公共部門の境界から始める
英国政府の電子メール要件は、指定された組織、ドメイン、および情報処理コンテキストに関連付けられる必要があります。すべての英国企業が特定のDNSポリシーを導入しなければならないという主張になるべきではありません。 GOV.UK Secure-government-email ページは、2024 年 3 月 4 日に最終更新され、2026 年 11 月 8 日にここでレビューされており、公共部門の組織が運営するインターネット電子メール ドメインを明示的にカバーしています。少なくともTLSと DMARC交換される情報を適切に保護するとともに。これは政府の政策の背景であり、商業部門の普遍的な法令の証拠ではありません。 英国政府の方針.
適用記録は、組織の法的アイデンティティと公共部門との関係から始めます。各送受信ドメイン、サービス所有者、扱う情報の分類を追加します。サプライヤーの関与には、独自の契約分析が必要です。政府の顧客やよく知られているドメイン サフィックスだけでは、サプライヤーを拘束するすべての義務を特定することはできません。そのサービスに要件を組み込む実際のポリシーまたは契約を記録します。
ポリシーと構成手順を一緒に読む
コンパニオン セットアップ ガイドには、メールボックス、リレー、フィルタリング サービス、サードパーティのトランザクション送信者が含まれています。その認証手順には、受信チェックと段階的な送信が含まれます。 DMARC施行、 と SPF そして DKIM 構成。段階的なポリシーは、完了を不明確に定義するのではなく、所有者と終了基準を備えた実装ステップとして扱います。ガイドの 2024 年 3 月という日付も、運用上の依存関係を評価する際に重要になります。 政府の電子メール設定.
情報分類のコンテキストについては、2024 年 8 月 5 日付の内閣府ガイダンス 1.5 バージョン 2.0 で、電子メール制御におけるドメイン認証とトランスポート保護が特定されています。 OFFICIAL email 列には、 DMARC 、 DKIM 、 SPF 、 MTA-STS TLSレポート。より機密性の高い層では、異なる共有設定が行われます。その列を周囲の分類表から切り離したり、すべての分類に適した 1 つのインターネット メール デザインを提示したりしないでください。 セキュリティアドバイザーによるガイダンス.
廃止されたサービスの依存関係を解決する
ソース セットに具体的なバージョンの問題があります。古い設定ページでは、引き続き管理者をNCSC Mail Check に誘導しており、レポートや登録の例も含まれています。 NCSC自身の廃止通知では、メール チェックと Web チェックが 2026 年 3 月 31 日に終了したことが確認されています。そのため、現在の実装計画では、これらの古い手順をサービスが引き続き利用可能であることの証拠として扱うことはできません。これは依存関係の調整の問題であり、基礎となる認証制御を破棄する理由ではありません。 NCSC引退のお知らせ.
インベントリレポートの宛先、通知の所有権、および障害の調査に使用されるサービス。どの宛先が組織に属し、どの宛先が廃止された処理または外部から提供された処理に依存しているかを特定します。アクセス、保持、機密性、コストを評価した後でのみ、代替品を提案してください。この記事では、報告先アドレスの変更やサービスへの登録を許可するものではありません。監査人が計画された移行と原因不明の監視ギャップを区別できるように、古い記録と承認された移行計画を保持します。
実際のメールフローに関する証拠を構築する
有用な制御レコードには、要件、意図した設定、および観察された結果用の個別のフィールドがあります。制限的なDNSポリシーを公開しても、すべての正規のアプリケーションが一致していることも、すべての受信者が拒否していることも証明されません。 スプーフィング。 DMARC 、調整された認証済み ID に対して作成者ドメインを評価します。現在のコア仕様は RFC 9989、2026 年 5 月に公開されました。この公開は、すべての製品が更新された処理を採用していることを証明するものではありません。 現在のDMARC仕様.
スタッフのメール、ケース管理通知、パブリックサブスクリプションメッセージ、および委任された送信者を対象とした証拠計画を準備します。フローごとに、表示される From ドメイン、担当チーム、署名サービス、レポートの宛先、配信が失敗した場合の影響を特定します。承認されたテストが実際に行われる場合にのみ、受信機の観測を保存します。 「configured」と表示されているスプレッドシートのセルが、配信テストの成功を黙って示すべきではありません。インシデントレポートや機密メッセージのコンテンツは、公開記事に埋め込むのではなく、承認されたリポジトリに保管してください。
架空の市議会の例を使って作業する
架空の議会運営スタッフのメールと、別個の予定通知サプライヤーを想像してください。スタッフ ドメインには制限的なポリシーがあるため、そのプロジェクトでは最初にDMARC施行が完了したと記録されます。提案されたレビューでは、サプライヤーは予定メッセージに調整された ID を使用していますか?という未回答の質問が見つかりました。この例ではメッセージは検査されていないため、結果は証拠のギャップであり、テストの不合格ではありません。
評議会の政策責任者は、まず、関連する公共部門の範囲を確認します。次に、メッセージング チームは、代表的な予約フローと制御された受け入れ計画を定義します。セキュリティ チームは、メール チェックの廃止後もレポートが維持された宛先に到達することを個別に確認します。記入済みのサプライヤーアンケートは準備には役立ちますが、実際のメッセージの証拠に代わるものではありません。承認には、中断リスクを受け入れる事業主とDNS変更を許可されている事業者の両方を指名する必要があります。
例外を設け、日付を明確にする
例外記録には、どのドメインまたはルートが影響を受けるか、なぜ目標制御がまだ達成されていないのか、どのような代替措置が存在するのか、誰が残留リスクを受け入れることができるのかが記載されている必要があります。レビュー日と、サプライヤーの移行、分類変更、退職通知などのトリガーを追加します。 Web ページの最終更新日から法定期限をでっち上げたり、変更ログに残っているからといって履歴評価の取り決めがまだ適用されると想定したりしないでください。
カタログには次のものが必要です。 適切な規制または法律の専門家によってレビューされる権限と管理の表。添付の地図はその表を未承認で作成したものであり、専門家のレビューではありません。公開前に、英国の政策と法的所有者の確認、サービス移行に関する技術的な SME レビュー、および実装に関する主張のオリジナルの運用証拠を入手してください。完全なリーダーは、視覚的な、生産ルートおよび所有者解放のゲートも開いたままにします。この記事に関しては、審議会、政府システム、報告先へのアクセスや変更は行われていません。