Comece com a fronteira do setor público
Um requisito de e-mail do governo do Reino Unido deve ser anexado a uma organização nomeada, domínio e contexto de tratamento de informações. Não deveria tornar-se uma afirmação de que cada empresa do Reino Unido deve implementar uma política DNS específica. A página GOV.UK de proteção de e-mail governamental, atualizada pela última vez em 4 de março de 2024 e revisada aqui em 8 de novembro de 2026, cobre expressamente domínios de e-mail da Internet operados por organizações do setor público. Requer pelo menos TLS e DMARC, juntamente com a proteção adequada das informações trocadas. Este é um contexto político governamental e não uma prova de um estatuto universal do sector comercial. Política GOV.UK.
Comece o registro de aplicabilidade com a identidade jurídica da organização e o relacionamento com o setor público. Adicione cada domínio de envio e recebimento, o proprietário do serviço e a classificação das informações tratadas. O envolvimento de um fornecedor necessita da sua própria análise contratual: os clientes governamentais e um sufixo de domínio familiar não identificam, por si só, todas as obrigações que vinculam um fornecedor. Registre a política ou acordo real que traz o requisito para esse serviço.
Leia as instruções de política e configuração juntos
O guia de configuração complementar inclui caixas de correio, retransmissões, serviços de filtragem e remetentes transacionais de terceiros. Suas instruções de autenticação cobrem verificação de entrada e saída preparada Aplicação DMARC, com SPF e DKIM configuração. Trate uma política faseada como uma etapa de implementação com um proprietário e critérios de saída, em vez de uma definição indefinida de conclusão. A data de março de 2024 do guia também é importante na avaliação de suas dependências operacionais. Configuração de e-mail governamental.
Para o contexto de classificação de informações, o Cabinet Office Guidance 1.5, versão 2.0 datado de 5 de agosto de 2024, identifica autenticação de domínio e proteções de transporte em seus controles de e-mail. A coluna de e-mail OFICIAL inclui DMARC , DKIM , SPF , MTA-STS e relatórios TLS ; níveis mais sensíveis têm diferentes acordos de partilha. Não separe essa coluna da tabela de classificação circundante nem apresente um design de correio pela Internet adequado para cada classificação. Orientação do consultor de segurança.
Resolver a dependência do serviço desativado
Há um problema de versão concreto no conjunto de origem. A página de configuração mais antiga ainda direciona os administradores para o NCSC Mail Check, incluindo exemplos de relatórios e registro. O próprio aviso de aposentadoria do NCSC confirma que o Mail Check e o Web Check terminaram em 31 de março de 2026. Consequentemente, um plano de implementação atual não pode tratar essas instruções mais antigas como prova de que o serviço permanece disponível. Este é um problema de reconciliação de dependências, não um motivo para descartar os controles de autenticação subjacentes. Aviso de aposentadoria NCSC.
Destinos de relatórios de inventário, propriedade de notificações e serviço usado para investigar falhas. Identifique quais destinos pertencem à organização e quais dependem de processamento retirado ou fornecido externamente. Proponha uma substituição somente após avaliar o acesso, retenção, confidencialidade e custo. Este artigo não autoriza a alteração de endereços de reporte ou a assinatura de um serviço. Guarde os registos antigos e o plano de transição aprovado para que um auditor possa distinguir uma migração planeada de uma lacuna de monitorização inexplicável.
Crie evidências em torno dos fluxos de correio reais
Um registro de controle útil possui campos separados para o requisito, a configuração pretendida e o resultado observado. A publicação de uma política DNS restritiva não prova que todos os aplicativos legítimos estejam alinhados nem que todos os destinatários rejeitem falsificação. DMARC avalia o Domínio do Autor em relação a uma identidade autenticada alinhada; a especificação principal atual é RFC 9989, publicado em maio de 2026. Sua publicação não comprova que todo produto adotou seu processamento atualizado. Especificação DMARC atual.
Preparar um plano de evidências que abranja o correio do pessoal, notificações de gestão de casos, mensagens de subscrição pública e remetentes delegados. Para cada fluxo, identifique o domínio De visível, a equipe responsável, o serviço de assinatura, o destino do relatório e o impacto se a entrega falhar. Preserve as observações do receptor somente quando um teste autorizado realmente ocorrer. Uma célula de planilha informando configurada não deve se tornar silenciosamente um teste de entrega bem-sucedido. Mantenha relatórios de incidentes e conteúdo de mensagens confidenciais em repositórios aprovados, em vez de incorporá-los em um artigo público.
Trabalhe com um exemplo fictício de conselho
Imagine um conselho fictício operando correspondência da equipe e um fornecedor separado de notificações de compromissos. Seu projeto inicialmente registra a aplicação DMARC como completa porque o domínio da equipe tem uma política restritiva. A revisão proposta encontra uma questão sem resposta: o fornecedor utiliza uma identidade alinhada para mensagens de agendamento? Nenhuma mensagem foi inspecionada neste exemplo, portanto a descoberta é uma lacuna de evidência, e não um teste que falhou.
O responsável pela política do conselho confirmaria primeiro o âmbito relevante do sector público. A equipe de mensagens definiria então os fluxos de nomeação dos representantes e um plano de aceitação controlado. A equipe de segurança verificaria separadamente se os relatórios chegam a um destino mantido após a retirada do Mail Check. Um questionário preenchido do fornecedor seria uma preparação útil, mas não substituiria a evidência real da mensagem. A aprovação deve nomear tanto o proprietário da empresa que aceita o risco de interrupção quanto o operador autorizado a alterar DNS .
Torne exceções e revise datas explícitas
Um registro de exceção deve indicar qual domínio ou rota é afetado, por que o controle alvo ainda não foi alcançado, quais medidas de compensação existem e quem pode aceitar o risco residual. Adicione uma data de revisão e um gatilho, como migração de fornecedor, mudança de classificação ou aviso de aposentadoria. Não estabeleça um prazo legal a partir da data da última atualização de uma página da Web ou presuma que os acordos de avaliação histórica ainda se aplicam porque permanecem em um registro de alterações.
O catálogo requer: Uma tabela de autoridade para controle revisada pelo especialista regulatório ou jurídico apropriado. O mapa anexo é uma preparação não aprovada dessa tabela, e não uma revisão especializada. Antes da publicação, obtenha a confirmação da política e do proprietário legal do Reino Unido, a revisão técnica da PME sobre a transição do serviço e as evidências operacionais originais para quaisquer reivindicações de implementação. O leitor completo também deixa abertas as portas visuais, de rota de produção e de liberação do proprietário. Nenhum conselho, sistema governamental ou destino de relatório foi acessado ou alterado para este artigo.