Koncentruje się na ochronie krytycznych ludzi, informacji, systemów, obiektów i procesów biznesowych, traktując zaufanie w kadrze, prywatność i sprawiedliwe traktowanie jako wymagania projektowe.
Dojrzały program łączy zarządzanie, proporcjonalne kontrole, wspierające zgłaszanie, dowody techniczne i nietechniczne oraz interdyscyplinarną ocenę. Bezpieczeństwo, prywatność, prawnicy, kadry, kierownictwo i — tam, gdzie istotne — specjaliści ds. bezpieczeństwa powinni mieć zdefiniowane role. Celem jest wczesne rozpoznanie i adresowanie warunków ryzyka, a nie wywnioskowanie intencji z izolowanego zdarzenia ani monitorowanie wszystkich bez rozróżnienia.
Najważniejsze punkty
Krytyczne zasobyZidentyfikuj, co mogłoby wyrządzić istotną szkodę, gdyby zostało nadużyte, ujawnione, zmienione, zniszczone lub zakłócone.
Redukcja możliwościStosuj zasadę minimalnych uprawnień, rozdział obowiązków, przeglądy dostępu, bezpieczny offboarding, kontrole danych i monitorowaną aktywność uprzywilejowaną.
Ocena kontekstowaŁącz potwierdzone informacje z autoryzowanych źródeł; dokumentuj pewność, alternatywne wyjaśnienia i prawa decyzyjne.
Proporcjonalna odpowiedźOpcje mogą obejmować wsparcie, szkolenie, zmiany dostępu, dochodzenie, korektę procesu lub formalne działanie zgodnie z obowiązującą polityką i prawem.
Istotne ograniczenieWskaźniki behawioralne lub techniczne nie są dowodem złośliwej intencji. Stronnicze, nadmierne lub nieprzejrzyste monitorowanie może szkodzić ludziom, erodować zaufanie i tworzyć ryzyko prawne oraz prywatności.