オーストラリアのどの当局が適用されるかを確認する
オーストラリア政府の電子メール保証は、エンティティのステータスと採用されているセキュリティ フレームワークから始まります。 2026 年 9 月の情報セキュリティ マニュアル管理は、単に存在するだけでは、オーストラリアのすべての企業に課せられる法律ではありません。保護セキュリティ ポリシー フレームワークの適用性ページには、PGPA 法の対象となる非法人組織は、法律と一致する範囲で PSPF を適用する必要があると記載されています。他の組織では、独自の導入、契約上の根拠、またはセクター固有の根拠を記録する必要があります。 PSPFの適用性.
政府業務の安全に関する閣僚指令は 2025 年 7 月 3 日に発行されました。これは、対象となる連邦国民に特定可能な政策権限を与えます。その権限は、技術的な制御カタログや、システムの制御を選択するローカルな決定とは別に記録してください。国務省、大学、および連邦政府機関に、メール インフラストラクチャが似ているという理由だけで同一の法的地位を割り当てるべきではありません。 大臣指示.
マニュアルのエディションとコントロールの識別子を保持する
2026 年 9 月の ISM 電子メールの章には、正確な実装目標が記載されています。 ISM-0861 送信アドレス DKIM 署名; ISM-1026 は受信署名の検証に対処します。 ISM-1540 では、メッセージが失敗した場合に、サブドメインを含む組織ドメインに対する拒否ポリシーが必要になります。 DMARC。 ISM-1799 は、 DMARC失敗する受信メッセージに対処します。これらは別のレコードです。公開された送信ポリシーは、受信ゲートウェイが必要な評価を実行することを示しません。 2026 年 9 月の電子メール制御.
ローカル評価では、管理番号、リビジョン、更新日、および適用ラベルを正確に保存します。編集日と個々のコントロールの改訂日は別の事実です。 9 月版のいくつかの認証コントロールは、以前の改訂日を保持しています。表示される Essential Eight フィールドは、これらのコントロールでは N/A です。追加の Essential Eight 成熟度レベルとしてブランド名を変更しないでください。ソース引用文は、署名、検証、配布リストの動作、またはポリシーの公開について言及しているかどうかも保持する必要があります。
高レベルのカタログラベルを調整する
オーストラリア政府の建築に関するエントリは、重要な閲覧上の注意を引き起こします。必須のコンプライアンスラベルが表示されますが、その適用テキストでは、ISM が連邦法人以外の組織に推奨され、ASD が検討したアドバイスとして推奨していると説明されています。そのページだけでは、特定のシステムに対する正確な義務を解決できません。矛盾を保持し、セキュリティ ポリシーの所有者に、より強力な販売主張をサポートするラベルを選択するのではなく、支配的な PSPF 要件、方向性、契約または代理店のポリシーを特定してもらいます。 AGA ISMエントリー.
この区別は、実装が明らかに必要な場合でも役立ちます。当局は誰が行動しなければならないかを答えます。選択されたコントロールは、何を実装する必要があるかを答えます。組織がそれを行ったかどうかは証拠が答えます。 3 つすべてを 1 つの緑色のコンプライアンス バッジに結合すると、後のレビューが難しくなります。適用可能なポリシーが変更された場合は、元の意思決定証跡で、コントロールが含まれた理由と、そのコントロールがカバーするシステム境界を説明する必要があります。
コントロールを観察可能な証拠に変換する
アウトバウンド署名の場合は、承認されたサービス、セレクター、ドメインにわたるサンプル プランを提案します。インバウンド検証の場合、ゲートウェイ、ルールのバージョン、認証結果を識別する受信側の証拠を提案します。 DMARCポリシーの場合、クエリされた名前、回答、観察時間、およびサブドメインの処理を保存します。この記事では、これらの観察はいずれも収集されていません。したがって、証拠マップには、予期されるアーティファクトと提案された所有者が記述されており、受け入れは明示的に未記入です。
技術的な解釈では、現在のプロトコル セマンティクスを使用する必要があります。 RFC 9989 DMARCのドメインアライメント評価を指定します。成功した署名が、目に見える送信者が一致していることの証明にはなりません。有効な DKIM署名 無関係なドメインからのものは、評価対象のポリシーを満たさない可能性があります。同様に、制限ポリシーは、攻撃者が別のポリシーを使用することを妨げません。 類似ドメイン または侵害された正規アカウント。それらの残留リスクを狭い管理結果の外側に置いてください。 DMARCコア.
架空のマルチサービス評価を使用する
スタッフの電子メール、助成金通知、外部で運営されるメーリング リストを備えた架空の連邦サービスを考えてみましょう。その提案されたマップは、送信署名とドメイン ポリシーの証拠をメッセージング チームに割り当て、サプライヤー メッセージの証拠を許可サービス所有者に割り当て、受信検証の証拠をゲートウェイ オペレーターに割り当てます。メーリング リストの行は、スタッフ メールの配信が成功すればリストの再配布がカバーされると想定するのではなく、外部送信者のDKIM有効性を保持するための ISM 制御を参照します。ここではそのようなサービスは検査されていません。
1 行が空白であるという理由だけで、評価で直ちにDNS変更を要求するべきではありません。まず、空白が適用できない、実装されていない、アクセスできない証拠、または未実施のテストを意味するかどうかを確認します。これらの状態では、異なる対応が必要です。期限付きの調査と是正措置を承認できる人を記録します。 DMARCサポートしているというベンダーの主張は、特定の許可通知ルートが正しく構成されているという証拠ではありません。
コンプライアンスを誇張せずにギャップを拡大する
重要な情報源の曖昧さについては、政府機関のポリシーまたは法律専門家に伝えてください。プロトコルの解釈とゲートウェイの動作を技術 SME にもたらします。不足しているサプライヤーのコミットメントをサービス所有者に伝えます。決定記録には、各質問を誰が解決したか、またその解決によって範囲、コントロールの選択、または証拠の期待が変更されるかどうかを示す必要があります。政府機関の枠組みの下で、商業的成果スコアを保証結論の代わりに使用しないでください。
新しい ISM エディション、PSPF の方向性、サプライヤーの変更、またはシステムの分類がサービスに影響を与える場合は、マップを確認してください。古いコントロールを最新のものとして表示せずに、過去の決定を説明可能な状態に保つために、置き換えられたスナップショットを日付とともに保持します。ポリシーの公開日は施行日を証明するものではなく、文書のハッシュは政府機関がその内容を受け入れたことを証明するものではありません。
委託された正確な証拠は次のとおりです。 適切な規制または法律の専門家によってレビューされた権限と管理の表。このパッケージは、専門家の決定ではなく、未検討の権威マップを提供します。オリジナルのシステムの証拠、政府機関の適用性、技術的受入れ、制作プレゼンテーション、および出版許可は未解決のままです。オーストラリアの組織の構成は照会または変更されず、法令順守証明書も発行されません。