從公共部門邊界開始
英國政府電子郵件要求應附加到指定的組織、網域和資訊處理上下文。不應要求每個英國公司都必須部署特定的DNS策略。 GOV.UK 保護政府電子郵件頁面的最後更新日期為 2024 年 3 月 4 日，並於 2026 年 11 月 8 日在此處審核，明確涵蓋公共部門組織運營的互聯網電子郵件域。它至少需要TLS和 DMARC，同時適當保護所交換的資訊。這是政府政策背景，而不是普遍商業部門法規的證據。 英國政府政策.
從組織的合法身分和公共部門關係開始適用性記錄。新增每個發送和接收網域、服務所有者和處理的資訊的分類。供應商的參與需要其自己的合約分析：政府客戶和熟悉的網域後綴本身並不能確定約束供應商的每項義務。記錄將要求納入該服務的實際政策或協議。
一起閱讀策略和配置說明
配套設定指南包括郵箱、中繼、過濾服務和第三方交易寄件者。其身份驗證指令涵蓋入站檢查和分階段出站 DMARC執行， 和 SPF 和 DKIM 配置。將分階段政策視為具有所有者和退出標準的實施步驟，而不是無限期的完成定義。在評估其營運依賴性時，該指南的 2024 年 3 月日期也很重要。 政府電子郵件設定.
對於資訊分類環境，內閣辦公室指南 1.5（2024 年 8 月 5 日發布的 2.0 版）確定了其電子郵件控制中的網域身份驗證和傳輸保護。官方電子郵件欄位包括DMARC 、 DKIM 、 SPF 、 MTA-STS 和TLS報告；更敏感的層級有不同的共享安排。不要將該列與周圍的分類表分開，也不要提供適合每種分類的網路郵件設計。 安全顧問指導.
解決退役軍人依賴問題
源集中存在具體版本問題。舊的設定頁面仍將管理員引導至NCSC Mail Check，包括報告和註冊範例。 NCSC自己的停用通知確認 Mail Check 和 Web Check 已於 2026 年 3 月 31 日結束。因此，目前的實施計劃無法將這些較舊的指令視為服務仍然可用的證據。這是一個依賴協調問題，而不是放棄底層身分驗證控制的理由。 NCSC退休通知.
庫存報告目的地、通知所有權以及用於調查故障的服務。確定哪些目的地屬於組織，哪些目的地依賴退役或外部提供的處理。僅在評估訪問、保留、保密性和成本後才建議更換。本文不授權更改報告地址或訂閱服務。保留舊記錄和批准的過渡計劃，以便審核員可以區分計劃的遷移和無法解釋的監控差距。
圍繞實際郵件流建立證據
有用的控制記錄具有用於需求、預期設定和觀察到的結果的單獨欄位。發布限制性DNS策略既不能證明每個合法應用程式都一致，也不能證明每個接收者都拒絕 欺騙。 DMARC根據一致的經過驗證的身份評估作者域；目前的核心規格是 RFC 9989，於 2026 年 5 月發布。其發布並不能證明每個產品都採用了其更新的處理。 當前DMARC規範.
準備一份涵蓋員工郵件、案件管理通知、公開訂閱訊息和委託寄件者的證據計畫。對於每個流程，確定可見的寄件者域、負責團隊、簽名服務、報告目標以及交付失敗時的影響。僅當授權測試實際發生時才保留接收器觀察結果。表示已配置的電子表格單元格不應默默地成為成功的交付測試。將事件報告和敏感訊息內容保存在核准的儲存庫中，而不是將其嵌入公共文章中。
透過一個虛構的理事會範例進行工作
想像一個虛構的理事會操作工作人員郵件和一個單獨的預約通知供應商。其專案最初將DMARC實施記錄為完整，因為員工領域具有限制性策略。擬議的審查發現了一個懸而未決的問題：供應商是否使用一致的身份來發送預約訊息？此範例中未檢查任何訊息，因此發現的結果是證據差距，而不是失敗的測試。
該委員會的政策所有者將首先確認相關的公共部門範圍。然後，訊息傳遞團隊將定義代表任命流程和受控驗收計畫。郵件檢查停用後，安全團隊將單獨驗證報告是否到達維護的目的地。完整的供應商調查問卷將是有用的準備，但不會取代實際的資訊證據。批准應指定接受中斷風險的企業主和允許更改DNS運營商。
明確例外情況及審核日期
異常記錄應說明哪些域或路徑受到影響、為什麼尚未達到目標控制、有哪些補償措施以及誰可以接受剩餘風險。新增審核日期和觸發器，例如供應商遷移、分類變更或退休通知。不要根據網頁的最後更新日期制定法定截止日期，或假設歷史評估安排仍然適用，因為它們保留在更改日誌中。
此目錄要求： 由適當的監管或法律專家審查的控制權限表。隨附的地圖是該表未經批准的準備，未經專家審查。在發布之前，獲得英國政策和法律所有者確認、服務過渡的技術中小企業審查以及任何實施索賠的原始營運證據。完整的讀者也打開了視覺、生產路線和所有者發布的大門。本文未造訪或更改任何理事會、政府系統或報告目的地。