5.7 استخبارات التهديدات
يجب على المؤسسات الآن جمع وتحليل استخبارات التهديدات ذات الصلة بأمان معلوماتها. هذا يضفي الطابع الرسمي على ما تفعله المؤسسات الناضجة بالفعل بشكل غير رسمي.
التنفيذ: الاشتراك في موجزات التهديدات، مراقبة التنبيهات الأمنية، تتبع الثغرات التي تؤثر على مجموعة التقنيات الخاصة بك.
5.23 أمان المعلومات للخدمات السحابية
متطلبات صريحة لاستخدام الخدمات السحابية وشرائها وإدارتها بشكل آمن. تتناول المخاطر الخاصة بالسحابة.
التنفيذ: تقييمات أمان موفر السحابة، توثيق نموذج المسؤولية المشتركة، مراجعات تكوين السحابة.
5.30 جاهزية تقنية المعلومات والاتصالات لاستمرارية العمل
يضمن أن أنظمة تقنية المعلومات والاتصالات جاهزة لدعم متطلبات استمرارية العمل. يعزز تركيز المرونة.
التنفيذ: اختبار إجراءات التعافي من الكوارث، التحقق من استعادة النسخ الاحتياطية، ضمان التكرار.
8.9 إدارة التكوين
يتطلب إدارة تكوين موثقة للأنظمة ذات الصلة بالأمان. يمنع انحراف التكوين.
التنفيذ: البنية التحتية كشفرة، خطوط أساس للتكوين، تتبع التغييرات.
8.10 حذف المعلومات
يضمن حذف المعلومات بشكل آمن عندما لا تكون مطلوبة بعد الآن. يدعم تقليل البيانات.
التنفيذ: سياسات الاحتفاظ بالبيانات، إجراءات الحذف الآمن، عمليات التحقق.
8.11 إخفاء البيانات
يتطلب إخفاء البيانات الحساسة عند الاقتضاء. يدعم الخصوصية واحتياجات الاختبار.
التنفيذ: إخفاء الهوية لبيانات الاختبار، التنقيح في السجلات، الترميز عند الاقتضاء.
8.12 منع تسرب البيانات
يعالج منع استخراج البيانات والإفصاح غير المصرح به.
التنفيذ: أدوات DLP، تصفية الخروج، قيود USB، ضوابط البريد الإلكتروني.
8.16 أنشطة المراقبة
يضفي الطابع الرسمي على متطلبات مراقبة أنشطة المستخدمين والأنظمة.
التنفيذ: SIEM، تجميع السجلات، تحليلات سلوك المستخدم.
8.23 تصفية الويب
يتطلب تصفية الويب لمنع الوصول إلى المحتوى الضار.
التنفيذ: تصفية DNS، خوادم بروكسي، تصنيف عناوين URL.
8.28 الترميز الآمن
متطلبات صريحة لمبادئ الترميز الآمن في تطوير البرمجيات.
التنفيذ: إرشادات OWASP، مراجعات الكود، SAST/DAST، تدريب أمني.