Cadre de travail du gouvernement néo-zélandais pour le courrier électronique sécurisé avec DMARC obligatoire
Mise à jour du 11 août 2025: Nous avons ajouté une section dans laquelle nous examinons les taux d'adoption du DMARC par le gouvernement néo-zélandais à l'approche de la date limite de déploiement. D'ici octobre 2025, toutes les agences gouvernementales néo-zélandaises devront avoir configuré leurs normes de sécurité des courriels pour s'aligner sur le Secure Email Framework.
Le gouvernement néo-zélandais a mis en place un cadre global, Secure Government Email (SGE), destiné à renforcer la sécurité du courrier électronique dans les organismes du secteur public. Ce nouveau cadre décrit les orientations techniques et les meilleures pratiques, comme DMARC, pour protéger les systèmes de messagerie électronique contre le phishing, l'usurpation d'identité et l'utilisation non autorisée.
Vous pouvez lire l'annonce et consulter le cadre de travail ici.
L'importance du cadre pour les courriels sécurisés du gouvernement
Le cadre du SGE vise à :
- Renforcer la sécurité des communications externes par courrier électronique
- Réduire les risques d'usurpation de domaine et d'hameçonnage
- Supprimer progressivement l'ancien système de courrier électronique crypté sécurisé(SEEMail) d'ici à 2026.
Contrairement à SEEMail, qui est basé sur une passerelle et propriétaire, le cadre SGE utilise des normes ouvertes, ce qui le rend accessible à toutes les agences gouvernementales de la Nouvelle-Zélande. Cette transition souligne l'engagement du gouvernement à moderniser son infrastructure de sécurité du courrier électronique.
Normes fondamentales de sécurité du courrier électronique dans le cadre
Le cadre SGE fournit des recommandations spécifiques pour la mise en œuvre de protocoles modernes de sécurité du courrier électronique :
- Sécurité de la transmission
Mettre en œuvre des normes de cryptage telles que TLS, MTA-STS et TLS-RPT pour protéger le courrier électronique en transit. - Intégrité des messages
Utilisez DKIM (DomainKeys Identified Mail) pour signer numériquement les courriels et valider l'intégrité des messages. - Vérification de l'expéditeur
Appliquer SPF (Sender Policy Framework) pour s'assurer que seuls les services autorisés peuvent envoyer des courriels au nom d'un domaine. - Protection contre le spoofing
Adoptez DMARC (Domain-based Message Authentication, Reporting and Conformance) avec une politique de "rejet" pour bloquer les courriels frauduleux.
L'application de DMARC est désormais obligatoire
Un élément essentiel de ce cadre est l'obligation pour tous les domaines utilisant le courrier électronique de mettre en œuvre des politiques politiques DMARC réglées sur p=reject.
Cette politique est essentielle pour réduire le risque d'usurpation de domaine et d'attaques par hameçonnage, car elle demande aux serveurs de réception de rejeter les courriels qui n'ont pas été authentifiés.
Pour maintenir une bonne hygiène en matière de courrier électronique, le cadre prévoit également ce qui suit :
- Rapports DMARC réguliers
- Analyse continue
- Remédiation rapide à tout problème
Adoption du DMARC par le gouvernement néo-zélandais
Sur les 468 domaines de l'administration néo-zélandaise équipés d'une messagerie électronique que nous avons étudiés, 44 % étaient dotés d'une politique d'application des règles suivantes p=quarantine ou p=rejectmais la majorité d'entre eux (56 %) ne sont pas protégés par la défense fondamentale DMARC. Voici les résultats complets :
- 17% n'ont pas d'enregistrement DMARC et n'ont pas la visibilité nécessaire pour sécuriser leurs domaines.
- 39% ont un enregistrement à la phase de surveillancep=none, qui marque le début du déploiement de DMARC.
- 14% ont une politique d'application DMARC de p=quarantinel'avant-dernière progression de la politique précédant p=reject.
- 30% sont au niveau de la p=reject et profitent pleinement de la protection offerte par DMARC.
"À trois mois de l'échéance du cadre SGE, je m'attendais à voir davantage d'agences commencer la mise en œuvre", déclare Tass Kalfoglou, directeur de l'unité commerciale APAC, basée en Australie. "Dans la phase initiale du déploiement de DMARC, il convient de cataloguer la liste des domaines et d'établir des rapports. Cette étape fondamentale permet de définir l'étendue du travail nécessaire. Commencer tôt permet également de gagner du temps, de réduire le risque d'erreurs et de construire un historique complet des données qui donne une plus grande confiance lorsque l'on est prêt à passer à l'application du DMARC."
Parmi les domaines que nous avons étudiés, 12 % présentaient des enregistrements DMARC problématiques, dont 7 % ne comportaient pas de balise RUA, l'élément central des rapports DMARC. La balise RUA spécifie une adresse électronique pour les rapports globaux, qui fournissent une vue d'ensemble du trafic d'un domaine ainsi que des résultats d'authentification DKIM et SPF. Les propriétaires de domaines doivent au minimum configurer leur enregistrement DMARC pour recevoir les rapports RUA ; sans eux, les précieux rapports XML produits par les serveurs de messagerie récepteurs se perdent dans l'éther, et vous ne pouvez pas voir ce qui se passe avec vos domaines.
Des problèmes liés aux enregistrements SPF ont été constatés dans 20 % des domaines. Les problèmes les plus courants observés dans les domaines gouvernementaux néo-zélandais sont l'absence d'enregistrements SPF, le trop grand nombre de recherches DNS et les erreurs de syntaxe.
"Les erreurs et les avertissements identifiés par notre audit sont généralement simples à résoudre, mais peuvent facilement passer inaperçus sans une solution de gestion DMARC dédiée", poursuit M. Tass. "Notre plateforme fournit une visualisation holistique de votre infrastructure de messagerie, en attirant immédiatement votre attention sur ces erreurs de configuration. Certains de ces avertissements représentent un risque important, capable de vous rendre vulnérable même avec une configuration p=reject en place."
Ce que cela signifie pour les agences gouvernementales
D'ici 2026, les agences doivent retirer SEEMail et passer entièrement au modèle conforme au SGE. Ce changement reflète un engagement plus large du gouvernement néo-zélandais en faveur de l'adoption de solutions évolutives et ouvertes qui améliorent la sécurité sans dépendre de systèmes propriétaires.
Pour de nombreuses agences, cela nécessitera une révision des configurations de messagerie existantes et des intégrations de services tiers. Les agences qui agissent tôt réduiront non seulement leur exposition aux menaces de phishing et d'usurpation d'identité, mais seront également mieux positionnées pour respecter les délais de conformité sans perturbation opérationnelle. Une mise en œuvre proactive permet également de disposer de plus de temps pour renforcer les capacités internes et s'aligner sur d'autres initiatives de transformation numérique.
D'après mon expérience dans des environnements où DMARC est obligatoire, je m'attends à une ruée de dernière minute pour se mettre en conformité. Il y a une nette différence entre accepter une tâche de son plein gré et y être contraint. Il se peut que les individus ne saisissent pas pleinement l'importance de ce travail ou qu'ils ne disposent pas des ressources nécessaires pour le mener à bien dans les délais impartis".
-Tass Kalfoglou, directeur de dmarcian APAC
Comment dmarcian peut aider
En tant que leader dans la mise en œuvre et la gestion de DMARC, dmarcian est particulièrement bien placé pour aider les agences néo-zélandaises à répondre à ces nouvelles exigences en matière de sécurité du courrier électronique.
Notre plateforme et nos services comprennent
- Configuration des enregistrements DMARC
- Alignement DKIM, SPF et MTA-STS
- Rapports avancés et alertes en cas d'incident
Que vous commenciez votre transition ou que vous ayez besoin d'aide pour optimiser une configuration existante, notre équipe est prête à vous aider, avec une présence régionale.
Prêt à commencer ?
Contactez-nous dès aujourd'hui pour discuter de la manière dont nous pouvons aider votre agence à mettre en œuvre et à maintenir la conformité avec le Secure Email Framework du gouvernement néo-zélandais de manière efficace, efficiente et en toute confiance.
Contactez notre équipe basée en Asie-Pacifique
Vous voulez continuer la conversation ? Rendez-vous sur le forum dmarcien.
