确定适用的澳大利亚当局
澳大利亚政府电子邮件保证始于实体的状态及其采用的安全框架。 2026 年 9 月信息安全手册控制不仅仅是对每家澳大利亚企业强加的现有法律。保护性安全政策框架适用性页面表示，受 PGPA 法案约束的非公司联邦实体必须在符合立法的范围内应用 PSPF。其他组织需要记录自己的采用、合同或特定部门的基础。 PSPF适用性.
《政府业务安全部长指令》于 2025 年 7 月 3 日发布。它为所覆盖的英联邦人口提供了可识别的政策权威。将该权限与技术控制目录和为系统选择控制的本地决策分开记录。国务院、大学和联邦实体不应仅仅因为其邮件基础设施看起来相似而被赋予相同的法律地位。 部长指令.
保留手册版本和控制标识符
2026 年 9 月 ISM 电子邮件章节提供了精确的实施目标。 ISM-0861 地址出站 DKIM 签名； ISM-1026 解决了入站签名的验证问题。 ISM-1540 要求在消息失败时对组织域（包括子域）采取拒绝策略 DMARC。 ISM-1799 解决了DMARC失败的传入消息。这些是单独的记录：已发布的出站策略并不表明入站网关执行了所需的评估。 2026 年 9 月电子邮件控制.
在本地评估中准确保留控制编号、修订版本、更新日期和适用性标签。版本日期和单个控件的修订日期是不同的事实。 9 月版中的多个身份验证控件保留了早期的修订日期。对于这些控件，显示的“基本八项”字段不适用；不要将它们重新命名为额外的基本八个成熟度级别。源引用还必须保留它是否涉及签名、验证、通讯组列表行为或策略发布。
协调高级目录标签
澳大利亚政府架构条目提出了重要的阅读警告。它显示了强制性合规标签，而其适用性文本描述了针对非公司联邦实体的 ISM 推荐以及 ASD 的深思熟虑的建议。仅该页面无法解决特定系统的精确义务。保留差异并让安全策略所有者确定适用的 PSPF 要求、方向、合同或代理策略，而不是选择支持更强有力的销售声明的标签。 AGA ISM 条目.
即使在明确需要实施的情况下，这种区别也是有用的。权威回答谁必须采取行动；所选控制措施回答了应该实施什么；证据回答了该组织是否已经做到了这一点。将所有三者组合成一个绿色合规徽章会使以后的审查更加困难。如果适用的策略发生变化，原始决策跟踪应解释为什么包含控制以及它覆盖哪个系统边界。
将控制转化为可观察的证据
对于出站签名，提出涵盖已批准的服务、选择器和域的示例计划。对于入站验证，提出识别网关、规则版本和身份验证结果的接收方证据。对于DMARC策略，保留查询的名称、答案、观察时间和子域处理。本文并未收集这些观察结果。因此，证据图描述了预期的文物和提议的所有者，但明确未接受接受。
技术解释应使用当前协议语义。 RFC 9989 指定DMARC的域对齐评估；它不会将任何成功的签名转化为可见发送者一致的证据。有效的 DKIM签名 来自不相关域的可能无法满足正在评估的策略。同样，限制性策略并不能阻止攻击者使用不同的 相似域名 或合法帐户被盗。将这些残余风险排除在狭隘的控制结果之外。 DMARC核心.
使用虚构的多服务评估
考虑一个虚构的联邦服务机构，其中包含员工电子邮件、拨款通知和外部操作的邮件列表。其提议的映射将出站签名和域策略证据分配给消息传递团队，将供应商消息证据分配给授权服务所有者，并将入站验证证据分配给网关运营商。邮件列表行引用了 ISM 对保留外部发件人的DKIM有效性的控制，而不是假设成功的员工邮件传递涵盖了列表重新分发。这里没有检查此类服务。
评估不应仅仅因为一行空白而要求立即更改DNS 。首先确定空白是否意味着不适用、未实施、无法获得证据或未进行测试。这些状态需要不同的响应。记录有时限的调查以及可以批准任何纠正措施的人员。供应商声称其支持DMARC并不能证明特定的授权通知路由已正确配置。
在不夸大合规性的情况下扩大差距
给机构的政策或法律专家带来材料来源的模糊性。为技术中小企业带来协议解释和网关行为。将缺失的供应商承诺提供给服务所有者。决策记录应显示谁解决了每个问题以及解决方案是否改变了范围、控制选择或证据期望。请勿用商业交付能力评分代替机构框架下的保证结论。
当新的 ISM 版本、PSPF 方向、供应商变更或系统分类影响服务时，请查看地图。保留被取代的快照及其日期，以便历史决策仍然可以解释，而无需将旧控件呈现为当前控件。政策发布日期并不能证明实施日期，文件散列也不能证明机构接受其内容。
确切的委托证据是： 由适当的监管或法律专家审查的控制权表。该软件包提供了未经审查的权威地图，而不是该专家的决定。原始系统证据、机构适用性、技术验收、生产演示和出版许可仍然开放。没有对澳大利亚组织的配置进行查询或更改，也没有颁发合法合规证书。