Auditoría de cumplimiento: una guía completa para establecer prioridades en las medidas correctoras

Resumen de la auditoría de cumplimiento:

DMARC, SPF y DKIM : estos registros no garantizan una configuración preparada para una auditoría
Clasificación de las secuencias según la importancia del dominio y la gravedad, y no según la facilidad de corrección
Informa sobre el estado de aplicación, la exposición y el calendario, no sobre la sintaxis del DNS.

Es probable que su organización cuente con registros de SPF, DKIM y DMARC . Pero, ¿sabe si estos protegen sus dominios de envío críticos, qué hallazgos deben atenderse con mayor prioridad o cómo podrían salir a la luz las vulnerabilidades sin resolver en una auditoría de cumplimiento o en una investigación de una filtración de datos?

Disponer de registros no es lo mismo que contar con cobertura. Una auditoría de cumplimiento de un entorno de correo electrónico empresarial genera hallazgos a un ritmo más rápido del que la mayoría de los equipos pueden resolverlos, y no todos los hallazgos conllevan el mismo riesgo. Esta entrada presenta un marco de priorización de medidas correctivas dirigido a los CISO, los CIO y los administradores de correo electrónico que necesitan ordenar las correcciones tras una auditoría, en lugar de tratar todos los hallazgos con la misma urgencia.

La visibilidad centralizada de todos los dominios, subdominios y fuentes de envío es lo que convierte una auditoría de cumplimiento normativo, que antes consistía en una revisión manual del DNS, en un conjunto estructurado de hallazgos que se pueden puntuar. En lugar de tener que buscar registros DNS uno por uno, los equipos de TI, seguridad y cumplimiento normativo pueden trabajar a partir de una misma lista priorizada de lo que requiere atención inmediata.

Por qué no todas las observaciones de auditoría son iguales

Una política de « DMARC » configurada para p=reject en tu dominio principal parece una buena idea sobre el papel. Sin embargo, deja de parecerlo cuando descubres que tres subdominios regionales utilizan rutas heredadas anteriores a la política, o que una plataforma de RR. HH. envía mensajes desde un remitente legítimo con un registro « DKIM » mal configurado.

Una vulnerabilidad en la autenticación que pasa desapercibida bajo una política de subdominios permisiva sigue siendo un fallo de control. Si ese subdominio se utiliza para el correo electrónico transaccional, el riesgo es significativo. Tratar todos los hallazgos con la misma urgencia supone malgastar esfuerzos de corrección en soluciones de bajo impacto, mientras que las vulnerabilidades críticas quedan pendientes.

Antes de establecer prioridades: comprueba los aspectos básicos

La función de priorización solo funciona si el inventario subyacente está completo. Antes de clasificar nada, debes confirmar:

Todos los dominios y subdominios que gestiona tu empresa, incluidos los dominios regionales, los subdominios de productos y los dominios aparcados o inactivos
Cada fuente de envío autorizada para cada dominio, cotejada con los datos agregados de DMARC y reporte
SPF Vigencia del registro: dentro del Límite de 10 búsquedas DNS, que culmina en un mecanismo de fallo definido (~all o -all, no +all)
DKIM configuración y alineación con el dominio del encabezado «De» para cada origen de envío
DMARC política de nivel superior, política de subdominio (sp=), y si los remitentes externos cumplen con los requisitos mediante la firma DKIM o la inclusión SPF

El marco de priorización de la rehabilitación

Establecer prioridades en las correcciones en función del impacto en el negocio resulta más justificable ante los directivos y los auditores que hacerlo en función de la complejidad técnica. El marco de priorización de correcciones que se muestra a continuación utiliza dos factores para ordenar las tareas: la criticidad del ámbito y la gravedad.

Importancia del dominio

Nivel 1: Dominio principal de la marca, dominios utilizados para comunicaciones financieras o normativas, dominios dirigidos a los clientes
Nivel 2: subdominios para operaciones relacionadas con productos o regiones, y dominios de marketing de gran volumen
Nivel 3: Dominios internos (solo ), dominios operativos de bajo volumen y dominios aparcados

Gravedad

Crítico: No existe ningún registro de DMARC , o p=none sin plan de corrección; falta el registro « SPF »; « DKIM » no está configurado para ninguna fuente de envío
Alto: p=quarantine con fallos no resueltos de « reporte »; « DKIM » desalineado; « SPF » supera el límite de búsqueda
Medio: p=reject con una excepción de subdominio; remitentes externos sin alineación; informes agregados inactivos
Bajo: El análisis forense « reporte » no está configurado; la alineación está establecida en «relaxed», cuando se podría aplicar «strict».

Los dominios de nivel 1 con hallazgos críticos o de alto riesgo se corrigen en primer lugar, independientemente del esfuerzo que ello suponga. Los dominios de nivel 3 con hallazgos de bajo riesgo se abordan en último lugar, o mediante una limpieza masiva. Este es el núcleo de una lista de comprobación de auditoría de cumplimiento defendible: una regla de ordenación, no un solo a una lista de elementos que hay que comprobar.

Comunicación de los planes de remediación

Una vez que el marco de priorización de medidas correctivas haya evaluado tus hallazgos, los directivos y los auditores no necesitan conocer la sintaxis del DNS. Lo que necesitan saber es:

¿Cuántos dominios están sujetos a medidas coercitivas frente a los que se encuentran bajo vigilancia? solo
¿Qué rutas de correo electrónico críticas presentan incidencias sin resolver?
Cuál es el riesgo de la empresa ante el spoofing
En qué consiste el plan de remediación y cuál es su calendario

Cómo puede ayudarte Sendmarc

Planificar la corrección de secuencias en docenas de dominios y fuentes de envío resulta fácil sobre el papel, pero difícil de llevar a cabo manualmente, sobre todo para los equipos de seguridad y de TI, que ya están desbordados y tienen que compaginar esta tarea con otras prioridades.

La plataforma Sendmarc estandariza las políticas de DMARC y SPF , así como la configuración de DKIM , en todos los departamentos y regiones. El estado de aplicación y reporte se centralizan en un único lugar, lo que reduce la investigación manual que suele ser necesaria para confirmar que una corrección se ha aplicado realmente.

En el caso de los comités de auditoría y de riesgos, esos mismos datos sirven de base para la « reporte » (traza de auditoría) fiable necesaria para demostrar el cumplimiento de marcos normativos como PCI DSS, el RGPD, la POPIA, las normas ISO y el NIST, sin necesidad de que los equipos de TI tengan que recopilar pruebas manualmente en cada ciclo de revisión.

Una lista de comprobación para auditorías de cumplimiento solo resulta eficaz si se realiza un seguimiento continuo de los avances, y no si solo se revisa una vez al año. Sendmarc facilita ese seguimiento continuo manteniendo actualizados el estado de cumplimiento y los registros de auditoría.

La aplicación centralizada de las políticas y el « reporte » hacen que la próxima auditoría de cumplimiento parta de una base más sólida que la anterior.