Διαχείριση περιουσιακών στοιχείων
Τα δεδομένα, το προσωπικό, οι συσκευές, τα συστήματα και οι εγκαταστάσεις που επιτρέπουν στον οργανισμό να επιτύχει τους επιχειρηματικούς του στόχους προσδιορίζονται και διαχειρίζονται ανάλογα με τη σχετική τους σημασία για τους επιχειρηματικούς στόχους και τη στρατηγική κινδύνου του οργανισμού.

Καταγραφή των φυσικών συσκευών και συστημάτων εντός του οργανισμού
Απογραφή των πλατφορμών λογισμικού και των εφαρμογών εντός του οργανισμού
Χαρτογραφούνται οι ροές επικοινωνίας και δεδομένων εντός του οργανισμού
Καταγράφονται τα εξωτερικά συστήματα πληροφοριών
Οι πόροι (π.χ. υλικό, συσκευές, δεδομένα και λογισμικό) ιεραρχούνται ανάλογα με την ταξινόμησή τους και την επιχειρηματική τους αξία.
Καθορίζονται οι ρόλοι και οι ευθύνες της κυβερνοασφάλειας για όλο το προσωπικό και τους εξωτερικούς ενδιαφερόμενους (π.χ. προμηθευτές, πελάτες, συνεργάτες).

Business environment
Κατανοούνται και ιεραρχούνται η αποστολή, οι στόχοι, τα ενδιαφερόμενα μέρη και οι δραστηριότητες του οργανισμού- οι πληροφορίες αυτές χρησιμοποιούνται για τη λήψη αποφάσεων σχετικά με τους ρόλους, τις αρμοδιότητες και τη διαχείριση των κινδύνων στον κυβερνοχώρο.

Προσδιορίζεται και γνωστοποιείται ο ρόλος του οργανισμού στην αλυσίδα εφοδιασμού.
Προσδιορίζεται και κοινοποιείται η θέση του οργανισμού στις κρίσιμες υποδομές και στον επιχειρηματικό τομέα.
Προσδιορίζονται και κοινοποιούνται οι προτεραιότητες για την αποστολή, τους στόχους και τις δραστηριότητες του οργανισμού.
Προσδιορίζονται οι εξαρτήσεις και οι κρίσιμες λειτουργίες για την παροχή κρίσιμων υπηρεσιών.
Προσδιορίζονται οι απαιτήσεις ανθεκτικότητας για την υποστήριξη της παροχής κρίσιμων υπηρεσιών.

Διακυβέρνηση
Οι πολιτικές, οι διαδικασίες και οι διεργασίες για τη διαχείριση και την παρακολούθηση των κανονιστικών, νομικών, επικίνδυνων, περιβαλλοντικών και λειτουργικών απαιτήσεων του οργανισμού είναι κατανοητές και αποτελούν τη βάση για τη διαχείριση των κινδύνων ασφάλειας στον κυβερνοχώρο.

Η πολιτική ασφάλειας πληροφοριών του οργανισμού είναι σε ισχύ.
Οι ρόλοι και οι αρμοδιότητες για την ασφάλεια πληροφοριών συντονίζονται και ευθυγραμμίζονται με τους εσωτερικούς ρόλους και τους εξωτερικούς εταίρους.
Οι νομικές και κανονιστικές απαιτήσεις ασφάλειας στον κυβερνοχώρο, συμπεριλαμβανομένων των υποχρεώσεων προστασίας της ιδιωτικής ζωής και των πολιτικών ελευθεριών, είναι κατανοητές και αντιμετωπίζονται.
Οι διαδικασίες διακυβέρνησης και διαχείρισης κινδύνων αντιμετωπίζουν τους κινδύνους κυβερνοασφάλειας.

Έλεγχος πρόσβασης
Η πρόσβαση σε περιουσιακά στοιχεία και συναφείς εγκαταστάσεις περιορίζεται σε εξουσιοδοτημένους χρήστες, διαδικασίες ή συσκευές και σε εξουσιοδοτημένες δραστηριότητες και συναλλαγές.

Διαχείριση ταυτοτήτων και διαπιστευτηρίων για εξουσιοδοτημένες συσκευές και χρήστες
Διαχείριση και προστασία της φυσικής πρόσβασης σε περιουσιακά στοιχεία
Διαχείριση απομακρυσμένης πρόσβασης
Διαχείριση των δικαιωμάτων πρόσβασης, με σεβασμό των αρχών των λιγότερων προνομίων και του διαχωρισμού των καθηκόντων.
Προστατεύεται η ακεραιότητα του δικτύου, συμπεριλαμβανομένου του διαχωρισμού του δικτύου, όπου ενδείκνυται.

Ευαισθητοποίηση
Το προσωπικό και οι συνεργάτες του οργανισμού λαμβάνουν εκπαίδευση για την ασφάλεια στον κυβερνοχώρο και είναι επαρκώς εκπαιδευμένοι ώστε να εκτελούν τα καθήκοντα και τις ευθύνες τους που σχετίζονται με την ασφάλεια των πληροφοριών σύμφωνα με τις σχετικές πολιτικές, διαδικασίες και συμφωνίες.

Όλοι οι χρήστες ενημερώνονται και εκπαιδεύονται
Οι εξουσιοδοτημένοι χρήστες κατανοούν τους ρόλους και τις ευθύνες
Τα εξωτερικά ενδιαφερόμενα μέρη (π.χ. προμηθευτές, πελάτες, συνεργάτες) κατανοούν τους ρόλους και τις ευθύνες.
Τα ανώτερα στελέχη κατανοούν τους ρόλους και τις ευθύνες.
Το προσωπικό φυσικής ασφάλειας και ασφάλειας πληροφοριών κατανοεί τους ρόλους και τις ευθύνες.

Ασφάλεια δεδομένων
Η διαχείριση των πληροφοριών και των αρχείων (δεδομένων) γίνεται σύμφωνα με τη στρατηγική κινδύνου του οργανισμού για την προστασία της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας των πληροφοριών.

Τα δεδομένα σε κατάσταση ηρεμίας προστατεύονται
Προστατεύονται τα δεδομένα κατά τη διαμετακόμιση
Τα περιουσιακά στοιχεία διαχειρίζονται επίσημα κατά τη διάθεση, τη μεταβίβαση και τη διάθεση
Διατηρείται επαρκής χωρητικότητα για τη διασφάλιση της διαθεσιμότητας
Εφαρμόζονται μέτρα προστασίας κατά της διαρροής δεδομένων
Χρησιμοποιούνται μηχανισμοί ελέγχου ακεραιότητας για την επαλήθευση της ακεραιότητας του λογισμικού, του υλικολογισμικού και των πληροφοριών.
Το(τα) περιβάλλον(α) ανάπτυξης και δοκιμών διαχωρίζεται(-ονται) από το περιβάλλον παραγωγής.

Διαδικασία και διαδικασίες ασφάλειας πληροφοριών
Διαδικασίες και διαδικασίες ασφάλειας πληροφοριών (PR.IP): Διατηρούνται και χρησιμοποιούνται πολιτικές ασφάλειας (που καλύπτουν τον σκοπό, το πεδίο εφαρμογής, τους ρόλους, τις αρμοδιότητες, τη δέσμευση της διοίκησης και τον συντονισμό μεταξύ των οργανωτικών οντοτήτων), διεργασίες και διαδικασίες για τη διαχείριση της προστασίας των συστημάτων πληροφοριών και των περιουσιακών στοιχείων.

Δημιουργείται και διατηρείται μια βασική διαμόρφωση της τεχνολογίας πληροφοριών/βιομηχανικών συστημάτων ελέγχου.
Εφαρμόζεται ένας κύκλος ανάπτυξης συστημάτων για τη διαχείριση συστημάτων.
Υπάρχουν διαδικασίες ελέγχου για τις αλλαγές διαμόρφωσης.
Δημιουργούνται, διατηρούνται και ελέγχονται περιοδικά αντίγραφα ασφαλείας των πληροφοριών.
Τηρούνται οι πολιτικές και οι κανονισμοί σχετικά με το φυσικό περιβάλλον λειτουργίας των περιουσιακών στοιχείων του οργανισμού.
Τα δεδομένα καταστρέφονται σύμφωνα με την πολιτική
Οι διαδικασίες ασφάλειας βελτιώνονται συνεχώς.
Η αποτελεσματικότητα των τεχνολογιών προστασίας μοιράζεται με τα κατάλληλα μέρη εφαρμόζονται και διαχειρίζονται σχέδια αντιμετώπισης (αντιμετώπιση περιστατικών και επιχειρησιακή συνέχεια) και σχέδια ανάκαμψης (αποκατάσταση περιστατικών και αποκατάσταση από καταστροφές)
Τα σχέδια απόκρισης και ανάκαμψης δοκιμάζονται
Η ασφάλεια στον κυβερνοχώρο περιλαμβάνεται στις πολιτικές προσωπικού (π.χ. έλεγχος προσωπικού)
Αναπτύσσεται και εφαρμόζεται σχέδιο διαχείρισης ευπαθειών

ΣυντήρησηΣυντήρηση
Η συντήρηση και οι επισκευές των εξαρτημάτων των βιομηχανικών συστημάτων ελέγχου και πληροφοριών πραγματοποιούνται σύμφωνα με τις πολιτικές και τις διαδικασίες.

Η συντήρηση και η επισκευή των περιουσιακών στοιχείων του οργανισμού εκτελείται και καταγράφεται εγκαίρως, χρησιμοποιώντας εγκεκριμένα και ελεγχόμενα εργαλεία.
Η εξ αποστάσεως συντήρηση των οργανωσιακών περιουσιακών στοιχείων εγκρίνεται, καταγράφεται και εκτελείται με τρόπο που αποτρέπει τη μη εξουσιοδοτημένη πρόσβαση.

Προστατευτική τεχνολογία
Η διαχείριση των λύσεων τεχνικής ασφάλειας διασφαλίζει την ασφάλεια και την ανθεκτικότητα των συστημάτων και των περιουσιακών στοιχείων, σύμφωνα με τις σχετικές πολιτικές, διαδικασίες και συμφωνίες.

Καθορίζονται, τεκμηριώνονται, εφαρμόζονται και επανεξετάζονται τα αρχεία ελέγχου/ημερολογίου σύμφωνα με την πολιτική.
Τα αφαιρούμενα μέσα προστατεύονται και η χρήση τους περιορίζεται σύμφωνα με την πολιτική.
Ελέγχεται η πρόσβαση σε συστήματα και περιουσιακά στοιχεία, με σεβασμό της αρχής της ελάχιστης λειτουργικότητας.
Προστατεύονται τα δίκτυα επικοινωνίας και ελέγχου

Ανωμαλίες και γεγονότα
Οι ανωμαλίες εντοπίζονται εγκαίρως και ο δυνητικός αντίκτυπος των γεγονότων γίνεται κατανοητός.

Καθιέρωση και διαχείριση ενός βασικού επιπέδου λειτουργίας του δικτύου και των αναμενόμενων ροών δεδομένων για τους χρήστες και τα συστήματα.
Ανάλυση των παρατηρούμενων συμβάντων για την κατανόηση των στόχων και των μεθόδων επίθεσης
Συγκεντρώνονται και συσχετίζονται δεδομένα συμβάντων από πολλαπλές πηγές και αισθητήρες.
Καθορίζεται ο αντίκτυπος των συμβάντων και καθορίζονται κατώτατα όρια για συναγερμούς συμβάντων.

Συνεχής παρακολούθηση της ασφάλειας
Το σύστημα πληροφοριών και τα περιουσιακά στοιχεία παρακολουθούνται σε διακριτά χρονικά διαστήματα για τον εντοπισμό συμβάντων ασφάλειας στον κυβερνοχώρο και την επαλήθευση της αποτελεσματικότητας των μέτρων προστασίας.

Το δίκτυο παρακολουθείται για τον εντοπισμό πιθανών συμβάντων κυβερνοασφάλειας
Το φυσικό περιβάλλον παρακολουθείται για την ανίχνευση πιθανών συμβάντων ασφάλειας στον κυβερνοχώρο.
Οι δραστηριότητες του προσωπικού παρακολουθούνται για τον εντοπισμό πιθανών συμβάντων ασφάλειας στον κυβερνοχώρο.
Εντοπίζεται κακόβουλος κώδικας
Ανιχνεύεται μη εξουσιοδοτημένος κινητός κώδικας
Η δραστηριότητα των εξωτερικών παρόχων υπηρεσιών παρακολουθείται για την ανίχνευση πιθανών συμβάντων ασφάλειας στον κυβερνοχώρο.
Γίνονται έλεγχοι για μη εξουσιοδοτημένο προσωπικό, μη εξουσιοδοτημένες συνδέσεις, μη εξουσιοδοτημένες συσκευές και μη εξουσιοδοτημένο λογισμικό.
Πραγματοποιούνται σαρώσεις για ευπάθειες

Διαδικασίες ανίχνευσης
Διατηρούνται και ελέγχονται οι διαδικασίες και οι διαδικασίες ανίχνευσης, ώστε να διασφαλίζεται η έγκαιρη και επαρκής συνειδητοποίηση των ανώμαλων συμβάντων.

Σχεδιασμός αντίδρασης
Εφαρμόζονται και διατηρούνται διεργασίες και διαδικασίες αντιμετώπισης, ώστε να διασφαλίζεται η έγκαιρη ανταπόκριση σε εντοπισμένα συμβάντα ασφάλειας στον κυβερνοχώρο.

Το σχέδιο αντιμετώπισης εφαρμόζεται κατά τη διάρκεια ή μετά από ένα συμβάν

Επικοινωνίες
Οι δραστηριότητες ανταπόκρισης συντονίζονται με εσωτερικούς και εξωτερικούς ενδιαφερόμενους φορείς ανάλογα με την περίπτωση, συμπεριλαμβανομένης της εξωτερικής υποστήριξης από τις υπηρεσίες επιβολής του νόμου.

Το προσωπικό γνωρίζει το ρόλο του και την ακολουθία των ενεργειών όταν απαιτείται ανταπόκριση.
Τα συμβάντα αναφέρονται σύμφωνα με τα καθιερωμένα κριτήρια
Οι πληροφορίες ανταλλάσσονται σύμφωνα με τα σχέδια αντιμετώπισης.
Ο συντονισμός με τα ενδιαφερόμενα μέρη γίνεται σύμφωνα με τα σχέδια αντιμετώπισης.
Εθελοντική ανταλλαγή πληροφοριών με εξωτερικούς ενδιαφερόμενους φορείς για την επίτευξη ευρύτερης επίγνωσης της κατάστασης στον κυβερνοχώρο

Ανάλυση
Πραγματοποιείται ανάλυση για τη διασφάλιση της κατάλληλης απόκρισης και την υποστήριξη των δραστηριοτήτων ανάκαμψης.

Rοι αναφορές από τα συστήματα ανίχνευσης διερευνώνται
Κατανοείται ο αντίκτυπος του συμβάντος
Διενεργούνται εγκληματολογικές έρευνες.
Τα περιστατικά κατηγοριοποιούνται σύμφωνα με τα σχέδια αντιμετώπισης.

Σχεδιασμός ανάκαμψης
Εφαρμόζονται και διατηρούνται διεργασίες και διαδικασίες αποκατάστασης ώστε να διασφαλίζεται η έγκαιρη αποκατάσταση των συστημάτων ή των περιουσιακών στοιχείων που επηρεάζονται από συμβάντα ασφάλειας στον κυβερνοχώρο.

Το σχέδιο αποκατάστασης θα εφαρμοστεί κατά τη διάρκεια ή μετά από ένα συμβάν

Βελτιώσεις
Ο σχεδιασμός και οι διαδικασίες ανάκαμψης θα βελτιωθούν με την ενσωμάτωση των διδαγμάτων στις μελλοντικές δραστηριότητες.

Τα σχέδια αποκατάστασης ενσωματώνουν τα διδάγματα που αντλήθηκαν.
Οι στρατηγικές ανάκαμψης επικαιροποιούνται

Επικοινωνίες
Οι δραστηριότητες αποκατάστασης συντονίζονται με εσωτερικά και εξωτερικά μέρη, όπως τα κέντρα συντονισμού, οι πάροχοι υπηρεσιών διαδικτύου, οι ιδιοκτήτες των επιτιθέμενων συστημάτων, τα θύματα, άλλα CSIRT και οι προμηθευτές.

Οι δημόσιες σχέσεις διαχειρίζονται
Αποκατάσταση της φήμης μετά το συμβάν
Οι δραστηριότητες αποκατάστασης κοινοποιούνται στα εσωτερικά ενδιαφερόμενα μέρη και στις εκτελεστικές και διοικητικές ομάδες.