Establecer qué autoridad australiana aplica
La garantía del correo electrónico del gobierno australiano comienza con el estado de la entidad y su marco de seguridad adoptado. Un control del Manual de seguridad de la información de septiembre de 2026 no es, simplemente por existir, una ley impuesta a todas las empresas australianas. La página de aplicabilidad del Marco de políticas de seguridad protectora dice que las entidades no corporativas del Commonwealth sujetas a la Ley PGPA deben aplicar el PSPF, en la medida que sea compatible con la legislación. Otras organizaciones necesitan que se registren sus propias bases de adopción, contractuales o sectoriales. Aplicabilidad del PSPF.
La Directiva ministerial sobre la seguridad de las empresas gubernamentales se emitió el 3 de julio de 2025. Proporciona una autoridad política identificable para la población cubierta de la Commonwealth. Registre esa autoridad por separado del catálogo de control técnico y de la decisión local que selecciona los controles para un sistema. A un departamento estatal, una universidad y una entidad de la Commonwealth no se les debería asignar un estatus legal idéntico simplemente porque su infraestructura de correo sea similar. directiva ministerial.
Preservar la edición del manual y los identificadores de control.
El capítulo sobre correo electrónico ISM de septiembre de 2026 proporciona objetivos de implementación precisos. Direcciones ISM-0861 salientes DKIM firma; ISM-1026 aborda la verificación de firmas entrantes. ISM-1540 exige una política de rechazo en los dominios organizacionales, incluidos los subdominios, cuando los mensajes fallan DMARC. ISM-1799 aborda los mensajes entrantes que fallan DMARC . Estos son registros separados: una política de salida publicada no demuestra que una puerta de enlace de entrada realice la evaluación requerida. Controles de correo electrónico de septiembre de 2026.
Conserve exactamente el número de control, la revisión, la fecha de actualización y las etiquetas de aplicabilidad en la evaluación local. La fecha de edición y la fecha de revisión de un control individual son hechos diferentes. Varios controles de autenticación en la edición de septiembre conservan fechas de revisión anteriores. El campo Essential Eight mostrado es N/A para estos controles; no los cambie como un nivel de madurez adicional de los Ocho Esenciales. Una cita de fuente también debe conservar si aborda la firma, la verificación, el comportamiento de la lista de distribución o la publicación de políticas.
Conciliar etiquetas de catálogo de alto nivel
La entrada sobre Arquitectura del Gobierno de Australia crea una importante advertencia de lectura. Muestra una etiqueta de cumplimiento obligatorio mientras que su texto de aplicabilidad describe el ISM como recomendado para entidades no corporativas del Commonwealth y como consejo considerado por ASD. Esa página por sí sola no puede resolver la obligación precisa para un sistema en particular. Conserve la discrepancia y haga que el propietario de la política de seguridad identifique el requisito, la dirección, el contrato o la política de la agencia que rige el PSPF, en lugar de elegir cualquier etiqueta que respalde un reclamo de ventas más sólido. Entrada AGA ISM.
Esta distinción es útil incluso cuando se requiere claramente su implementación. La autoridad responde quién debe actuar; el control seleccionado responde a lo que se debe implementar; la evidencia responde si la organización lo ha hecho. Combinar los tres en una única insignia de cumplimiento verde dificulta la revisión posterior. Si la política aplicable cambia, la ruta de decisión original debe explicar por qué se incluyó un control y qué límite del sistema cubría.
Traducir los controles en evidencia observable
Para la firma saliente, proponga un plan de muestra que abarque servicios, selectores y dominios aprobados. Para la validación entrante, proponga evidencia del lado del receptor que identifique la puerta de enlace, la versión de la regla y el resultado de la autenticación. Para la política DMARC , conserve el nombre consultado, la respuesta, el tiempo de observación y el tratamiento del subdominio. Ninguna de esas observaciones ha sido recopilada para este artículo. Por lo tanto, el mapa de evidencia describe los artefactos esperados y los propietarios propuestos, con la aceptación explícitamente vacía.
La interpretación técnica debe utilizar la semántica del protocolo actual. RFC 9989 especifica la evaluación de alineación de dominios de DMARC ; no convierte ninguna firma exitosa en prueba de que el remitente visible está alineado. Un válido firma DKIM de un dominio no relacionado puede no satisfacer la política que se está evaluando. Del mismo modo, una política restrictiva no impide que un atacante utilice una dominio similar o una cuenta legítima comprometida. Mantenga esos riesgos residuales fuera del resultado del control estricto. Núcleo DMARC.
Utilice una evaluación multiservicio ficticia
Considere un servicio ficticio de Commonwealth con correo electrónico para el personal, notificaciones de subvenciones y una lista de correo operada externamente. Su mapa propuesto asigna evidencia de política de dominio y firma saliente al equipo de mensajería, evidencia de mensajes del proveedor al propietario del servicio de concesión y evidencia de validación entrante al operador de puerta de enlace. La fila de la lista de correo hace referencia al control ISM sobre la preservación de la validez DKIM de los remitentes externos, en lugar de asumir que la entrega exitosa del correo del personal cubre la redistribución de la lista. Aquí no se inspeccionó ningún servicio de este tipo.
La evaluación no debería exigir un cambio DNS inmediato simplemente porque una fila esté en blanco. Primero establecer si el blanco significa no aplicable, no implementado, evidencia inaccesible o una prueba no realizada. Estos estados requieren respuestas diferentes. Registrar una investigación con un tiempo determinado y la persona que puede aprobar cualquier acción correctiva. La afirmación de un proveedor de que admite DMARC no es evidencia de que la ruta particular de notificación de concesión esté configurada correctamente.
Incrementar las brechas sin exagerar el cumplimiento
Lleve la ambigüedad de la fuente material al especialista legal o de políticas de la agencia. Llevar la interpretación de protocolos y el comportamiento de la puerta de enlace a la PYME técnica. Llevar los compromisos de proveedores faltantes al propietario del servicio. El registro de decisiones debe mostrar quién resolvió cada pregunta y si la resolución cambia el alcance, la selección de control o las expectativas de evidencia. No sustituya una puntuación de capacidad de entrega comercial por una conclusión de aseguramiento según el marco de la agencia.
Revisar el mapa cuando una nueva edición de ISM, dirección de PSPF, cambio de proveedor o clasificación de sistema afecte el servicio. Conserve instantáneas reemplazadas con sus fechas para que las decisiones históricas sigan siendo explicables sin presentar controles antiguos como actuales. Las fechas de publicación de la política no prueban las fechas de implementación y un hash de documento no establece que una agencia haya aceptado su contenido.
La evidencia encargada exacta es: Una tabla de autoridad para controlar revisada por el especialista legal o regulatorio apropiado. Este paquete proporciona un mapa de autoridad no revisado, no la determinación de ese especialista. La evidencia del sistema original, la aplicabilidad de la agencia, la aceptación técnica, la presentación de producción y el permiso de publicación permanecen abiertos. No se consultó ni modificó la configuración de ninguna organización australiana y no se emite ningún certificado de cumplimiento legal.