Ett riskregister för e-autentisering bör förklara vilken företagstjänst som kan skadas och vilket beslut som minskar risken. "DMARC saknas" är ett tekniskt fynd, inte en fullständig riskbeskrivning. Koppla tillståndet till en trovärdig hot- eller felväg, påverkad process, befintliga skyddsåtgärder och ansvarig ägare.
Beskriv tjänsten och scenariot
För varje post, registrera tjänsten, domänen, applikationsägaren, tekniskt skick, bevistid och trolig konsekvens. Håll osäkerheten tydlig. En oobserverad avsändare är en bevisglapp, medan en verifierad ojusterad legitim avsändare är en autentiseringsdefekt. Ingen av dem bevisar automatiskt att en angripare har utnyttjat tjänsten.
RFC 9989 anger domänautentisering och inriktning beteende. Dess skydd fastställer inte att varje autentiserad begäran är legitim. Ett riskregister måste skilja direkt identitetsstöld av din domän från ett intrång i ett auktoriserat konto eller ett lookalike-domän som överlåter autentisering för sig själv.
Separera inneboende och kvarvarande risk
Beskriv scenariot före kontrollerna och förklara sedan vad varje befintlig skyddsåtgärd förändrar. För fakturainstruktioner kan verifiering av återuppringning av betalning åtgärda bedrägliga affärsförfrågningar som enbart domänautentisering inte kan lösa. Antyd inte att förekomsten av en skriftlig återuppringningspolicy bevisar att folk konsekvent följer den.
Använd organisationens överenskomna sannolikhets- och effektdefinitioner. Undvik att presentera påhittad precision som 17,3 % årlig bedrägerisannolikhet utan bevis. Om data är otillräcklig, använd ett kvalitativt betyg med dess motivering och granskningsutlösare. Registrera vem som har behörighet att acceptera kvarvarande risk, snarare än att behandla en e-postadministratörs tekniska sign-off som affärsacceptans.
Använd ett länkat exempel
Antag att hypotetisk post R-1 avser löner. Tillståndet saknar aktuellt aligned-pass-bevis på en registrerad kritisk tjänst. Den potentiella konsekvensen är missade löneaviseringar om en oprövad rutt misslyckas under verkställigheten. Detta är ett villkorligt scenario, inte ett påstående om att anställda har missat meddelanden. Finans äger tjänsten, postteamet äger utredning och nedläggning kräver ett aktuellt rutttest plus tjänsteägarebekräftelse.
R-2 täcker efterliknande av fakturabetalning genom en angriparägd lookalike-domän. Dess föreslagna kontroll är oberoende verifiering genom en redan pålitlig kontaktväg. Att publicera en starkare policy på offrets domän uppfyller inte R-2:s stängningstest. Kräv ett fynd, ägare, beslut och explicit stängningsbevis för varje post innan det föreslagna registret behandlas som komplett. Detta är en rekommenderad granskningsregel, inte en utförd validering eller bevis på att en kontroll fungerar.
Håll registret handlingsbart
Välj behandling uttryckligen: åtgärda, undvik den riskfyllda aktiviteten, överför en definierad exponering där så är lämpligt, eller acceptera den återstående risken genom den auktoriserade beslutsprocessen. Ställ in ett förfallodatum och granska trigger. En behandlingsplan är inte bevis på att den är fullbordad; behålla själva test- eller beslutsprotokollet separat.
Dessa hypotetiska poster illustrerar olika scenarier, inte observerade attacker eller accepterade affärsrisker. En fullständighetsgranskning kan identifiera saknade fält, men kan inte validera en riskklassificering eller fastställa att verkliga skyddsåtgärder fungerar. Håll det faktiska beviset och det auktoriserade godkännandebeslutet åtskilda från den föreslagna behandlingen.
Granska registret efter migrationer, nya avsändare, incidenter och affärsförändringar. Stäng endast det specifika scenariot vars bevis uppfyller det angivna testet och behåll tillräckligt med historik för att förklara varför det stängdes.
NIST SP 800-30 Rev. 1 avsnitt 2.3 och 3.2 beskriver riskfaktorer, bedömningsmetoder och dokumenterar bedömningsresultat. De stöder tydliggörande av sannolikhet, påverkan och osäkerhet; de e-postspecifika registerfälten och exemplen ovan är en föreslagen tillämpning, inte en föreskriven checklista för efterlevnad. Riskbedömningsguide.