यूके सरकार ईमेल प्रमाणीकरण: वर्तमान नीति और साक्ष्य

सार्वजनिक क्षेत्र की सीमा से शुरुआत करें

यूके सरकार की ईमेल आवश्यकता को नामित संगठन, डोमेन और सूचना-हैंडलिंग संदर्भ से जोड़ा जाना चाहिए। यह दावा नहीं बनना चाहिए कि प्रत्येक यूके कंपनी को एक विशेष DNS नीति लागू करनी होगी। GOV.UK सिक्योरिंग-गवर्नमेंट-ईमेल पेज, अंतिम बार 4 मार्च 2024 को अपडेट किया गया और 8 नवंबर 2026 को यहां समीक्षा की गई, यह स्पष्ट रूप से सार्वजनिक क्षेत्र के संगठनों द्वारा संचालित इंटरनेट ईमेल डोमेन को कवर करता है। इसके लिए कम से कम TLS और की आवश्यकता होती है DMARC, आदान-प्रदान की गई जानकारी की उचित सुरक्षा के साथ। यह एक सरकारी नीति संदर्भ है, न कि सार्वभौमिक वाणिज्यिक-क्षेत्र क़ानून का प्रमाण। GOV.UK नीति.

प्रयोज्यता रिकॉर्ड की शुरुआत संगठन की कानूनी पहचान और सार्वजनिक-क्षेत्र संबंध से करें। प्रत्येक भेजने और प्राप्त करने वाले डोमेन, सेवा स्वामी और संभाली गई जानकारी का वर्गीकरण जोड़ें। एक आपूर्तिकर्ता की भागीदारी के लिए अपने स्वयं के संविदात्मक विश्लेषण की आवश्यकता होती है: सरकारी ग्राहक और एक परिचित डोमेन प्रत्यय, स्वयं, आपूर्तिकर्ता को बांधने वाले प्रत्येक दायित्व की पहचान नहीं करते हैं। उस वास्तविक नीति या समझौते को रिकॉर्ड करें जो उस सेवा में आवश्यकता को पूरा करता है।

नीति और कॉन्फ़िगरेशन निर्देश एक साथ पढ़ें

सहयोगी सेटअप गाइड में मेलबॉक्स, रिले, फ़िल्टरिंग सेवाएँ और तृतीय-पक्ष लेनदेन प्रेषक शामिल हैं। इसके प्रमाणीकरण निर्देश इनबाउंड चेकिंग और चरणबद्ध आउटबाउंड को कवर करते हैं DMARC प्रवर्तन, साथ SPF और DKIM विन्यास। पूर्णता की अनिश्चित परिभाषा के बजाय एक चरणबद्ध नीति को मालिक और निकास मानदंड के साथ कार्यान्वयन चरण के रूप में मानें। इसकी परिचालन निर्भरता का मूल्यांकन करते समय गाइड की मार्च 2024 की तारीख भी मायने रखती है। सरकारी ईमेल सेटअप.

सूचना-वर्गीकरण संदर्भ के लिए, कैबिनेट कार्यालय मार्गदर्शन 1.5, संस्करण 2.0 दिनांक 5 अगस्त 2024, अपने ईमेल नियंत्रण में डोमेन प्रमाणीकरण और परिवहन सुरक्षा की पहचान करता है। आधिकारिक ईमेल कॉलम में DMARC , DKIM , SPF , शामिल हैं MTA-STS और TLS रिपोर्टिंग; अधिक संवेदनशील स्तरों में अलग-अलग साझाकरण व्यवस्थाएँ होती हैं। उस कॉलम को आसपास की वर्गीकरण तालिका से अलग न करें या प्रत्येक वर्गीकरण के लिए उपयुक्त एक इंटरनेट-मेल डिज़ाइन प्रस्तुत न करें। सुरक्षा-सलाहकार मार्गदर्शन.

सेवानिवृत्त-सेवा निर्भरता का समाधान करें

स्रोत सेट में एक ठोस संस्करण समस्या है। पुराना सेटअप पृष्ठ अभी भी प्रशासकों को रिपोर्टिंग और पंजीकरण उदाहरणों सहित NCSC मेल चेक की ओर निर्देशित करता है। NCSC का स्वयं का सेवानिवृत्ति नोटिस पुष्टि करता है कि मेल चेक और वेब चेक 31 मार्च 2026 को समाप्त हो गए। नतीजतन, एक वर्तमान कार्यान्वयन योजना उन पुराने निर्देशों को प्रमाण के रूप में नहीं मान सकती है कि सेवा उपलब्ध है। यह एक निर्भरता समाधान मुद्दा है, अंतर्निहित प्रमाणीकरण नियंत्रणों को त्यागने का कारण नहीं। NCSC सेवानिवृत्ति सूचना.

इन्वेंटरी रिपोर्ट गंतव्य, अधिसूचना स्वामित्व और विफलताओं की जांच के लिए उपयोग की जाने वाली सेवा। पहचानें कि कौन से गंतव्य संगठन के हैं और कौन से सेवानिवृत्त या बाहरी रूप से आपूर्ति की गई प्रसंस्करण पर निर्भर हैं। पहुंच, प्रतिधारण, गोपनीयता और लागत का आकलन करने के बाद ही प्रतिस्थापन का प्रस्ताव रखें। यह आलेख रिपोर्टिंग पते बदलने या किसी सेवा की सदस्यता लेने को अधिकृत नहीं करता है। पुराने रिकॉर्ड और अनुमोदित संक्रमण योजना को बनाए रखें ताकि एक लेखा परीक्षक एक अस्पष्टीकृत निगरानी अंतराल से एक नियोजित प्रवासन को अलग कर सके।

वास्तविक मेल प्रवाह के आसपास साक्ष्य बनाएँ

एक उपयोगी नियंत्रण रिकॉर्ड में आवश्यकता, इच्छित सेटिंग और देखे गए परिणाम के लिए अलग-अलग फ़ील्ड होते हैं। प्रतिबंधात्मक DNS नीति प्रकाशित करना न तो यह साबित करता है कि प्रत्येक वैध एप्लिकेशन संरेखित है और न ही प्रत्येक प्राप्तकर्ता अस्वीकार करता है स्पूफिंग. DMARC एक संरेखित प्रमाणित पहचान के आधार पर लेखक डोमेन का मूल्यांकन करता है; वर्तमान मुख्य विशिष्टता है RFC 9989, मई 2026 में प्रकाशित। इसका प्रकाशन यह साबित नहीं करता है कि प्रत्येक उत्पाद ने अपनी अद्यतन प्रसंस्करण को अपनाया है। वर्तमान DMARC विशिष्टता.

स्टाफ मेल, केस-प्रबंधन सूचनाएं, सार्वजनिक सदस्यता संदेश और प्रत्यायोजित प्रेषकों को शामिल करते हुए एक साक्ष्य योजना तैयार करें। प्रत्येक प्रवाह के लिए, दृश्यमान डोमेन, जिम्मेदार टीम, हस्ताक्षर सेवा, रिपोर्ट गंतव्य और डिलीवरी विफल होने पर प्रभाव की पहचान करें। रिसीवर की टिप्पणियों को केवल तभी सुरक्षित रखें जब कोई अधिकृत परीक्षण वास्तव में होता है। कॉन्फिगर कहने वाली एक स्प्रेडशीट सेल को चुपचाप एक सफल डिलीवरी परीक्षण नहीं बनना चाहिए। घटना की रिपोर्ट और संवेदनशील संदेश सामग्री को सार्वजनिक लेख में एम्बेड करने के बजाय अनुमोदित रिपॉजिटरी में रखें।

एक काल्पनिक परिषद उदाहरण के माध्यम से कार्य करें

एक काल्पनिक काउंसिल ऑपरेटिंग स्टाफ मेल और एक अलग नियुक्ति-अधिसूचना आपूर्तिकर्ता की कल्पना करें। इसका प्रोजेक्ट शुरू में DMARC प्रवर्तन को पूर्ण के रूप में दर्ज करता है क्योंकि स्टाफ डोमेन में प्रतिबंधात्मक नीति है। प्रस्तावित समीक्षा में एक अनुत्तरित प्रश्न मिलता है: क्या आपूर्तिकर्ता नियुक्ति संदेशों के लिए एक संरेखित पहचान का उपयोग करता है? इस उदाहरण में किसी भी संदेश का निरीक्षण नहीं किया गया है, इसलिए यह निष्कर्ष एक साक्ष्य अंतर है, असफल परीक्षण नहीं।

काउंसिल का पॉलिसी स्वामी पहले संबंधित सार्वजनिक क्षेत्र के दायरे की पुष्टि करेगा। इसके बाद मैसेजिंग टीम प्रतिनिधि नियुक्ति प्रवाह और एक नियंत्रित स्वीकृति योजना को परिभाषित करेगी। सुरक्षा टीम अलग से सत्यापित करेगी कि मेल चेक सेवानिवृत्ति के बाद रिपोर्ट एक बनाए गए गंतव्य तक पहुंचती है। एक पूर्ण आपूर्तिकर्ता प्रश्नावली उपयोगी तैयारी होगी लेकिन वास्तविक संदेश साक्ष्य को प्रतिस्थापित नहीं करेगी। अनुमोदन में व्यवधान जोखिम स्वीकार करने वाले व्यवसाय स्वामी और DNS बदलने की अनुमति देने वाले ऑपरेटर दोनों का नाम होना चाहिए।

अपवाद बनाएं और तारीखों की समीक्षा स्पष्ट करें

एक अपवाद रिकॉर्ड में यह बताया जाना चाहिए कि कौन सा डोमेन या मार्ग प्रभावित हुआ है, लक्ष्य नियंत्रण अभी तक पूरा क्यों नहीं हुआ है, कौन से क्षतिपूर्ति उपाय मौजूद हैं, और कौन अवशिष्ट जोखिम स्वीकार कर सकता है। एक समीक्षा तिथि और एक ट्रिगर जोड़ें जैसे आपूर्तिकर्ता प्रवासन, वर्गीकरण परिवर्तन या सेवानिवृत्ति नोटिस। किसी वेबपेज की अंतिम-अद्यतन तिथि से कोई वैधानिक समय-सीमा न बनाएं, या यह न मानें कि ऐतिहासिक मूल्यांकन व्यवस्थाएं अभी भी लागू होती हैं क्योंकि वे परिवर्तन लॉग में रहती हैं।

कैटलॉग के लिए आवश्यक है: उपयुक्त नियामक या कानूनी विशेषज्ञ द्वारा समीक्षा की गई एक प्राधिकरण-से-नियंत्रण तालिका। संलग्न मानचित्र उस तालिका की अस्वीकृत तैयारी है, विशेषज्ञ समीक्षा नहीं। प्रकाशन से पहले, यूके नीति और कानूनी-मालिक की पुष्टि, सेवा परिवर्तन की तकनीकी एसएमई समीक्षा और किसी भी कार्यान्वयन दावे के लिए मूल परिचालन साक्ष्य प्राप्त करें। पूर्ण पाठक दृश्य, उत्पादन-मार्ग और स्वामी-रिलीज़ द्वार भी खुला छोड़ देता है। इस लेख के लिए किसी भी परिषद, सरकारी प्रणाली या रिपोर्ट गंतव्य तक पहुंच नहीं बनाई गई या उसे बदला नहीं गया।