Zacznij od granicy sektora publicznego
Wymóg poczty elektronicznej rządu Wielkiej Brytanii powinien być dołączony do nazwanej organizacji, domeny i kontekstu przetwarzania informacji. Nie powinno stać się twierdzeniem, że każda brytyjska firma musi wdrożyć określoną politykę DNS . Strona GOV.UK służąca do zabezpieczania poczty elektronicznej przez rząd, ostatnio zaktualizowana 4 marca 2024 r. i sprawdzona tutaj 8 listopada 2026 r., wyraźnie obejmuje internetowe domeny poczty e-mail obsługiwane przez organizacje sektora publicznego. Wymaga co najmniej TLS i DMARC, przy odpowiedniej ochronie wymienianych informacji. Jest to kontekst polityki rządu, a nie dowód na istnienie uniwersalnego statutu sektora komercyjnego. Polityka GOV.UK.
Rozpocznij historię stosowania od tożsamości prawnej organizacji i relacji z sektorem publicznym. Dodaj każdą domenę wysyłającą i odbierającą, właściciela usługi oraz klasyfikację obsługiwanych informacji. Zaangażowanie dostawcy wymaga własnej analizy umowy: klienci rządowi i znany przyrostek domeny nie identyfikują samodzielnie wszystkich zobowiązań wiążących dostawcę. Zapisz faktyczną politykę lub umowę, która uwzględnia wymagania w ramach tej usługi.
Przeczytaj jednocześnie instrukcje dotyczące zasad i konfiguracji
Przewodnik konfiguracji towarzyszącej obejmuje skrzynki pocztowe, przekaźniki, usługi filtrowania i zewnętrzne nadawców transakcyjnych. Instrukcje uwierzytelniania obejmują sprawdzanie ruchu przychodzącego i etapowego ruchu wychodzącego Egzekucja DMARC, z SPF I DKIM konfiguracja. Traktuj politykę etapową jako etap wdrażania z właścicielem i kryteriami zakończenia, a nie nieokreśloną definicją zakończenia. Data publikacji przewodnika – marzec 2024 r. – ma również znaczenie przy ocenie jego zależności operacyjnych. Rządowa konfiguracja poczty e-mail.
W kontekście klasyfikacji informacji wytyczne Gabinetu Rady Ministrów 1.5, wersja 2.0 z dnia 5 sierpnia 2024 r. identyfikują uwierzytelnianie domeny i zabezpieczenia transportu w kontrolach poczty e-mail. Kolumna OFICJALNY e-mail zawiera DMARC , DKIM , SPF , MTA-STS i raportowanie TLS ; bardziej wrażliwe poziomy mają różne zasady udostępniania. Nie odłączaj tej kolumny od otaczającej ją tabeli klasyfikacyjnej ani nie przedstawiaj jednego projektu poczty internetowej, odpowiedniego dla każdej klasyfikacji. Wskazówki doradcy ds. bezpieczeństwa.
Rozwiąż zależność wycofanej usługi
W zestawie źródłowym występuje konkretny problem z wersją. Starsza strona konfiguracji w dalszym ciągu kieruje administratorów do funkcji sprawdzania poczty NCSC , podając przykłady raportowania i rejestracji. Zawiadomienie NCSC o wycofaniu usług potwierdza, że usługi Mail Check i Web Check zakończyły się 31 marca 2026 r. W związku z tym bieżący plan wdrożenia nie może traktować starszych instrukcji jako dowodu na to, że usługa pozostaje dostępna. Jest to problem uzgadniania zależności, a nie powód do odrzucenia podstawowych kontroli uwierzytelniania. Zawiadomienie o przejściu na emeryturę NCSC.
Miejsca docelowe raportów o zasobach, własność powiadomień i usługa używana do badania błędów. Zidentyfikuj, które miejsca docelowe należą do organizacji, a które zależą od wycofanego lub dostarczonego z zewnątrz przetwarzania. Zaproponuj wymianę dopiero po ocenie dostępu, przechowywania, poufności i kosztów. Artykuł ten nie upoważnia do zmiany adresów raportowania ani subskrybowania usługi. Zachowaj stare zapisy i zatwierdzony plan przejścia, aby audytor mógł odróżnić planowaną migrację od niewyjaśnionej luki w monitorowaniu.
Zbuduj dowody dotyczące rzeczywistego przepływu poczty
Przydatny rekord kontrolny zawiera oddzielne pola dla wymagania, zamierzonego ustawienia i obserwowanego wyniku. Opublikowanie restrykcyjnej polityki DNS nie dowodzi, że każda legalna aplikacja jest dostosowana, ani że każdy odbiorca ją odrzuca fałszowanie. DMARC ocenia domenę autora pod kątem dopasowanej uwierzytelnionej tożsamości; aktualna podstawowa specyfikacja to RFC 9989, opublikowany w maju 2026 r. Jego publikacja nie stanowi dowodu, że każdy produkt otrzymał zaktualizowane przetwarzanie. Aktualna specyfikacja DMARC.
Przygotuj plan dowodowy obejmujący pocztę personelu, powiadomienia dotyczące zarządzania sprawami, publiczne wiadomości subskrypcyjne i delegowanych nadawców. Dla każdego przepływu określ widoczną domenę nadawcy, odpowiedzialny zespół, usługę podpisywania, miejsce docelowe raportu i wpływ, jeśli dostarczenie się nie powiedzie. Zachowaj obserwacje odbiornika tylko wtedy, gdy rzeczywiście nastąpi autoryzowany test. Komórka arkusza kalkulacyjnego z informacją o skonfigurowaniu nie powinna po cichu stać się pomyślnym testem dostarczania. Przechowuj raporty o incydentach i poufne treści wiadomości w zatwierdzonych repozytoriach, zamiast umieszczać je w artykule publicznym.
Przeanalizuj fikcyjny przykład rady
Wyobraź sobie fikcyjną pocztę dla personelu operacyjnego rady i osobnego dostawcę powiadomień o spotkaniach. W projekcie początkowo uznano, że egzekwowanie przepisów DMARC zostało zakończone, ponieważ w domenie personelu obowiązują restrykcyjne zasady. W ramach proponowanego przeglądu znaleziono pytanie bez odpowiedzi: czy dostawca używa dopasowanej tożsamości w wiadomościach o spotkaniach? W tym przykładzie nie sprawdzono żadnej wiadomości, więc wynik stanowi lukę w dowodach, a nie nieudany test.
Właściciel polisy rady najpierw potwierdziłby odpowiedni zakres sektora publicznego. Zespół ds. komunikacji zdefiniowałby następnie reprezentatywne przepływy spotkań i kontrolowany plan akceptacji. Zespół ds. bezpieczeństwa osobno sprawdza, czy raporty docierają do obsługiwanego miejsca docelowego po wycofaniu funkcji sprawdzania poczty. Wypełniony kwestionariusz dostawcy byłby przydatnym przygotowaniem, ale nie zastąpiłby faktycznego dowodu przekazu. Zatwierdzenie powinno określać zarówno właściciela firmy akceptującego ryzyko zakłóceń, jak i operatora upoważnionego do zmiany DNS .
Zrób wyjątek i wyraźnie określ daty recenzji
W zapisie wyjątku należy podać, której domeny lub trasy dotyczy problem, dlaczego docelowa kontrola nie została jeszcze osiągnięta, jakie istnieją środki kompensujące i kto może zaakceptować ryzyko resztkowe. Dodaj datę przeglądu i czynnik wyzwalający, taki jak migracja dostawcy, zmiana klasyfikacji lub powiadomienie o wycofaniu. Nie podawaj ustawowego terminu na podstawie daty ostatniej aktualizacji strony internetowej ani nie zakładaj, że ustalenia dotyczące oceny historycznej nadal obowiązują, ponieważ pozostają one w dzienniku zmian.
Katalog wymaga: tabeli uprawnień do kontroli sprawdzonej przez odpowiedniego specjalistę ds. regulacji lub prawa. Załączona mapa stanowi niezatwierdzone opracowanie tej tabeli, a nie specjalistyczną recenzję. Przed publikacją uzyskaj potwierdzenie brytyjskiej polityki i prawnego właściciela, techniczną ocenę MŚP dotyczącą przejścia na usługi oraz oryginalne dowody operacyjne dotyczące wszelkich roszczeń wdrożeniowych. Pełny czytnik pozostawia także otwarte bramy wizualne, trasy produkcyjnej i zgody właściciela. W przypadku tego artykułu nie uzyskano dostępu ani nie zmieniono żadnego miejsca docelowego dla żadnej rady, systemu rządowego ani raportu.