polityka korzystania z poczty

Polityka korzystania z poczty określa dopuszczalny zakres używania skrzynki służbowej i zasady nadzoru.

Zakres służbowej skrzynki i dozwolone zastosowania

Polityka korzystania z poczty opisuje, do czego służbowy adres e-mail może być używany oraz jakie działania są zabronione. Skrzynka służbowa jest zwykle przypisana do konkretnego konta użytkownika w usłudze pocztowej i służy do komunikacji związanej z wykonywaną pracą. Dotyczy to między innymi kontaktu z klientami, dostawcami, współpracownikami, systemami informatycznymi oraz usługami, które wymagają potwierdzenia adresu e-mail. Dokument powinien wskazywać, czy dopuszczalne jest sporadyczne użycie prywatne, a także określać, czy użytkownik może przekazywać wiadomości na prywatne konto, korzystać z automatycznych przekierowań albo zapisywać załączniki na komputerze domowym.

Techniczna polityka może również określać wymagania dotyczące formatu wiadomości, tytułu, podpisu, rozmiaru załączników i sposobu przekazywania plików. W wielu systemach ograniczenie rozmiaru pojedynczej wiadomości jest ustalane przez administratora usługi pocztowej i obejmuje zarówno treść, jak i załączniki po zakodowaniu. Wiadomość przekraczająca limit może zostać odrzucona przez serwer nadawcy lub odbiorcy. Jeżeli plik jest zbyt duży, polityka może wskazywać zatwierdzony mechanizm udostępnienia go za pomocą kontrolowanego łącza zamiast przesyłania wielu kopii w załącznikach.

Logowanie, uwierzytelnianie i obsługa urządzeń

Dostęp do poczty powinien być związany z jednoznacznym kontem użytkownika, a nie ze wspólnym hasłem używanym przez kilka osób. Hasło nie powinno być zapisywane w treści wiadomości ani przekazywane komunikatorem. Jeżeli usługa pocztowa obsługuje uwierzytelnianie wieloskładnikowe, drugi składnik może być wymagany podczas logowania z nowego urządzenia, po zmianie ustawień bezpieczeństwa albo po wykryciu nietypowej próby dostępu. Kod jednorazowy, klucz sprzętowy lub zatwierdzenie logowania w aplikacji nie zastępują silnego hasła, lecz tworzą dodatkową warstwę uwierzytelnienia.

Polityka powinna określać zasady korzystania z poczty na laptopach, komputerach PC, telefonach i tabletach. Przy konfiguracji programu pocztowego należy używać parametrów udostępnionych przez operatora usługi, w tym właściwego serwera odbiorczego i wysyłkowego oraz szyfrowanego połączenia TLS, jeśli jest wymagane. Nie należy wyłączać ostrzeżeń certyfikatu ani instalować nieznanych dodatków do klienta pocztowego. Po utracie urządzenia, podejrzeniu hasła lub stwierdzeniu nieautoryzowanego logowania konto powinno zostać zabezpieczone przez zmianę hasła, unieważnienie aktywnych sesji i weryfikację reguł przekazywania poczty.

Załączniki, odnośniki i sygnały nadużycia

Jednym z praktycznych celów polityki jest ujednolicenie reakcji na podejrzane wiadomości. Użytkownik powinien sprawdzić adres nadawcy, domenę, treść żądania oraz zgodność linku z widocznym opisem. Sam fakt, że wiadomość zawiera logo firmy albo podpis znanej osoby, nie potwierdza jej autentyczności. Ostrożności wymagają szczególnie prośby o podanie hasła, zmianę numeru rachunku, pilną płatność, instalację programu lub otwarcie pliku z makrem. Podejrzanej wiadomości nie należy odsyłać do potencjalnego nadawcy przy użyciu adresu podanego w tej samej wiadomości; właściwy kanał weryfikacji powinien pochodzić z niezależnego źródła.

Załączniki wykonywalne, archiwa z nieznaną zawartością, dokumenty żądające włączenia makr oraz pliki z podwójnym rozszerzeniem powinny być traktowane jako podwyższone ryzyko. Program antywirusowy i filtr pocztowy mogą wykryć część zagrożeń, ale nie gwarantują rozpoznania każdego złośliwego pliku. Polityka może nakazywać zgłoszenie wiadomości do wyznaczonego kanału, bez jej usuwania przed zakończeniem analizy. Warto także zabronić samodzielnego tworzenia reguł, które automatycznie przekazują całą korespondencję poza firmową skrzynkę, ponieważ taka reguła może ukrywać przejęcie konta.

Archiwizacja, nadzór i wsparcie stanowiska pracy

Zasady nadzoru powinny precyzować, jakie zdarzenia techniczne mogą być rejestrowane, na przykład logowania, zmiany hasła, konfiguracja przekazywania wiadomości, wysyłanie dużej liczby komunikatów lub próby dostępu z nietypowej lokalizacji. Rejestrowanie tych informacji umożliwia odtworzenie przebiegu incydentu i sprawdzenie, czy konto było używane przez uprawnioną osobę. Polityka powinna też rozróżniać zwykły monitoring działania systemu od wglądu w treść korespondencji oraz wskazywać, kto może uruchomić procedurę kontrolną i w jakim celu.

Na komputerze użytkownika należy utrzymywać aktualny system operacyjny, przeglądarkę i program pocztowy, ponieważ klient poczty przetwarza załączniki, odnośniki oraz dane uwierzytelniające. Przy wymianie sprzętu konto powinno zostać usunięte ze starego urządzenia, a zapisane profile, tokeny sesji i lokalne kopie wiadomości odpowiednio wyczyszczone zgodnie z procedurą organizacji. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku problemów z programem pocztowym można rozpocząć od diagnostyki systemu, połączenia sieciowego, konfiguracji klienta oraz stanu dysku.