DMARC dans l'enseignement supérieur : leçons en matière de parrainage et de complexité

La complexité du déploiement du DMARC peut varier considérablement d'une organisation à l'autre en fonction de facteurs tels que le nombre de domaines, la diversité des systèmes d'envoi d'e-mails, la structure organisationnelle et le secteur d'activité. L'enseignement supérieur, en particulier les grandes universités, est confronté à des défis uniques qui rendent souvent le DMARC beaucoup plus difficile à mettre en œuvre.

J'ai récemment mené à bien un projet de ce type, et tous les défis que j'associe désormais au travail dans un environnement universitaire se sont présentés. J'étais reconnaissant de pouvoir mettre à profit mon expérience ; sans cela, le résultat aurait pu être très différent. La principale leçon à tirer ne concernait pas la technologie, mais ce qui se passe lorsque le parrainage est faible ou incomplet dans un environnement de messagerie électronique complexe.

De manière générale, les organisations abordent le DMARC de différentes manières. Certaines s'y attaquent au coup par coup, en examinant les données et en corrigeant les problèmes lorsqu'elles le peuvent. D'autres le traitent comme un projet à part entière, en formant une équipe, en définissant les tâches et les étapes clés et en exécutant une stratégie claire, étape par étape.

Chez dmarcian, nous utilisons cette dernière approche. Elle exige un engagement, mais permet un déploiement plus rapide, plus sûr et plus efficace. Ce succès dépend d'un parrainage suffisamment large pour atteindre les personnes qui possèdent réellement les systèmes qui envoient les e-mails.

Déploiement DMARC : pourquoi l'adhésion verticale ne suffit pas

Comme pour tout autre projet, nous avions besoin d'une équipe. Avant de commencer une mission de services professionnels, nous informons nos clients afin qu'ils comprennent la portée, les attentes et les besoins de l'équipe. 

Lorsque nous avons rejoint la première conférence téléphonique, il était clair que cela n'avait pas été le cas. Le client avait eu du mal à obtenir du temps auprès des principales parties prenantes et à expliquer la valeur du projet à l'ensemble de l'organisation. Il bénéficiait du soutien de la direction, mais pas d'une adhésion générale.

Sans cet adhésion, les services rechignent souvent, ne sachant pas exactement ce qui est requis ni quels sont les risques encourus. C'est là que se produisent la plupart des retards liés au DMARC. 

Pour protéger le flux de courrier légitime, la conformité DMARC doit inclure tous les systèmes envoyant des courriers pour les domaines de l'organisation. Le défi dans l'enseignement supérieur : bon nombre de ces systèmes ne sont pas gérés par le service informatique, mais par des unités commerciales utilisant des services tiers. Souvent, le service informatique n'a même pas connaissance de l'existence de ces systèmes. 

DMARC dépend également de l'alignement, et la plupart des systèmes tiers ne seront pas alignés au départ. Pour y parvenir, deux étapes sont nécessaires : configurer les applications pour l'authentification et ajouter des enregistrements DNS. Seul le service informatique peut se charger de la deuxième étape, tandis que la première dépend du service propriétaire du service. Le succès dépend de la mise en relation de ces deux étapes dès le début du projet. 

The Diplomat : exercer une influence sans mandat coûte cher

Les universités sont des écosystèmes complexes composés de départements et de systèmes indépendants. Dans le paysage actuel axé sur le SaaS, la plupart des départements utilisent des services tiers, dont beaucoup envoient des e-mails. Parmi les exemples courants, citons le marketing et la communication, les installations, les instituts de recherche et les laboratoires, les inscriptions, les services aux étudiants et le logement, les services internationaux, les finances, les ressources humaines, les sports, les services de bibliothèque, etc. 

D'après mon expérience, les responsables de ces domaines disposent d'une grande autonomie quant aux systèmes qu'ils utilisent. Sans l'adhésion de DMARC, l'équipe chargée du projet doit persuader chacun d'entre eux de contribuer à la mise en œuvre des étapes de configuration nécessaires à la conformité. Il peut être difficile de convaincre le département des sports d'ajuster son service de billetterie pendant la saison des éliminatoires ou de demander au service des admissions de mettre à jour les plateformes de recrutement avant le début d'un nouveau semestre. 

Même en choisissant le moment opportun, ces dirigeants peuvent résister ou ignorer complètement les demandes. Sans directive claire de la part de la direction de l'université imposant la coopération, l'équipe du projet devient un groupe de diplomates, vendant une initiative qui protège les services mêmes dont dépendent ces départements. Cet effort diplomatique ajoute à la fois du temps et de la complexité au projet. 

Leçon de leadership: lorsque vous n'obtenez pas de mandat pour collaborer, vous en payez le prix plus tard dans le cadre d'une diplomatie individuelle. Il est possible d'exercer une influence sans autorité, mais cela prend du temps et s'avère fragile par rapport à un parrainage clair. 

Le temps presse : le risque sans hiérarchisation des priorités

La gestion du temps est essentielle dans tout projet. Déployer DMARC dans un environnement universitaire implique de composer avec des contraintes réelles liées aux calendriers académiques et événementiels. Les grands matchs entraînent la suspension des modifications du système de messagerie électronique pour les sports, tandis que le début d'un semestre rend les équipes chargées des inscriptions et du recrutement indisponibles. En cas de retard, l'équipe doit se tourner vers le service disponible, mais travailler sur plusieurs systèmes en parallèle peut s'avérer délicat.  

Dans notre cas, il semblait judicieux de se concentrer sur une plateforme de collecte de fonds jusqu'à ce qu'un événement majeur vienne interrompre ce travail également. Finalement, les victoires faciles disparaissent, ne laissant que des systèmes complexes qui nécessitent une coopération plus approfondie. Sans l'adhésion de l'ensemble de l'organisation, chaque changement devient un exercice de persuasion visant à prouver que les risques sont atténués, que l'impact est minime et que les retours en arrière sont sans danger. Pendant ce temps, d'autres priorités occupent rapidement le calendrier, et DMARC reste le projet que tout le monde soutient en principe, mais pas aujourd'hui. 

Leçon de leadership: si la direction ne donne pas explicitement la priorité au DMARC par rapport à d'autres événements critiques, le projet sera toujours relégué au second plan face à des échéances plus proches et plus urgentes. C'est le parrainage qui fait passer cette question importante au premier plan. 

Le problème des tiers

Même lorsque les parties prenantes sont d'accord, il n'est pas simple de mettre les systèmes tiers en conformité. Comme indiqué précédemment, après avoir identifié le bon interlocuteur pour chaque système d'envoi d'e-mails apparaissant dans les données DMARC, les administrateurs informatiques doivent soit les guider à travers les étapes d'alignement technique, soit leur demander de solliciter des modifications auprès du fournisseur.

• SPF, DKIM ou les deux ? 
• Où se trouvent les options de configuration ? 
• Quelle nomenclature utilisent-ils ? 
• S'appuient-ils sur la délégation CNAME ou la gestion directe des enregistrements ? 
• L'alignement SPF est-il effectué via un sous-domaine à des fins de gestion des rebonds?

Chaque service est différent, les normes sont incohérentes et la documentation peut être lacunaire. 

La deuxième option, qui consiste à passer par un fournisseur tiers, peut s'avérer tout aussi difficile. La réactivité et la précision de l'assistance varient considérablement. Certains fournisseurs ralentissent le processus en communiquant trop lentement, tandis que d'autres fournissent des conseils erronés qui entraînent des retouches et une perte de temps. Sans une connaissance approfondie d'un large éventail de prestataires de services, la navigation devient lente et incertaine.

Cette complexité existe partout, mais les universités y sont confrontées à grande échelle, dépendant souvent de dizaines de services tiers distincts. Ajoutez à cela un engagement limité de la part des différents départements, et un projet de six mois peut facilement s'étirer sur plusieurs années sans accompagnement adéquat.  

Leçon de leadership: plus votre écosystème de messagerie électronique est complexe et dispersé, plus un parrainage insuffisant devient coûteux. Dans un environnement universitaire ou collégial, la prolifération des tiers est une réalité. La variable que vous contrôlez est le parrainage. 

Cela peut sembler évident, mais ce n'est pas toujours le cas dans la pratique. Pour la plupart des moyennes et grandes entreprises, en particulier les universités, le DMARC ne peut pas être mis en œuvre par le seul service informatique. Le succès dépend d'un véritable travail d'équipe et de la volonté des responsables de service d'accorder du temps et leur soutien au projet.

Les enseignements tirés de ce projet sont clairs :

• Obtenir un parrainage tant horizontal que vertical, afin que les propriétaires du système soient directement invités à participer. 
• Associez ce parrainage à une hiérarchisation claire des priorités, sinon DMARC sera toujours relégué au second plan face à des échéances plus immédiates. 
• Comprenez que la prolifération des tiers amplifie chaque lacune en matière de parrainage et planifiez en conséquence. 

Alors que les fournisseurs de messagerie électronique renforcent leurs exigences envers les expéditeurs, le DMARC passe rapidement du statut de simple option à celui d'incontournable. Le parrainage n'est pas une case à cocher en cours de route, c'est la base sur laquelle s'appuyer avant même que le projet ne commence.

En tant que partenaire de confiance du secteur de l'éducation, dmarcian s'est spécialisé dans l'accompagnement des établissements d'enseignement pour les aider à surmonter les complexités liées à la mise en œuvre du protocole DMARC. Afin de répondre aux besoins spécifiques des établissements scolaires et de leurs partenaires, nous avons mis au point des offres tarifaires et des formules d'assistance adaptées, permettant de tenir compte des contraintes budgétaires sans pour autant compromettre la protection de niveau professionnel dont les établissements ont besoin pour prospérer.

---

Vous souhaitez poursuivre la conversation ? Rendez-vous sur le Forum dmarcian.