Organisaatiolla on prosessi, jonka avulla ohjelmisto tarkastetaan ja hyväksytään ennen asennusta tai käyttöä. Prosessi sisältää ainakin seuraavat asiat

• Arvioi rajoitettu hyväksyntä: Tarkistetaan, onko ohjelmisto hyväksytty tiettyihin käyttötapauksiin tai rooleihin organisaatiossa.
• Tarkistetaan vaatimustenmukaisuus: Varmistetaan, että ohjelmisto täyttää organisaation tietoturvavaatimukset.
• Tarkistetaan ohjelmiston käyttöoikeudet ja lisensointi: Varmistetaan, että ohjelmistolla on asianmukainen lisenssi aiottua käyttöä varten.
• Arvioi lähde ja maine: Arvioi ohjelmiston toimittajan tai lähteen uskottavuus ja maine.

Tähän prosessiin olisi sisällyttävä myös erityistarkoituksiin käytettävien ohjelmistojen, kuten ylläpitotyökalujen, valinta.

Kehitettävänä, testauksessa ja tuotannossa olevia ohjelmistoja ajetaan eriytetyissä teknisissä ympäristöissä, jotta kehitystyön laatu voidaan varmistaa tuotantoympäristöä mukailevassa ympäristössä ja toisaalta tuotantoympäristöä ei häiritä keskeneräisellä kehityksellä.

Käyttäjien arkaluonteisia tai henkilökohtaisia tietoja ei kopioida ja käytetä kehitysympäristössä.

Organisaatiolla olisi oltava tarkistusprosessi operatiivisten järjestelmiensä turvallisuustason arvioimiseksi. Arvioinnin olisi katettava sekä laitteistot että ohjelmistot, järjestelmäsuunnittelu, verkkorajapinnat ja tukisovellukset. Tarkoituksena on tunnistaa puutteet operatiivisten järjestelmien turvallisuudessa ja hahmotella tarvittavat muutokset ja parannukset. Prosessin olisi katettava myös uusien IACS-laitteiden valinta ja turvallinen käyttöönotto.

Organisaatiolla on prosessi laitteiston tarkastusta ja hyväksymistä ennen asennusta tai käyttöä varten. Prosessi sisältää ainakin seuraavat asiat:

• Aitouden tarkistaminen: Vahvistetaan laitteiston aitous ja varmistetaan, että se on peräisin luotettavilta ja hyvämaineisilta myyjiltä.
• Vaatimustenmukaisuuden arviointi: Varmistetaan, että laitteisto täyttää organisaation turvallisuusstandardit ja tekniset vaatimukset, jotka koskevat käyttöä kyseisessä ympäristössä.
• Laiteohjelmiston eheyden tarkistus: Varmistetaan, että laitteiston laiteohjelmisto on aito, ajan tasalla ja ettei siihen ole tehty luvattomia muutoksia.

Tämän prosessin olisi katettava myös erityiskäyttöön tarkoitetut laitteistot, kuten diagnostiikka- tai huoltotyökalut, varmistaen, että ne täyttävät turvallisuus- ja käyttövaatimukset.

Testaa tietoturvatoiminnot, joihin ICT-järjestelmiin tehdyt muutokset vaikuttavat, sekä ennen käyttöönottoa että sen jälkeen turvallisen tilan ylläpitämiseksi. On tärkeää varmistaa, että turvatoiminnot testataan, koska ICT-järjestelmien muutokset voivat usein luoda uusia haavoittuvuuksia.

Haavoittuvuuden toteamisen jälkeen toimittajilla on usein merkittäviä paineita julkaista korjaustiedostot mahdollisimman pian. Tämän vuoksi on mahdollista, ettei korjaustiedosto välttämättä käsittele ongelmaa riittävästi ja sillä on haitallisia sivuvaikutuksia.

Korjaustiedostojen arvioinnissa huomioidaan mm. seuraavat asiat:

• voidaanko korjaustiedosto testata ennalta kunnolla?
• onko viisasta odottaa kokemuksia muilta korjauksen tehneiltä tahoilta?
• onko korjaustiedosto on saatavilla luotettavasta lähteestä?
• mitä riskejä korjaustiedoston asentamiseen ja asentamisen viivästämiseen liittyy?
• tarvitaanko muita toimia, kuten haavoittuvuuksiin liittyvien ominaisuuksien kytkemistä pois käytöstä, tarkkailun lisäämistä tai haavoittuvuudesta tiedottamista