The organisation must reduce the attack surface of its internet-facing services by restricting allowed HTTPS methods to only those essential for functionality. All other methods that are not necessary should be disabled in the server configuration. For each publicly accessible service, the organisation should:

• Identify which HTTP/HTTPS methods (e.g., GET, POST) are required for operation
• Disable all non-essential methods (e.g., PUT, DELETE, TRACE, OPTIONS) in server or application configuration
• Periodically re-review allowed methods to ensure no unnecessary methods become enabled.

Organisaatio turvaa yrityksen omaisuutta ja ohjelmistoja hyödyntämällä Infrastructure-as-Code (IaC) -järjestelmää johdonmukaiseen konfiguraationhallintaan.

Organisaatio käyttää turvallisia verkkoprotokollia hallintakäyttöön, kuten SSH:ta ja HTTPS:ää, ja välttää turvattomia hallintaprotokollia ja täydentää niitä tarvittaessa lisäturvalla.