Tetapkan otoritas Australia mana yang berlaku
Jaminan email pemerintah Australia dimulai dengan status entitas dan kerangka keamanan yang diterapkan. Kontrol Manual Keamanan Informasi pada bulan September 2026, bukan sekedar undang-undang yang diberlakukan pada setiap bisnis di Australia. Halaman penerapan Kerangka Kebijakan Keamanan Perlindungan menyatakan bahwa entitas Persemakmuran non-korporat yang tunduk pada Undang-Undang PGPA harus menerapkan PSPF, sejauh konsisten dengan undang-undang. Organisasi lain perlu mencatat penerapannya sendiri, berdasarkan kontrak atau sektor tertentu. Penerapan PSPF.
Petunjuk Menteri tentang Keamanan Bisnis Pemerintah dikeluarkan pada tanggal 3 Juli 2025. Petunjuk ini memberikan otoritas kebijakan yang dapat diidentifikasi untuk populasi Persemakmuran yang dilindungi. Catat otoritas tersebut secara terpisah dari katalog pengendalian teknis dan dari keputusan lokal yang memilih pengendalian untuk suatu sistem. Departemen luar negeri, universitas, dan entitas Persemakmuran tidak boleh diberi status hukum yang sama hanya karena infrastruktur surat mereka terlihat serupa. arahan menteri.
Pertahankan edisi manual dan pengidentifikasi kontrol
Bab email ISM September 2026 memberikan target implementasi yang tepat. Alamat ISM-0861 keluar DKIM penandatanganan; ISM-1026 menangani verifikasi tanda tangan masuk. ISM-1540 memerlukan kebijakan penolakan pada domain organisasi, termasuk subdomain, ketika pesan gagal DMARC. ISM-1799 mengatasi pesan masuk yang gagal DMARC . Ini adalah catatan terpisah: kebijakan keluar yang dipublikasikan tidak menunjukkan bahwa gateway masuk melakukan evaluasi yang diperlukan. Kontrol email September 2026.
Simpan nomor kontrol, revisi, tanggal pembaruan, dan label penerapan secara tepat dalam penilaian lokal. Tanggal edisi dan tanggal revisi kontrol individual adalah fakta yang berbeda. Beberapa kontrol otentikasi di edisi September mempertahankan tanggal revisi lebih awal. Bidang Essential Eight yang ditampilkan adalah N/A untuk kontrol ini; jangan mengubah citranya menjadi tingkat kematangan Essential Eight tambahan. Kutipan sumber juga harus mempertahankan apakah kutipan tersebut membahas penandatanganan, verifikasi, perilaku daftar distribusi, atau publikasi kebijakan.
Rekonsiliasi label katalog tingkat tinggi
Entri Arsitektur Pemerintah Australia menciptakan peringatan penting dalam membaca. Ini menampilkan label kepatuhan Wajib sementara teks penerapannya menjelaskan ISM sebagai yang direkomendasikan untuk entitas non-korporat Persemakmuran dan sebagai saran yang dipertimbangkan ASD. Halaman itu sendiri tidak dapat menyelesaikan kewajiban yang sebenarnya untuk sistem tertentu. Pertahankan perbedaan tersebut dan mintalah pemilik kebijakan keamanan mengidentifikasi persyaratan, arahan, kontrak atau kebijakan lembaga PSPF yang mengatur, daripada memilih label mana pun yang mendukung klaim penjualan yang lebih kuat. Entri AGA ISM.
Pembedaan ini berguna bahkan ketika implementasi jelas diperlukan. Otoritas menjawab siapa yang harus bertindak; pengendalian yang dipilih menjawab apa yang harus dilaksanakan; bukti menjawab apakah organisasi telah melakukannya. Menggabungkan ketiganya menjadi satu lencana kepatuhan hijau membuat peninjauan selanjutnya menjadi lebih sulit. Jika kebijakan yang berlaku berubah, jalur keputusan awal harus menjelaskan mengapa suatu pengendalian dimasukkan dan batasan sistem mana yang dicakupnya.
Terjemahkan pengendalian menjadi bukti yang dapat diamati
Untuk penandatanganan keluar, usulkan contoh rencana yang mencakup layanan, penyeleksi, dan domain yang disetujui. Untuk validasi masuk, usulkan bukti sisi penerima yang mengidentifikasi gateway, versi aturan, dan hasil autentikasi. Untuk kebijakan DMARC , pertahankan nama kueri, jawaban, waktu pengamatan, dan perlakuan subdomain. Tak satu pun dari observasi tersebut dikumpulkan untuk artikel ini. Oleh karena itu, peta bukti menggambarkan artefak yang diharapkan dan pemilik yang diusulkan, dengan persetujuan yang tidak dipenuhi secara eksplisit.
Interpretasi teknis harus menggunakan semantik protokol saat ini. RFC 9989 menentukan evaluasi penyelarasan domain DMARC ; itu tidak mengubah tanda tangan yang berhasil menjadi bukti bahwa pengirim yang terlihat selaras. Sah tanda tangan DKIM dari domain yang tidak terkait mungkin tidak memenuhi kebijakan yang dinilai. Demikian pula, kebijakan yang membatasi tidak mencegah penyerang untuk menggunakan kebijakan lain domain yang mirip atau akun sah yang disusupi. Jauhkan sisa risiko tersebut di luar hasil pengendalian yang sempit. inti DMARC.
Gunakan penilaian multi-layanan fiktif
Pertimbangkan layanan fiktif Persemakmuran dengan email staf, pemberitahuan hibah, dan milis yang dioperasikan secara eksternal. Peta yang diusulkan memberikan bukti penandatanganan keluar dan kebijakan domain ke tim pengiriman pesan, bukti pesan pemasok ke pemilik layanan hibah, dan bukti validasi masuk ke operator gateway. Baris milis merujuk pada kontrol ISM dalam menjaga validitas DKIM pengirim eksternal, daripada berasumsi bahwa pengiriman surat staf yang berhasil mencakup redistribusi daftar. Tidak ada layanan seperti itu yang diperiksa di sini.
Penilaian tidak boleh menuntut perubahan DNS segera hanya karena satu baris kosong. Pertama-tama tentukan apakah blanko tersebut berarti bukti yang tidak dapat diterapkan, tidak diterapkan, tidak dapat diakses, atau pengujian yang tidak dilakukan. Negara-negara bagian ini memerlukan tanggapan yang berbeda-beda. Catat investigasi berbatas waktu dan orang yang dapat menyetujui tindakan perbaikan apa pun. Klaim vendor bahwa ia mendukung DMARC bukanlah bukti bahwa rute pemberitahuan hibah tertentu telah dikonfigurasi dengan benar.
Tingkatkan kesenjangan tanpa melebih-lebihkan kepatuhan
Membawa ambiguitas sumber material kepada ahli kebijakan atau hukum lembaga tersebut. Membawa interpretasi protokol dan perilaku gateway ke UKM teknis. Membawa komitmen pemasok yang hilang kepada pemilik layanan. Catatan keputusan harus menunjukkan siapa yang menyelesaikan setiap pertanyaan dan apakah resolusi tersebut mengubah ruang lingkup, pemilihan kendali, atau ekspektasi bukti. Jangan mengganti skor keterkiriman komersial dengan kesimpulan jaminan berdasarkan kerangka kerja lembaga.
Tinjau peta ketika edisi ISM baru, arahan PSPF, perubahan pemasok atau klasifikasi sistem mempengaruhi layanan. Pertahankan snapshot yang telah digantikan beserta tanggalnya sehingga keputusan historis tetap dapat dijelaskan tanpa menampilkan kontrol lama sebagai kontrol terkini. Tanggal publikasi kebijakan tidak membuktikan tanggal implementasi, dan hash dokumen tidak menetapkan bahwa suatu lembaga menerima isinya.
Bukti yang tepat yang diminta adalah: Tabel kewenangan untuk mengendalikan yang ditinjau oleh pakar peraturan atau hukum yang sesuai. Paket ini menyediakan peta otoritas yang belum ditinjau, bukan keputusan spesialis tersebut. Bukti sistem asli, penerapan lembaga, penerimaan teknis, presentasi produksi dan izin publikasi tetap terbuka. Tidak ada konfigurasi organisasi Australia yang ditanyakan atau diubah, dan tidak ada sertifikat kepatuhan hukum yang diterbitkan.