Estabeleça qual autoridade australiana se aplica
A garantia de e-mail do governo australiano começa com o status da entidade e a estrutura de segurança adotada. Um controle do Manual de Segurança da Informação de setembro de 2026 não é, apenas por existir, uma lei imposta a todas as empresas australianas. A página de aplicabilidade da Estrutura de Política de Segurança Protetora diz que as entidades não corporativas da Commonwealth sujeitas à Lei PGPA devem aplicar o PSPF, na medida em que for consistente com a legislação. Outras organizações necessitam de registro de sua própria adoção, base contratual ou específica do setor. Aplicabilidade do PSPF.
A Diretiva Ministerial sobre a Segurança dos Negócios Governamentais foi emitida em 3 de julho de 2025. Ela fornece uma autoridade política identificável para a população abrangida da Commonwealth. Registre essa autoridade separadamente do catálogo de controle técnico e da decisão local que seleciona controles para um sistema. Um departamento de estado, uma universidade e uma entidade da Commonwealth não devem receber estatuto jurídico idêntico simplesmente porque a sua infra-estrutura postal é semelhante. Diretiva ministerial.
Preservar a edição manual e os identificadores de controle
O capítulo de e-mail do ISM de setembro de 2026 fornece metas de implementação precisas. Endereços ISM-0861 de saída DKIM assinatura; O ISM-1026 aborda a verificação de assinaturas de entrada. ISM-1540 exige política de rejeição em domínios organizacionais, incluindo subdomínios, quando as mensagens falham DMARC. O ISM-1799 aborda mensagens recebidas que falham DMARC . Estes são registros separados: uma política de saída publicada não demonstra que um gateway de entrada realiza a avaliação necessária. Controles de e-mail de setembro de 2026.
Preservar o número de controle, revisão, data de atualização e etiquetas de aplicabilidade exatamente na avaliação local. A data de edição e a data de revisão de um controle individual são fatos diferentes. Vários controles de autenticação na edição de setembro mantêm datas de revisão anteriores. O campo Essential Eight exibido é N/A para esses controles; não os renomeie como um nível de maturidade adicional do Essential Eight. Uma citação da fonte também deve conter se trata de assinatura, verificação, comportamento de lista de distribuição ou publicação de política.
Reconcilie rótulos de catálogo de alto nível
A entrada da Arquitetura do Governo Australiano cria um importante cuidado de leitura. Ele exibe um rótulo de conformidade obrigatória, enquanto seu texto de aplicabilidade descreve o ISM como recomendado para entidades não corporativas da Commonwealth e como um conselho considerado pela ASD. Essa página por si só não pode resolver a obrigação precisa de um sistema específico. Mantenha a discrepância e faça com que o proprietário da política de segurança identifique o requisito, a direção, o contrato ou a política da agência que rege o PSPF, em vez de escolher qualquer rótulo que suporte uma reivindicação de vendas mais forte. Entrada AGA ISM.
Esta distinção é útil mesmo quando a implementação é claramente necessária. A autoridade responde quem deve agir; o controle selecionado responde o que deve ser implementado; a evidência responde se a organização fez isso. Combinar todos os três em um único selo de conformidade verde torna a revisão posterior mais difícil. Se a política aplicável mudar, a trilha de decisão original deverá explicar por que um controle foi incluído e qual limite do sistema ele cobriu.
Traduza os controles em evidências observáveis
Para assinatura de saída, proponha um plano de amostra abrangendo serviços, seletores e domínios aprovados. Para validação de entrada, proponha evidências do lado do receptor que identifiquem o gateway, a versão da regra e o resultado da autenticação. Para política DMARC , preserve o nome consultado, resposta, tempo de observação e tratamento do subdomínio. Nenhuma dessas observações foi coletada para este artigo. O mapa de evidências descreve, portanto, os artefactos esperados e os proprietários propostos, com a aceitação explicitamente não preenchida.
A interpretação técnica deve usar a semântica atual do protocolo. RFC 9989 especifica a avaliação de alinhamento de domínio do DMARC ; não transforma nenhuma assinatura bem-sucedida em prova de que o remetente visível está alinhado. Um válido Assinatura DKIM provenientes de um domínio não relacionado podem não satisfazer a política que está sendo avaliada. Da mesma forma, uma política restritiva não impede que um invasor utilize um método diferente. domínio semelhante ou uma conta legítima comprometida. Mantenha esses riscos residuais fora do resultado do controle restrito. Núcleo DMARC.
Use uma avaliação fictícia de vários serviços
Considere um serviço fictício da Commonwealth com e-mail da equipe, notificações de concessão e uma lista de e-mails operada externamente. Seu mapa proposto atribui assinatura de saída e evidências de política de domínio à equipe de mensagens, evidências de mensagens do fornecedor ao proprietário do serviço de concessão e evidências de validação de entrada ao operador do gateway. A linha da lista de discussão faz referência ao controle do ISM sobre a preservação da validade DKIM dos remetentes externos, em vez de assumir que a entrega bem-sucedida da correspondência da equipe cobre a redistribuição da lista. Nenhum serviço desse tipo foi inspecionado aqui.
A avaliação não deve exigir uma alteração imediata DNS apenas porque uma linha está em branco. Primeiro estabeleça se o espaço em branco significa não aplicável, não implementado, evidência inacessível ou um teste não realizado. Esses estados exigem respostas diferentes. Registre uma investigação com prazo determinado e a pessoa que pode aprovar qualquer ação corretiva. A afirmação de um fornecedor de que suporta DMARC não é evidência de que a rota específica de notificação de concessão esteja configurada corretamente.
Aumente as lacunas sem exagerar na conformidade
Leve a ambigüidade da fonte do material ao especialista jurídico ou político da agência. Leve a interpretação do protocolo e o comportamento do gateway para o SME técnico. Leve os compromissos faltantes do fornecedor ao proprietário do serviço. O registro da decisão deve mostrar quem resolveu cada questão e se a resolução altera o escopo, a seleção de controles ou evidencia as expectativas. Não substitua uma pontuação de capacidade de entrega comercial por uma conclusão de garantia no âmbito da estrutura da agência.
Revise o mapa quando uma nova edição do ISM, direção do PSPF, mudança de fornecedor ou classificação do sistema afetar o serviço. Retenha os instantâneos substituídos com suas datas para que as decisões históricas permaneçam explicáveis sem apresentar controles antigos como atuais. As datas de publicação da política não comprovam as datas de implementação, e um hash de documento não estabelece que uma agência aceitou o seu conteúdo.
A evidência exata encomendada é: Uma tabela de autoridade para controle revisada pelo especialista regulatório ou jurídico apropriado. Este pacote fornece um mapa de autoridade não revisado, e não a determinação desse especialista. Evidências do sistema original, aplicabilidade da agência, aceitação técnica, apresentação de produção e permissão de publicação permanecem em aberto. Nenhuma configuração de organização australiana foi consultada ou alterada e nenhum certificado de conformidade legal foi emitido.