Materi
SP 800-12 Rev. 1 menyebut tiga cara menjaga jaminan keamanan selama sistem beroperasi. Asesmen adalah kejadian atau proses berkelanjutan untuk menilai keamanan, dari satu sistem utuh sampai satu kejadian janggal. Audit adalah tinjauan independen atas catatan dan kegiatan untuk menilai kecukupan kontrol dan kepatuhan pada kebijakan serta prosedur. Pemantauan menjaga kesadaran terus-menerus atas keamanan, kerentanan, dan ancaman. Makin dekat ke waktu nyata, makin tepat disebut pemantauan: meninjau jejak audit harian untuk mencari akses tidak sah adalah pemantauan, sedangkan menelusuri jejak beberapa bulan untuk melacak tindakan satu pengguna adalah audit.
Audit bisa dikerjakan sendiri atau oleh pihak independen, dan bedanya adalah objektivitas. Staf yang mengelola sistem paham seluk-beluknya, tetapi punya konflik kepentingan untuk melaporkan bahwa sistemnya dirancang atau dijalankan dengan buruk. Auditor independen tidak punya kepentingan atas sistem itu dan bebas secara organisasi.
Pemasok diatur kategori GV.SC di CSF 2.0: pemasok dikenali dan diprioritaskan berdasarkan kekritisannya (GV.SC-04), persyaratan keamanan dimasukkan ke kontrak (GV.SC-05), perencanaan dan uji tuntas dilakukan sebelum hubungan resmi dimulai (GV.SC-06), risikonya dipantau selama hubungan berjalan (GV.SC-07), dan pemasok yang relevan dilibatkan dalam rencana insiden (GV.SC-08). Kuesioner keamanan dan permintaan laporan audit pemasok adalah bentuk uji tuntas itu.
