Organisaation on rajoitettava ulkoisten rajapintojen hyökkäysriskiä ja tuotteiden haavoittuvuuksien käytön todennäköisyyttä. Sen olisi tehtävä tämä seuraavasti:

• Ulkoisten rajapintojen määrän rajoittaminen: jos organisaatiolla on tiettyä sovellusta varten oma palvelin, tämän palvelimen suorittamaa tehtävää ei pitäisi laajentaa. Sovellusta ei pitäisi laajentaa tekemään muita kuin niitä asioita, joita varten se on tarkoitettu ja joita varten se on kehitetty.
• Käytettyjen porttien määrän rajoittaminen: organisaation on pyrittävä siihen, että portteja käytetään mahdollisimman vähän.
• Ulkoisilla liitännöillä varustettujen laitteiden määrän rajoittaminen: hyökkäyspinnan minimoimiseksi organisaation on rajoitettava ulkoiseen verkkoon liitettyjen laitteiden määrää.
• Turvallisten ja vankkojen järjestelmien käyttö: organisaation on varmistettava, että kaikki käytetyt järjestelmät on kehitetty turvallisuusnäkökohdat huomioon ottaen.

Organisaatio hyödyntää vähimmän toiminnallisuuden periaatetta (principle of least functionality) järjestelmien käyttöönotossa ja asetuksissa. Järjestelmillä ei saa olla oikeuksia mihinkään mitä ei tarvita toteuttamaan sitä mihin ne on tarkoitettu.

Organisaation on huolehdittava turhien ohjelmistojen, kuten sovellusten, järjestelmien apuohjelmien ja tietoverkkopalveluiden poistamisesta.

Järjestelmillä tarkoitetaan tässä palvelimia, työasemia, verkon aktiivilaitteita (palomuurit, reitittimet, kytkimet, langattomat tukiasemat jne.) ja vastaavia. Koventamisella puolestaan tarkoitetaan järjestelmän asetusten muuttamista siten, että järjestelmän haavoittuvuuspinta-alaa saadaan pienennettyä.

Organisaatio on määritellyt toimintatavat, joiden avulla:

• Käyttöön otetaan vain käyttövaatimusten ja tietojen käsittelyn kannalta olennaiset toiminnot, laitteet ja palvelut. Ylimääräiset poistetaan myös BIOS-tasolla.
• Käytössä on menettelytapa, jolla järjestelmät asennetaan järjestelmällisesti siten, että lopputuloksena on kovennettu asennus.
• Kovennettu asennus sisältää vain sellaiset komponentit ja palvelut, sekä käyttäjien ja prosessien oikeudet, jotka ovat välttämättömiä toimintavaatimusten täyttämiseksi ja turvallisuuden varmistamiseksi.
• Ohjelmistot, kuten käyttöjärjestelmät, sovellukset ja laiteohjelmistot, asetetaan keräämään tarvittavaa lokitietoa väärinkäytösten havaitsemiseksi.
• Tietojärjestelmän käynnistäminen tuntemattomalta (muulta kuin ensisijaiseksi määritellyltä) laitteelta on estetty.
• Ohjelmistot (esim. laiteohjelmistot, sovellukset) pidetään ajantasaisina .
• Kohteen yhteydet, mukaan lukien hallintayhteydet, ovat rajattuja, kovennettuja, käyttäjätunnistettuja sekä aikarajoitettuja (istunnon aikakatkaisu).