Jego podstawowymi celami są zachowanie poufności, integralności i dostępności wobec nieuprawnionego dostępu, użycia, ujawnienia, modyfikacji lub zniszczenia, a także awarii przypadkowych, zagrożeń środowiskowych i innych przyczyn zakłóceń lub utraty. Dotyczy informacji w postaci cyfrowej, fizycznej, drukowanej, mówionej i innych — przez cały jej cykl życia.
Skuteczne bezpieczeństwo informacji łączy decyzje nadzorcze i ryzykowne z zabezpieczeniami administracyjnymi, fizycznymi, personalnymi i technicznymi. Wymagany poziom ochrony zależy od wartości informacji, sposobu jej wykorzystania, obowiązków, zagrożeń, zależności i konsekwencji kompromitacji.
Najważniejsze punkty
Wyznaczanie priorytetówZidentyfikuj istotne informacje i usługi, wskaż odpowiedzialnych właścicieli, zrozum dozwolone sposoby użycia i przepływy oraz oceń prawdopodobne zagrożenia, podatności, skutki i zależności.
Proporcjonalne zabezpieczeniaŁącz polityki, szkolenia, kontrolę dostępu, bezpieczną architekturę, ochronę fizyczną, monitoring, odporność, kontrole dostawców i przygotowanie do incydentów — adekwatnie do ryzyka.
Eksploatacja i doskonalenieUtrzymuj zasoby i kontrole, zarządzaj zmianami i wyjątkami, badaj zdarzenia, testuj odtwarzanie, mierz rezultaty i aktualizuj ochronę, gdy zmieniają się warunki biznesowe lub zagrożenia.
Istotne ograniczeniePoufność, integralność i dostępność to kluczowe cele, a nie dowód bezpieczeństwa. Kontrole wiążą się z kompromisami i ryzykiem residualnym; nadmierne ograniczenia mogą też szkodzić dostępności, bezpieczeństwu fizycznemu, użyteczności lub misji organizacji.