ابدأ بحدود القطاع العام
يجب إرفاق متطلبات البريد الإلكتروني لحكومة المملكة المتحدة بمنظمة محددة ومجال وسياق معالجة المعلومات. لا ينبغي أن يتحول الأمر إلى ادعاء بأن كل شركة في المملكة المتحدة يجب أن تنشر سياسة DNS معينة. صفحة البريد الإلكتروني الحكومية الآمنة GOV.UK، التي تم تحديثها آخر مرة في 4 مارس 2024 وتمت مراجعتها هنا في 8 نوفمبر 2026، تغطي صراحة نطاقات البريد الإلكتروني على الإنترنت التي تديرها مؤسسات القطاع العام. يتطلب على الأقل TLS و DMARC، إلى جانب الحماية المناسبة للمعلومات المتبادلة. وهذا يشكل سياقاً لسياسة حكومية، وليس دليلاً على وجود قانون عالمي للقطاع التجاري. سياسة GOV.UK.
ابدأ سجل التطبيق بالهوية القانونية للمنظمة وعلاقتها بالقطاع العام. أضف كل مجال إرسال واستقبال ومالك الخدمة وتصنيف المعلومات التي يتم التعامل معها. تحتاج مشاركة المورد إلى تحليل تعاقدي خاص بها: فالعملاء الحكوميون ولاحقة المجال المألوفة لا يحددون بمفردهم كل التزام يلزم المورد. قم بتسجيل السياسة أو الاتفاقية الفعلية التي تحمل المتطلبات في تلك الخدمة.
اقرأ تعليمات السياسة والتكوين معًا
يتضمن دليل الإعداد المصاحب صناديق البريد والمرحلات وخدمات التصفية ومرسلي المعاملات الخارجيين. تغطي تعليمات المصادقة الخاصة بها التحقق من الداخل والخروج المرحلي تنفيذ DMARC، مع SPF و DKIM إعدادات. تعامل مع السياسة المرحلية كخطوة تنفيذ مع معايير المالك والخروج، بدلاً من تعريف غير محدد للاكتمال. إن تاريخ الدليل في مارس 2024 مهم أيضًا عند تقييم تبعياته التشغيلية. إعداد البريد الإلكتروني الحكومي.
بالنسبة لسياق تصنيف المعلومات، تحدد إرشادات مجلس الوزراء 1.5، الإصدار 2.0 بتاريخ 5 أغسطس 2024، مصادقة المجال وحماية النقل في ضوابط البريد الإلكتروني الخاصة به. يتضمن عمود البريد الإلكتروني الرسمي DMARC و DKIM و SPF و MTA-STS وإعداد تقارير TLS ؛ الطبقات الأكثر حساسية لها ترتيبات مشاركة مختلفة. لا تفصل هذا العمود عن جدول التصنيف المحيط أو تقدم تصميمًا واحدًا لبريد الإنترنت يناسب كل تصنيف. توجيهات المستشار الأمني.
حل تبعية خدمة المتقاعدين
توجد مشكلة إصدار محددة في المجموعة المصدر. لا تزال صفحة الإعداد الأقدم توجه المسؤولين نحو NCSC Mail Check، بما في ذلك أمثلة التقارير والتسجيل. يؤكد إشعار التقاعد الخاص بـ NCSC أن التحقق من البريد والتحقق من الويب قد انتهى في 31 مارس 2026. وبالتالي، لا يمكن لخطة التنفيذ الحالية التعامل مع هذه التعليمات القديمة كدليل على أن الخدمة لا تزال متاحة. هذه مشكلة في تسوية التبعية، وليست سببًا لتجاهل عناصر التحكم في المصادقة الأساسية. إشعار التقاعد NCSC.
وجهات تقرير الجرد وملكية الإشعارات والخدمة المستخدمة للتحقيق في حالات الفشل. حدد الوجهات التي تنتمي إلى المؤسسة وتلك التي تعتمد على المعالجة المتوقفة أو المقدمة من الخارج. لا تقترح بديلاً إلا بعد تقييم الوصول والاحتفاظ والسرية والتكلفة. لا تسمح هذه المقالة بتغيير عناوين التقارير أو الاشتراك في إحدى الخدمات. احتفظ بالسجلات القديمة وخطة الانتقال المعتمدة حتى يتمكن المدقق من التمييز بين الترحيل المخطط له وبين فجوة المراقبة غير المبررة.
بناء الأدلة حول تدفقات البريد الفعلية
يحتوي سجل التحكم المفيد على حقول منفصلة للمتطلبات والإعداد المقصود والنتيجة الملحوظة. لا يثبت نشر سياسة DNS المقيدة أن كل تطبيق شرعي يتوافق ولا أن كل مستلم يرفضه انتحال. يقوم DMARC بتقييم مجال المؤلف مقابل هوية مصادق عليها؛ المواصفات الأساسية الحالية هي RFC 9989، تم نشره في مايو 2026. ولا يثبت نشره أن كل منتج قد اعتمد المعالجة المحدثة. مواصفات DMARC الحالية.
قم بإعداد خطة أدلة تغطي بريد الموظفين وإخطارات إدارة الحالة ورسائل الاشتراك العام والمرسلين المفوضين. بالنسبة لكل تدفق، حدد المجال المرئي من المجال والفريق المسؤول وخدمة التوقيع ووجهة التقرير والتأثير في حالة فشل التسليم. الحفاظ على ملاحظات المتلقي فقط عند حدوث اختبار معتمد بالفعل. لا ينبغي أن تصبح خلية جدول البيانات التي تقول تم تكوينها بصمت اختبار تسليم ناجح. احتفظ بتقارير الحوادث ومحتوى الرسائل الحساسة في المستودعات المعتمدة بدلاً من تضمينها في مقالة عامة.
العمل من خلال مثال المجلس الخيالي
تخيل بريدًا خياليًا لموظفي تشغيل المجلس وموردًا منفصلاً لإخطار المواعيد. يسجل مشروعه في البداية تنفيذ DMARC على أنه مكتمل نظرًا لأن نطاق الموظفين لديه سياسة مقيدة. وجدت المراجعة المقترحة سؤالاً لم تتم الإجابة عليه: هل يستخدم المورد هوية متوافقة لرسائل المواعيد؟ لم يتم فحص أي رسالة في هذا المثال، وبالتالي فإن النتيجة هي وجود فجوة في الأدلة، وليس اختبارًا فاشلاً.
يجب أن يؤكد صاحب سياسة المجلس أولاً نطاق القطاع العام ذي الصلة. سيقوم فريق المراسلة بعد ذلك بتحديد تدفقات المواعيد التمثيلية وخطة القبول الخاضعة للرقابة. سيتحقق فريق الأمان بشكل منفصل من وصول التقارير إلى الوجهة المحددة بعد إيقاف التحقق من البريد. سيكون استبيان الموردين المكتمل بمثابة إعداد مفيد ولكنه لن يحل محل دليل الرسالة الفعلي. يجب أن تحدد الموافقة اسم كل من مالك العمل الذي يقبل مخاطر التعطيل والمشغل المسموح له بتغيير DNS .
اجعل الاستثناءات وتواريخ المراجعة واضحة
يجب أن يوضح سجل الاستثناء المجال أو المسار المتأثر، ولماذا لم يتم تحقيق عنصر التحكم الهدف بعد، وما هي إجراءات التعويض الموجودة، ومن يمكنه قبول المخاطر المتبقية. قم بإضافة تاريخ مراجعة ومحفز مثل ترحيل المورد أو تغيير التصنيف أو إشعار التقاعد. لا تضع موعدًا نهائيًا قانونيًا من تاريخ آخر تحديث لصفحة الويب، أو تفترض أن ترتيبات التقييم التاريخية لا تزال سارية لأنها تظل في سجل التغيير.
يتطلب الكتالوج ما يلي: مراجعة جدول سلطة السيطرة من قبل المتخصص التنظيمي أو القانوني المناسب. الخريطة المصاحبة عبارة عن إعداد غير معتمد لذلك الجدول، وليست مراجعة متخصصة. قبل النشر، احصل على سياسة المملكة المتحدة وتأكيد المالك القانوني، والمراجعة الفنية للشركات الصغيرة والمتوسطة لنقل الخدمة، والأدلة التشغيلية الأصلية لأي مطالبات بالتنفيذ. ويترك القارئ الكامل أيضًا بوابات الرؤية ومسار الإنتاج وتحرير المالك مفتوحة. لم يتم الوصول إلى أي مجلس أو نظام حكومي أو وجهة تقرير أو تغييرها لهذه المقالة.