Déterminer quelle autorité australienne s'applique
L'assurance du courrier électronique du gouvernement australien commence par le statut de l'entité et le cadre de sécurité qu'elle a adopté. Un contrôle du manuel de sécurité de l’information de septembre 2026 n’est pas, simplement par son existence, une loi imposée à toutes les entreprises australiennes. La page d'applicabilité du cadre politique de sécurité de protection indique que les entités non constituées en sociétés du Commonwealth soumises à la loi PGPA doivent appliquer le PSPF, dans la mesure compatible avec la législation. D'autres organisations ont besoin d'enregistrer leur propre adoption, sur une base contractuelle ou spécifique à un secteur. Applicabilité du PSPF.
La Directive ministérielle sur la sécurité des affaires gouvernementales a été publiée le 3 juillet 2025. Elle confère une autorité politique identifiable à la population couverte du Commonwealth. Enregistrez cette autorité séparément du catalogue de contrôle technique et de la décision locale qui sélectionne les contrôles pour un système. Un département d’État, une université et une entité du Commonwealth ne devraient pas se voir attribuer un statut juridique identique simplement parce que leur infrastructure de messagerie est similaire. Directive ministérielle.
Conserver les identifiants d'édition manuelle et de contrôle
Le chapitre du courrier électronique ISM de septembre 2026 fournit des objectifs de mise en œuvre précis. ISM-0861 adresses sortantes DKIM signature ; ISM-1026 traite de la vérification des signatures entrantes. ISM-1540 appelle à une politique de rejet sur les domaines organisationnels, y compris les sous-domaines, lorsque les messages échouent DMARC. ISM-1799 traite les messages entrants qui échouent DMARC . Il s'agit d'enregistrements distincts : une politique sortante publiée ne démontre pas qu'une passerelle entrante effectue l'évaluation requise. Contrôles des e-mails de septembre 2026.
Conservez exactement le numéro de contrôle, la révision, la date de mise à jour et les étiquettes d’applicabilité dans l’évaluation locale. La date d'édition et la date de révision d'un contrôle individuel sont des faits différents. Plusieurs contrôles d'authentification de l'édition de septembre conservent des dates de révision antérieures. Le champ Essential Eight affiché est N/A pour ces contrôles ; ne les rebaptisez pas comme un niveau de maturité Essential Eight supplémentaire. Une citation source doit également indiquer si elle traite de la signature, de la vérification, du comportement de la liste de distribution ou de la publication des politiques.
Réconcilier les étiquettes de catalogue de haut niveau
L’entrée Australian Government Architecture crée une mise en garde importante en matière de lecture. Il affiche une étiquette de conformité obligatoire tandis que son texte d'applicabilité décrit l'ISM comme recommandé pour les entités non constituées en sociétés du Commonwealth et comme conseil réfléchi d'ASD. Cette page ne peut à elle seule résoudre l’obligation précise d’un système particulier. Conservez l'écart et demandez au propriétaire de la politique de sécurité d'identifier l'exigence, la direction, le contrat ou la politique de l'agence PSPF en vigueur, plutôt que de choisir l'étiquette qui soutient une affirmation commerciale la plus forte. Entrée AGA ISM.
Cette distinction est utile même lorsque la mise en œuvre est clairement requise. L'autorité répond qui doit agir ; le contrôle sélectionné répond à ce qui doit être mis en œuvre ; les preuves indiquent si l’organisation l’a fait. La combinaison des trois en un seul badge de conformité vert rend les examens ultérieurs plus difficiles. Si la politique applicable change, la piste de décision initiale doit expliquer pourquoi un contrôle a été inclus et quelle limite du système il couvrait.
Traduire les contrôles en preuves observables
Pour la signature sortante, proposez un exemple de plan couvrant les services, sélecteurs et domaines approuvés. Pour la validation entrante, proposez des preuves côté récepteur qui identifient la passerelle, la version de la règle et le résultat de l'authentification. Pour la stratégie DMARC , conservez le nom interrogé, la réponse, l’heure d’observation et le traitement du sous-domaine. Aucune de ces observations n’a été collectée pour cet article. La carte des preuves décrit donc les artefacts attendus et les propriétaires proposés, avec une acceptation explicitement non renseignée.
L’interprétation technique doit utiliser la sémantique actuelle du protocole. RFC 9989 spécifie l'évaluation de l'alignement de domaine de DMARC ; cela ne transforme aucune signature réussie en preuve que l'expéditeur visible est aligné. Un valide Signature DKIM provenant d'un domaine sans rapport peut ne pas satisfaire à la politique évaluée. De même, une politique restrictive n'empêche pas un attaquant d'utiliser un autre domaine similaire ou un compte légitime compromis. Gardez ces risques résiduels en dehors du résultat du contrôle étroit. Noyau DMARC.
Utiliser une évaluation multiservice fictive
Considérons un service fictif du Commonwealth avec une messagerie électronique du personnel, des notifications de subventions et une liste de diffusion gérée en externe. La carte proposée attribue des preuves de signature sortante et de politique de domaine à l'équipe de messagerie, des preuves de messages du fournisseur au propriétaire du service d'octroi et des preuves de validation entrantes à l'opérateur de passerelle. La ligne de la liste de diffusion fait référence au contrôle ISM visant à préserver la validité DKIM des expéditeurs externes, plutôt que de supposer que la livraison réussie du courrier du personnel couvre la redistribution de la liste. Aucun service de ce type n'a été inspecté ici.
L'évaluation ne doit pas exiger un changement immédiat DNS simplement parce qu'une ligne est vide. Déterminez d’abord si le blanc signifie une preuve non applicable, non mise en œuvre, inaccessible ou un test non effectué. Ces états nécessitent des réponses différentes. Enregistrez une enquête limitée dans le temps et la personne qui peut approuver toute mesure corrective. L'affirmation d'un fournisseur selon laquelle il prend en charge DMARC ne constitue pas une preuve que la route de notification d'octroi particulière est correctement configurée.
Comblez les écarts sans exagérer la conformité
Signalez l'ambiguïté de la source matérielle au spécialiste politique ou juridique de l'agence. Apporter l’interprétation du protocole et le comportement de la passerelle à la PME technique. Apportez les engagements manquants des fournisseurs au propriétaire du service. Le dossier de décision doit montrer qui a résolu chaque question et si la résolution modifie la portée, la sélection des contrôles ou les attentes en matière de preuves. Ne remplacez pas un score de délivrabilité commerciale par une conclusion d'assurance dans le cadre de l'agence.
Consultez la carte lorsqu'une nouvelle édition ISM, une direction PSPF, un changement de fournisseur ou une classification du système affecte le service. Conservez les instantanés remplacés avec leurs dates afin que les décisions historiques restent explicables sans présenter les anciens contrôles comme actuels. Les dates de publication des politiques ne prouvent pas les dates de mise en œuvre, et le hachage d’un document n’établit pas qu’une agence a accepté son contenu.
La preuve exacte commandée est la suivante : Un tableau d'autorité de contrôle examiné par le spécialiste réglementaire ou juridique approprié. Ce package fournit une carte d'autorité non révisée, et non la décision d'un spécialiste. Les preuves originales du système, l'applicabilité par l'agence, l'acceptation technique, la présentation de la production et l'autorisation de publication restent ouvertes. Aucune configuration de l'organisation australienne n'a été interrogée ou modifiée et aucun certificat de conformité légale n'est délivré.