Требования DMARC в 2025 году
Время чтения: 3 мин
За последние несколько лет Google, Yahoo и другие крупные поставщики услуг электронной почты внесли существенные изменения в свои требования к безопасности электронной почты. Сегодня проверка подлинности доменов с помощью DMARC, DKIM, SPF и MTA-STS является либо рекомендацией, либо обязательным требованием в различных отраслях и странах.
Столь радикальные изменения в подходах крупнейших поставщиков услуг электронной почты, государственных учреждений и регулирующих органов являются ярким отражением глобальных усилий по укреплению безопасности электронной почты. Цель состоит в том, чтобы повысить эффективность доставки электронной почты, снизить количество спама и уменьшить число кибератак на электронную почту, которые могут привести к серьезной утечке данных и нанести ущерб репутации.
Учитывая эти быстро меняющиеся требования, DMARC, вероятно, скоро станет неотъемлемым компонентом обязательных стратегий кибербезопасности во всем мире.
Основные требования DMARC в 2025 году
Глобальные требования DMARC
- Требования к массовым отправителям Google и Yahoo
Массовые отправители (более 5 000 писем в день) должны проверять подлинность доменов с помощью TLS, DKIM и SPF, а также иметь политику DMARC не ниже p=none. Первоначально требования были введены в действие с февраля 2024 года.
- Общие требования к отправителям Google и Yahoo
От отправителей обычной электронной почты также ожидается внедрение SPF или DKIM для проверки подлинности легитимных писем и предотвращения высокого уровня спама и самозванства.
- Рекомендации PCI-DSS версии 4
PCI DSS v4.0 рекомендует механизмы для предотвращения фишинга; передовая практика предполагает использование DMARC, SPF и DKIM.
Региональные требования DMARC
| Регион | Название требования | Описание требований | Ссылка на источник |
|---|---|---|---|
| Страны ЕС | GDPR (Общее положение о защите данных) | Согласно GDPR, вы должны заключить соглашения об обработке данных (DPA) с каждым поставщиком облачных услуг, который от имени вашей компании обрабатывает данные европейских потребителей. | Подробнее |
| Страны ЕС | DORA (Закон о цифровой операционной устойчивости) | Применяясь к 20 различным типам финансовых организаций и сторонним поставщикам ИКТ-услуг, Закон об операционной устойчивости цифровых технологий (DORA) направлен на гармонизацию правил, касающихся операционной устойчивости финансового сектора (т. е. банков, страховых компаний, инвестиционных фирм и т. д.). DMARC может иметь большое значение для финансовых учреждений, поскольку он обеспечивает защиту от кибератак на основе электронной почты, косвенно помогая обеспечить соответствие закону DORA. | Подробнее |
| Канада | Требования к конфигурации служб управления электронной почтой | Правительственная электронная почта должна быть проверена с помощью SPF, DKIM и DMARC. | Подробнее |
| Дания | Минимальные технические требования для государственных органов | Государственные учреждения должны применять политику DMARC p=reject для всех доменов. | Подробнее |
| Новая Зеландия | Руководство по информационной безопасности Новой Зеландии версия 3.6 | Изменение соответствия управления DMARC и DKIM с SHOULD на MUST и настройки политики DMARC с p="none" на p="reject". | Подробнее |
| Ирландия | Базовые стандарты кибербезопасности для государственного сектора | Основы кибербезопасности для государственного сектора предлагают использовать SPF, DKIM, DMARC и TLS для повышения безопасности электронной почты. Однако это лишь предложение, а не требование. | Подробнее |
| Нидерланды | Стандарты "Выполняй или объясняй" | Для государственных учреждений внедрение DMARC, наряду с DKIM, SPF, STARTTLS и DANE, является обязательным требованием. Это часть стандартов "Соответствуй или объясняй" для защиты и аутентификации электронной почты. | Подробнее |
| Саудовская Аравия | Руководство по внедрению основных средств контроля кибербезопасности (ECC) | Организациям из Саудовской Аравии рекомендуется использовать DKIM, SPF и DMARC в качестве передовых методов защиты от фишинга, чтобы отсеивать мошеннические сообщения. | Подробнее |
| ВЕЛИКОБРИТАНИЯ | Руководство по политике кибербезопасности правительства Принцип | В марте 2024 года правительственная политика кибербезопасности заменила минимальную политику кибербезопасности. В этом обновлении MTA-STS и TLS-RPT были переведены из категории "рекомендуется" в категорию "обязательно", а также добавлена ссылка на записи PTR. | Подробнее |
| Соединенные Штаты | Обязательная оперативная директива 18-01 | Обязательная оперативная директива 18-01 требует, чтобы все федеральные агентства использовали STARTTLS, SPF, DKIM и политику DMARC p=reject. | Подробнее |
| Соединенные Штаты | HIPAA (Закон о переносимости и подотчетности медицинского страхования) | В соответствии с Законом о переносимости и подотчетности медицинского страхования от 1996 года (HIPAA), Правило конфиденциальности HIPAA определяет национальные стандарты защиты определенной конфиденциальной информации, связанной со здоровьем. DMARC может стать важным инструментом для обеспечения соответствия нормам HIPAA. | Подробнее |
| Австралия | Руководство по информационной безопасности, подготовленное ASD (Австралийским управлением сигналов) | Рекомендует использовать SPF, DKIM и DMARC для предотвращения угроз, связанных с электронной почтой. | Подробнее |
| Австралия | Руководство по информационной безопасности, подготовленное ASD (Австралийским управлением сигналов) | Рекомендует использовать SPF, DKIM и DMARC для предотвращения угроз, связанных с электронной почтой. | Подробнее |
| Австралия | Как бороться с поддельными письмами | Описаны рекомендации для специалистов по безопасности и операторов почтовых серверов по внедрению протоколов аутентификации электронной почты, таких как SPF, DKIM и DMARC, для минимизации подделки. | Подробнее |
| Австралия | Стратегии смягчения последствий инцидентов, связанных с кибербезопасностью | Подробные сведения о стратегиях снижения киберрисков, разработанных Австралийским управлением связи (ASD). | Подробнее |
| Бельгия | Защита и предотвращение вымогательства с помощью DMARC, SPF и DKIM | Руководство предоставлено Центром кибербезопасности Бельгии. | Подробнее |
| Чешская Республика | Закон о кибербезопасности - руководство по внедрению | Домены, отправляющие электронную почту, должны иметь запись DMARC, соответствующую определенным параметрам, указанным в RFC 7489. | Подробнее |
| Финляндия | Как защитить службы Microsoft 365 | Национальный центр кибербезопасности финского агентства транспорта и связи Traficom описывает стратегии защиты для серверов Exchange Online. | Подробнее |
| Франция | Руководство по созданию здоровой информационной системы | Предложения по внедрению механизмов аутентификации и правильной настройке публичных записей DNS, связанных с инфраструктурой электронной почты (MX, SPF, DKIM, DMARC). | Подробнее |
| Франция | Обзор киберугроз 2021 года | Обзор киберугроз и возможных методов их устранения, опубликованный Национальным агентством по безопасности информационных систем (Agence Nationale De La Sécurité des Systèmes D'Information). | Подробнее |
| Германия | Рекомендации по действиям для интернет-провайдеров | Публикации BSI по кибербезопасности, включающие безопасность электронной почты и аутентификацию. | Подробнее |
| Индия | Система кибербезопасности в банках | Стандарт I уровня соответствия Резервного банка Индии требует от финансовых учреждений принятия соответствующих мер безопасности для предотвращения угроз, связанных с электронной почтой. | Подробнее |
| Норвегия | Основные меры по обеспечению безопасности электронной почты | Включает рекомендации по внедрению DMARC для повышения безопасности электронной почты. | Подробнее |
| Филлипины | DICT о мерах кибербезопасности в борьбе с программой WannaCry Ransomware | Для предотвращения подмены почты рекомендуется использовать сильные спам-фильтры и проверять подлинность входящей почты с помощью таких технологий, как SPF, DMARC и DKIM. | Подробнее |
| Польша | Закон о борьбе со злоупотреблениями в сфере электронных коммуникаций - новые обязательства для провайдеров электронной почты и государственных учреждений | С 25 сентября 2023 года государственные организации Польши обязаны внедрить SPF, DKIM и DMARC для проверки подлинности отправителей электронной почты и борьбы с подделками и смишингом. | Подробнее |
| Португалия | Техническая рекомендация 01/2019 и 01/2020 | Для повышения безопасности электронной почты в организациях рекомендуется внедрять стандарты SPF, DKIM и DMARC. Следующие четыре действия: настройка записей SPF, DKIM, DMARC и MX в DNS домена - помогут уведомить получателей о том, что письма не должны исходить от "припаркованного" домена и должны быть отброшены, если они поступили. Для достижения оптимальной эффективности эти меры следует применять в указанном порядке. | Подробнее (2019) Подробнее (2020) |
| Шотландия | Концепция киберустойчивости государственного сектора Шотландии V1.2 | Рекомендации по внедрению DMARC наряду с записями DKIM и SPF, а также по активации фильтрации спама и вредоносного ПО. Применение принудительных политик DMARC к входящей электронной почте также является расширенной лучшей практикой. | Подробнее |
| Сингапур | Учебник по компрометации деловой электронной почты (BEC) | В публикации говорится о том, что организации могут использовать DMARC для блокировки вредоносных писем и минимизации попыток подмены домена и фишинга, которые не попадают в почтовые ящики получателей. | Подробнее |
Почему соблюдение DMARC имеет значение в 2025 году
Преимущества использования записей DMARC:
- DMARC защищает вас и вашу компанию от фишинга по электронной почте, подмены доменаподмены домена, выдачи себя за другого и угроз компрометации деловой электронной почты (BEC).
- Репутация отправителя электронной почты улучшается благодаря применение DMARC.
- DMARC постепенно повышает коэффициент доставляемости электронной почты на 10%.
- Внедрив DMARC на своем доменном сервере, вы можете гарантировать, что ваши письма никогда не будут помечены как спам, что увеличит количество открытий.
Кроме того, компании могут легко отслеживать, кому разрешено отправлять деловую электронную почту с их домена. Это позволяет избежать недобросовестных действий. Как? Все принимающие почтовые серверы будут проверять входящие письма на легитимность, прежде чем доставить их в почтовые ящики получателей, как только вы опубликуете DMARC-запись вашего домена в DNS.
Проблемы, связанные с выполнением требований DMARC 2025 года
Предприятия всех размеров могут столкнуться с рядом проблем при выполнении требований DMARC в 2025 году:
1. Сложности ручной настройки
Внедрение таких протоколов, как DMARC, SPF и DKIM может быть технически сложным, что приводит к нежеланию и часто неправильной конфигурации. Однако благодаря современным автоматизированным решениям, предлагаемым поставщиками услуг DMARC, эта проблема была значительно решена. Теперь компании любого размера могут выбирать из ряда провайдеров тех, которые соответствуют их потребностям, избегая хлопот и сложностей, связанных с ручной работой.
2. Мониторинг дорожных препятствий
Настройка DMARC в соответствии с требованиями не ограничивается настройкой протокола. Ваше путешествие только начинается! Чтобы добиться наилучших результатов от внедрения DMARC, необходимо отслеживать результаты с помощью отчетов. В то время как необработанные отчеты DMARC могут быть сложны для расшифровки, анализатор отчетов DMARC анализатор отчетов DMARC делает их человекочитаемыми и удобными для мониторинга, предоставляя при этом полезные сведения!
3. Управление сторонними отправителями
Важно определить все сторонние службы, отправляющие электронные письма от имени домена. Необходимо убедиться, что эти службы должным образом проверяют подлинность писем с помощью согласованных подписей DKIM. Вручную сделать это может быть непросто, управляемые службы DMARC могут значительно улучшить ситуацию.
4. Проблемы с доставкой электронной почты
Переход от DMARC-политики p=none к p=reject требует тщательного контроля. Организации часто опасаются блокировать законные электронные письма. Для обеспечения стабильной доставки рекомендуется постепенно внедрять DMARC, контролируя каналы электронной почты с помощью отчетов.
5. Отсутствие опыта
Многие ИТ-команды не обладают глубокими знаниями о DMARC, SPF и DKIM. Организации могут предложить своим сотрудникам пройти бесплатное обучение DMARC чтобы расширить свои знания. Кроме того, привлечение стороннего поставщика услуг по управлению DMARC с группой экспертов сокращает время и усилия, затрачиваемые на обучение и повышение квалификации существующих сотрудников.
Как PowerDMARC помогает соответствовать требованиям 2025 года
PowerDMARC это универсальная платформа для аутентификации электронной почты, отвечающая требованиям DMARC. PowerDMARC обеспечивает:
- Автоматизированный мониторинг соответствия для изменения правил DMARC.
- Руководство по применению политики чтобы безопасно перейти от p=none к p=reject.
- Анализ угроз в режиме реального времени обнаружение попыток фишинга до того, как они произойдут.
- Доверяют организациям из списка Fortune 100 и MSP в 90 с лишним странах.
- Всестороннее согласование SPF и DKIM для обеспечения надлежащей аутентификации сторонних отправителей.
- Расширенная отчетность и аналитика полная информация о сбоях аутентификации электронной почты с помощью подробных отчетов DMARC.
- ПоддержкаBIMI и MTA-STS для укрепления доверия к бренду и безопасности электронной почты с помощью дополнительных уровней аутентификации.
- Автоматизированная оптимизация SPF для предотвращения сбоев в поиске SPF с помощью Макросы SPF.
Заключительные слова
2025 год знаменует собой переломный момент в применении DMARC, и организациям необходимо действовать уже сейчас, чтобы избежать сбоев в работе электронной почты и рисков для безопасности. С ужесточением политики основных поставщиков электронной почты обеспечение соответствия требованиям больше не является необязательным. Соответствует ли ваш домен требованиям DMARC? Проверьте свой статус соответствия статус сегодня и примите необходимые меры для защиты своих каналов электронной почты.
Не ждите, пока не станет слишком поздно! Чтобы начать, свяжитесь с PowerDMARC сегодня, чтобы пройти бесплатную пробная версия DMARC и обеспечить полное соответствие требованиям 2025 DMARC!
Эксперт по безопасности доменов и электронной почты в PowerDMARC
Аона - менеджер по маркетингу в PowerDMARC, имеет более чем 5-летний опыт написания статей на темы кибербезопасности, специализируясь на безопасности доменов и электронной почты. Ахона получила диплом о высшем образовании по специальности "Журналистика и коммуникации", а с 2019 года начала работать в сфере безопасности.
Последние сообщения Ахона Рудра (см. все)
