+Incident Handling
---+Correlation with External Organizations

Incident Handling

Description

Mechanisms exist to cover:
(1) Preparation;
(2) Automated event detection or manual incident report intake;
(3) Analysis;
(4) Containment;
(5) Eradication; and
(6) Recovery.

Possible Solutions & Considerations

Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2

∙ Incident Response Plan (IRP)

Small Business (10-49 staff) / BLS Firm Size Classes 3-4

∙ Incident Response Plan (IRP)

Medium Business (50-249 staff) / BLS Firm Size Classes 5-6

∙ Integrated Incident Response Program (IIRP)
∙ ITIL 4 (https://axelos.com) ∙ Incident and problem management

Large Business (250-999 staff) / BLS Firm Size Classes 7-8

∙ Integrated Incident Response Program (IIRP)
∙ ITIL 4 (https://axelos.com) ∙ Incident and problem management

Enterprise (> 1,000 staff) / BLS Firm Size Class 9

∙ Integrated Incident Response Program (IIRP)
∙ ITIL 4 (https://axelos.com) ∙ Incident and problem management

SCR-CMM

Level 0 Not Performed

Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.

Level 1 Performed Informally

SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.

Level 2 Planned Tracked

Incident Response (IRO) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with IRO domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with DCH domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with IRO domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Incident response-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Incident response management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ IT and/or cybersecurity personnel operate an incident response capability using a documented and tested Incident Response Plan (IRP) to facilitate incident management operations that cover preparation, detection and analysis, containment, eradication and recovery.
▪ IT and/or cybersecurity personnel facilitate prompt response to suspected or confirmed security incidents, including timely notification to affected stakeholders.
▪ IT and/or cybersecurity personnel operate facilitate basic forensic investigations in the event of a suspected or confirmed security incident.
▪ The IRP contains eDiscovery processes to support Federal Rules of Civil Procedure (FRCP) requirements for eDiscovery practices.
▪ IT personnel support incident response operations by provisioning and deprovisioning incident responders with temporary emergency accounts.

Level 3 Well Defined

Incident Response (IRO) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with IRO domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Cybersecurity personnel operate an incident response capability using a documented and tested Incident Response Plan (IRP) to facilitate incident management operations that cover preparation, detection and analysis, containment, eradication and recovery.
▪ An incident response team, or similar function, is appropriately staffed and supported to implement and maintain IRO domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of incident response operations (e.g., incident management software).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with IRO domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to cover:
(1) Preparation;
(2) Automated event detection or manual incident report intake;
(3) Analysis;
(4) Containment;
(5) Eradication; and
(6) Recovery.

Level 4 Quantitatively Controlled

Incident Response (IRO) capabilities, in addition to being standardized across the entity and centrally managed to ensure consistency across Technology Assets, Applications, Services and/or Data (TAASD), efforts are metrics driven to provide sufficient insight for decision makers to predict optimal performance, ensure continued operations and/or identify areas for improvement. Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Applicable SCR-CMM Level 3 (Well Defined) capabilities are implemented and operational.
▪ Metrics reporting includes quantitative analysis of Key Performance Indicators (KPIs).
▪ Metrics reporting includes quantitative analysis of Key Risk Indicators (KRIs).
▪ Scope of metrics, KPIs and KRIs covers organization-wide cybersecurity and data protection controls, including functions performed by third-parties.
▪ Organizational leadership maintains a formal process to objectively review and respond to metrics, KPIs and KRIs (e.g., monthly or quarterly review).
▪ Based on metrics analysis, process improvement recommendations are submitted for review and are handled in accordance with change control processes.
▪ Business and technical stakeholders are involved in reviewing and approving proposed changes to evolve capabilities.

Level 5 Continuously Improving

Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.

1. Επισκόπηση

Correlation with External Organizations

Description

Mechanisms exist to coordinate with approved third-parties to achieve a cross-organization perspective on incident awareness and more effective incident responses.

Possible Solutions & Considerations

Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2

∙ Basic incident response plan
∙ Designate incident response contact

Small Business (10-49 staff) / BLS Firm Size Classes 3-4

∙ Documented incident response plan
∙ Incident log
∙ Designated IR team

Medium Business (50-249 staff) / BLS Firm Size Classes 5-6

∙ Formal incident response program
∙ IR playbooks
∙ Tabletop exercises

Large Business (250-999 staff) / BLS Firm Size Classes 7-8

∙ Enterprise incident response program
∙ 24/7 SOC monitoring
∙ SOAR platform

Enterprise (> 1,000 staff) / BLS Firm Size Class 9

∙ Enterprise SOC with SIEM/SOAR (e.g., Splunk SOAR, Palo Alto XSOAR)
∙ IR retainer
∙ Threat hunting

SCR-CMM

Level 0 Not Performed

Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.

Level 1 Performed Informally

SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.

Level 2 Planned Tracked

SCR-CMM Level 2 criteria definitions are not available for this control:
▪ A reasonable person would conclude a well-defined and standardized process is required.
▪ At this level of maturity, the “requirements-driven” nature of performing the control is focused on a localized and/or regionalized implementation, not uniform and consistent across the organization.
▪ Requirements are narrowly scoped for applicability and are primarily derived from compliance obligations (e.g., laws, regulations and contracts).

Level 3 Well Defined

Incident Response (IRO) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with IRO domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Cybersecurity personnel operate an incident response capability using a documented and tested Incident Response Plan (IRP) to facilitate incident management operations that cover preparation, detection and analysis, containment, eradication and recovery.
▪ An incident response team, or similar function, is appropriately staffed and supported to implement and maintain IRO domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of incident response operations (e.g., incident management software).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with IRO domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to coordinate with approved third-parties to achieve a cross-organization perspective on incident awareness and more effective incident responses.

Level 4 Quantitatively Controlled

Utilize SCR-CMM Level 3 criteria definitions:
▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control.
▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.

Level 5 Continuously Improving

Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικοί κανονισμοί

2. Εντοπισμένες απαιτήσεις

Απαιτήσεις

3. Σχετικοί κανονισμοί

Κανονισμοί
EULAW Άρθρο 22 Πολιτική διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ

Άρθρο 22

Πολιτική διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ

Στο πλαίσιο των μηχανισμών για τον εντοπισμό ασυνήθιστων δραστηριοτήτων, συμπεριλαμβανομένων ζητημάτων που αφορούν τις επιδόσεις του δικτύου ΤΠΕ και συμβάντων που σχετίζονται με τις ΤΠΕ, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτική συμβάντων που σχετίζονται με τις ΤΠΕ, μέσω της οποίας:

α) 

τεκμηριώνουν τη διαδικασία διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ, η οποία αναφέρεται στο άρθρο 17 του κανονισμού (ΕΕ) 2022/2554·

β) 

καταρτίζουν κατάλογο των σχετικών επαφών με εσωτερικές λειτουργίες και εξωτερικά ενδιαφερόμενα μέρη που συμμετέχουν άμεσα στην ασφάλεια των λειτουργιών ΤΠΕ, μεταξύ άλλων όσον αφορά:

i) 

τον εντοπισμό και την παρακολούθηση κυβερνοαπειλών·

ii) 

τον εντοπισμό ασυνήθιστων δραστηριοτήτων·

iii) 

τη διαχείριση ευπαθειών·

γ) 

θεσπίζουν, εφαρμόζουν και θέτουν σε λειτουργία τεχνικούς, οργανωτικούς και επιχειρησιακούς μηχανισμούς για την υποστήριξη της διαδικασίας διαχείρισης συμβάντων που σχετίζονται με τις ΤΠΕ, συμπεριλαμβανομένων μηχανισμών που επιτρέπουν τον έγκαιρο εντοπισμό ασυνήθιστων δραστηριοτήτων και συμπεριφορών σύμφωνα με το άρθρο 23 του παρόντος κανονισμού·

▼C1

δ) 

διατηρούν όλα τα αποδεικτικά στοιχεία για τα συμβάντα που σχετίζονται με τις ΤΠΕ για χρονικό διάστημα που δεν υπερβαίνει το αναγκαίο για τους σκοπούς για τους οποίους συλλέγονται τα δεδομένα, ανάλογα με την κρισιμότητα των επηρεαζόμενων επιχειρηματικών λειτουργιών, των υποστηρικτικών διαδικασιών, των πόρων ΤΠΕ και των πληροφοριακών πόρων, σύμφωνα με το άρθρο 8 παράγραφος 2 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2024/1772 της Επιτροπής ( 2 ) και με οποιαδήποτε ισχύουσα απαίτηση διατήρησης σύμφωνα με το ενωσιακό δίκαιο·

▼B

ε) 

θεσπίζουν και εφαρμόζουν μηχανισμούς για την ανάλυση σημαντικών ή επαναλαμβανόμενων συμβάντων που σχετίζονται με τις ΤΠΕ και πρακτικών όσον αφορά τον αριθμό και την εμφάνιση συμβάντων που σχετίζονται με τις ΤΠΕ.

Για τους σκοπούς του στοιχείου δ), οι χρηματοοικονομικές οντότητες διατηρούν τα αποδεικτικά στοιχεία που αναφέρονται στο εν λόγω στοιχείο με ασφαλή τρόπο.
EULAW Άρθρο 23 Εντοπισμός ασυνήθιστων δραστηριοτήτων και κριτήρια για τον εντοπισμό και την αντιμετώπιση συμβάντων που σχετίζονται με τις ΤΠΕ
EULAW Άρθρο 31 Διαχείριση κινδύνων ΤΠΕ
EULAW Άρθρο 9 Προστασία και πρόληψη
EULAW Άρθρο 14 Επικοινωνία
EULAW Άρθρο 18 Ταξινόμηση συμβάντων που σχετίζονται με τις ΤΠΕ και κυβερνοαπειλών
EULAW Άρθρο 21 Μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας
EULAW Άρθρο 23 Υποχρεώσεις αναφοράς περιστατικών
EULAW Άρθρο 9 Προστασία και πρόληψη
EULAW Άρθρο 14 Επικοινωνία
EULAW Άρθρο 18 Ταξινόμηση συμβάντων που σχετίζονται με τις ΤΠΕ και κυβερνοαπειλών
EULAW Άρθρο 21 Μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας
EULAW Άρθρο 23 Υποχρεώσεις αναφοράς περιστατικών
EULAW Άρθρο 9 4

4.   Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες:

α)

καταρτίζουν και τεκμηριώνουν πολιτική ασφάλειας των πληροφοριών που καθορίζει κανόνες για την προστασία της διαθεσιμότητας, της γνησιότητας, της ακεραιότητας και της εμπιστευτικότητας των δεδομένων, των πληροφοριακών πόρων και των πόρων ΤΠΕ, συμπεριλαμβανομένων εκείνων των πελατών τους, κατά περίπτωση,

β)

ακολουθώντας μια προσέγγιση βάσει κινδύνων, θεσπίζουν δομή ορθής διαχείρισης δικτύων και υποδομών, χρησιμοποιώντας κατάλληλες τεχνικές, μεθόδους και πρωτόκολλα, που μπορούν να περιλαμβάνουν την εφαρμογή αυτοματοποιημένων μηχανισμών για την απομόνωση των πληροφοριακών πόρων που επηρεάζονται σε περίπτωση κυβερνοεπιθέσεων,

γ)

εφαρμόζουν πολιτικές που περιορίζουν την υλική ή λογική πρόσβαση σε πληροφοριακούς πόρους και πόρους ΤΠΕ στην πρόσβαση που είναι απολύτως αναγκαία για τις νόμιμες και εγκεκριμένες λειτουργίες και δραστηριότητες και θεσπίζουν, για τον σκοπό αυτόν, ένα σύνολο πολιτικών, διαδικασιών και δικλείδων ασφάλειας που αφορούν τα δικαιώματα πρόσβασης και διασφαλίζουν την ορθή διαχείρισή τους,

δ)

εφαρμόζουν πολιτικές και πρωτόκολλα για ισχυρούς μηχανισμούς αυθεντικοποίησης, με βάση σχετικά πρότυπα και ειδικά συστήματα ελέγχου, και προστατευτικά μέτρα κρυπτογραφικών κλειδιών με τα οποία κρυπτογραφούνται δεδομένα, βάσει αποτελεσμάτων εγκεκριμένων διαδικασιών κατηγοριοποίησης δεδομένων και αξιολόγησης κινδύνων ΤΠΕ,

ε)

εφαρμόζουν τεκμηριωμένες πολιτικές, διαδικασίες και δικλείδες ασφάλειας για τη διαχείριση αλλαγών στις ΤΠΕ, συμπεριλαμβανομένων αλλαγών σε λογισμικό, υλισμικό, στοιχεία, συστήματα ή παράμετροι ασφάλειας υλικολογισμικού, που βασίζονται σε μια προσέγγιση αξιολόγησης κινδύνου και αποτελούν αναπόσπαστο μέρος της συνολικής διαδικασίας διαχείρισης αλλαγών της χρηματοοικονομικής οντότητας, ώστε να διασφαλιστεί ότι όλες οι αλλαγές στα συστήματα ΤΠΕ καταγράφονται, δοκιμάζονται, αξιολογούνται, εγκρίνονται, εφαρμόζονται και επαληθεύονται με ελεγχόμενο τρόπο,

στ)

διαθέτουν κατάλληλες και ολοκληρωμένες τεκμηριωμένες πολιτικές σχετικά με τις ενημερώσεις κώδικα και τις επικαιροποιήσεις.

Για τους σκοπούς του πρώτου εδαφίου στοιχείο β), οι χρηματοοικονομικές οντότητες σχεδιάζουν την υποδομή σύνδεσης δικτύου κατά τρόπο ώστε να μπορεί να διακοπεί ή να κατατμηθεί στιγμιαία, προκειμένου να ελαχιστοποιείται και να αποτρέπεται η μετάδοση, ιδίως όσον αφορά τις διασυνδεδεμένες χρηματοοικονομικές διαδικασίες.

Για τους σκοπούς του πρώτου εδαφίου στοιχείο ε), η διαδικασία διαχείρισης αλλαγών ΤΠΕ εγκρίνεται από κατάλληλες ιεραρχικές δομές και διαθέτει ειδικά πρωτόκολλα.
EULAW Άρθρο 14 1

1.   Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ που αναφέρεται στο άρθρο 6 παράγραφος 1, οι χρηματοοικονομικές οντότητες διαθέτουν σχέδια επικοινωνίας σε καταστάσεις κρίσης που καθιστούν δυνατή την υπεύθυνη γνωστοποίηση, τουλάχιστον, μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ ή ευπαθειών σε πελάτες και αντισυμβαλλομένους, καθώς και στο κοινό, ανάλογα με την περίπτωση.
EULAW Άρθρο 14 2

2.   Στο πλαίσιο της διαχείρισης κινδύνων ΤΠΕ, οι χρηματοοικονομικές οντότητες εφαρμόζουν πολιτικές επικοινωνίας που απευθύνονται στο εσωτερικό προσωπικό και σε εξωτερικούς συμφεροντούχους. Στις πολιτικές επικοινωνίας για το προσωπικό λαμβάνεται υπόψη η ανάγκη διαχωρισμού μεταξύ, αφενός, του προσωπικού που συμμετέχει στη διαχείριση κινδύνων ΤΠΕ, ιδίως του προσωπικού που είναι υπεύθυνο για την αντιμετώπιση και την ανάκαμψη, και, αφετέρου, του προσωπικού που πρέπει να ενημερωθεί.
EULAW Άρθρο 14 3

3.   Η αρμοδιότητα της εφαρμογής της στρατηγικής επικοινωνίας για συμβάντα που σχετίζονται με τις ΤΠΕ και της εκτέλεσης των καθηκόντων προς το κοινό και τα μέσα ενημέρωσης ανατίθεται τουλάχιστον σε ένα πρόσωπο της χρηματοοικονομικής οντότητας.
EULAW Άρθρο 18 1

1.   Οι χρηματοοικονομικές οντότητες ταξινομούν τα συμβάντα που σχετίζονται με τις ΤΠΕ και προσδιορίζουν τις επιπτώσεις τους με βάση τα ακόλουθα κριτήρια:

α)

τον αριθμό και/ή τη συνάφεια των επηρεαζόμενων πελατών ή χρηματοοικονομικών αντισυμβαλλομένων και, κατά περίπτωση, το ύψος ή τον αριθμό των συναλλαγών που επηρεάζονται από τη διαταραχή που προκλήθηκε από το συμβάν που σχετίζεται με τις ΤΠΕ, και κατά πόσο το εν λόγω συμβάν έχει επιπτώσεις στη φήμη,

β)

τη διάρκεια του συμβάντος που σχετίζεται με τις ΤΠΕ, συμπεριλαμβανομένου του χρόνου διακοπής της υπηρεσίας,

γ)

τη γεωγραφική εξάπλωση των περιοχών που επηρεάζονται από το συμβάν που σχετίζεται με τις ΤΠΕ, ιδίως εάν επηρεάζει περισσότερα από δύο κράτη μέλη,

δ)

τις απώλειες δεδομένων που συνεπάγεται το συμβάν που σχετίζεται με τις ΤΠΕ, όσον αφορά τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα ή την εμπιστευτικότητα των δεδομένων,

ε)

την κρισιμότητα των επηρεαζόμενων υπηρεσιών, συμπεριλαμβανομένων των συναλλαγών και των δραστηριοτήτων της χρηματοοικονομικής οντότητας,

στ)

τις οικονομικές επιπτώσεις, ιδίως τις άμεσες και έμμεσες δαπάνες και απώλειες, του συμβάντος που σχετίζεται με τις ΤΠΕ σε απόλυτους και σχετικούς όρους.
EULAW Άρθρο 18 2

2.   Οι χρηματοοικονομικές οντότητες ταξινομούν τις κυβερνοαπειλές ως σημαντικές με βάση την κρισιμότητα των υπηρεσιών που διατρέχουν κίνδυνο, συμπεριλαμβανομένων των συναλλαγών και των δραστηριοτήτων της χρηματοοικονομικής οντότητας, του αριθμού και/ή της συνάφειας των στοχευόμενων πελατών ή χρηματοοικονομικών αντισυμβαλλομένων και της γεωγραφικής εξάπλωσης των περιοχών που διατρέχουν κίνδυνο.

Συνδεδεμένα ζητήματα

Συνδέσεις
is related to Annual
is related to relative Control Weighting = 09
is related to Process
is related to Respond
is related to SCRM Focus Tier 2 OPERATIONAL
is related to SCRM Focus Tier 3 TACTICAL
blocks Loss of Accountability / Attribution
blocks Excessive or Unauthorized Privilege
blocks Unauthorized Privilege Elevation
blocks Unauthorized Access
blocks Loss, Theft or Damage of Assets
blocks Unauthorized Modification / Loss of System Integrity
blocks Business / Service Interruption
blocks Data Loss / Integrity Compromise
blocks Reduced Operational Productivity
blocks System / Data Compromise (Technical Vector)
blocks System / Data Compromise (Non-Technical Vector)
blocks Revenue Loss
blocks Contractual Default / Termination
blocks Loss of Competitive Advantage
blocks Reputational Harm / Loss of Stakeholder Trust
blocks Regulatory / Legal / Contractual Financial Liability
blocks Exposure from Unaddressed Vulnerabilities
blocks System / Service Compromise
blocks Failure to Support Business / Mission Objectives
blocks Unaddressed Security / Compliance Exposure
blocks Unperformed / Unowned Control Responsibilities
blocks Uncontrolled Internal Security / Privacy Exposure
blocks Uncontrolled Third-Party Security / Privacy Exposure
blocks Lack of oversight of internal controls
blocks Lack of oversight of third-party controls
blocks Loss of Investigative / Evidentiary Capability
blocks Delayed Containment / Increased Incident Impact
blocks Incident Persistence / Recurrence
blocks Incident Response / Recovery Cost
blocks Undetected / Delayed Detection of Adverse Activity
blocks Lack of a security-minded workforce
blocks Third-Party Cybersecurity Compromise / Exposure
blocks Third-Party Physical Security Disruption / Exposure
blocks Sub-Tier / Fourth-Party Supply Chain Exposure
blocks Third-Party Legal / Compliance Exposure
blocks Harm from Unauthorized / Unintended Product or Service Use
blocks Third-Party Dependency Failure
is related to relative Control Weighting = 10
is related to SCRM Focus Tier 1 STRATEGIC
blocks Inability to Demonstrate Due Diligence / Due Care
blocks Recovery Failure / Unacceptable Recovery Delay
blocks OT Safety / Process Availability Failure
blocks Loss of Confidentiality
blocks Loss of Data Integrity
blocks Loss of Data / Service Availability
blocks Drought & Water Shortage
blocks Earthquakes
blocks Fire & Wildfires
blocks Floods
blocks Hurricanes & Tropical Storms
blocks Landslides & Debris Flow
blocks Pandemic (Disease) Outbreaks
blocks Severe Weather
blocks Space Weather
blocks Thunderstorms & Lightning
blocks Tornadoes
blocks Tsunamis
blocks Volcanoes
blocks Winter Storms & Extreme Cold
blocks Civil or Political Unrest
blocks Malicious Cyber Activity
blocks Hazardous Materials Emergencies
blocks Nuclear, Biological and Chemical (NBC) Weapons
blocks Physical Crime
blocks Terrorism & Armed Attacks
blocks Utility Service Disruption
blocks Dysfunctional Management Practices
blocks Human Error
blocks Technical / Mechanical Failure
blocks Statutory / Regulatory / Contractual Change
blocks Data Quality Degradation / Data Poisoning
blocks Fraud, Corruption and/or Intentional Criminal Conduct
blocks Conflict of Interest (COI) / Undue Influence / Insider Misconduct
blocks Economic Shock / Market Disruption
blocks Geopolitical Conflict / Government Intervention
blocks Workforce Shortage / Loss of Critical Skills / Labor Disruption
blocks Infrastructure Failure / Degradation
blocks OPS-07.02B
blocks OPS-13.03AC
blocks OPS-18.01B
blocks OPS-19.01B
blocks OPS-20.01B
blocks OPS-21.01B
blocks OPS-30.01B
blocks IAM-01.02B
blocks SIM-02.01B
blocks SIM-03.03AC
blocks Inability to Demonstrate Due Diligence / Due Care
blocks Recovery Failure / Unacceptable Recovery Delay
blocks OT Safety / Process Availability Failure
blocks Loss of Confidentiality
blocks Loss of Data Integrity
blocks Loss of Data / Service Availability
blocks Drought & Water Shortage
blocks Earthquakes
blocks Fire & Wildfires
blocks Floods
blocks Hurricanes & Tropical Storms
blocks Landslides & Debris Flow
blocks Pandemic (Disease) Outbreaks
blocks Severe Weather
blocks Space Weather
blocks Thunderstorms & Lightning
blocks Tornadoes
blocks Tsunamis
blocks Volcanoes
blocks Winter Storms & Extreme Cold
blocks Civil or Political Unrest
blocks Malicious Cyber Activity
blocks Hazardous Materials Emergencies
blocks Nuclear, Biological and Chemical (NBC) Weapons
blocks Physical Crime
blocks Terrorism & Armed Attacks
blocks Utility Service Disruption
blocks Dysfunctional Management Practices
blocks Human Error
blocks Technical / Mechanical Failure
blocks Statutory / Regulatory / Contractual Change
blocks Data Quality Degradation / Data Poisoning
blocks Fraud, Corruption and/or Intentional Criminal Conduct
blocks Conflict of Interest (COI) / Undue Influence / Insider Misconduct
blocks Economic Shock / Market Disruption
blocks Geopolitical Conflict / Government Intervention
blocks Workforce Shortage / Loss of Critical Skills / Labor Disruption
blocks Infrastructure Failure / Degradation
blocks OPS-07.02B
blocks OPS-13.03AC
blocks OPS-18.01B
blocks OPS-19.01B
blocks OPS-20.01B
blocks OPS-21.01B
blocks OPS-30.01B
blocks IAM-01.02B
blocks SIM-02.01B
blocks SIM-03.03AC
is blocked by IRO-06 Incident Handling – Assessment Procedure
blocks IR-04 Incident Handling
blocks IR-04 [L] Incident Handling
blocks IR-04 [M] Incident Handling
blocks IR-04 [H] Incident Handling
blocks IR-04 [P] Incident Handling
blocks 03.03.04 Response to Audit Logging Process Failures
blocks 03.06.01 Incident Handling
blocks 03.06.02 Incident Monitoring, Reporting, and Response Assistance
blocks 03.06.05 Incident Response Plan
blocks GV.SC-08 Relevant suppliers and other third parties are included in incident planning, response, and recovery activities
blocks DE.AE Adverse Event Analysis
blocks DE.AE-02 Potentially adverse events are analyzed to better understand associated activities
blocks DE.AE-03 Information is correlated from multiple sources
blocks DE.AE-04 The estimated impact and scope of adverse events are understood
blocks DE.AE-06 Information on adverse events is provided to authorized staff and tools
blocks DE.AE-08 Incidents are declared when adverse events meet the defined incident criteria
blocks RS RESPOND
blocks RS.MA Incident Management
blocks RS.MA-01 The incident response plan is executed in coordination with relevant third parties once an incident is declared
blocks RS.MA-02 Incident reports are triaged and validated
blocks RS.MA-04 Incidents are escalated or elevated as needed
blocks RS.AN Incident Analysis
blocks RS.AN-06 Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved
blocks RS.CO Incident Response Reporting and Communication
blocks RS.CO-02 Internal and external stakeholders are notified of incidents
blocks RS.CO-03 Information is shared with designated internal and external stakeholders
blocks RS.MI Incident Mitigation
blocks RS.MI-01 Incidents are contained
blocks RS.MI-02 Incidents are eradicated
blocks RC.RP-06 The end of incident recovery is declared based on criteria, and incident-related documentation is completed
  • Secure Controls Framework -

    The Secure Controls Framework® (SCF)

    "The SCF is the Common Controls Framework™ (CCF), the world's most comprehensive cybersecurity and data privacy metaframework - it is also free to use. The entire concept is building secure, compliant and resilient capabilities in the most efficient and cost-effective manner possible.

    The SCF is more than just a unified control catalog, since its included content creates a playbook for Governance, Risk & Compliance (GRC) capabilities. Used globally by organizations of every size, the SCF is a robust and scalable solution for security, compliance and resilience controls. As a comprehensive security framework, the SCF maps 1,400+ controls across 200+ laws, regulations, and industry frameworks so you can implement once and comply everywhere.

    Like it or not, cybersecurity is a protracted war on an asymmetric battlefield, where the threats are everywhere and as defenders we have to make the effort to work together to help improve cybersecurity and data privacy practices, since we all suffer when massive data breaches occur or when cyber attacks have physical impacts. Hackers share information on attack methods with other hackers, so why shouldn’t the good guys share information on how to best protect an organization? We decided to take action and make a difference, since we feel it is too important to wait for someone else to fix the problems that exist.

    The SCF is made up of volunteers, mainly specialists within the cybersecurity profession, who focus on GRC and the cybersecurity side of data privacy. These are auditors, engineers, architects, incident responders, consultants and other specialists who live and breathe these topics on a daily basis. The end product is "expert-derived content" that makes up the SCF." https://securecontrolsframework.com/ 

    Terms & Conditions

    The SCF End User License Agreement (EULA) governs the use of the Secure Controls Framework® (SCF) under the Creative Commons Attribution-No Derivatives 4.0 International Public License.