5.7 מודיעין איומים
ארגונים חייבים כעת לאסוף ולנתח מודיעין איומים הרלוונטי לאבטחת המידע שלהם. זה מפורמל את מה שארגונים בוגרים כבר עושים באופן לא רשמי.
יישום: הרשמה לעדכוני איומים, מעקב אחר התראות אבטחה, מעקב אחר פגיעויות המשפיעות על מחסנית הטכנולוגיה שלכם.
5.23 אבטחת מידע לשירותי ענן
דרישות מפורשות לשימוש, רכישה וניהול בטוח של שירותי ענן. מתייחס לסיכונים ספציפיים לענן.
יישום: הערכות אבטחה של ספק ענן, תיעוד מודל אחריות משותפת, ביקורות תצורת ענן.
5.30 מוכנות ICT להמשכיות עסקית
מבטיח שמערכות ICT מוכנות לתמוך בדרישות המשכיות עסקית. מחזק מיקוד חוסן.
יישום: בדיקת נהלי התאוששות מאסון, אימות שחזור גיבויים, הבטחת יתירות.
8.9 ניהול תצורה
דורש ניהול תצורה מתועד למערכות רלוונטיות לאבטחה. מונע סטיית תצורה.
יישום: תשתית כקוד, קווי בסיס לתצורה, מעקב שינויים.
8.10 מחיקת מידע
מבטיח שמידע נמחק בצורה מאובטחת כאשר הוא אינו נדרש יותר. תומך במינימום נתונים.
יישום: מדיניות שמירת נתונים, נהלי מחיקה בטוחה, תהליכי אימות.
8.11 מיסוך נתונים
דורש מיסוך של נתונים רגישים כשמתאים. תומך בפרטיות וצרכי בדיקה.
יישום: אנונימיזציה לנתוני בדיקה, עריכה ביומנים, טוקניזציה כשמתאים.
8.12 מניעת דליפת נתונים
מתייחס למניעת חילוץ נתונים וחשיפה לא מורשית.
יישום: כלי DLP, סינון יציאה, הגבלות USB, בקרות דואר אלקטרוני.
8.16 פעילויות ניטור
מפורמל דרישות לניטור פעילויות משתמשים ומערכות.
יישום: SIEM, צבירת יומנים, אנליטיקה של התנהגות משתמשים.
8.23 סינון אינטרנט
דורש סינון אינטרנט למניעת גישה לתוכן זדוני.
יישום: סינון DNS, שרתי פרוקסי, קטגוריזציה של כתובות URL.
8.28 קידוד בטוח
דרישות מפורשות לעקרונות קידוד בטוח בפיתוח תוכנה.
יישום: הנחיות OWASP, ביקורות קוד, SAST/DAST, הכשרת אבטחה.