安全控制框架 2024

存在保护为支持合同履行而收集、开发、接收、传输、使用或存储的敏感/受监管数据的机制。

存在根据直接或间接影响所审查数据和系统的机密性、完整性、可用性和安全性的人员、流程和技术来定义评估边界来确定评估范围的机制。

存在通过信息保障计划 (IAP) 活动正式评估系统、应用程序和服务中的网络安全和数据隐私控制的机制，以确定控制措施正确实施、按预期运行并在满足预期要求方面产生预期结果的程度。

现有机制可确保评估人员或评估团队具有适当的独立性来进行网络安全和数据隐私控制评估。

存在促进网络安全和数据隐私评估和授权控制实施的机制。

在开展信息保障计划 (IAP) 活动之前，存在与受影响的利益相关者计划和协调此类活动的机制，以减少对运营的潜在影响。

存在生成行动计划和里程碑 (POA&M) 或类似风险登记册的机制，以记录计划的补救措施，以纠正安全控制评估期间发现的弱点或缺陷，并减少或消除已知的漏洞。

自动化机制的存在有助于确保行动计划和里程碑 (POA&M) 或类似的风险登记册准确、最新且随时可用。

存在在安全评估结束时生成安全评估报告 (SAR) 的机制，以证明评估结果并协助采取任何补救措施。

现有机制可确保系统、项目和服务在生产环境中“上线”之前得到正式授权。

现有机制可对以下方面进行专门评估： (1) 法定、监管和合同合规义务； （二）监测能力； (3) 移动设备； (4) 数据库； (5) 应用安全； （6）嵌入式技术（例如物联网、OT等）； (7) 漏洞管理； (8) 恶意代码； (9) 内部威胁； (10) 性能/负载测试；和/或 (11) 人工智能和自主技术 (AAT)。

存在生成系统安全和隐私计划 (SSPP) 或类似文档存储库的机制，以识别和维护每个关键系统、应用程序或服务的关键架构信息，并影响输入、实体、系统、应用程序和流程，提供数据及其来源的历史记录。

存在执行信息保障计划 (IAP) 活动的机制，以评估技术网络安全和数据隐私控制的设计、实施和有效性。

存在接受和回应公正的外部组织进行的外部评估结果的机制。

现有机制要求系统开发人员和集成商创建并执行安全测试和评估 (ST&E) 计划或类似流程，以识别和修复开发过程中的缺陷。