Fastställ vilken australiensisk myndighet som gäller
Den australiska regeringens e-postförsäkran börjar med enhetens status och dess antagna säkerhetsramverk. En informationssäkerhetsmanual från september 2026 är inte, bara av existerande, en lag som påtvingas varje australiensiskt företag. Tillämpningssidan för Protective Security Policy Framework säger att icke-företagande Commonwealth-enheter som omfattas av PGPA Act måste tillämpa PSPF, i den utsträckning som är förenlig med lagstiftning. Andra organisationer behöver sina egna antaganden, kontraktuella eller sektorspecifika grunder registrerade. PSPF tillämplighet.
Ministerdirektivet om säkerhet för statlig verksamhet utfärdades den 3 juli 2025. Det ger en identifierbar policymyndighet för den täckta Commonwealth-befolkningen. Anteckna den myndigheten separat från den tekniska kontrollkatalogen och från det lokala beslutet som väljer kontroller för ett system. Ett statligt departement, ett universitet och en enhet i Commonwealth bör inte tilldelas identisk juridisk status bara för att deras e-postinfrastruktur ser likadan ut. Ministerdirektiv.
Bevara den manuella utgåvan och kontrollbeteckningarna
September 2026 ISM-e-postkapitlet tillhandahåller exakta implementeringsmål. ISM-0861 adresserar utgående DKIM signering; ISM-1026 adresserar verifiering av inkommande signaturer. ISM-1540 kräver avvisningspolicy för organisationsdomäner, inklusive underdomäner, när meddelanden misslyckas DMARC. ISM-1799 adresserar inkommande meddelanden som misslyckas med DMARC . Dessa är separata poster: en publicerad utgående policy visar inte att en inkommande gateway utför den nödvändiga utvärderingen. E-postkontroller i september 2026.
Bevara kontrollnummer, revision, uppdaterat datum och tillämplighetsetiketter exakt i den lokala bedömningen. Utgivningsdatumet och en enskild kontrolls revideringsdatum är olika fakta. Flera autentiseringskontroller i septemberutgåvan behåller tidigare revisionsdatum. Det visade Essential Eight-fältet är N/A för dessa kontroller; ändra inte namnet på dem som en extra Essential Eight-mognadsnivå. Ett källcitat måste också innehålla om det handlar om signering, verifiering, distributionslistbeteende eller policypublicering.
Förena katalogetiketter på hög nivå
Inlägget i Australian Government Architecture skapar en viktig läsförsiktighet. Den visar en obligatorisk efterlevnadsetikett medan dess tillämplighetstext beskriver ISM som rekommenderas för icke-företags Commonwealth-enheter och som ASD:s övervägda råd. Enbart den sidan kan inte lösa den exakta skyldigheten för ett visst system. Behåll avvikelsen och låt ägaren av säkerhetspolicyn identifiera det styrande PSPF-kravet, riktningen, kontraktet eller byråns policy, snarare än att välja vilken etikett som stödjer ett starkare försäljningspåstående. AGA ISM-inträde.
Denna distinktion är användbar även där implementering är tydligt nödvändig. Myndigheten svarar vem som ska agera; den valda kontrollen svarar på vad som bör implementeras; bevis svarar på om organisationen har gjort det. Att kombinera alla tre till ett enda grönt efterlevnadsmärke gör det svårare att granska senare. Om tillämplig policy ändras bör det ursprungliga beslutsspåret förklara varför en kontroll inkluderades och vilken systemgräns den täckte.
Översätt kontroller till observerbara bevis
För utgående signering föreslår du en exempelplan som omfattar godkända tjänster, väljare och domäner. För inkommande validering föreslår du bevis på mottagarsidan som identifierar gatewayen, regelversionen och autentiseringsresultatet. För DMARC -policy, bevara efterfrågat namn, svar, observationstid och underdomänbehandling. Ingen av dessa observationer har samlats in för den här artikeln. Beviskartan beskriver därför förväntade artefakter och föreslagna ägare, med acceptansen uttryckligen ofylld.
Teknisk tolkning bör använda aktuell protokollsemantik. RFC 9989 specificerar DMARC :s domänanpassningsutvärdering; den förvandlar inte någon framgångsrik signatur till ett bevis på att den synliga avsändaren är justerad. En giltig DKIM signatur från en icke-närstående domän kanske inte uppfyller den policy som bedöms. På samma sätt hindrar inte en restriktiv policy en angripare från att använda en annan lookalike-domän eller ett komprometterat legitimt konto. Håll de kvarvarande riskerna utanför det snäva kontrollresultatet. DMARC kärna.
Använd en fiktiv multitjänstbedömning
Överväg en fiktiv Commonwealth-tjänst med personalens e-post, anslagsmeddelanden och en externt driven e-postlista. Dess föreslagna karta tilldelar utgående signering och domänpolicybevis till meddelandeteamet, leverantörsmeddelandebevis till ägaren av bidragstjänsten och inkommande valideringsbevis till gatewayoperatören. E-postlistraden hänvisar till ISM-kontrollen för att bevara externa avsändares DKIM giltighet, snarare än att anta att framgångsrik personalpostleverans täcker omfördelning av listor. Ingen sådan tjänst inspekterades här.
Bedömningen bör inte kräva en omedelbar DNS -ändring bara för att en rad är tom. Fastställ först om blanket betyder att det inte är tillämpligt, inte implementerat, otillgängligt bevis eller ett ej utfört test. Dessa stater kräver olika svar. Spela in en tidsbestämd utredning och den person som kan godkänna eventuella korrigerande åtgärder. En leverantörs påstående om att den stöder DMARC är inte bevis på att den specifika vägen för bidragsmeddelanden är korrekt konfigurerad.
Eskalera luckor utan att överdriva efterlevnaden
Ta med materiella källor otydlighet till byråns policy eller juridisk specialist. Ta med protokolltolkning och gatewaybeteende till det tekniska SME. Ta med saknade leverantörsåtaganden till tjänsteägaren. Beslutsprotokollet bör visa vem som löste varje fråga och om lösningen ändrar omfattning, kontrollurval eller bevisförväntningar. Ersätt inte en försäkran slutsats enligt byråns ram med ett kommersiellt leveransresultat.
Granska kartan när en ny ISM-utgåva, PSPF-riktning, leverantörsbyte eller systemklassificering påverkar tjänsten. Behåll ersatta ögonblicksbilder med deras datum så att historiska beslut förblir förklarliga utan att presentera gamla kontroller som aktuella. Publiceringsdatum för policyn bevisar inte implementeringsdatum, och en dokumenthash visar inte att en byrå har accepterat dess innehåll.
Det exakta beställda beviset är: En auktoritets-till-kontroll-tabell granskad av lämplig regulator eller juridisk specialist. Det här paketet tillhandahåller en auktoritetskarta som inte har granskats, inte specialistens beslutsamhet. Originalsystembevis, byråns tillämplighet, teknisk acceptans, produktionspresentation och publiceringstillstånd förblir öppna. Ingen australiensisk organisations konfiguration efterfrågades eller ändrades, och inget certifikat om laglig efterlevnad har utfärdats.