Börja med den offentliga sektorns gräns
Ett e-postkrav för brittiska myndigheter bör bifogas en namngiven organisation, domän och informationshanteringskontext. Det bör inte bli ett påstående att varje brittiskt företag måste implementera en viss DNS policy. GOV.UK:s e-postsida för säkrande myndigheter, senast uppdaterad 4 mars 2024 och granskad här den 8 november 2026, täcker uttryckligen e-postdomäner på internet som drivs av offentliga organisationer. Det kräver minst TLS och DMARC, tillsammans med lämpligt skydd av den information som utbyts. Det är ett regeringspolitiskt sammanhang, inte bevis på en universell stadga för den kommersiella sektorn. GOV.UK policy.
Börja tillämplighetsregistret med organisationens juridiska identitet och relation till den offentliga sektorn. Lägg till varje sändande och mottagande domän, tjänsteägaren och klassificeringen av hanterad information. En leverantörs engagemang behöver en egen kontraktsanalys: statliga kunder och ett välbekant domänsuffix identifierar inte i sig varje skyldighet som binder en leverantör. Anteckna den faktiska policyn eller avtalet som innehåller kravet i den tjänsten.
Läs policy- och konfigurationsinstruktioner tillsammans
Den kompletterande installationsguiden inkluderar brevlådor, reläer, filtreringstjänster och transaktionsavsändare från tredje part. Dess autentiseringsinstruktioner täcker inkommande kontroll och stegvis utgående DMARC verkställighet, med SPF och DKIM konfiguration. Behandla en etappvis policy som ett implementeringssteg med en ägare och exitkriterier, snarare än en obestämd definition av färdigställande. Guidens datum för mars 2024 har också betydelse när man utvärderar dess operativa beroenden. Regeringens e-postinställningar.
För informationsklassificeringssammanhang identifierar Cabinet Office Guidance 1.5, version 2.0 daterad 5 augusti 2024, domänautentisering och transportskydd i sina e-postkontroller. Kolumnen OFFICIELL e-post innehåller DMARC , DKIM , SPF , MTA-STS och TLS -rapportering; känsligare nivåer har olika delningsarrangemang. Koppla inte bort den kolumnen från den omgivande klassificeringstabellen eller presentera en internet-postdesign som är lämplig för varje klassificering. Säkerhetsrådgivare vägledning.
Lös beroendet av pensionerad tjänst
Det finns ett konkret versionsproblem i källuppsättningen. Den äldre inställningssidan leder fortfarande administratörer till NCSC Mail Check, inklusive rapporterings- och registreringsexempel. NCSC :s eget avgångsmeddelande bekräftar att Mail Check och Web Check avslutades den 31 mars 2026. Följaktligen kan en aktuell implementeringsplan inte behandla dessa äldre instruktioner som ett bevis på att tjänsten förblir tillgänglig. Detta är en beroendeavstämningsfråga, inte en anledning att ignorera de underliggande autentiseringskontrollerna. NCSC s pensionsbesked.
Inventering rapporterar destinationer, ägande av meddelanden och tjänsten som används för att undersöka fel. Identifiera vilka destinationer som tillhör organisationen och vilka som är beroende av pensionerad eller externt tillhandahållen bearbetning. Föreslå en ersättare först efter att ha bedömt tillgång, lagring, konfidentialitet och kostnad. Den här artikeln tillåter inte ändring av rapporteringsadresser eller prenumeration på en tjänst. Behåll gamla register och den godkända övergångsplanen så att en revisor kan skilja en planerad migration från en oförklarad övervakningslucka.
Bygg bevis kring de faktiska postflödena
En användbar kontrollpost har separata fält för kravet, den avsedda inställningen och det observerade resultatet. Att publicera en restriktiv DNS -policy bevisar varken att varje legitim applikation anpassas eller att varje mottagare avvisar spoofing. DMARC utvärderar författardomänen mot en anpassad autentiserad identitet; den nuvarande kärnspecifikationen är RFC 9989, publicerad i maj 2026. Dess publicering bevisar inte att varje produkt har antagit sin uppdaterade bearbetning. Aktuell DMARC specifikation.
Förbered en bevisplan som omfattar personalpost, meddelanden om ärendehantering, offentliga prenumerationsmeddelanden och delegerade avsändare. För varje flöde, identifiera den synliga Från-domänen, ansvarigt team, signeringstjänst, rapportdestination och påverkan om leverans misslyckas. Bevara mottagarens observationer endast när ett auktoriserat test faktiskt inträffar. En kalkylarkscell som säger konfigurerad bör inte tyst bli ett framgångsrikt leveranstest. Förvara incidentrapporter och känsligt meddelandeinnehåll i godkända arkiv istället för att bädda in dem i en offentlig artikel.
Arbeta igenom ett fiktivt rådsexempel
Föreställ dig ett fiktivt råd som driver personalpost och en separat leverantör av mötesmeddelanden. Dess projekt registrerar initialt DMARC tillämpningen som fullständig eftersom personaldomänen har en restriktiv policy. Den föreslagna granskningen finner en obesvarad fråga: använder leverantören en anpassad identitet för mötesmeddelanden? Inget meddelande har inspekterats i det här exemplet, så fyndet är ett bevisglapp, inte ett misslyckat test.
Rådets policyägare skulle först bekräfta den relevanta offentliga sektorns omfattning. Meddelandeteamet skulle sedan definiera mötesflöden för representanter och en kontrollerad acceptplan. Säkerhetsteamet skulle separat verifiera att rapporter når en bibehållen destination efter att Mail Check har gått i pension. Ett ifyllt leverantörsformulär skulle vara användbart förberedelse men skulle inte ersätta själva meddelandebeviset. Godkännandet bör namnge både företagsägaren som accepterar störningsrisk och operatören som har rätt att ändra DNS .
Gör undantag och granskningsdatum tydliga
En undantagspost ska säga vilken domän eller rutt som påverkas, varför målkontrollen ännu inte är uppfylld, vilka kompenserande åtgärder som finns och vem som kan acceptera den kvarstående risken. Lägg till ett granskningsdatum och en utlösare som en leverantörsmigrering, klassificeringsändring eller avgångsmeddelande. Tillverka inte en lagstadgad deadline från en webbsidas senaste uppdateringsdatum, eller anta att historiska bedömningsarrangemang fortfarande gäller eftersom de finns kvar i en ändringslogg.
Katalogen kräver: En auktoritets-till-kontroll-tabell granskad av lämplig regulator eller juridisk specialist. Den medföljande kartan är en icke godkänd förberedelse av den tabellen, inte specialistgranskning. Innan publicering skaffar du brittisk policy och bekräftelse från juridisk ägare, teknisk SME-granskning av tjänsteövergången och original operativt bevis för eventuella implementeringsanspråk. Den fullständiga läsaren lämnar också visuella, produktionsvägar och ägare-release-portar öppna. Inget råd, myndighetssystem eller rapportdestination har nåtts eller ändrats för denna artikel.