Mulailah dengan batasan sektor publik
Persyaratan email pemerintah Inggris harus dilampirkan pada organisasi, domain, dan konteks penanganan informasi yang disebutkan. Hal ini tidak boleh menjadi klaim bahwa setiap perusahaan di Inggris harus menerapkan kebijakan DNS tertentu. Halaman email pengamanan pemerintah GOV.UK, terakhir diperbarui pada 4 Maret 2024 dan ditinjau di sini pada tanggal 8 November 2026, secara tegas mencakup domain email internet yang dioperasikan oleh organisasi sektor publik. Ini membutuhkan setidaknya TLS dan DMARC, di samping perlindungan yang sesuai atas informasi yang dipertukarkan. Hal ini merupakan konteks kebijakan pemerintah, bukan bukti undang-undang sektor komersial yang bersifat universal. kebijakan Pemerintah Inggris.
Mulailah catatan penerapan dengan identitas hukum organisasi dan hubungan sektor publik. Tambahkan setiap domain pengirim dan penerima, pemilik layanan, dan klasifikasi informasi yang ditangani. Keterlibatan pemasok memerlukan analisis kontraknya sendiri: pelanggan pemerintah dan akhiran domain yang familiar tidak dengan sendirinya mengidentifikasi setiap kewajiban yang mengikat pemasok. Catat kebijakan atau perjanjian aktual yang memuat persyaratan ke dalam layanan tersebut.
Baca instruksi kebijakan dan konfigurasi secara bersamaan
Panduan pengaturan pendamping mencakup kotak surat, relai, layanan pemfilteran, dan pengirim transaksional pihak ketiga. Instruksi autentikasinya mencakup pemeriksaan masuk dan keluar bertahap penegakan DMARC, dengan SPF Dan DKIM konfigurasi. Perlakukan kebijakan bertahap sebagai langkah implementasi dengan kriteria pemilik dan keluar, bukan definisi penyelesaian yang tidak terbatas. Tanggal panduan ini pada bulan Maret 2024 juga penting ketika mengevaluasi ketergantungan operasionalnya. Penyiapan email pemerintah.
Untuk konteks klasifikasi informasi, Panduan Kantor Kabinet 1.5, versi 2.0 tanggal 5 Agustus 2024, mengidentifikasi otentikasi domain dan perlindungan transportasi dalam kontrol emailnya. Kolom email RESMI meliputi DMARC , DKIM , SPF , MTA-STS dan pelaporan TLS ; tingkat yang lebih sensitif memiliki pengaturan pembagian yang berbeda. Jangan melepaskan kolom tersebut dari tabel klasifikasi di sekitarnya atau menampilkan satu desain email internet yang sesuai untuk setiap klasifikasi. Panduan penasihat keamanan.
Selesaikan ketergantungan layanan pensiunan
Ada masalah versi konkrit di kumpulan sumber. Halaman pengaturan lama masih mengarahkan administrator ke NCSC Mail Check, termasuk contoh pelaporan dan pendaftaran. Pemberitahuan penghentian NCSC sendiri mengonfirmasi bahwa Mail Check dan Web Check berakhir pada 31 Maret 2026. Akibatnya, rencana implementasi saat ini tidak dapat menganggap instruksi lama tersebut sebagai bukti bahwa layanan tetap tersedia. Ini adalah masalah rekonsiliasi ketergantungan, bukan alasan untuk membuang kontrol autentikasi yang mendasarinya. Pemberitahuan pensiun NCSC.
Tujuan laporan inventaris, kepemilikan notifikasi, dan layanan yang digunakan untuk menyelidiki kegagalan. Identifikasi tujuan mana yang menjadi milik organisasi dan mana yang bergantung pada pemrosesan yang dihentikan atau dipasok secara eksternal. Ajukan penggantian hanya setelah menilai akses, retensi, kerahasiaan, dan biaya. Artikel ini tidak mengizinkan perubahan alamat pelaporan atau berlangganan layanan. Simpan catatan lama dan rencana transisi yang disetujui sehingga auditor dapat membedakan migrasi yang direncanakan dari kesenjangan pemantauan yang tidak dapat dijelaskan.
Bangun bukti seputar aliran surat yang sebenarnya
Catatan kontrol yang berguna memiliki bidang terpisah untuk persyaratan, pengaturan yang diinginkan, dan hasil yang diamati. Penerbitan kebijakan DNS yang membatasi tidak membuktikan bahwa setiap aplikasi yang sah selaras atau bahwa setiap penerima menolak spoofing. DMARC mengevaluasi Domain Penulis berdasarkan identitas terotentikasi yang selaras; spesifikasi inti saat ini adalah RFC 9989, diterbitkan pada Mei 2026. Publikasinya tidak membuktikan bahwa setiap produk telah mengadopsi pemrosesan terkini. Spesifikasi DMARC saat ini.
Siapkan rencana bukti yang mencakup surat staf, pemberitahuan manajemen kasus, pesan langganan publik, dan pengirim yang didelegasikan. Untuk setiap alur, identifikasi domain Dari yang terlihat, tim yang bertanggung jawab, layanan penandatanganan, tujuan laporan, dan dampak jika pengiriman gagal. Pertahankan pengamatan penerima hanya ketika pengujian resmi benar-benar terjadi. Sel spreadsheet yang mengatakan dikonfigurasi tidak boleh secara diam-diam menjadi tes pengiriman yang berhasil. Simpan laporan insiden dan konten pesan sensitif di repositori yang disetujui daripada menyematkannya dalam artikel publik.
Kerjakan melalui contoh dewan fiksi
Bayangkan sebuah dewan fiksi yang mengoperasikan surat staf dan pemasok pemberitahuan janji temu yang terpisah. Proyeknya awalnya mencatat penegakan DMARC sebagai selesai karena domain staf memiliki kebijakan yang membatasi. Tinjauan yang diusulkan menemukan pertanyaan yang belum terjawab: apakah pemasok menggunakan identitas yang selaras untuk pesan janji temu? Tidak ada pesan yang diperiksa dalam contoh ini, sehingga temuannya merupakan kesenjangan bukti, bukan pengujian yang gagal.
Pemilik kebijakan dewan pertama-tama akan memastikan cakupan sektor publik yang relevan. Tim penyampaian pesan kemudian akan menentukan alur penunjukan perwakilan dan rencana penerimaan yang terkendali. Tim keamanan akan memverifikasi secara terpisah bahwa laporan mencapai tujuan yang dipertahankan setelah Mail Check dihentikan. Kuesioner pemasok yang lengkap akan menjadi persiapan yang berguna namun tidak akan menggantikan bukti pesan yang sebenarnya. Persetujuan harus menyebutkan pemilik bisnis yang menerima risiko gangguan dan operator yang diizinkan mengubah DNS .
Buat pengecualian dan tanggal peninjauan secara eksplisit
Catatan pengecualian harus menyebutkan domain atau rute mana yang terpengaruh, mengapa target pengendalian belum terpenuhi, tindakan kompensasi apa yang ada, dan siapa yang dapat menerima risiko yang tersisa. Tambahkan tanggal peninjauan dan pemicu seperti migrasi pemasok, perubahan klasifikasi, atau pemberitahuan pensiun. Jangan membuat tenggat waktu menurut undang-undang dari tanggal terakhir halaman web diperbarui, atau berasumsi bahwa pengaturan penilaian historis masih berlaku karena tetap ada dalam log perubahan.
Katalog tersebut memerlukan: Tabel otoritas untuk mengontrol yang ditinjau oleh pakar regulasi atau hukum yang sesuai. Peta terlampir adalah persiapan tabel tersebut yang tidak disetujui, bukan tinjauan spesialis. Sebelum dipublikasikan, dapatkan konfirmasi kebijakan Inggris dan pemilik sah, tinjauan teknis UKM tentang transisi layanan, dan bukti operasional asli untuk setiap klaim implementasi. Pembaca lengkap juga membiarkan gerbang visual, jalur produksi, dan pelepasan pemilik tetap terbuka. Tidak ada dewan, sistem pemerintahan, atau tujuan laporan yang diakses atau diubah untuk artikel ini.