Organisaation on otettava käyttöön ja ylläpidettävä valvontaa verkon rajojen turvaamiseksi ja palomuurin hallinnan hallitsemiseksi.

Tähän sisältyy:

• sisäisten verkkojen ja ulkoisten yhteyksien (mukaan lukien internet) välisen liikenteen turvaaminen.
• roolien ja vastuualueiden selkeä määrittely palomuurisääntöjen ja yhteyssuodattimien määrittelyä, käyttöönottoa, hyväksymistä, muuttamista ja tarkistamista varten.
• verkkoarkkitehtuurin ja turvallisuussuunnittelun vuosittainen tarkistaminen (mikroyritysten osalta säännölliset tarkistukset) haavoittuvuuksien tunnistamiseksi.
• Toteutetaan toimenpiteitä aliverkkojen tai komponenttien eristämiseksi väliaikaisesti, jos se on tarpeen uhkien torjumiseksi.

Organisaation on varmistettava tieto- ja viestintäteknisten järjestelmien ja verkkojen erottelu ja segmentointi seuraavin perustein:

• tuettujen toimintojen kriittisyys
• omaisuuden luokittelu
• Kyseessä olevan ICT-omaisuuden yleinen riskiprofiili

Organisaation olisi myös dokumentoitava verkkoyhteydet ja tietovirrat sekä käytettävä erillistä ja erityistä verkkoa tieto- ja viestintäteknisen omaisuuden hallinnointiin.

Tietojenkäsittely-ympäristö on erotettu julkisista tietoverkoista ja muista heikomman turvallisuustason ympäristöistä riittävän turvallisella tavalla.

Tietojärjestelmien erottelu on eräs vaikuttavimmista tekijöistä salassa pidettävän tiedon suojaamisessa. Erottelun tavoitteena on rajata salassa pidettävän tiedon käsittely-ympäristö hallittavaksi kokonaisuudeksi, ja erityisesti pystyä rajaamaan salassa pidettävän tiedon käsittely vain riittävän turvallisiin ympäristöihin. Ympäristöjen erottelu voidaan toteuttaa esimerkiksi palomuuriratkaisun avulla.

Organisaatiolla on oltava seuraavat palomuurisäännöt asetettuna ja dokumentoituna:

• Palomuuri oletuksena estää tulevat yhteydet
• Palomuurisäännöt ovat hyväksytty ja dokumentoitu asianmukaisen tahon mukaan; toiminnan tarpeet sisäälytetään dokumentaatioon
• Palomuuri poistaa sallivat säännöt pian sen jälkeen, kun niitä ei enään tarvita

Organisaation verkoille on määritelty omistaja. Omistaja vastaa verkon rakenteen suunnittelusta ja sen dokumentoinnista.

Verkon suunnittelussa käytetään tarpeen mukaan erillisiä verkkoalueita. Verkkoalueet voivat olla määritelty mm.:

• luottamustason (esim. julkinen, työasemat, palvelin)
• organisaatioyksiköiden (esim. HR, taloushallinto)
• tai jonkin yhdistelmän mukaan (esim. palvelimen verkkoalue, joka on yhdistetty useisiin organisaatioyksiköihin)

Eriyttäminen voidaan toteuttaa joko fyysisesti erillisillä verkoilla tai loogisesti erillisillä verkoilla.