Başarılı bir kimlik doğrulama testi, bir kontrol iddiasını destekleyebilir. Evrensel mevzuat uyumluluğunu sağlayamaz. Kanıtları belirli bir hizmet, gereksinim ve gözlem süresi etrafında oluşturun, ardından testin dışında kalan kısımları açıklayın. Bu, teknik bir sonucu desteklenmeyen bir hukuki sonuca dönüştürmeden paketin denetçiler için yararlı olmasını sağlar.
Tasarımın operasyondan ayrı olması
Bir kontrol tasarımı amaçlanan korumayı açıklar: Onaylanmış fatura postası uyumlu bir imza kimliği kullanır, değişiklikler inceleme gerektirir ve arızalar sorumlu bir sahibine ulaşır. Operasyonel kanıtlar, bu adımların gerçekte belirli bir dönemde gerçekleştiğini göstermektedir. Tek başına bir politika belgesi niyeti gösterir; tek bir başarılı test yalnızca test edilen yolu ve zamanı gösterir.
RFC 9989 tanımlar DMARCile ilişkisi SPF, DKIM Ve hizalama. Bir kuruluşun yasal yükümlülüklerine ilişkin bir sertifikasyon rejimi sağlamaz. Kuruluş, bir uyumluluk sonucuna varmadan önce geçerli çerçeveyi, gereksinim versiyonunu, kapsamı ve yetkili incelemeciyi tanımlamalıdır.
Bir kontrol matrisi oluşturun
Her kontrolün amacını, hizmetini, sahibini, yürütme sıklığını, kanıt referansını ve istisna yönetimini kaydedin. Gereksinimlerin tam metnini yalnızca sorumlu uyumluluk işlevi bunu doğruladıktan sonra ekleyin. Bir gereksinim numarası icat etmek yerine eşlenmemiş bir kontrolü eşlenmemiş olarak işaretleyin.
Yasal alıntılar yerine üç dahili örnek hedef kullanın. C-1 faturalandırma kimlik doğrulamasını kapsar; C-2 bordro izlemeyi kapsar; C-3 inceleme onayını kapsar. Nitelikli bir incelemeci bunları doğrulayana kadar tüm harici çerçeve eşlemeleri eşlenmemiş olarak kalır.
- C-1: güvenilir DKIM geçişi d=billing.test, ile invoice@billing.test kurgusal bir örnek varsayalım, dolayısıyla tam hizalama. Yalnızca varsayımla sunulan senaryo kanıtlarını etiketleyin; burada gerçek bir mesaj, alıcı kaydı veya gözlem tarihi verilmemektedir. Fatura sahibinin, gerçek işlemi gerçekleştirmeden önce bunları eklemesi gerekir.
- C-2: maaş bordrosu kanıtı yok. Kayıt eksik, başarısız değil ve C-1 kapsamına girmiyor. Bordro sahibi, fiili faaliyet döngüsünü kapsayan kanıtları seçmelidir.
- C-3: inceleme onayı yok. Onaylanmayan kayıt; Tam bir teknik numune yetkili inceleme kararının yerine geçemez.
Örneği dürüstçe değerlendirin
Örneklerin nasıl seçildiğini ve bunların rutin, düşük hacimli, arıza ve istisna yollarını kapsayıp kapsamadığını belirtin. Bir gözlem penceresi ay sonu maaş bordrosunu hariç tutuyorsa bunu söyleyin. Gerçek test ve güvenilir alıcı sonuçlarını koruyun; toplu bir satırdan teslimat sonucunu çıkarmayın. RFC 9990 İzlemeyi destekleyebilen ancak her ticari işlemin kanıtı olmayan toplu geri bildirimi açıklar.
Bu yazılı bir sınıflandırma örneğidir, yürütülen bir matris veya onay-sahtecilik testi değildir. Gerçek bir organizasyonel kanıt sunmuyor. Bir işletim beyanında bulunmadan önce öngörülen her numuneyi geri alınabilir kayıtlarla değiştirin ve eksik girişleri yüzde uyumlu bir puana dönüştürmek yerine numune sınırlarını koruyun.
Sonucu ve kalan çalışmayı kaydedin
Gerçek bir saklanan faturalandırma örneği bunu destekliyorsa, sınırlı bir ifade şöyle olacaktır: "örneklenen faturalandırma rotası uyumlu bir geçiş gösterdi; bordro kanıtı ve inceleme onayı açık kaldı." Bu yazılı örnekte faturalandırma sonucu bile yalnızca varsayılmaktadır. "Tam uyumlu" yerine "tamamen uyumlu" ifadesini kullanmayın. Eksik bordro testini hizmet sahibine ve inceleme kararını yetkili onaylayıcıya, fiili iş döngüsüne uygun son tarihlerle birlikte atayın.
Uyum uzmanları, kanıtların belirli bir yükümlülüğü karşılayıp karşılamadığını ve hangi ek kontrollerin gerekli olduğunu belirler. Kimlik doğrulama, güvenliği ihlal edilmiş meşru hesapları, saldırganın sahip olduğu alanlardan gönderilen dolandırıcılık isteklerini, ödeme onayı zayıflıklarını veya saklama gereksinimlerini çözmez. Bu sınırları belgelendirirken teknik kontrolün değerini net tutun. Hizmet, düzenleme, çerçeve veya uygulama değiştiğinde eşlemeyi yeniden kontrol edin.