkie organizacyjne wymagania dotyczące bezpieczeństwa. Ocena techniczna powinna wyraźnie opisywać te ograniczenia.
Zgłaszanie wymaga również własnej oceny prywatności i bezpieczeństwa. Raporty zbiorcze i raporty o awariach różnią się i żadnego z nich nie należy traktować jako pełnego widoku wszystkich komunikatów ani jako z natury wiarygodnych danych wejściowych. Dowody zawarte w normach pomagają wyjaśnić mechanizm; nie może zastąpić analizy stosowalności prawa dla konkretnego podmiotu ani pełnej oceny skuteczności kontroli. RFC 9989 , sekcja 2.4 i 4.4; RFC 9990 , sekcja 7 i 8
Arkusz kontroli do dowodów i fikcyjny przykład
Utwórz arkusz z oddzielnymi kolumnami dla uprawnień i wersji, uzasadnienia zastosowania, dokładnych wymagań, uwzględnionego ryzyka, proponowanej kontroli technicznej, dotkniętych domen i tras, dowodów, właściciela, daty przeglądu i pozostałych ograniczeń. W stosownych przypadkach uwzględnij odniesienia do wdrażania na poziomie krajowym i przeglądu prywatności. Spór powinien pozostać nierozstrzygnięty, jeżeli brakuje mającego zastosowanie źródła prawnego lub faktycznego dowodu operacyjnego.
Wyobraź sobie fikcyjną organizację rozważającą Egzekucja DMARC przy ocenie swojego stanowiska NIS2 i praktyk w zakresie przetwarzania raportów. Zespół ds. bezpieczeństwa może przygotować spis nadawcy i proponowany plan dowodów uwierzytelniających. Osoba przeprowadzająca przegląd prawny musi osobno określić zakres podmiotu i obowiązujące obowiązki krajowe. Właściciel prywatności musi sprawdzić pola raportów, odbiorców i przechowywanie. Nikt nie może zamknąć pełnej oceny zgodności tylko dlatego, że wynika z publicznego wyszukiwania DNS p=reject.
Jeśli fikcyjna organizacja uzyska później dowody w postaci spójnego komunikatu, może to wesprzeć wiersz kontroli technicznej w określonym zakresie. Nadal nie rozstrzyga kwestii ładu zarządczego, postępowania z incydentami, wymogów dotyczących łańcucha dostaw ani kwestii prywatności. Przykładem jest proponowany podział obowiązków dowodowych, a nie dokonana ocena lub zarzut dotyczący rzeczywistej organizacji.
Nierozwiązany stan recenzji i wydania
Katalog wymaga wiarygodnego, aktualnego tekstu i odpowiedniego przeglądu zgodności w danej jurysdykcji przed złożeniem wniosku o zgodność. Zachowane oryginalne publikacje UE potwierdzają powyższe wąskie wyjaśnienia, ale obecne zmiany, środki wykonawcze, prawo krajowe i zastosowanie organizacyjne nie zostały tutaj w pełni rozstrzygnięte. Wymóg dotyczący pierwotnego dowodu pozostaje zatem otwarty.
Wszystkie sześć bramek zwalniających pozostaje otwartych. Nie wystąpiły żadne zmiany DNS , zgłoszenia regulacyjne, zobowiązania prawne, dostęp najemcy ani certyfikacja zgodności. Przed opublikowaniem zakończonej oceny organizacji należy zachować aktualne obowiązujące władze, kwalifikowany przegląd i dowody faktycznej kontroli. Jasno określ zakres i nierozwiązane pytania, zamiast przedstawiać uwierzytelnianie e-mailem jako kompletne rozwiązanie zapewniające zgodność z prawem.