Start med den offentlige sektorgrensen
Et krav om e-post fra britiske myndigheter bør vedlegges en navngitt organisasjon, domene og informasjonshåndteringskontekst. Det bør ikke bli en påstand om at alle britiske selskaper må implementere en bestemt DNS policy. GOV.UK-siden for sikring av myndighetene, sist oppdatert 4. mars 2024 og gjennomgått her 8. november 2026, dekker uttrykkelig internett-e-postdomener som drives av offentlige organisasjoner. Det krever minst TLS og DMARC, sammen med passende beskyttelse av informasjonen som utveksles. Det er en regjeringspolitisk kontekst, ikke bevis på en universell lov for kommersiell sektor. GOV.UKs retningslinjer.
Begynn anvendbarhetsrekorden med organisasjonens juridiske identitet og offentlige forhold. Legg til hvert sende- og mottaksdomene, tjenesteeieren og klassifiseringen av informasjonen som håndteres. En leverandørs involvering trenger sin egen kontraktsanalyse: offentlige kunder og et kjent domene-suffiks identifiserer ikke i seg selv enhver forpliktelse som binder en leverandør. Registrer den faktiske policyen eller avtalen som inneholder kravet i den tjenesten.
Les policy- og konfigurasjonsinstruksjoner sammen
Den ledsagende oppsettguiden inkluderer postbokser, releer, filtreringstjenester og tredjeparts transaksjonsavsendere. Autentiseringsinstruksjonene dekker inngående sjekking og trinnvis utgående DMARC håndhevelse, med SPF og DKIM konfigurasjon. Behandle en trinnvis policy som et implementeringstrinn med et eier- og avslutningskriterier, snarere enn en ubestemt definisjon av fullføring. Veilederens mars 2024-dato er også viktig når man evaluerer dens operasjonelle avhengigheter. Offentlig e-postoppsett.
For informasjonsklassifiseringssammenheng identifiserer Cabinet Office Guidance 1.5, versjon 2.0 datert 5. august 2024, domeneautentisering og transportbeskyttelse i e-postkontrollene. Den OFFISIELLE e-postkolonnen inkluderer DMARC , DKIM , SPF , MTA-STS og TLS -rapportering; mer sensitive nivåer har forskjellige delingsordninger. Ikke løsne den kolonnen fra den omkringliggende klassifiseringstabellen eller presenter en internett-postdesign som passer for hver klassifisering. Veiledning av sikkerhetsrådgiver.
Løs avhengigheten av pensjonert tjeneste
Det er et konkret versjonsproblem i kildesettet. Den eldre oppsettsiden leder fortsatt administratorer mot NCSC Mail Check, inkludert rapporterings- og registreringseksempler. NCSC egen pensjonsmelding bekrefter at Mail Check og Web Check ble avsluttet 31. mars 2026. Følgelig kan ikke en gjeldende implementeringsplan behandle de eldre instruksjonene som bevis på at tjenesten forblir tilgjengelig. Dette er et problem med avhengighetsavstemming, ikke en grunn til å forkaste de underliggende autentiseringskontrollene. NCSC pensjoneringsvarsel.
Beholdningsrapport destinasjoner, eierskap av varslinger og tjenesten som brukes til å undersøke feil. Identifiser hvilke destinasjoner som tilhører organisasjonen og som er avhengige av pensjonert eller eksternt levert behandling. Foreslå en erstatning kun etter å ha vurdert tilgang, oppbevaring, konfidensialitet og kostnad. Denne artikkelen tillater ikke endring av rapporteringsadresser eller abonnement på en tjeneste. Ta vare på gamle poster og den godkjente overgangsplanen slik at en revisor kan skille en planlagt migrasjon fra et uforklarlig overvåkingsgap.
Bygg bevis rundt de faktiske poststrømmene
En nyttig kontrollpost har separate felter for kravet, den tiltenkte innstillingen og det observerte resultatet. Å publisere en restriktiv DNS -policy beviser verken at enhver legitim applikasjon stemmer overens eller at hver mottaker avviser forfalskning. DMARC evaluerer forfatterdomenet mot en justert autentisert identitet; gjeldende kjernespesifikasjon er RFC 9989, publisert i mai 2026. Publikasjonen beviser ikke at hvert produkt har tatt i bruk den oppdaterte behandlingen. Gjeldende DMARC spesifikasjon.
Utarbeid en bevisplan som dekker e-post til ansatte, varslinger om saksbehandling, offentlige abonnementsmeldinger og delegerte avsendere. For hver flyt, identifiser det synlige Fra-domenet, det ansvarlige teamet, signeringstjenesten, rapportdestinasjonen og virkningen hvis levering mislykkes. Ta vare på mottakerobservasjoner bare når en autorisert test faktisk finner sted. En regnearkcelle som sier konfigurert bør ikke stille bli en vellykket leveringstest. Oppbevar hendelsesrapporter og sensitivt meldingsinnhold i godkjente depoter i stedet for å bygge dem inn i en offentlig artikkel.
Arbeid gjennom et fiktivt rådseksempel
Se for deg et fiktivt råd som driver stabspost og en egen avtale-varslingsleverandør. Prosjektet registrerer i utgangspunktet DMARC håndhevelse som fullstendig fordi personaldomenet har en restriktiv policy. Den foreslåtte gjennomgangen finner et ubesvart spørsmål: bruker leverandøren en tilpasset identitet for avtalemeldinger? Ingen melding har blitt inspisert i dette eksemplet, så funnet er et bevishull, ikke en mislykket test.
Rådets politikkeier vil først bekrefte det relevante offentlige virkeområdet. Meldingsteamet ville deretter definere representantavtaleflyter og en kontrollert akseptplan. Sikkerhetsteamet vil separat verifisere at rapporter når en vedlikeholdt destinasjon etter at e-postsjekken er trukket tilbake. Et utfylt leverandørspørreskjema ville være nyttig forberedelse, men ville ikke erstatte det faktiske meldingsbeviset. Godkjenningen bør navngi både bedriftseieren som aksepterer avbruddsrisiko og operatøren som har tillatelse til å endre DNS .
Gjør unntak og vurderingsdatoer eksplisitt
En unntakspost skal si hvilket domene eller rute som er berørt, hvorfor målkontrollen ennå ikke er oppfylt, hvilke kompenserende tiltak som finnes, og hvem som kan akseptere den gjenværende risikoen. Legg til en vurderingsdato og en utløser som leverandørmigrering, klassifiseringsendring eller pensjonsvarsel. Ikke lag en lovbestemt frist fra en nettsides siste oppdateringsdato, eller anta at historiske vurderingsordninger fortsatt gjelder fordi de forblir i en endringslogg.
Katalogen krever: En myndighet-til-kontroll-tabell gjennomgått av den aktuelle regulatoriske eller juridiske spesialist. Det medfølgende kartet er en ikke-godkjent utarbeidelse av den tabellen, ikke spesialistvurdering. Før publisering, innhent bekreftelse fra britiske retningslinjer og juridiske eiere, teknisk SMB-gjennomgang av tjenesteovergangen og originale driftsbevis for eventuelle implementeringskrav. Den fullstendige leseren lar også visuelle porter, produksjonsruter og eierutgivelsesporter stå åpne. Ingen råd, myndighetssystem eller rapportdestinasjon ble åpnet eller endret for denne artikkelen.