Vidéo : DMARC – Processus de déploiement
Nous avons préparé une courte vidéo sur notre propre processus de déploiement DMARC :
Cette vidéo fait partie d'une série de vidéos plus complète sur tout ce qui concerne DMARC.
Voici la transcription :
Cette courte vidéo décrit le processus de déploiement DMARC développé en interne par dmarcian.
Inventée et affinée en aidant des organisations de toutes tailles à déployer DMARC, l'approche dmarcian intègre efficacement DMARC et ses avantages au sein d'une organisation à un coût minimal.
L'approche dmarcian est un cadre de gestion de projet léger qui peut être utilisé pour déployer DMARC dans n'importe quelle organisation. La gestion de projet est une discipline spécialisée utilisée pour introduire le changement au sein d'une organisation. La gestion de projet consiste à apporter des modifications spécifiques aux processus existants. Les projets démarrent, accomplissent leur travail, puis se terminent.
La gestion de projet s'avère être la bonne approche pour le déploiement de DMARC, car le courrier électronique est utilisé partout, par tous, en permanence, et modifier le courrier électronique nécessite généralement la participation de personnes de toute l'organisation au projet. Il existe une composante technologique distincte, généralement gérée par une petite équipe de techniciens, mais les aspects intéressants du déploiement de DMARC résident généralement dans la dimension humaine — communiquer les changements tout en intégrant DMARC dans les opérations quotidiennes existantes.
Le cadre général du projet est assez simple. Avant de commencer, l'organisation doit identifier qui ou quoi est responsable de l'enregistrement des domaines afin de pouvoir créer une liste complète de tous les domaines appartenant à l'organisation. S'il n'existe pas d'autorité centralisée au sein de l'organisation pour le suivi des domaines, il faut en créer une. Chez dmarcian, nous appelons cette autorité la « Fonction de Gestion des Domaines ». Le but de la fonction de gestion des domaines est de rassembler les informations relatives à chaque domaine — qui en est responsable, à quoi il sert, et quels contrôles ou quelle surveillance devraient être mis en place autour de celui-ci.
Dans les grandes organisations, une équipe de projet devrait être constituée, rassemblant des parties prenantes de toute l'organisation. Des représentants du DNS, de la messagerie, du marketing, du juridique et de la sécurité de l'information sont généralement présents. Le projet devrait être parrainé par un cadre supérieur, car il traversera nécessairement les frontières administratives au sein de l'organisation. Une fois l'équipe de projet en place, le travail peut commencer sérieusement.
Commencer par une liste complète des domaines est idéal, car la tâche d'installation et de maintenance de DMARC devient beaucoup plus simple. Au lieu de devoir répéter les étapes de déploiement — ou pire, de devoir dupliquer la formation et la communication — la fonction de gestion des domaines sert de point d'ancrage où DMARC peut être intégré à l'organisation et faire partie des opérations quotidiennes.
À titre de remarque, la fonction de gestion des domaines s'avère extrêmement utile en dehors de DMARC. Maintenir les enregistrements de domaines, s'assurer que les sites web disposent de certificats SSL à jour, suivre la propriété des domaines, s'assurer que les opérations liées au DNS sont cohérentes — toutes ces activités sont grandement simplifiées lorsqu'une fonction de gestion des domaines est en place. Ainsi, la première chose que dmarcian fait est de s'assurer que cette fonction existe.
Une fois la fonction de gestion des domaines en place, les données DMARC doivent être collectées pour tous les domaines. Commencez par publier des enregistrements DMARC avec une politique de « p=none » afin qu'une simple collecte de données puisse avoir lieu sans impacter le courrier électronique de production. Les données produites par DMARC sont inestimables pour comprendre ce qui se passe avec n'importe quel domaine de messagerie. Les outils de dmarcian traitent et analysent les données DMARC afin qu'une organisation puisse se concentrer sur la correction de son infrastructure au lieu de se perdre dans les nuances des retours DMARC.
Après avoir mis en place des enregistrements DMARC pour collecter des données sur tous les domaines, l'équipe de projet se concentre sur la mise en conformité des flux de courrier électronique avec DMARC. Le processus est une boucle serrée en 3 étapes : Évaluer, Remédier et Maintenir. Chaque domaine passe par les 3 étapes afin que toutes les sources légitimes de courrier électronique soient identifiées, que les sources de courrier électronique soient mises en conformité avec DMARC, et qu'une fois toutes les sources corrigées, le domaine soit surveillé pour une conformité DMARC continue.
Pendant l'exécution de cette boucle en 3 étapes, l'équipe de projet développe des ressources internes pour communiquer l'installation prochaine des contrôles basés sur DMARC. Cette communication peut être aussi simple qu'une page wiki interne expliquant les contrôles, ou aussi complexe qu'une série de revues contractuelles exigeant des partenaires qu'ils se conforment aux normes d'envoi de courrier électronique de l'organisation. Une raison essentielle du développement de cette ressource interne est de permettre à l'équipe de projet de terminer son travail tout en laissant derrière elle un ensemble de ressources qui informeront les futurs employés sur les contrôles DMARC existants. Sans cette ressource, les équipes opérationnelles pourraient se retrouver à devoir réagir à des situations d'urgence chaque fois qu'un nouvel effort marketing trop zélé tente d'envoyer des courriels au nom de l'organisation sans se rendre compte que des contrôles DMARC sont en place. Cela peut être une situation très embarrassante ! La ressource interne aide à réduire l'anxiété qui découle de telles situations.
Au fur et à mesure que les domaines parcourent et complètent la boucle en 3 étapes, des contrôles basés sur DMARC peuvent être installés. Commencez par la politique de « quarantaine » pour vous assurer que les résultats sont conformes aux attentes et donner à l'équipe de projet le temps de répondre à tout problème imprévu. Lorsque vous êtes certain que la couverture DMARC est précise, passez à la politique de « rejet ». Encore une fois, assurez-vous que les résultats sont conformes aux attentes et donnez à l'équipe de projet plus de temps pour répondre aux problèmes imprévus. À mesure que de plus en plus de domaines passent par la boucle en 3 étapes, l'organisation développe des listes de contrôle et une expertise autour du fonctionnement continu de DMARC.
À la fin du projet de déploiement DMARC, l'organisation a intégré DMARC dans ses opérations quotidiennes. Lorsque de nouveaux domaines sont enregistrés ou acquis, la fonction de gestion des domaines soumet les domaines au processus en 3 étapes, et la conformité DMARC est installée et maintenue dès le début.
Ce processus de déploiement s'est avéré efficace et ne nécessite que des modifications mineures pour s'adapter au caractère unique de chaque organisation.
Certaines organisations reconnaissent que DMARC est un exercice de déploiement ponctuel et choisissent de contracter avec dmarcian pour des services de gestion de projet. N'hésitez pas à nous contacter pour voir si nos services correspondent aux besoins de votre organisation.
Pour commencer avec DMARC, visitez dmarcian.com.
Des questions ? Contactez [email protected]
Merci de votre attention !
