Organisaatio toteuttaa uhkatiedustelua keräämällä tietoa toimintaansa liittyvistä tietoturvauhkista ja niiltä suojautumisesta. Tavoitteena on kasvattaa tietoisuutta uhkaympäristöstä, jotta omaa suojaustasoa voidaan paremmin arvioida ja riittävät hallintakeinot toteuttaa.

Uhkatiedustelutiedon keräämisessä on huomioitava kaikki kolme tasoa:

• strateginen uhkatiedustelu (mm. tieto kasvavista hyökkääjä- ja hyökkäystyypeistä)
• taktinen uhkatiedustelu (mm. tieto hyökkäyksissä käytetyistä työkaluista ja teknologioista)
• operatiivinen uhkatiedustelu (mm. yksityiskohdat tietyistä hyökkäyksistä)

Uhkatiedusteluun liittyvien periaatteiden tulisi sisältää:

• tavoitteiden asettaminen uhkatiedustelulle
• uhkatiedustelussa käytettävien tietolähteiden tunnistaminen, tarkistaminen ja valinta
• uhkatiedustelutiedon kerääminen
• tiedon käsittely analyysiä varten (mm. kääntäminen, formatointi, tiivistäminen)

Organisaatio on määritelly prosessin, jonka perusteella tunnistetut tekniset haavoittuvuudet käsitellään.

Osa haavoittuvuuksista voidaan korjata suoraan, mutta merkittäviä vaikutuksia omaavat haavoittuvuudet tulisi dokumentoida myös tietoturvahäiriöinä. Merkittäviä vaikutuksia omaavan haavoituvuuden tunnistamisen jälkeen:

• yksilöidään haavoittuvuuteen liittyvät riskit ja tarvittavat toimenpiteet (esim. järjestelmän paikkaus tai muut hallintatehtävät)
• aikataulutetaan tarvittavat toimenpiteet
• dokumentoidaan kaikki toimenpiteet

Organisaatio ylläpitää koordinoitua haavoittuvuuksien ilmoituspolitiikkaa, jossa kuvataan menettelyt ja odotukset sen tuotteissa havaittujen haavoittuvuuksien raportoinnille, erityisesti tuotteissa, joissa on digitaalisia elementtejä. Haavoittuvuuksien ilmoittamiskäytännössä olisi kuvattava menettely haavoittuvuuksien ilmoittamisen koordinoimiseksi ja niiden korjaamiseksi. Politiikassa olisi myös selitettävä, miten toimitaan, jos organisaatio ei halua jakaa tietoa haavoittuvuuksista, ja syyt tietojen jakamatta jättämiseen olisi dokumentoitava.

Organisaatiolla tulisi olla dokumentoidut prosessit ja mallit havaittujen haavoittuvuuksien raportointia varten.

Haavoittuvuuksien havaitsemisraportit olisi toimitettava välittömästi toimivaltaiselle tietoverkkotapahtumia ehkäisevälle laitokselle ja viimeistään viiden päivän kuluessa haavoittuvuuden havaitsemisesta.

Havaintoraportin olisi sisällettävä seuraavat tiedot:

• Haavoittuvuuden havaitsemisen päivämäärä ja kellonaika (jos mahdollista);
• tiedot tietojärjestelmästä tai sähköisestä viestintäverkosta, jossa haavoittuvuus on havaittu;
• haavoittuvuuden kuvaus;
• kuvaus haavoittuvuuden havaitsemisessa käytetyistä menetelmistä tai suoritettujen toimien järjestyksestä;
• haavoittuvuusilmoituksen tekijän yhteystiedot;
• Muut tiedot, joita haavoittuvuuden havaitsemisilmoituksen tekijä pitää tarpeellisina havaitun haavoittuvuuden tunnistamisen ja ennaltaehkäisyn kannalta.

Organisaatiolla on toimintamalli säännölliseen tiedottamiseen koko organisaation laajuisesti digiturvallisuuden riskitilanteesta sekä uusista omaan organisaatioon vaikuttavista merkittävistä riskeistä.

Tiedotus voidaan toteuttaa esimerkiksi digiturvan ydintiimin sekä viestinnän ammattilaisten yhteistyönä.

Organisaation on jaettava uhkatiedustelutietoa muiden organisaatioiden kanssa molemminsuuntaisesti uhkatietoisuuden parantamiseksi.