polityka e-mailowa

Polityka e-mailowa to zbiór reguł korzystania ze służbowej poczty przez pracowników.

Regulamin, który zamienia zwyczaje w zasady

Polityka e-mailowa to dokument wewnętrzny opisujący, do czego wolno używać służbowej skrzynki, co się z nią dzieje po odejściu pracownika i jakich zachowań firma zabrania. Sensowna polityka odpowiada na konkretne pytania: czy wolno przekierowywać firmową pocztę na adres prywatny, czy można konfigurować skrzynkę na telefonie bez blokady ekranu, jakie załączniki są zabronione, jak długo przechowywane są wiadomości, kto i w jakim trybie może uzyskać dostęp do skrzynki nieobecnego pracownika. Bez tego ostatniego punktu firma zderza się z problemem prawnym dokładnie w chwili, gdy potrzebuje faktury z cudzej skrzynki.

Od dokumentu do ustawień serwera

Zapisy polityki mają sens dopiero wtedy, gdy odpowiadają im konkretne ustawienia. Zakaz automatycznego przekierowania na zewnątrz realizuje reguła transportowa blokująca przekazywanie poza domenę — bez niej to tylko pobożne życzenie, a przekierowanie ustawione przez włamywacza jest jedną z pierwszych rzeczy, jaką robi po przejęciu skrzynki. Zasadę silnego uwierzytelnienia wdraża wymuszenie drugiego składnika i wyłączenie starych protokołów logowania, które go nie obsługują. Reguła o zakazie plików wykonywalnych to lista rozszerzeń blokowanych na bramce pocztowej, z uwzględnieniem archiwów chronionych hasłem, bo tak najczęściej przemyca się złośliwe oprogramowanie. Do tego dochodzi jednolita stopka z danymi rejestrowymi spółki, wymagana przy korespondencji handlowej, oraz zasady dotyczące adresów grupowych, żeby wiadomość do wszystkich nie stawała się codziennym zwyczajem.

Miejsca, w których takie polityki zawodzą

Pierwszy błąd to dokument napisany raz i schowany w segregatorze, bez odzwierciedlenia w ustawieniach. Drugi to reguły tak restrykcyjne, że ludzie omijają je z konieczności — zablokowany załącznik ląduje na prywatnym dysku w chmurze, czyli poza jakąkolwiek kontrolą firmy. Trzeci to brak procedury na odejście pracownika: skrzynka zostaje aktywna miesiącami, hasło zna były zatrudniony, a licencja jest nadal opłacana. Czwarty, najkosztowniejszy, dotyczy zmiany numeru konta w korespondencji — polityka powinna wprost nakazywać telefoniczne potwierdzenie takiej zmiany innym kanałem, bo to standardowy scenariusz wyłudzenia przelewu. Warto też zapisać, że pracownik ma zgłaszać podejrzane wiadomości, i podać komu — zgłoszenie kierowane w próżnię nigdy nie następuje.

Techniczna strona wdrożenia

Przekładamy zapisy polityki na konfigurację serwera pocztowego i stacji roboczych: reguły transportowe, wymuszenie drugiego składnika, poprawne rekordy SPF, DKIM i DMARC w DNS domeny, jednolite profile klienta pocztowego oraz archiwizację korespondencji. Ustawiamy też procedurę przekazania skrzynki przy zmianach kadrowych, razem z eksportem archiwum do pliku i przekierowaniem na następcę. Obsługujemy firmy i klientów indywidualnych, a prace wymagające przerwy w działaniu poczty wykonujemy poza godzinami pracy biura — pracujemy całą dobę, więc migracja w nocy z soboty na niedzielę nie jest problemem.