Um pacote de auditoria de autenticação deve responder a uma questão prática: outra pessoa poderia chegar à mesma conclusão sem perguntar ao autor o que significava uma coluna da planilha? Uma captura de tela pode suportar um recorde, mas raramente preserva o alcance, as transformações e as exclusões necessárias para reproduzir um achado. Comece com uma afirmação e, em seguida, forneça os dados e o raciocínio que a apoiam.
Indique a reivindicação e seus limites
Use uma declaração como “um dos três serviços registrados não possui evidências atuais de um passe de autenticação alinhado”. Evite “o domínio é seguro”. Sob RFC 9989, DMARC avalia a autenticação com alinhamento do identificador. Ele não certifica a finalidade comercial de um remetente, não garante a entrega ou contabiliza todos os métodos de falsificação de identidade.
Defina a organização, serviços, domínios, intervalo de revisão, fuso horário e limite de evidência. Separe o denominador do inventário das mensagens efetivamente observadas. Um serviço pode ser aprovado e ainda não aparecer durante um curto intervalo de observação. A falta de telemetria é uma descoberta sobre a visibilidade até que evidências adicionais a expliquem.
Manter um caminho de reconstrução
Preserve entradas brutas em uma área restrita com registros de data e hora de coleta e hashes de integridade. Registre transformações, chaves de desduplicação, exclusões e versões de ferramentas. Para relatórios agregados, retém a identidade do relatório, a organização do relatório e o intervalo ao lado de cada linha extraída. RFC 9990 descreve a estrutura do relatório; uma linha do relatório não é um histórico completo de transações ou prova de posicionamento na caixa de entrada.
Vincule cada descoberta à entrada exata do registro de serviço, linhas relevantes, interpretação e decisão corretiva. Mantenha o conteúdo pessoal fora de um resumo geral de auditoria. Um hash verifica se os bytes retidos foram alterados; não estabelece autenticidade, integridade ou aprovação autorizada. Preservar a proveniência da fonte e o histórico de acesso separadamente.
Reconstrua uma descoberta hipotética independente
Suponha três serviços registrados: faturamento, folha de pagamento e boletim informativo. Todos os três têm aprovação comercial atual. O faturamento e o boletim informativo têm observações atualizadas de aprovação alinhada dentro do intervalo de revisão declarado; folha de pagamento não tem. De acordo com a regra proposta que exige aprovação e evidências atuais, dois dos três serviços se qualificam. A folha de pagamento é uma lacuna de evidências, não uma falha de autenticação demonstrada. Estas são suposições declaradas, não arquivos operacionais retidos ou uma auditoria executada.
Alterar apenas a observação presumida da folha de pagamento para um passe alinhado atual torna a cobertura três de três. Em vez disso, começar a partir do caso original e remover a aprovação do faturamento deixa um de três. Esses contrafactuais separados mostram como a conclusão depende dos dados. Um verdadeiro revisor precisa de registros e procedência congelados reais, não apenas dessas frases de exemplo.
Dê ao revisor uma tarefa limitada
Peça a um revisor independente para reconstruir o resultado dois de três, identificar a lacuna na folha de pagamento e explicar por que não observado não é idêntico a falha de autenticação. Dê ao revisor as mesmas entradas e regras congeladas e registre sua identidade, resultado, divergências e hashes de entrada exatos. Para uma auditoria real, a reprodução externa permanece pendente até que um revisor separado inspecione efetivamente as evidências congeladas e registre o resultado. A revisão deste artigo ou de sua aritmética hipotética não satisfaz essa barreira de garantia operacional.
Fechar uma descoberta somente quando existir evidência de fechamento declarada. Para a folha de pagamento, isso significa uma rota confirmada pelo proprietário do serviço e um teste autorizado atual com evidência de autenticação do receptor, sem excluir a folha de pagamento do denominador. Preserve itens não resolvidos, datas de revisão e proprietários responsáveis para que a próxima auditoria possa distinguir o progresso de uma população alterada.