Secure hosting of systems

The organization enhances network security by implementing 802.1X network access control to authenticate devices via a RADIUS server, using certificates for robust authentication and integrating with user directories for consistent access policies. It provides network segmentation for guests and IoT devices, and ensures NAC policies and software are regularly updated.

The organization enhances network security by implementing 802.1X network access control to authenticate devices via a RADIUS server, using certificates for robust authentication and integrating with user directories for consistent access policies. It provides network segmentation for guests and IoT devices, monitors access attempts to detect unauthorized access.

The organization strengthens network security by deploying firewalls between segments, configuring access control lists (ACLs) to regulate traffic, and adopting segmentation best practices to isolate sensitive systems. Intrusion prevention systems (IPS) are used to block malicious traffic in real time.

The organization enhances network security by evaluating and selecting a suitable Network Intrusion Detection System (NIDS) or equivalent cloud solutions, strategically placing sensors, configuring monitoring and alerting systems, and ensuring regular updates and maintenance. For cloud environments, the organization leverages CSP-provided security services with NIDS functionality.

The organization protects wireless connections by securing the network with strong encryption keys and using protocols like WPA2 Enterprise to ensure encrypted traffic to network routers.

For secure access control, technical identification of end devices using 802.1X is required before network access, preventing unauthorized connections unless physically restricted.

Standard templates for secure configurations are defined, maintaining security features such as access controls throughout the device and network lifecycle, thereby supporting the implementation of secure protocols like 802.1X and WPA2 Enterprise.

To centralize network Authentication, Authorization, and Accounting (AAA), the organization implements centralized authentication accounts using platforms like Google or Microsoft 365 to streamline access management and enhance security.

A centralized record of user access rights for data systems and services is maintained to facilitate efficient management and auditing processes.

The organization defines procedures for managing identification and access methods throughout their lifecycle, ensuring consistent, secure handling of authentication credentials to support centralized AAA management.

To establish and maintain architecture diagrams and network system documentation, the organization undertakes tasks such as maintaining a comprehensive listing of data systems.

The organization assigns owners who are responsible for completing associated documentation and security measures, ensuring it is regularly reviewed and updated.

Documentation of interfaces and connections between data systems is meticulously maintained and reviewed to integrate any changes.

Email and download scanning protocols are configured to employ malware detection software, scanning all email attachments and downloads for threats while also blocking specific file types deemed unnecessary or risky.

Filtering and monitoring systems, such as firewalls and intrusion detection systems, are utilized to filter specific file types at the email gateway, preventing their transmission.

Measures aimed at blocking the download of confidential information on external networks can be adapted to stop certain file types from being received via email.

The organization utilizes category-based and reputation-based filtering to identify and block access to undesirable websites, leveraging both known malicious sites and content categories to enforce browsing policies.

Block lists, derived from deny lists in malware protection software, are employed to actively prevent connections to specific harmful domains.

Regular updates and management of filtering and monitoring systems are conducted to ensure that URL filters remain current.

The organization implements several measures:

• configuring network devices to use enterprise-controlled DNS servers subject to strict security policies
• opting for reputable external DNS providers like Google's Public DNS or Cloudflare's DNS when needed
• leveraging security features such as DNS over HTTPS or TLS
• establishing redundancy with primary and secondary DNS setups for uninterrupted service

To implement and manage server firewalls, the organization deploys virtual firewalls in virtualized and cloud environments with centralized management consoles for consistent security.

Organization enables operating system-based firewalls for network traffic filtering and audits rules regularly.

To secure network infrastructure, the organization implements a process involving:

• documented secure configuration guidelines for network devices
• baseline configuration templates to standardize security
• regular reviews and updates to keep configurations current with emerging threats and changes

The organization employs a passive discovery tool that continuously monitors network traffic and logs real-time data on connected devices, with weekly reviews of the data to update the asset inventory, integration with the asset management system for seamless updates, and alerting mechanisms to notify of new or unauthorized devices for prompt security action.

The organization must ensure that the hosting systems it uses are secure, maintained and comply with the required security standards. The organization should either self-host systems or use certified data centers/hosting services to ensure that security can be effectively verified and monitored.

The security requirements for used data centers and hosting services must be equivalent to those for the organization's own infrastructure. For example, server configurations must be hardened, connections must be encrypted, traffic should be monitored and the hardware used must be up to date.

The most critical subnets must be physically isolated. Also, it should be considered whether to physically isolate particularly sensitive subnets.

Ensure that maintenance of configurations, installations and operations are done securely. This includes the following:

• Perform management operations in trusted channels
• Consider installing trusted TLS (ideally issued internally) in as many administrator interfaces as possible and avoid exposing administrator interfaces to internet.
• Reduce interactive log-ins directly on servers

Block all direct traffic between clients. Applications requiring peer-to-peer should instead use a server service. Alternatively, reduce direct traffic between clients to an absolute minimum based on what is needed for work purposes.

Control the data flow of especially exposed services. Exposed services, e.g., web and email with external content for users should be subject to strict controls.

Protect particularly critical services with their own data flow. Consider which services are particularly critical, e.g., backup services and those critical services should have their own rules for data flow.

The organization must decide which parts of the ICT system it needs to monitor. These could include, for example:

• The most critical parts of the system or the parts which contain the most confidential information
• Operating systems on devices
• Internal gateways where data flows through
• Gateways between internal and external systems, e.g. to the internet
• Security products (e.g., AVS, IDS, IPS, FW etc.) in the information systems
• Systems for backup and restore

Ideally, organizations security-related monitoring should cover as much of the ICT system as possible. That makes it easier to identify unauthorized actions, security breaches and security threats as early as possible.

Create a plan for deploying IoT devices to include security aspects with risk assesments. This includes, for example, assessment of the cloud the device connects to.

Isolate the IoT devices in separate network zones and consider their location with regard to unauthorised physical access to the devices.

The organization should Implement measures to secure the organization’s critical systems from Denial-of-Service (DoS) attacks, or at least limit their impact. These could include:

• Reviewing current system vulnerabilities
• Deploying DoS mitigation solutions such as firewalls, intrusion detection systems, and traffic filtering
• Using cloud-based DoS protection services
• Configuring rate limiting and monitoring traffic patterns for anomalies
• Developing a response plan to quickly react to and mitigate the effects of DoS attacks.

The organization deploys authenticated proxy servers to manage and secure communication traffic between the organization’s critical systems and external networks. Review existing network architecture, identify communication channels that connect critical systems to external entities, and implement proxy servers where feasible. Secure authentication protocols should be used to secure the traffic.

An owner is defined for an organization's networks. The owner is responsible for planning the structure of the network and documenting it.

Separate network areas are used in network design as needed. Domain areas can be defined by e.g.:

• trust level (eg public, workstations, server)
• organizational units (eg HR, financial management)
• or by some combination (for example, a server domain that is connected to multiple organizational units)

Separation can be implemented either with physically separate networks or with logically separate networks.

An appropriate log is generated from the use of the network to enable the detection of actions relevant to cyber security.

The normal state of network traffic (traffic volumes, protocols, and connections) is known. In order to detect anomalies, there is a procedure for detecting events that are different from the normal state of network traffic (for example, anomalous connections or their attempts).

The use of the wireless network is secured with sufficient keys and the connection traffic to the network router is encrypted. The wireless network for guest use is isolated from the company's own internal network.

Owners have been assigned to various network devices, who are responsible for ensuring that the information processed on the networks and related services are protected from unauthorized access. Where appropriate, liability for network equipment must be separated from other related responsibilities.

Päätelaitteet tunnistetaan teknisesti (laitetunnistus, 802.1X, tai vastaava menettely) ennen pääsyn sallimista verkkoon tai palveluun, ellei verkkoon kytkeytymistä ole fyysisen turvallisuuden menetelmin rajattu suppeaksi (esim. palvelimen sijoittaminen lukittuun laitekaappiin teknisesti suojatun viranomaisen ko. suojaustasolle hyväksymän turva-alueen sisällä).

Systems here mean servers, workstations, active network devices (firewalls, routers, switches, wireless base stations, etc.) and the like. Hardening, on the other hand, means changing the system's settings in such a way that the system's vulnerability area can be reduced.

Organization has defined operating processes through which:

• Only essential features, devices and services (in terms of usage and data processing requirements) are put into use. Redundancies are also removed at the BIOS level.
• There is a procedure in which systems are systematically installed so that the end result is a hardened installation.
• A hardened installation contains only such components and services, and users and processes rights that are necessary to meet operational requirements and ensure security.
• Software such as operating systems, applications, and firmware are set to collect the necessary log information to detect abuse.
• Starting the data system from an unknown (other than defined as primary) is blocked from the device.
• Software (e.g. firmware, applications) is kept up-to-date.
• Connections to the target, including management connections, are limited, hardened, user-identified and time-limited (session timeout).< /li>

Käsiteltäessä viranomaisen suojaustason IV salassapidettävää tietoa, toteutetaan tietojenkäsittely-ympäristön verkolle seuraavat toimenpiteet:

• Tietojenkäsittely-ympäristö erotetaan muista ympäristöistä
• Kytkettäessä tietojenkäsittely-ympäristö muiden suojaustasojen ympäristöihin käytetään vähintään palomuuriratkaisua
• Hallitun fyysisen turva-alueen ulkopuolelle menevä liikenne salataan viranomaisen ko. suojaustasolle hyväksymällä salausratkaisulla

Käsiteltäessä viranomaisen suojaustason III tai II salassapidettävää tietoa, toteutetaan tietojenkäsittely-ympäristön verkolle seuraavat toimenpiteet:

• Tietojenkäsittely-ympäristö on erotettu muista ympäristöistä
• Hallitun fyysisen turva-alueen ulkopuolelle menevä liikenne salataan viranomaisen ko. suojaustasolle hyväksymällä salausratkaisulla
• Tietojenkäsittely-ympäristön kytkeminen muiden suojaustasojen ympäristöihin edellyttää viranomaisen ko. suojaustasolle hyväksymän yhdyskäytäväratkaisun käyttöä

Tietoliikenneverkon vyöhykkeistäminen ja suodatussäännöstöt on toteutettava monitasoisen suojaamisen periaatteen mukaisesti.

Tietoliikenneverkon jakaminen ko. turvallisuusluokan sisällä erillisille verkkoalueille (vyöhykkeet ja segmentit) voi tarkoittaa esimerkiksi tietojen suojaamisen näkökulmasta tarkoituksenmukaista työasema- ja palvelinerottelua, kattaen myös mahdolliset hankekohtaiset erottelutarpeet.

Vaatimus voidaan täyttää alla mainituilla toimenpiteillä:

• Tietoliikenneverkko on jaettu ko. turvallisuusluokan sisällä erillisiin verkko-alueisiin (vyöhykkeet, segmentit).
• Verkkoalueiden välistä liikennettä rajoitetaan ja ympäristöön sisäänpäin tulevaan liikenteeseen noudatetaan default-deny sääntöä.
• Tietojenkäsittely-ympäristössä on varauduttu yleisiin verkkohyökkäyksiin.

Examples of traffic filtering and monitoring systems are firewalls, routers, intrusion detection or prevention systems (IDS / IPS) and network devices / servers / applications with similar functionalities.

To ensure the functionality of filtering and monitoring:

• An owner has been appointed for the systems, who takes care of the proper operation of the system throughout the life cycle of the data processing environment
• It is the responsibility of the system owner to add, change, and delete settings for systems that filter or control traffic
• Documentation of the network and associated filtering and control systems is maintained throughout its lifecycle as an integral part of the change and settings management process
• The settings and desired operation of the systems are checked periodically during the operation and maintenance of the data processing environment and in the event of exceptional situations

Hallintapääsy tapahtuu rajattujen, hallittujen ja valvottujen pisteiden kautta.

Hallintayhteyksien suojauksessa huomioidaan, miltä osin hallintayhteyden kautta pystytään vaarantamaan salassa pidettävät tiedot. Useimmat hallintayhteystavat mahdollistavat pääsyn salassa pidettävään tietoon joko suoraan (esim. tietokantaylläpito pääsee yleensä tarvittaessa tietokannan sisältöön) tai epäsuoraan (esim. verkkolaiteylläpito pystyy yleensä muuttamaan tietojärjestelmää suojaavia palomuurisääntöjä), mikä tekee näistä erityisen houkuttelevan kohteen myös pahantahtoisille toimijoille.

Kun hallintayhteys mahdollistaa suoran tai epäsuoran pääsyn salassa pidettävään tietoon, tulisi hallintayhteys ja siihen käytettävät päätelaitteet rajata lähtökohtaisesti samalle suojaustasolle kuin tietojenkäsittely-ympäristökin. Laitteilla tarkoitetaan tässä järjestelmiä, joihin pitäisi olla hallintaoikeudet vain ylläpitäjillä tai vastaavilla. Tällaisia ovat tyypillisesti esimerkiksi palomuurit, reitittimet, kytkimet, langattomat tukiasemat, palvelimet, työasemat, ILO-hallintaliittymät ja Blade-runkojen hallintaliittymät.

Palomuuri on ohjelmisto, joka hallinnoi yhteyksiä verkkojen (sisäiten tai ulkoisten) tai verkkosovellusten välillä. Palomuuri voidaan asettaa hyväksymään, estämään tai suodattamaan yhteksiä tiettyjen kriteerien perusteella.

Organisaation käyttämät tietojärjestelmät, niiden käyttöympäristöt sekä ulkoiset liityntäpisteet on suojattu joko tilallisella palomuurilla tai sovelluspalomuurilla.

The organisation must change the default password, which is used to login into firewall management interface, to something not easily guessed. Alternatively, organisation can block remote access to the management interface.

The organisation must not allow remote access if it is not properly and clearly documented and needed for business operations. In this case the system must be protected with multi factor authentication or with whitelisting only the necessary IP-addresses.

The organisation must have the following firewall rules configured and documented:

• Firewall will by default block inbound connections
• Firewall rules are accepted and documented by appropriate and authorized individual; the business need must be included in the documentation
• Permissive firewall rules must be removed or disabled quickly when no longer needed

Network segregation is used to divide networks into smaller parts (called subnetworks or segments). The main purpose is to achieve least privilege principles by limiting the access e.g. a user or any particular device can have.

When offering cloud services, the organisation should implement network access segregation to:

• Strongly separate tenants in multi-tenant environments
• Strongly separate provider’s own internal administration environment and customers cloud computing environment

Organisation should be able to help the customer to verify the segregation implementation.

The organization shall ensure that the monitoring and management of remote connections is automated, that remote connections are encrypted to ensure their integrity and reliability, and that remote connections pass only through approved and managed Network Access Control (NAC).

The organization must also make possible for the remote connections to be closed within a specified time.

Normal network traffic is described and the description maintained to detect anomalies. The description should be updated:

• At intervals specified by the organization
• When necessary according to the situations defined by the organization
• When there are changes to the systems

Remote maintenance and repair of an organization's assets must be performed so that it is approved, logged, and performed in a manner that prevents unauthorized access. The person conducting the remote maintenance and repair must be required to perform multi-step authentication.

The data processing environment is separated from public data networks and other environments with a lower security level in a sufficiently safe manner.

Separation of data systems is one of the most effective factors in protecting confidential information. The goal of separation is to delimit the processing environment of confidential information into a manageable entity, and in particular to be able to limit the processing of confidential information to sufficiently secure environments only. Separation of environments can be implemented, for example, with the help of a firewall solution.

Tietojenkäsittely-ympäristön kytkeminen muiden turvallisuustasojen ympäristöihin edellyttää vähintään palomuuriratkaisun käyttöä.

Turvallisuusluokittelemattoman salassa pidettävän tiedon sekä myös turvallisuusluokan IV tietojenkäsittely-ympäristön yhdistäminen eri turvallisuusluokan ympäristöihin voidaan toteuttaa palomuuriratkaisuilla ja rajaamalla riskialttiiden alemman turvallisuusluokan ympäristöä käyttävien palvelujen (web-selailu, Internetin kautta reitittyvä sähköposti, ja vastaavat) liikenne kulkemaan erillisten sisältöä suodattavien välityspalvelinten kautta.

Turvallisuusluokittelemattoman salassa pidettävän sekä myös turvallisuusluokan IV käsittely-ympäristöjä on mahdollista kytkeä Internetiin ja muihin ei-luotettuihin verkkoihin, edellyttäen että kytkennän tuomia riskejä pystytään muilla suojauksilla pienentämään riittävästi. Internet-kytkentäisyyden tuomien riskien pienentäminen turvallisuusluokittelemattomalle salassa pidettävälle tiedolle sekä turvallisuusluokalle IV edellyttää erityisesti ohjelmistopäivityksistä huolehtimista, vähimpien oikeuksien periaatteen mukaisia käyttöoikeuksia, järjestelmäkovennuksia sekä kykyä poikkeamien havainnointiin ja korjaaviin toimiin.

Tyypillinen käyttötapa turvallisuusluokittelemattoman salassa pidettävän tai/ja turvallisuusluokan IV käsittely-ympäristölle on organisaation rajattu tietojenkäsittely-ympäristön osa, joka voi muodostua esimerkiksi päätelaitepalveluista, sovelluspalveluista, tietoliikennepalveluista sekä niiden suojaamiseen liittyvistä järjestelyistä.

Tietoliikenneverkon vyöhykkeistäminen ja suodatussäännöstöt on toteutettava vähimpien oikeuksien periaatteen mukaisesti ko. turvaluokan sisällä.

Turvallisuusluokkien IV-II käsittely-ympäristöissä vaatimus voidaan täyttää siten, että toteutetaan aiemmin mainittujen toimenpiteiden lisäksi:

4) Verkko-alueiden välistä liikennettä valvotaan ja rajoitetaan siten, että vain erikseen hyväksytty, toiminnalle välttämätön liikennöinti sallitaan (default-deny).

When, due to the accumulation effect, the security class of the target's central data store is interpreted as higher than the level of individual data, the security methods defined for the data store must be implemented in accordance with the requirements of the higher level.

Tietojenkäsittely-ympäristön kytkeminen muiden turvallisuusluokkien ympäristöihin edellyttää riittävän turvallisen yhdyskäytäväratkaisun käyttöä.

Tietojenkäsittely-ympäristöjen oletetaan lähtökohtaisesti olevan toisilleen ei-luotettuja myös tilanteissa, joissa yhdistetään eri organisaatioiden hallinnoimia tietojenkäsittely-ympäristöjä toisiinsa. Saman turvallisuusluokan käsittely-ympäristöjä voidaan liittää toisiinsa ko. turvallisuusluokalle riittävän turvallisen salausratkaisun avulla (esimerkiksi organisaation eri toimipisteiden ko. turvallisuusluokan käsittely-ympäristöjen yhteenliittäminen julkisen verkon ylitse).

Turvallisuusluokan II käsittely-ympäristöt ovat lähtökohtaisesti fyysisesti eristettyjä kokonaisuuksia.

Turvallisuusluokan ylittävä liikennöinti voidaan sallia vain datadiodien tai v astaavien OSI-mallin fyysisellä kerroksella toimivien yksisuuntaisten yhdyskäytäväratkaisujen kautta.

Lähtökohtaisesti turvallisuusluokan I tietojenkäsittely-ympäristöt suositellaan pidettäväksi fyysisesti eriytettyinä kaikista muista ympäristöistä. Tyypillisenä toteutustapana on fyysisellä turva-alueella, hajasäteilysuojatussa tilassa tapahtuva kaikista muista ympäristöistä fyysisesti eriytetty tietojenkäsittely tähän tarkoitukseen varatulla päätelaitteella. Toteutustapana voi olla myös vastaavasti turva-alueella hajasäteilysuojattuun tilaan fyysisesti sijoitettu ja muista ympäristöistä fyysisesti eriytetty päätelaitteista, niitä yhdistävästä paikallisesta verkosta ja tähän tarkoitukseen varatusta erillistulostimesta koostuva tietojenkäsittely-ympäristö.

Tiedonsiirto fyysisesti eriytettyihin ympäristöihin tulee toteuttaa siten, että riski turvallisuusluokan I tiedon kulkeutumiseen matalamman turvallisuusluokan ympäristöön saatetaan mahdollisimman pieneksi.

Erityisesti korkeimpien turvallisuusluokkien ympäristöissä tarpeettomien komponenttien käytönesto on usein perusteltua toteuttaa fyysisesti kyseiset komponentit (esimerkiksi langattomat verkkokortit, kamerat, mikrofonit) laitteesta irrottaen. Tilanteissa, joissa kyseistä komponenttia ei voida fyysisesti irrottaa, korvaavana suojauksena voi joissain tapauksissa hyödyntää esimerkiksi kameroiden teippaamista sekä laitteiston ohjelmallista käytöstäpoistoa sekä käyttäjäasetus-, käyttöjärjestelmä- ja laiteohjelmistotasoilla. Joissain käyttöjärjestelmissä suojausta voidaan täydentää myös poistamalla kyseisen laitteen käyttöön liittyvät ohjelmisto-osiot (kernel module).

Turvallisuusluokkien III-II käsittely-ympäristöissä vaatimus tulee huomioida kovennusohjeiden mahdollisesti sisältämät tasot sekä useiden eri kovennusohjeiden, kuten esimerkiksi valmistajakohtaiset ohjeet, CIS Benchmark ja DISA STIG, hyödyntäminen kovennusten kattavuuden varmistamisessa

Turvallisuusluokkien III ja II käsittely-ympäristöissä sekä muissa kriittisissä käsittely-ympäristöissä edellytetään käytön teknistä sitomista hyväksyttyyn etäkäyttölaitteistoon (esim. laitetunnistus).

Kansallisten turvallisuusluokan III sähköisten tietojen etäkäyttö (käsittely) ja säilytys on mahdollista kyseisen turvallisuusluokan mukaisessa päätelaitteessa turva-alueiden ulkopuolella edellyttäen, että

• tiedot on suojattu ko. turvallisuusluokalle riittävän turvallisella salausratkaisulla, ja että
• päätelaitteen tietoturvallisuudesta, erityisesti ko. turvallisuusluokalle edellytettävästä luottamuksellisuudesta ja eheydestä on huolehdittu riittävin menettelyin.

Organization must be able to monitor that devices, data systems and networks are maintained in accordance with the defined configurations (including security features) both during the implementation phase and throughout their entire life cycle.

For this, the organization has defined standard templates for secure configurations of devices, data systems and networks. When specifying standard templates, the following are taken into account:

• publicly available guidelines (e.g. templates from suppliers and independent security organizations)
• the level of protection required for different assets
• fulfilling related information security requirements
• feasibility and applicability of the configurations to the organization's operations

Standard templates should be checked regularly and updated when significant new threats or vulnerabilities need to be responded to or new software or hardware versions are released.

The following points should be taken into account when defining standard templates:

• the number of root-level rights is minimized
• unnecessary access rights are disabled
• unnecessary functions and services are deactivated
• access to powerful utilities and important settings is strictly controlled
• the clocks are synchronized
• the supplier's default passwords are changed immediately and the security-related settings are checked
• timeout functions are used if necessary (e.g. automatic logout)
• license requirements are met

Current configurations of devices, data systems and networks are documented and a log is maintained of configuration changes.

Changes to configurations must be controlled and go through the change management procedure. Only authorized personnel are allowed to make changes to the configurations.

Configuration information may include e.g.:

• property owner and contact point information
• date of last configuration change
• configuration model version
• connections to other assets

Isolate vulnerable and low-trust equipment, e.g., outdated applications, old servers with unsupported OS and printers with poor security configuration and a lack of security updates.

The organisation should ensure its networds has sufficient redundancy. The following aspects should be considered:

• Multiple Internet Service Providers (ISP)
• Redundant network links
• Redundant network devices (multiple switchers, routers and other devices and use of network load balancers)
• Power redundancy (UPS)

The organisation should develop and document clear procedures for the management and control of networks, ensuring consistency across all network operations.

Organisation should consider the following aspects during network segmentation:

• Establish limitations for connecting IT systems to the network based on risk assessments
• Implement security technologies that meet the specific security requirements of the organization
• Ensure performance, trust, availability, security, and safety are prioritized in all network management decisions
• Define strategies for limiting the impact in case of compromised IT systems, focusing on rapid containment
• Integrate mechanisms for the detection of potential attacks and the lateral movement of attackers across network segments
• Enforce separation of networks with different operational purposes (e.g., test/development, office, manufacturing) to prevent cross-network risks
• Address the increased risk due to network services accessible via the internet, especially for external-facing services
• Use technology-specific separation options when engaging with external IT services to mitigate risks
• Ensure adequate separation between own networks and customer networks, aligning with customer requirements.
• Establish measures for the detection and prevention of data loss or leakage, ensuring the protection of sensitive information

Järjestelmissä otetaan käyttöön vain toimintavaatimusten täyttämiseksi ja turvallisuuden varmistamiseksi välttämättömät komponentit, palvelut sekä käyttäjien ja prosessien oikeudet.

Configurations should be monitored with comprehensive system management tools (e.g. maintenance utilities, remote support, enterprise management tools, backup and recovery software) and reviewed regularly to assess settings, password strengths, and operations performed. Actual configurations can be compared to defined target models. Any discrepancies must be dealt with either automatically or by manual processing.

Any unauthorized changes must be corrected and cause investigated and reported.