从公共部门边界开始
英国政府电子邮件要求应附加到指定的组织、域和信息处理上下文。不应要求每个英国公司都必须部署特定的DNS策略。 GOV.UK 保护政府电子邮件页面的最后更新日期为 2024 年 3 月 4 日，并于 2026 年 11 月 8 日在此处审核，明确涵盖公共部门组织运营的互联网电子邮件域。它至少需要TLS和 DMARC，同时适当保护所交换的信息。这是政府政策背景，而不是普遍商业部门法规的证据。 英国政府政策.
从组织的合法身份和公共部门关系开始适用性记录。添加每个发送和接收域、服务所有者和处理的信息的分类。供应商的参与需要其自己的合同分析：政府客户和熟悉的域名后缀本身并不能确定约束供应商的每项义务。记录将要求纳入该服务的实际政策或协议。
一起阅读策略和配置说明
配套设置指南包括邮箱、中继、过滤服务和第三方交易发件人。其身份验证指令涵盖入站检查和分阶段出站 DMARC执行， 和 SPF 和 DKIM 配置。将分阶段政策视为具有所有者和退出标准的实施步骤，而不是无限期的完成定义。在评估其运营依赖性时，该指南的 2024 年 3 月日期也很重要。 政府电子邮件设置.
对于信息分类环境，内阁办公室指南 1.5（2024 年 8 月 5 日发布的 2.0 版）确定了其电子邮件控制中的域身份验证和传输保护。官方电子邮件栏目包括DMARC 、 DKIM 、 SPF 、 MTA-STS 和TLS报告；更敏感的层级有不同的共享安排。不要将该列与周围的分类表分开，也不要提供适合每种分类的互联网邮件设计。 安全顾问指导.
解决退役军人依赖问题
源集中存在具体版本问题。旧的设置页面仍将管理员引导至NCSC Mail Check，包括报告和注册示例。 NCSC自己的停用通知确认 Mail Check 和 Web Check 已于 2026 年 3 月 31 日结束。因此，当前的实施计划无法将这些较旧的指令视为服务仍然可用的证据。这是一个依赖协调问题，而不是放弃底层身份验证控制的理由。 NCSC退休通知.
库存报告目的地、通知所有权以及用于调查故障的服务。确定哪些目的地属于组织，哪些目的地依赖于退役或外部提供的处理。仅在评估访问、保留、保密性和成本后才建议更换。本文不授权更改报告地址或订阅服务。保留旧记录和批准的过渡计划，以便审核员可以区分计划的迁移和无法解释的监控差距。
围绕实际邮件流建立证据
有用的控制记录具有用于需求、预期设置和观察到的结果的单独字段。发布限制性DNS策略既不能证明每个合法应用程序都一致，也不能证明每个接收者都拒绝 欺骗。 DMARC根据一致的经过身份验证的身份评估作者域；目前的核心规格是 RFC 9989，于 2026 年 5 月发布。其发布并不能证明每个产品都采用了其更新的处理。 当前DMARC规范.
准备一份涵盖员工邮件、案件管理通知、公共订阅消息和委托发件人的证据计划。对于每个流程，确定可见的发件人域、负责团队、签名服务、报告目标以及交付失败时的影响。仅当授权测试实际发生时才保留接收器观察结果。表示已配置的电子表格单元格不应默默地成为成功的交付测试。将事件报告和敏感消息内容保存在批准的存储库中，而不是将其嵌入公共文章中。
通过一个虚构的理事会示例进行工作
想象一下一个虚构的理事会操作工作人员邮件和一个单独的预约通知供应商。其项目最初将DMARC实施记录为完整，因为员工域具有限制性策略。拟议的审查发现了一个悬而未决的问题：供应商是否使用一致的身份来发送预约消息？此示例中未检查任何消息，因此发现的结果是证据差距，而不是失败的测试。
该委员会的政策所有者将首先确认相关的公共部门范围。然后，消息传递团队将定义代表任命流程和受控验收计划。邮件检查停用后，安全团队将单独验证报告是否到达维护的目的地。完整的供应商调查问卷将是有用的准备，但不会取代实际的信息证据。批准应指定接受中断风险的企业主和允许更改DNS运营商。
明确例外情况和审核日期
异常记录应说明哪些域或路径受到影响、为什么尚未达到目标控制、存在哪些补偿措施以及谁可以接受剩余风险。添加审核日期和触发器，例如供应商迁移、分类更改或退休通知。不要根据网页的最后更新日期制定法定截止日期，或假设历史评估安排仍然适用，因为它们保留在更改日志中。
该目录要求： 由适当的监管或法律专家审查的控制权限表。随附的地图是该表未经批准的准备，未经专家审查。在发布之前，获得英国政策和法律所有者确认、服务过渡的技术中小企业审查以及任何实施索赔的原始运营证据。完整的读者还打开了视觉、生产路线和所有者发布的大门。本文未访问或更改任何理事会、政府系统或报告目的地。