Yetki, sürüm ve yetki alanıyla başlayın
AB e-posta güvenliği tartışması bir direktifi, doğrudan uygulanabilir bir düzenlemeyi, ulusal uygulamayı, denetleyici rehberliği, sözleşmeleri ve teknik standartları içerebilir. Bu kaynaklar aynı kapsama veya hukuki etkiye sahip değildir. Uyumluluk önlemi olarak bir kimlik doğrulama değişikliği önermeden önce, bunun uygulanabileceği tam yetkiliyi ve kuruluşu veya işleme faaliyetini tanımlayın.
Bu makale, (AB) 2022/2555 Direktifinin resmi EUR-Lex orijinal yayınlanmış metinlerini içermektedir. NIS2ve Düzenleme (AB) 2016/679, GDPR . Orijinal yayın URL'leri, sonraki her değişikliğin, uygulama kanununun, ulusal aktarım veya düzenleyici yorumunun tamamlanmış bir doğrulaması olarak sunulmamaktadır. Kurumsal uyumluluk iddiasında bulunmadan önce, yetki alanına özgü güncel bir inceleme gerekli olmaya devam etmektedir.
Buradaki amaç teknik ve kanıtlayıcıdır: geniş güvenlik görevlerinin tek bir protokol hakkında desteklenmeyen iddialara dönüştürülmesinden nasıl kaçınılacağını göstermek. Bu hukuki tavsiye, bir kuruluşun düzenleyici statüsünün belirlenmesi veya herhangi bir alan adının uyumlu olduğuna dair bir sertifika değildir.
Kanıt seçmeden önce NIS2 uygulanabilirliğini belirleyin
Saklanan NIS2 metninin 2. Maddesi, boyutu ne olursa olsun kapsama girebilecek kategoriler de dahil olmak üzere varlık türlerine, boyutuna ve ek koşullara göre kapsamı tanımlar. Ekler ilgili sektörleri ve kuruluş türlerini tanımlar. Bir şirketin web sitesinin konumu veya AB alan adı son ekine sahip olması bu analizin yerine geçmez. Kuruluş, faaliyetler, hizmet türleri ve ilgili yetki alanı tanımlanmalıdır.
Madde 41, Üye Devletin aktarımını ele alır ve önlemlerin benimsenmesi ve uygulanmasına ilişkin tarihleri belirtir. Bu tarihler, her Üye Devletin fiili uygulamasının aynı olduğunu veya belirli bir kuruluşun yükümlülüklerinin yalnızca direktiften sonuçlanabileceğini ortaya koymaz. Genel bir AB özetinden çıkarımda bulunmak yerine, geçerli ulusal metni ve nitelikli incelemeyi edinin.
Uygulanabilirlik çalışma sayfası varlık sınıfını, ülkeyi, faaliyetleri, kaynak sürümünü, ulusal uygulama referansını ve çözülmemiş soruları korumalıdır. Bir kuruluşu yalnızca kendisini küçük olarak tanımladığı için veya yalnızca bir tedarikçi kritik altyapı ifadesini kullandığı için kapsam dahilinde olduğu için muaf olarak işaretlemeyin. NIS2 , Madde 2 ve 41 ile Ek I–II
Bir protokol komutu icat etmeden risk yönetimi görevlerini okuyun
Tutulan direktifin 21. Maddesi, kapsam dahilindeki kuruluşlar için risk temelli ve tüm tehlikeleri kapsayan bir yaklaşımla uygun ve orantılı teknik, operasyonel ve organizasyonel önlemleri gerektirir. Madde 20, yönetimin onayına ve önlemlerin gözetimine değinmektedir. Bu hükümler, tek bir DNS politikası yayınlamanın tüm yükümlülükleri ortadan kaldırdığı bir kısayolu değil, sorumlu bir güvenlik programını destekler.
E-posta kimlik doğrulaması, ilgili kimliğe bürünme risklerine yönelik belgelenmiş yanıtın bir parçası olarak önerilebilir. Gerekçe; tehdidi, etki alanını ve gönderenin kapsamını, kontrolün sınırlamalarını, tamamlayıcı önlemleri ve operasyon kanıtlarını açıklamalıdır. Belirtilen genel hükümleri, her AB kuruluşunun belirli bir belge yayınlaması gerektiğine dair evrensel bir talimat olarak yeniden yazmayın. DMARC politika değeri.
Daha dar bir sektöre özgü veya ulusal kural, ek önlemler gerektirebilir. Bu olasılık, onu icat etme izni değil, gerçek uygulanabilir kaynağı kontrol etmek için bir nedendir. İncelemeyi yapan kişinin gerekçeyi görebilmesi için yasal gereklilik metnini ve teknik kontrol eşlemesini ayrı alanlarda saklayın. NIS2 , Madde 20 ve 21
Raporlama iş akışında gizliliği değerlendirin
GDPR uygulanabilirliği, yalnızca bir şirketin DMARC yayınlayıp yayınlamaması değil, kişisel verilerin maddi ve bölgesel kapsamı kapsamında işlenmesiyle ilgilidir. İlgili kişisel verilerin kimlik doğrulama günlüklerinde, destek örneklerinde veya raporlarında işlenmesi durumunda, incelemede işleme amacı, roller ve geçerli gereklilikler ele alınmalıdır. Tutulan 3. Madde metni bölgesel kapsam koşullarını sağlar; gerçek organizasyonel tespit hala nitelikli incelemeyi gerektirmektedir.
Madde 5 amaç sınırlaması, veri minimizasyonu ve depolama sınırlamasını içermektedir. Madde 32, işleme ve riskler ışığında uygun teknik ve organizasyonel güvenlik önlemlerini gerektirir. Bu ilkeler, hangi alanların gerekli olduğunu, bu alanlara kimlerin erişebileceğini, ne kadar süreyle tutulduğunu ve güvenliklerinin nasıl değerlendirildiğini sormayı destekler. Tek bir evrensel rapor saklama süresi oluşturmazlar veya her toplu alanın, her bağlamda kişisel veri olduğunu tespit etmezler.
Güvenlik izlemenin otomatik olarak sınırsız toplama veya paylaşıma izin verdiğini varsaymayın. Satıcı kanıt paketinin tanımlanmış bir alıcısı, amacı ve asgari kapsamı olmalı ve ilgili yasal işleme ve sözleşmeye ilişkin sorular ayrı ayrı değerlendirilmelidir. Bu yazı için hiçbir gerçek rapor veya kişisel bilgi toplanmadı veya aktarılmadı. GDPR , Madde 3, 5 ve 32
Protokol kanıtlarını koruyucu kapsamı dahilinde tutun
DMARC hizalanmış kimlik doğrulamasını mesajın Kimden alanına göre değerlendirir. Belirli bir sahteciliğe karşı kontrolü destekleyebilir ancak kimliği doğrulanmış bir mesajın iş talebinin güvenli olduğunu, tüm benzer saldırıların önlendiğini veya her türlü kurumsal güvenlik görevinin yerine getirildiğini kanıtlamaz. Teknik bir değerlendirme bu sınırları açıkça tanımlamalıdır.
Raporlamanın ayrıca kendi gizlilik ve güvenlik incelemesine ihtiyacı vardır. Toplu ve arıza raporlaması farklılık gösterir ve her ikisi de tüm mesajların eksiksiz bir görünümü veya doğası gereği güvenilir bir girdi olarak değerlendirilmemelidir. Standartların kanıtları mekanizmanın açıklanmasına yardımcı olur; kuruluşa özgü yasal uygulanabilirlik analizinin veya tam kontrol-etkinlik değerlendirmesinin yerini alamaz. RFC 9989 , bölüm 2.4 ve 4.4; RFC 9990 , bölüm 7 ve 8
Kanıta yönelik kontrol çalışma sayfası ve kurgusal örnek
Yetki ve sürüm, uygulanabilirlik gerekçesi, kesin gereklilik, ele alınan risk, önerilen teknik kontrol, etkilenen alanlar ve rotalar, kanıtlar, sahip, inceleme tarihi ve kalan sınırlamalar için ayrı sütunlar içeren bir çalışma sayfası oluşturun. İlgili yerlerde ulusal uygulamaya ve gizlilik incelemesine ilişkin referansları ekleyin. Geçerli yasal kaynak veya fiili operasyonel kanıt eksik olduğunda, bir satır çözümsüz kalmalıdır.
Düşünülen kurgusal bir organizasyon hayal edin DMARC yaptırımı NIS2 konumunu ve rapor işleme uygulamalarını değerlendirirken. Güvenlik ekibi bir gönderen envanteri ve önerilen bir kimlik doğrulama kanıt planı hazırlayabilir. Yasal incelemeyi yapan kişinin kuruluş kapsamını ve geçerli ulusal yükümlülükleri ayrı ayrı belirlemesi gerekir. Gizlilik sahibinin rapor alanlarını, alıcıları ve saklamayı incelemesi gerekir. Hiç kimse yalnızca genel DNS aramasının gösterdiği için uyumluluk değerlendirmesinin tamamını kapatamaz p=reject.
Eğer kurgusal kuruluş daha sonra uyumlu mesaj kanıtları elde ederse, bu, tanımlanmış kapsamı dahilinde teknik kontrol sırasını destekleyebilir. Yönetim yönetimini, olay yönetimini, tedarik zinciri gerekliliklerini veya gizlilik sorunlarını hâlâ çözmüyor. Örnek, yürütülen bir değerlendirme veya gerçek bir organizasyon hakkında bir iddia değil, önerilen bir kanıt sorumlulukları paylaşımıdır.
Çözülmemiş inceleme ve yayın durumu
Katalog, bir uyumluluk iddiasında bulunmadan önce yetkili güncel metni ve yargı alanına özgü uygun uyumluluk incelemesini gerektirir. Saklanan orijinal AB yayınları yukarıdaki dar açıklamaları desteklemektedir ancak mevcut değişiklikler, uygulama tedbirleri, ulusal kanun ve kurumsal uygulanabilirlik burada tam olarak karara bağlanmamıştır. Bu nedenle orijinal kanıt gerekliliği hala açık kalmaktadır.
Altı serbest bırakma kapısının tümü açık kalır. Hiçbir DNS değişikliği, mevzuat gönderimi, yasal taahhüt, kiracı erişimi veya uyumluluk sertifikası gerçekleşmedi. Tamamlanmış bir kurumsal değerlendirmeyi yayınlamadan önce mevcut geçerli otoriteleri, şartlı incelemeyi ve fiili kontrol kanıtlarını saklayın. E-posta kimlik doğrulamasını eksiksiz bir yasal uyumluluk çözümü olarak sunmak yerine kapsamı ve çözülmemiş soruları açıkça belirtin.