Kun tieto- ja viestintätekniikkaratkaisussa havaitaan aktiivisesti hyödynnetty haavoittuvuus, organisaation olisi tehtävä ylimääräinen riskinarviointi välittömien ja mahdollisten pitkän aikavälin riskien arvioimiseksi. Tämän arvioinnin perusteella on toteutettava asianmukaiset lisäturvatoimenpiteet, joilla riskitaso saadaan laskettua hyväksyttävälle tasolle ennen kuin tieto- ja viestintätekniikkaratkaisun käyttöä voidaan jatkaa. Näihin toimenpiteisiin voi kuulua muun muassa järjestelmän eristäminen, väliaikaisten korvaavien valvontatoimien soveltaminen tai käyttöoikeuksien rajoittaminen, kunnes haavoittuvuus on täysin korjattu.

Organisaation olisi säännöllisesti testattava ja todennettava toteutettujen turvavalvontatoimien ja järjestelmäkokoonpanojen tehokkuus.

Testauksen olisi katettava:

• yleiset turvatoimet
• järjestelmien turvalliset oletuskonfiguraatiot

Näiden testien tulokset, mukaan lukien havaitut puutteet ja korjaavat toimet, olisi dokumentoitava sen osoittamiseksi, että turvatoimenpiteet toimivat tarkoitetulla tavalla ja että järjestelmät säilyttävät turvallisen tilansa.

Testaa tietoturvatoiminnot, joihin ICT-järjestelmiin tehdyt muutokset vaikuttavat, sekä ennen käyttöönottoa että sen jälkeen turvallisen tilan ylläpitämiseksi. On tärkeää varmistaa, että turvatoiminnot testataan, koska ICT-järjestelmien muutokset voivat usein luoda uusia haavoittuvuuksia.

Organisaatio arvioi tietoturvan tasoa ja tietoturvallisuuden hallintajärjestelmän tehokkuutta säännöllisesti.

Organisaatio on määrittänyt:

• seurattavat mittarit, joilla saadaan vertailtavissa olevia tuloksia tietoturvan kehittymisestä
• vastuuhenkilöt mittareiden seurannalle
• tavat, aikataulun ja henkilöt mittareiden katselmointiin ja arviointiin
• tavat mittareiden ja niihin liittyvien arviointien dokumentointiin

Tehokkaita mittareita tulisi pystyä käyttämään heikkouksien tunnistamiseen, resurssien parempaan kohdistamiseen sekä oman onnistumisen / epäonnistumisen arviointiin.