Sähköpostin valvontapalvelun FAQ

FAQ – Usein kysytyt kysymykset (UKK):

Auttaako valvontapalvelu tunnistamaan väärinkäyttöyritykset ja auttaa parantamaan todennuskäytäntöjä?
Kyllä auttaa. Jatkuva raportointinäkymä helpottaa seuraamaan tilannetta ja reagoimaan niihin joustavasti.

Pystyykö palvelu lähettämään hälytyksiä havaitessaan määriteltyjä poikkeamia sähköpostiliikenteessä?
Kyllä pystyy.

Tukeeko palvelu DMARC-käyttöönottoa ja asteittaista DMARC-politiikan tiukentamista?
Kyllä tukee.

Noudattaako palvelu yleisen tietosuoja-asetuksen (GDPR) vaatimuksia?
Kyllä.  Sähköpostivarmenteiden valvontapalvelu DMARC:n käyttöönotto on GDPR:n kanssa yhteensopiva tiettyjen rajoitusten puitteissa. Vaikka koottuja raportteja voidaan käyttää laillisesti, epäonnistumisraporttien käyttöönotto aiheuttaa merkittäviä tietosuojaongelmia.

Yksityiskohtaisesti:

a) Kootut raportit: (Aggregated reports)
Useimmissa tapauksissa raporttien sisältämiä IP-osoitteita ei luokitella henkilötiedoiksi (sähköpostipalvelimet), joten ne jäävät GDPR:n soveltamisalan ulkopuolelle. Jos ne kuitenkin sisältävät henkilötietoja, näiden tietojen käsittely on yleensä perusteltua yrityksen oikeutetulla edulla virheettömään sähköpostin välitykseen, suojautumiseen roskapostia ja tietojenkalastelua vastaan sekä televiestintäjärjestelmien suojaamiseen. Asianmukainen tiedon anonymisointi on suoritettava mahdollisuuksien ja kohtuullisuuden mukaan.

b) Epäonnistumisraportit: (Failure reports)
Koottuihin raportteihin verrattuna epäonnistumisraportit sisältävät paljon henkilötietoja. Siksi epäonnistumisraporttien vastaanottamista ei voida perustella yrityksen oikeutetulla edulla, koska yksilön edut tiedolliseen itsemääräämisoikeuteen ja viestinnän luottamuksellisuuteen ovat etusijalla. Epäonnistumisraporttien vastaanottaminen voidaan perustella vain yksittäistapauksissa. On kuitenkin suositeltavaa, että jopa näissä tapauksissa käytetään tietojen poistamista petollisia sähköposteja vastaanottaneiden henkilötietojen siirron estämiseksi. Poistettavien tietojen on sisällettävä sähköpostin aihe ja teksti sekä vastaanottajan sähköpostiosoite. 

Huom! Epäonnistumisraporttien lähettäminen ja vastaanottaminen on käytännössä päättynyt, sillä suuret pilvipalveluntarjoajat Google ja Microsoft ovat lopettaneet raporttien lähettämisen tietosuojasyihin (GDPR) vedoten. Emme suosittele epäonnistumisraporttien käyttämistä, sillä ne eivät tuo lisäarvoa sillä suurin osa palveluntoimittajia ei kuitenkaan lähetä raportteja. 

Perustuuko palvelu yleisesti käytettyihin standardeihin ja järjestelmäriippumattomiin rajapintoihin?
Kyllä, Toimittamamme palvelu perustuu DMARC on Internet-standardiin (RFC 7489) ja tarkoittaa "Domain-based Message Authentication, Reporting and Conformance" (verkkotunnukseen perustuva viestin todennus, raportointi ja vaatimustenmukaisuus). Se on kehitetty havaitsemaan ja estämään identiteettivarkauksia sähköposteissa, ja sitä käytetään sähköpostin siirron aikana lähettäjältä yhdelle tai useammalle vastaanottajalle. 

Sähköpostit, jotka eivät läpäise DMARC-tarkistusta (DMARC-todennusta), tulee suodattaa pois eikä niitä toimiteta vastaanottajille, jotta vastaanottajia voidaan suojata. Omistajille, joiden lähettäjäverkkotunnuksia on käytetty väärin identiteettivarkauksiin, voidaan myös ilmoittaa mahdollisista väärinkäytösyrityksistä DMARC-raporttien avulla. Raportin toimittamien tietojen avulla väärinkäytösyrityksestä omistajat voivat sitten yrittää estää verkkotunnuksensa jatkokäytön väärin.

DMARC-standardi tarjoaa kahdenlaisia DMARC-raportteja omistajien ilmoittamiseen: kootut raportit ja epäonnistumisraportit. Nämä raportit eroavat toisistaan sekä niiden tarjoamien tietojen laajuuden ja yksityiskohtaisuuden että niiden lähetystiheyden suhteen.

Onko palvelusta tarkempaa kuvausta?

Sähköpostivarmenteiden valvontapalvelu (DMARC) yleisesti:

Toimialueen haltija:
Termi "toimialueen haltija" viittaa yksityishenkilöön, organisaatioon tai valtuutettuun yksityishenkilöön/organisaatioon, joka hallinnoi lähettäjätoimialueen DNS-tietoja ja julkaisee DMARC-käytännön kyseisessä lähettäjätoimialueessa.

Lähettäjä:
Termi "lähettäjä" viittaa yksityishenkilöön, organisaatioon tai palveluntarjoajayritykseen, joka lähettää viestejä toimialueen haltijan puolesta käyttäen lähettäjätoimialuetta.

Vastaanottaja:
Termi "vastaanottaja" viittaa yksityishenkilöön, organisaatioon tai palveluntarjoajaan, kuten Gmail, Microsoft tai Yahoo!, joka vastaanottaa sähköpostin lähettäjätoimialueelta.

Raportin vastaanottaja:
Termi "raportin vastaanottaja" viittaa yksityishenkilöön, organisaatioon tai oikeushenkilöön, jonka toimialueen haltija on valtuuttanut vastaanottamaan ja käsittelemään DMARC-raportteja kyseessä olevalle lähettäjätoimialueelle.

Vastaanottaja (sähköpostin):
Termi "vastaanottaja" viittaa yksityishenkilöön tai organisaatioon, jolle lähettäjätoimialueelta tuleva viesti on osoitettu ja toimitettava.

DMARC edellyttää, että lähettäjätoimialue julkaisee DMARC-käytännön, joka määrittelee, kuka on valtuutettu lähettämään viestin kyseisen toimialueen puolesta, ja jota voidaan käyttää tunnistamaan, onko viestin todella lähettänyt kyseinen lähettäjätoimialue.

DMARC-käytäntö julkaistaan DNS-tietueena lähettäjätoimialueen DNS-vyöhykkeessä. Keskittyen vain tämän oikeudellisen lausunnon kannalta olennaiseen, DMARC DNS-merkintä määrittää:

1. Mitä tehdä sähköpostille, joka ei noudata sähköpostistandardien SPF ja/tai DKIM sääntöjä?
2. Pitäisikö ja miten raportin vastaanottajille ilmoittaa SPF/DKIM-sääntöjen rikkomisista?
3. Mitä raporttimuotoa - koottua ja/tai epäonnistumisraporttia - tulisi käyttää?

1. Onko sähköpostin lähettämiseen käytetyllä lähettäjätoimialueella julkaistu DMARC-käytäntö?
2. Täyttääkö tarkastettavaksi lähetetty sähköposti SPF:n ja/tai DKIM:n vaatimukset?
3. Mitä tehdä sähköpostille, jos se ei kestä tarkastelua?
4. Haluaako lähettäjätoimialue saada ilmoituksen tarkistuksen tuloksesta DMARC-raportin muodossa?
   

Lähettäjätoimialueen DMARC-käytäntö voi pyytää koottua ja/tai epäonnistumisraporttia ja sen lähettämistä yhdelle tai useammalle vastaanottajalle. Se, mitä tietoja raporteissa siirretään ja miksi, DMARC-standardin mukaan, vaihtelee sen mukaan, onko DMARC-raportin muoto koottu vai epäonnistumisraportti.

Kootut raportit:
Kootut raportit tiivistävät useita toimitustapahtumia yhteen raporttiin. DMARC-standardin mukaan raportin tulisi sisältää kaikki toimitustapahtumat edelliseltä 24 tunnilta ja se tulisi yleensä siirtää vain kerran päivässä.

DMARC-standardin mukaan kootun raportin tulisi sisältää raportin vastaanottajille seuraavat tiedot:

1. käytetty DMARC-käytäntö
2. miten viestiä käsiteltiin
3. mitä tietoja käytettiin SPF:n tarkistamiseen ja mikä oli SPF-testin tulos
4. mitä tietoja käytettiin DKIM:n tarkistamiseen ja DKIM-tarkistuksen tulos
5. olivatko SPF ja/tai DKIM "linjassa" lähettäjän tietojen kanssa
6. lähettävät ja vastaanottavat toimialueet
7. toimialueen omistajan määrittämä käytäntö ja vastaanottajan tosiasiallisesti soveltama käytäntö (jos eri)
   onnistuneiden DMARC-todennusten määrä

1. lähettäjän lähde-IP-osoite
2. lähettäjän sähköpostiosoite
3. vastaanottajan sähköpostiosoite
4. sähköpostin aihe
5. sähköpostin tekstiosa

Mihin teknologiaan palvelu perustuu?
DMARC-spesifikaatio (RFC 7489)

Toimitetaanko palvelua SaaS ja/tai On Premises -ympäristöistä? 
SaaS palveluna eurooppalaisesta palvelinlokaatiosta.