공공 부문 경계부터 시작하세요
영국 정부 이메일 요구 사항은 명명된 조직, 도메인 및 정보 처리 컨텍스트에 첨부되어야 합니다. 모든 영국 회사가 특정 DNS 정책을 배포해야 한다는 주장이 되어서는 안 됩니다. GOV.UK 정부 이메일 보안 페이지는 2024년 3월 4일에 마지막으로 업데이트되었으며 2026년 11월 8일에 여기에서 검토되었으며 공공 부문 조직에서 운영하는 인터넷 이메일 도메인을 명시적으로 다룹니다. 최소한 TLS 가 필요하며 DMARC, 교환된 정보의 적절한 보호와 함께. 이는 보편적인 상업 부문 법령의 증거가 아니라 정부 정책 맥락입니다. GOV.UK 정책.
조직의 법적 정체성과 공공 부문 관계로 적용 가능성 기록을 시작합니다. 각 송신 및 수신 도메인, 서비스 소유자 및 처리 정보의 분류를 추가합니다. 공급업체의 참여에는 자체 계약 분석이 필요합니다. 정부 고객과 친숙한 도메인 접미사 자체가 공급업체를 구속하는 모든 의무를 식별하지는 않습니다. 해당 서비스에 요구 사항을 적용하는 실제 정책이나 계약을 기록합니다.
정책 및 구성 지침을 함께 읽어보세요.
동반 설정 가이드에는 사서함, 릴레이, 필터링 서비스 및 타사 트랜잭션 발신자가 포함되어 있습니다. 인증 지침에는 인바운드 확인 및 단계적 아웃바운드가 포함됩니다. DMARC 시행, 와 함께 SPF 그리고 DKIM 구성. 단계적 정책을 완료에 대한 무한한 정의가 아닌 소유자 및 종료 기준이 있는 구현 단계로 처리합니다. 가이드의 2024년 3월 날짜는 운영 종속성을 평가할 때도 중요합니다. 정부 이메일 설정.
정보 분류 맥락에 대해 2024년 8월 5일자 내각부 지침 1.5 버전 2.0은 이메일 제어에서 도메인 인증 및 전송 보호를 식별합니다. 공식 이메일 열에는 DMARC , DKIM , SPF , MTA-STS TLS 보고; 더 민감한 계층에는 공유 방식이 다릅니다. 주변 분류표에서 해당 열을 분리하거나 모든 분류에 적합한 하나의 인터넷 메일 디자인을 제시하지 마십시오. 보안 자문 지침.
서비스 중단 종속성 해결
소스 세트에 구체적인 버전 문제가 있습니다. 이전 설정 페이지에서는 보고 및 등록 예시를 포함하여 여전히 관리자에게 NCSC 메일 확인을 안내합니다. NCSC 의 자체 종료 통지는 메일 확인 및 웹 확인이 2026년 3월 31일에 종료되었음을 확인합니다. 결과적으로 현재 구현 계획에서는 이러한 이전 지침을 서비스를 계속 사용할 수 있다는 증거로 처리할 수 없습니다. 이는 종속성 조정 문제이지 기본 인증 제어를 폐기해야 하는 이유는 아닙니다. NCSC 퇴직 통지.
인벤토리 보고서 대상, 알림 소유권 및 오류 조사에 사용되는 서비스입니다. 조직에 속하는 대상과 폐기되거나 외부에서 제공되는 처리에 의존하는 대상을 식별합니다. 액세스, 보존, 기밀성 및 비용을 평가한 후에만 교체를 제안하십시오. 이 문서에서는 보고 주소 변경이나 서비스 구독을 승인하지 않습니다. 감사자가 설명할 수 없는 모니터링 공백과 계획된 마이그레이션을 구별할 수 있도록 오래된 기록과 승인된 전환 계획을 보관하십시오.
실제 메일 흐름에 대한 증거 구축
유용한 제어 기록에는 요구사항, 의도한 설정 및 관찰된 결과에 대한 별도의 필드가 있습니다. 제한적인 DNS 정책을 게시한다고 해서 모든 합법적인 애플리케이션이 일치하거나 모든 수신자가 거부한다는 것을 증명하는 것은 아닙니다. 스푸핑. DMARC 정렬된 인증 ID와 비교하여 작성자 도메인을 평가합니다. 현재 코어 사양은 RFC 9989, 2026년 5월에 출판되었습니다. 출판이 모든 제품이 업데이트된 처리를 채택했음을 증명하는 것은 아닙니다. 현재 DMARC 사양.
직원 메일, 사례 관리 알림, 공개 구독 메시지 및 위임된 발신자를 포함하는 증거 계획을 준비합니다. 각 흐름에 대해 표시되는 보낸 사람 도메인, 담당 팀, 서명 서비스, 보고 대상 및 전달 실패 시 영향을 식별합니다. 승인된 테스트가 실제로 발생할 때만 수신기 관찰을 유지하십시오. 구성된 스프레드시트 셀이 자동으로 성공적인 전달 테스트가 되어서는 안 됩니다. 사건 보고서와 민감한 메시지 콘텐츠를 공개 기사에 삽입하는 대신 승인된 저장소에 보관하세요.
가상의 협의회 사례를 통해 작업
가상의 협의회 운영 직원 메일과 별도의 약속 알림 공급자를 상상해 보십시오. 직원 도메인에 제한적인 정책이 있기 때문에 해당 프로젝트에서는 처음에 DMARC 시행이 완료된 것으로 기록합니다. 제안된 검토에서 답변되지 않은 질문이 발견되었습니다. 공급업체가 약속 메시지에 정렬된 ID를 사용합니까? 이 예에서는 메시지가 검사되지 않았으므로 결과는 실패한 테스트가 아니라 증거 격차입니다.
위원회의 정책 소유자는 먼저 관련 공공 부문 범위를 확인합니다. 그런 다음 메시징 팀은 대표적인 약속 흐름과 통제된 수락 계획을 정의합니다. 보안 팀은 메일 확인 종료 후 보고서가 유지되는 대상에 도달하는지 별도로 확인합니다. 작성된 공급업체 설문지는 유용한 준비가 되지만 실제 메시지 증거를 대체하지는 않습니다. 승인에는 중단 위험을 감수하는 사업주와 DNS 변경을 허용하는 운영자가 모두 명시되어야 합니다.
예외를 설정하고 날짜를 명시적으로 검토하세요.
예외 기록에는 어떤 도메인이나 경로가 영향을 받는지, 왜 목표 제어가 아직 충족되지 않았는지, 어떤 보상 조치가 있는지, 누가 잔여 위험을 수용할 수 있는지를 명시해야 합니다. 검토 날짜와 공급업체 마이그레이션, 분류 변경 또는 퇴직 통지와 같은 트리거를 추가합니다. 웹페이지의 마지막 업데이트 날짜를 기준으로 법정 기한을 만들지 마세요. 또는 변경 로그에 남아 있기 때문에 과거 평가 방식이 여전히 적용된다고 가정하지 마세요.
카탈로그에는 다음이 필요합니다. 적절한 규제 또는 법률 전문가가 검토한 제어 권한 테이블. 첨부된 지도는 전문가의 검토가 아닌 승인되지 않은 해당 테이블의 준비입니다. 게시하기 전에 영국 정책 및 법적 소유자 확인, 서비스 전환에 대한 기술 SME 검토, 구현 청구에 대한 원본 운영 증거를 확보하십시오. 전체 독자는 또한 시각적, 생산 경로 및 소유자 릴리스 게이트를 열어 둡니다. 이 기사에서는 의회, 정부 시스템 또는 보고 대상에 액세스하거나 변경하지 않았습니다.