어떤 호주 당국이 적용되는지 확인
호주 정부의 이메일 보증은 기업의 상태와 채택된 보안 프레임워크부터 시작됩니다. 2026년 9월 정보 보안 매뉴얼 통제는 단순히 존재하는 것만으로는 모든 호주 기업에 적용되는 법률이 아닙니다. 보호 보안 정책 프레임워크 적용 가능성 페이지에는 PGPA 법의 적용을 받는 비영연방 단체가 법률과 일치하는 범위 내에서 PSPF를 적용해야 한다고 명시되어 있습니다. 다른 조직에서는 자체 채택, 계약 또는 부문별 기준을 기록해야 합니다. PSPF 적용 가능성.
정부 사업 보안에 관한 장관 지침은 2025년 7월 3일에 발표되었습니다. 이 지침은 해당 영연방 인구에 대해 식별 가능한 정책 권한을 제공합니다. 기술 제어 카탈로그 및 시스템 제어를 선택하는 현지 결정과 별도로 해당 권한을 기록하십시오. 단순히 메일 인프라가 비슷해 보인다는 이유로 국무부, 대학교, 영연방 기관에 동일한 법적 지위를 부여해서는 안 됩니다. 장관 지시.
수동 버전 및 제어 식별자를 유지합니다.
2026년 9월 ISM 이메일 장에서는 정확한 구현 목표를 제공합니다. ISM-0861은 아웃바운드 주소를 지정합니다. DKIM 서명; ISM-1026은 인바운드 서명 확인을 다룹니다. ISM-1540은 메시지 실패 시 하위 도메인을 포함한 조직 도메인에 대한 거부 정책을 요구합니다. DMARC. ISM-1799는 DMARC 실패한 수신 메시지를 해결합니다. 이는 별도의 기록입니다. 게시된 아웃바운드 정책은 인바운드 게이트웨이가 필요한 평가를 수행함을 보여주지 않습니다. 2026년 9월 이메일 제어.
로컬 평가에서 제어 번호, 개정판, 업데이트 날짜 및 적용 가능성 라벨을 정확하게 유지하십시오. 편집 날짜와 개별 컨트롤의 개정 날짜는 서로 다른 사실입니다. 9월 버전의 여러 인증 컨트롤은 이전 개정 날짜를 유지합니다. 표시된 필수 8개 필드는 이러한 컨트롤에 대해 N/A입니다. 추가 필수 8개 성숙도 수준으로 브랜드를 변경하지 마세요. 또한 소스 인용에는 서명, 확인, 배포 목록 동작 또는 정책 게시를 다루는지 여부도 유지되어야 합니다.
상위 수준 카탈로그 라벨 조정
Australian Government Architecture 항목은 중요한 읽기 주의 사항을 만듭니다. 여기에는 필수 규정 준수 라벨이 표시되며 적용 가능성 텍스트에는 ISM이 기업이 아닌 영연방 단체에 권장되고 ASD가 고려한 조언으로 설명되어 있습니다. 해당 페이지만으로는 특정 시스템에 대한 정확한 의무를 해결할 수 없습니다. 더 강력한 판매 주장을 뒷받침하는 레이블을 선택하는 대신 불일치를 유지하고 보안 정책 소유자가 관리 PSPF 요구 사항, 방향, 계약 또는 대행사 정책을 식별하도록 하십시오. AGA ISM 항목.
이러한 구별은 구현이 분명히 필요한 경우에도 유용합니다. 권위자는 누가 행동해야 하는지 대답합니다. 선택된 컨트롤은 구현해야 할 사항에 답합니다. 증거는 조직이 그런 일을 했는지 여부를 알려줍니다. 세 가지를 모두 하나의 녹색 규정 준수 배지로 결합하면 나중에 검토하기가 더 어려워집니다. 적용 가능한 정책이 변경되는 경우 원래 의사 결정 추적에서는 컨트롤이 포함된 이유와 해당 컨트롤이 포함된 시스템 경계를 설명해야 합니다.
통제를 관찰 가능한 증거로 변환
아웃바운드 서명의 경우 승인된 서비스, 선택기 및 도메인을 포괄하는 샘플 계획을 제안합니다. 인바운드 검증을 위해 게이트웨이, 규칙 버전 및 인증 결과를 식별하는 수신자 측 증거를 제안합니다. DMARC 정책의 경우 쿼리된 이름, 답변, 관찰 시간 및 하위 도메인 처리를 유지합니다. 이 기사에서는 이러한 관찰 내용이 수집되지 않았습니다. 따라서 증거 지도는 예상되는 인공물과 제안된 소유자를 설명하며 승인은 명시적으로 채워지지 않습니다.
기술적 해석은 현재 프로토콜 의미론을 사용해야 합니다. RFC 9989 DMARC 의 도메인 정렬 평가를 지정합니다. 성공적인 서명이 보이는 발신자가 일치한다는 증거로 바뀌지는 않습니다. 유효한 DKIM 서명 관련이 없는 도메인의 도메인은 평가 중인 정책을 충족하지 못할 수 있습니다. 마찬가지로 제한적인 정책은 공격자가 다른 정책을 사용하는 것을 막지 못합니다. 유사 도메인 또는 손상된 합법적인 계정. 좁은 통제 결과 외부에 잔여 위험을 유지하십시오. DMARC 코어.
가상의 다중 서비스 평가 사용
직원 이메일, 보조금 알림, 외부에서 운영하는 메일링 리스트가 포함된 가상의 연방 서비스를 생각해 보세요. 제안된 맵은 메시징 팀에 아웃바운드 서명 및 도메인 정책 증거를 할당하고, 부여 서비스 소유자에게 공급자 메시지 증거를, 게이트웨이 운영자에게 인바운드 검증 증거를 할당합니다. 메일링 목록 행은 성공적인 직원 메일 전달이 목록 재배포를 포함한다고 가정하는 대신 외부 보낸 사람의 DKIM 유효성을 유지하는 ISM 제어를 참조합니다. 여기서는 그러한 서비스가 검사되지 않았습니다.
한 행이 비어 있다는 이유만으로 평가에서 즉시 DNS 변경을 요구해서는 안 됩니다. 먼저 빈칸이 적용할 수 없음, 구현되지 않음, 접근할 수 없는 증거 또는 수행되지 않은 테스트를 의미하는지 확인합니다. 이러한 상태에는 다른 응답이 필요합니다. 기한이 있는 조사와 시정 조치를 승인할 수 있는 사람을 기록하십시오. DMARC 지원한다는 공급업체의 주장은 특정 허가 알림 경로가 올바르게 구성되었다는 증거가 아닙니다.
규정 준수를 과장하지 않고 격차 확대
자료 출처의 모호성을 해당 기관의 정책이나 법률 전문가에게 가져오십시오. 프로토콜 해석 및 게이트웨이 동작을 기술 SME에 가져옵니다. 누락된 공급자 약속을 서비스 소유자에게 가져옵니다. 결정 기록에는 각 질문을 해결한 사람이 누구인지, 해결 방법이 범위, 통제 선택 또는 증거 기대치를 변경했는지 여부가 표시되어야 합니다. 기관의 프레임워크에 따른 보증 결론을 상업적 전달 가능성 점수로 대체하지 마십시오.
새로운 ISM 버전, PSPF 방향, 공급업체 변경 또는 시스템 분류가 서비스에 영향을 미치는 경우 지도를 검토하세요. 대체된 스냅샷을 날짜와 함께 보관하여 기존 제어 기능을 최신으로 표시하지 않고도 과거 결정을 설명할 수 있도록 합니다. 정책 게시 날짜는 시행 날짜를 증명하지 않으며, 문서 해시는 해당 기관이 해당 내용을 수락했음을 입증하지 않습니다.
정확한 위탁 증거는 다음과 같습니다. 적절한 규제 또는 법률 전문가가 검토한 통제 권한 테이블. 이 패키지는 해당 전문가의 결정이 아닌 검토되지 않은 권위 지도를 제공합니다. 원본 시스템 증거, 기관 적용 가능성, 기술 승인, 제작 발표 및 출판 허가는 계속 열려 있습니다. 호주 조직의 구성은 쿼리되거나 변경되지 않았으며 법적 준수 인증서도 발급되지 않았습니다.