Start med den offentlige sektors grænse
Et krav om e-mail fra den britiske regering skal knyttes til en navngiven organisation, domæne og informationshåndteringskontekst. Det bør ikke blive en påstand om, at alle britiske virksomheder skal implementere en bestemt DNS politik. GOV.UK securing-government-e-mail-siden, senest opdateret 4. marts 2024 og gennemgået her den 8. november 2026, dækker udtrykkeligt internet-e-mail-domæner, der drives af offentlige organisationer. Det kræver mindst TLS og DMARC, sideløbende med passende beskyttelse af de udvekslede oplysninger. Det er en regeringspolitisk kontekst, ikke et bevis på en universel lov for den kommercielle sektor. GOV.UK politik.
Begynd anvendelighedsregistret med organisationens juridiske identitet og forhold til den offentlige sektor. Tilføj hvert afsendende og modtagende domæne, tjenesteejeren og klassificeringen af de håndterede oplysninger. En leverandørs involvering har brug for sin egen kontraktlige analyse: offentlige kunder og et velkendt domæne-suffiks identificerer ikke i sig selv enhver forpligtelse, der binder en leverandør. Registrer den faktiske politik eller aftale, der indebærer kravet i den pågældende tjeneste.
Læs politik og konfigurationsinstruktioner sammen
Den ledsagende opsætningsvejledning inkluderer postkasser, relæer, filtreringstjenester og tredjeparts transaktionsafsendere. Dens autentificeringsinstruktioner dækker indgående kontrol og udgående i etaper DMARC håndhævelse, med SPF og DKIM konfiguration. Behandl en trinvis politik som et implementeringstrin med et ejer- og exitkriterie snarere end en ubestemt definition af færdiggørelse. Vejledningens marts 2024-dato har også betydning, når dens operationelle afhængigheder evalueres. Offentlig e-mail opsætning.
Til informationsklassificeringssammenhæng identificerer Cabinet Office Guidance 1.5, version 2.0 dateret 5. august 2024, domænegodkendelse og transportbeskyttelse i sine e-mailkontroller. Den OFFICIELLE e-mail kolonne indeholder DMARC , DKIM , SPF , MTA-STS og TLS -rapportering; mere følsomme niveauer har forskellige deleordninger. Du må ikke adskille denne kolonne fra den omgivende klassifikationstabel eller præsentere et internet-mail-design, der passer til hver klassifikation. Sikkerhedsrådgiver vejledning.
Løs afhængigheden af pensioneret tjeneste
Der er et konkret versionsproblem i kildesættet. Den ældre opsætningsside leder stadig administratorer til NCSC Mail Check, inklusive rapporterings- og registreringseksempler. NCSC 's egen pensionsmeddelelse bekræfter, at Mail Check og Web Check sluttede den 31. marts 2026. En aktuel implementeringsplan kan derfor ikke behandle disse ældre instruktioner som bevis på, at tjenesten forbliver tilgængelig. Dette er et afhængighedsafstemningsproblem, ikke en grund til at kassere de underliggende godkendelseskontroller. NCSC pensionsmeddelelse.
Beholdningsrapport destinationer, notifikationsejerskab og den service, der bruges til at undersøge fejl. Identificer, hvilke destinationer der tilhører organisationen, og hvilke der er afhængige af pensioneret eller eksternt leveret behandling. Foreslå kun en erstatning efter vurdering af adgang, opbevaring, fortrolighed og omkostninger. Denne artikel tillader ikke ændring af rapporteringsadresser eller abonnement på en tjeneste. Opbevar gamle optegnelser og den godkendte overgangsplan, så en revisor kan skelne en planlagt migration fra en uforklarlig overvågningskløft.
Byg beviser omkring de faktiske poststrømme
En nyttig kontrolpost har separate felter for kravet, den påtænkte indstilling og det observerede resultat. Udgivelse af en restriktiv DNS politik beviser hverken, at enhver legitim applikation stemmer overens, eller at enhver modtager afviser spoofing. DMARC evaluerer forfatterdomænet i forhold til en tilpasset autentificeret identitet; den nuværende kernespecifikation er RFC 9989, udgivet i maj 2026. Dets offentliggørelse beviser ikke, at hvert produkt har vedtaget sin opdaterede behandling. Nuværende DMARC -specifikation.
Forbered en bevisplan, der dækker personalemail, sagsbehandlingsmeddelelser, offentlige abonnementsbeskeder og delegerede afsendere. For hvert flow skal du identificere det synlige Fra-domæne, ansvarligt team, signeringstjeneste, rapportere destination og indvirkning, hvis levering mislykkes. Bevar kun modtagerobservationer, når en autoriseret test faktisk finder sted. En regnearkscelle, der siger konfigureret, bør ikke stille og roligt blive en vellykket leveringstest. Opbevar hændelsesrapporter og følsomt beskedindhold i godkendte arkiver i stedet for at integrere dem i en offentlig artikel.
Gennemfør et fiktivt rådseksempel
Forestil dig et fiktivt råd, der driver personalepost og en separat aftale-meddelelsesleverandør. Dets projekt registrerer i første omgang DMARC håndhævelse som fuldstændig, fordi personaledomænet har en restriktiv politik. Den foreslåede gennemgang finder et ubesvaret spørgsmål: bruger leverandøren en tilpasset identitet til aftalebeskeder? Ingen meddelelse er blevet inspiceret i dette eksempel, så resultatet er et evidensgab, ikke en mislykket test.
Rådets policy-ejer vil først bekræfte det relevante offentlige anvendelsesområde. Beskedteamet ville derefter definere repræsentanter for aftalestrømme og en kontrolleret acceptplan. Sikkerhedsteamet vil separat verificere, at rapporter når en vedligeholdt destination, efter at Mail Check er blevet pensioneret. Et udfyldt leverandørspørgeskema ville være nyttigt forberedelse, men ville ikke erstatte det faktiske meddelelsesbevis. Godkendelsen bør navngive både virksomhedsejeren, der accepterer forstyrrelsesrisiko, og operatøren, der har tilladelse til at ændre DNS .
Gør undtagelser og gennemgangsdatoer eksplicitte
En undtagelsespost skal sige, hvilket domæne eller rute der er berørt, hvorfor målkontrollen endnu ikke er opfyldt, hvilke kompenserende foranstaltninger der findes, og hvem der kan acceptere den resterende risiko. Tilføj en anmeldelsesdato og en udløser, såsom en leverandørmigrering, klassificeringsændring eller pensionsmeddelelse. Fremstil ikke en lovbestemt deadline fra en websides sidste opdateringsdato, eller antag ikke, at historiske vurderingsordninger stadig gælder, fordi de forbliver i en ændringslog.
Kataloget kræver: En myndighed-til-kontrol-tabel gennemgået af den relevante regulatoriske eller juridiske specialist. Det medfølgende kort er en ikke-godkendt udarbejdelse af denne tabel, ikke specialistgennemgang. Indhent bekræftelse fra Storbritanniens politik og juridiske ejere, teknisk SMV-gennemgang af tjenesteovergangen og originalt operationelt bevis for eventuelle implementeringskrav før offentliggørelse. Den fulde læser lader også visuelle, produktionsrute- og ejerudgivelsesporte stå åbne. Ingen råd, regeringssystem eller rapportdestination blev tilgået eller ændret for denne artikel.