Kamu sektörü sınırıyla başlayın
Birleşik Krallık hükümetinin e-posta gereksinimi, adı geçen kuruluşa, etki alanına ve bilgi işleme bağlamına eklenmelidir. Her Birleşik Krallık şirketinin belirli bir DNS politikasını uygulamaya koyması gerektiği iddiasına dönüşmemelidir. En son 4 Mart 2024'te güncellenen ve 8 Kasım 2026'da burada incelenen GOV.UK güvenlik-hükümet-e-posta sayfası, kamu sektörü kuruluşları tarafından işletilen internet e-posta alan adlarını açıkça kapsar. En az TLS gerektirir ve DMARCDeğiştirilen bilgilerin uygun şekilde korunmasının yanı sıra. Bu bir hükümet politikası bağlamıdır, evrensel bir ticari sektör kanununun kanıtı değildir. GOV.UK politikası.
Uygulanabilirlik kaydına kuruluşun yasal kimliği ve kamu-sektör ilişkisiyle başlayın. Her gönderen ve alan etki alanını, hizmet sahibini ve işlenen bilgilerin sınıflandırmasını ekleyin. Bir tedarikçinin katılımının kendi sözleşme analizine ihtiyacı vardır: Devlet müşterileri ve tanıdık bir alan adı eki, bir tedarikçiyi bağlayan her yükümlülüğü tek başına tanımlamaz. Gereksinimi söz konusu hizmete taşıyan gerçek politikayı veya anlaşmayı kaydedin.
Politika ve yapılandırma talimatlarını birlikte okuyun
Tamamlayıcı kurulum kılavuzu, posta kutularını, geçişleri, filtreleme hizmetlerini ve üçüncü taraf işlemsel gönderenleri içerir. Kimlik doğrulama talimatları, gelen kontrolü ve aşamalı giden giden işlemleri kapsar DMARC yaptırımı, ile SPF Ve DKIM yapılandırma. Aşamalı bir politikayı, belirsiz bir tamamlanma tanımı yerine, sahibi ve çıkış kriterleri olan bir uygulama adımı olarak ele alın. Kılavuzun Mart 2024 tarihi, operasyonel bağımlılıklarını değerlendirirken de önem taşıyor. Resmi e-posta kurulumu.
Bilgi sınıflandırması bağlamı için, 5 Ağustos 2024 tarihli Kabine Ofisi Kılavuzu 1.5, sürüm 2.0, e-posta kontrollerinde etki alanı kimlik doğrulamasını ve aktarım korumalarını tanımlar. RESMİ e-posta sütunu DMARC , DKIM , SPF içerir, MTA-STS ve TLS raporlaması; daha hassas katmanların farklı paylaşım düzenlemeleri vardır. O sütunu çevredeki sınıflandırma tablosundan ayırmayın veya her sınıflandırmaya uygun bir internet-posta tasarımı sunmayın. Güvenlik danışmanı rehberliği.
Emekli hizmet bağımlılığını çözümleyin
Kaynak setinde somut versiyon sorunu var. Eski kurulum sayfası, raporlama ve kayıt örnekleri de dahil olmak üzere yöneticileri hala NCSC Posta Kontrolüne yönlendiriyor. NCSC kendi kullanımdan kaldırılma bildirimi, Posta Kontrolü ve Web Kontrolü'nün 31 Mart 2026'da sona erdiğini doğrulamaktadır. Sonuç olarak mevcut bir uygulama planı, bu eski talimatları hizmetin kullanılabilir durumda olduğunun kanıtı olarak değerlendiremez. Bu bir bağımlılık mutabakatı sorunudur, temeldeki kimlik doğrulama kontrollerinin iptal edilmesi için bir neden değildir. NCSC emeklilik bildirimi.
Envanter raporu hedefleri, bildirim sahipliği ve arızaları araştırmak için kullanılan hizmet. Hangi hedeflerin kuruluşa ait olduğunu ve hangilerinin kullanımdan kaldırılan veya dışarıdan sağlanan işleme bağlı olduğunu belirleyin. Yalnızca erişimi, saklamayı, gizliliği ve maliyeti değerlendirdikten sonra yenisini önerin. Bu makale, raporlama adreslerinin değiştirilmesine veya bir hizmete abone olunmasına izin vermez. Eski kayıtları ve onaylanmış geçiş planını saklayın, böylece denetçi planlı bir geçişi açıklanamayan bir izleme boşluğundan ayırt edebilir.
Gerçek posta akışlarına ilişkin kanıtlar oluşturun
Yararlı bir kontrol kaydında gereksinim, amaçlanan ayar ve gözlemlenen sonuç için ayrı alanlar bulunur. Kısıtlayıcı bir DNS politikası yayınlamak, ne her meşru uygulamanın uyumlu olduğunu ne de her alıcının reddettiğini kanıtlar sahtekarlık. DMARC Yazar Etki Alanını hizalanmış, kimliği doğrulanmış bir kimliğe göre değerlendirir; mevcut temel spesifikasyon RFC 9989, Mayıs 2026'da yayınlandı. Yayınlanması, her ürünün güncellenmiş işlemeyi benimsediğini kanıtlamaz. Mevcut DMARC spesifikasyonu.
Personel postalarını, vaka yönetimi bildirimlerini, genel abonelik mesajlarını ve yetkilendirilmiş gönderenleri kapsayan bir kanıt planı hazırlayın. Her akış için görünür Kimden alanını, sorumlu ekibi, imzalama hizmetini, rapor hedefini ve teslimatın başarısız olması durumunda oluşacak etkiyi tanımlayın. Alıcı gözlemlerini yalnızca yetkili bir test gerçekten gerçekleştiğinde koruyun. Yapılandırıldı diyen bir e-tablo hücresi sessizce başarılı bir teslimat testi haline gelmemelidir. Olay raporlarını ve hassas mesaj içeriklerini halka açık bir makaleye yerleştirmek yerine onaylı depolarda saklayın.
Kurgusal bir konsey örneği üzerinde çalışın
Personel postasını ve ayrı bir randevu bildirimi tedarikçisini işleten kurgusal bir konsey düşünün. Personel alanının kısıtlayıcı bir politikası olduğundan, projesi başlangıçta DMARC yaptırımını tamamlanmış olarak kaydediyor. Önerilen incelemede cevaplanmamış bir soru ortaya çıkıyor: Tedarikçi randevu mesajları için uyumlu bir kimlik kullanıyor mu? Bu örnekte hiçbir mesaj incelenmemiştir, dolayısıyla bulgu başarısız bir test değil, bir kanıt boşluğudur.
Konseyin politika sahibi öncelikle ilgili kamu sektörü kapsamını doğrulayacaktır. Mesajlaşma ekibi daha sonra temsili randevu akışlarını ve kontrollü bir kabul planını tanımlayacaktı. Güvenlik ekibi, Posta Kontrolü kullanımdan kaldırıldıktan sonra raporların korunan bir hedefe ulaştığını ayrı ayrı doğrulayacaktır. Doldurulmuş bir tedarikçi anketi yararlı bir hazırlık olabilir ancak gerçek mesaj kanıtlarının yerini almaz. Onayda hem kesinti riskini kabul eden işletme sahibinin hem de DNS değiştirmesine izin verilen operatörün adı belirtilmelidir.
İstisnaları ve inceleme tarihlerini açıkça belirtin
Bir istisna kaydında hangi alanın veya rotanın etkilendiği, hedef kontrolün neden henüz karşılanmadığı, hangi telafi edici önlemlerin mevcut olduğu ve kalan riski kimin kabul edebileceği belirtilmelidir. Bir inceleme tarihi ve tedarikçi geçişi, sınıflandırma değişikliği veya emeklilik bildirimi gibi bir tetikleyici ekleyin. Bir web sayfasının son güncellenme tarihinden itibaren yasal bir son tarih üretmeyin veya geçmiş değerlendirme düzenlemelerinin, değişiklik günlüğünde kaldıkları için hala geçerli olduğunu varsaymayın.
Katalog şunları gerektirir: Uygun düzenleme veya hukuk uzmanı tarafından incelenen bir kontrol yetkisi tablosu. Ekteki harita, uzman incelemesi değil, bu tablonun onaylanmamış bir hazırlığıdır. Yayınlamadan önce Birleşik Krallık politikasını ve yasal sahip onayını, hizmet geçişine ilişkin teknik KOBİ incelemesini ve uygulama iddialarına ilişkin orijinal operasyonel kanıtları edinin. Tam okuyucu aynı zamanda görsel, üretim rotası ve sahipten çıkış kapılarını da açık bırakır. Bu makale için hiçbir konseye, hükümet sistemine veya rapor hedefine erişilmedi veya değiştirilmedi.