1.       NADZOR DOSTOPA (ACCESS CONTROL)

Omejitev dostopa do sistema samo pooblaščenim uporabnikom, procesom, ki delujejo v imenu pooblaščenih uporabnikov in napravam (vključno z drugimi sistemi).

2.       BELEŽENJE IN SPREMLJANJE (AUDIT AND ACCOUNTABILITY)

Vzpostavitev in hramba sistemskih revizijskih sledi in zapisov v obsegu, ki je potreben za spremljanje, analizo, preiskavo in poročanje o nezakonitih ali nepooblaščenih dejavnostih na sistemu.

3.       UPRAVLJANJE KONFIGURACIJ (CONFIGURATION MANAGEMENT)

Vzpostavitev in vzdrževanje osnovnih konfiguracij in popisov organizacijskih sistemov (vključno s strojno in programsko opremo, vdelano programsko opremo in dokumentacijo) v celotnem življenjskem ciklu razvoja sistema.

4.       IDENTIFIKACIJA IN AVTENTIKACIJA (IDENTIFICATION AND AUTHENTICATION)

Določitev sistemskih uporabnikov, procesnih postopkov, ki delujejo v imenu uporabnikov, in naprav.

5.       ODZIV NA INCIDENTE (INCIDENT RESPONSE)

Vzpostavitev operativne zmogljivosti za obvladovanje incidentov za organizacijske sisteme, ki vključuje dejavnosti priprave, odkrivanja, analize, obvladovanja, okrevanja in odzivanja uporabnikov.

6.       VZDRŽEVANJE (MAINTENANCE)

Izvajanje vzdrževanja in posodobitev sistemov v organizaciji.

7.       ZAŠČITA MEDIJEV (MEDIA PROTECTION)

Zaščita (tj. fizični nadzor in varno shranjevanje) sistemskih medijev, ki vsebujejo občutljive podatke, tako papirnate kot digitalne.

8.       VARNOST OSEBJA (PERSONNEL SECURITY)

Pred odobritvijo dostopa do organizacijskih sistemov, ki vsebujejo občutljive podatke, se preveri posameznike.

9.       FIZIČNO VAROVANJE (PHYSICAL PROTECTION)

Omejitev fizičnega dostopa do organizacijskih sistemov, opreme in ustreznih operativnih okolij le na pooblaščene posameznike.

10.   OCENA TVEGANJ (RISK ASSESSMENT)

Periodično ocenjevanje tveganja za delovanje organizacije (vključno s poslanstvom, funkcijami, ugledom in podobno), sredstev organizacije in posameznikov, ki izhajajo iz delovanja organizacijskih sistemov in s tem povezane uporabe, shranjevanja ali prenosa informacij z občutljivimi podatki o podjetju ali organizaciji.

11.   ZAŠČITA SISTEMOV IN KOMUNIKACIJ (SYSTEM AND COMMUNICATIONS PROTECTION)

Spremljanje, nadzor in zaščita komunikacij (tj. informacij, ki jih prenašajo ali sprejemajo sistemi v organizaciji) na zunanji strani in na ključnih notranjih straneh sistema v organizaciji.

12.   INTEGRITETA SISTEMOV IN INFORMACIJ (SYSTEM AND INFORMATION INTEGRITY)

Pravočasno odkrivanje, poročanje in odpravljanje napak v delovanju sistema.