استاندارد های امنیت سایبری کیست؟ توضیح بده.
استانداردهای امنیت اطلاعات (که به آن‌ها استانداردهای امنیت سایبری نیز گفته می‌شود) تکنیک‌هایی هستند که معمولاً در منابع منتشرشده بیان می‌شوند و با هدف محافظت از محیط سایبری یک کاربر یا سازمان طراحی شده‌اند. این محیط شامل خود کاربران، شبکه‌ها، دستگاه‌ها، تمام نرم‌افزارها، فرآیندها، اطلاعات در حال ذخیره‌سازی یا انتقال، برنامه‌ها، خدمات و سامانه‌هایی است که می‌توانند به‌طور مستقیم یا غیرمستقیم به شبکه‌ها متصل باشند.هدف اصلی این استانداردها کاهش ریسک‌ها است، از جمله جلوگیری یا کاهش اثر حملات سایبری.این منابع منتشرشده شامل ابزارها، سیاست‌ها، مفاهیم امنیتی، تدابیر امنیتی، دستورالعمل‌ها، رویکردهای مدیریت ریسک، اقدامات، آموزش، بهترین شیوه‌ها، تضمین‌ها و فناوری‌ها می‌باشند.تاریخچه.استانداردهای امنیت سایبری طی چندین دهه وجود داشته‌اند، چرا که کاربران و ارائه‌دهندگان خدمات در بسیاری از مجامع داخلی و بین‌المللی با یکدیگر همکاری کرده‌اند تا قابلیت‌ها، سیاست‌ها و رویه‌های لازم را ایجاد کنند – که عمدتاً از کارهای انجام‌شده در کنسرسیوم تحقیقات امنیت اطلاعات و سیاست‌گذاری دانشگاه استنفورد در دهه ۱۹۹۰ سرچشمه گرفته‌اند.مطالعه‌ای در سال ۲۰۱۶ درباره پذیرش چارچوب امنیتی در ایالات متحده گزارش داد که ۷۰٪ از سازمان‌های مورد بررسی، از چارچوب امنیت سایبری ایالات متحده آمریکا (NIST) به عنوان رایج‌ترین روش برتر در امنیت رایانه‌ای فناوری اطلاعات (IT) استفاده می‌کنند، هرچند بسیاری اذعان دارند که اجرای آن نیاز به سرمایه‌گذاری قابل‌توجهی دارد.عملیات‌های برون‌مرزی استخراج اطلاعات سایبری (cyber-exfiltration) توسط نهادهای مجری قانون برای مقابله با فعالیت‌های مجرمانه بین‌المللی در دارک وب، سؤالات پیچیده‌ای در مورد صلاحیت قضایی به‌وجود آورده که تا حدودی بی‌پاسخ باقی مانده‌اند. تنش‌ها بین تلاش‌های داخلی برای اجرای عملیات‌های برون‌مرزی استخراج سایبری و صلاحیت قضایی بین‌المللی احتمالاً به پیشرفت هنجارهای امنیت سایبری ادامه خواهند داد.استاندارد های بین المللی.بخش‌های زیر به استانداردهای بین‌المللی مرتبط با امنیت سایبری می‌پردازند:خانواده استانداردهای ISO/IEC 27000.مقاله اصلی: ایزو/آی‌ای‌سی ۲۷۰۰۱مجموعه ایزو/آی‌ای‌سی ۲۷۰۰۰ خانواده‌ای از استانداردهای بین‌المللی هستند که به‌صورت مشترک توسط سازمان بین‌المللی استانداردسازی (ISO) و کمیسیون بین‌المللی الکتروتکنیک (IEC) منتشر شده‌اند. این استانداردها چارچوبی شناخته‌شده در سطح جهانی برای ایجاد، پیاده‌سازی، نگهداری و بهبود مستمر یک سامانه مدیریت امنیت اطلاعات (ISMS) فراهم می‌کنند. این سری برای کمک به سازمان‌هایی در هر اندازه و صنعت طراحی شده‌اند تا دارایی‌های اطلاعاتی خود را به‌صورت سیستماتیک و مقرون‌به‌صرفه محافظت کنند.در مرکز این سری، استاندارد ایزو/آی‌ای‌سی ۲۷۰۰۱ قرار دارد که الزامات ایجاد و نگهداری ISMS را مشخص می‌کند. این استاندارد تأکید بر رویکرد مبتنی بر ریسک در مدیریت امنیت اطلاعات دارد و سازمان‌ها را تشویق می‌کند تا ریسک‌های خاص محیط عملیاتی خود را شناسایی، ارزیابی و کاهش دهند. سری ISO/IEC 27000 بر پایهچرخه پی‌دی‌سی‌ای (PDCA) بنا شده که روشی برای بهبود مستمر است.در حالی که ISO/IEC 27001 پایه‌ای برای الزامات ISMS فراهم می‌آورد، سایر استانداردهای این سری راهنمایی‌های تکمیلی و توصیه‌های بخش‌محور ارائه می‌کنند. در کنار هم، آن‌ها یک اکوسیستم جامع برای موضوعاتی از جمله ارزیابی ریسک، مدیریت حوادث، کنترل‌های حفظ حریم خصوصی و امنیت فضای ابری تشکیل می‌دهند.ISO/IEC 27002 که مکمل ISO/IEC 27001 است، به عنوان یک راهنمای عملی برای پیاده‌سازی کنترل‌های امنیتی عمل می‌کند. این استاندارد توصیه‌های دقیق و بهترین شیوه‌ها را برای مدیریت ریسک‌های امنیتی اطلاعات در حوزه‌های مختلف مانند امنیت منابع انسانی، امنیت فیزیکی، و امنیت شبکه ارائه می‌دهد.برای سازمان‌هایی که تمرکز بر مدیریت ریسک دارند، استاندارد ISO/IEC 27005 یک چارچوب اختصاصی برای شناسایی، ارزیابی و رسیدگی به ریسک‌های امنیت اطلاعات فراهم می‌آورد و با ارائه یک روش‌شناسی خاص، ISO/IEC 27001 را تکمیل می‌کند.در سال‌های اخیر، محاسبات ابری چالش‌های امنیتی منحصربه‌فردی را معرفی کرده است و استاندارد ISO/IEC 27017 برای رسیدگی به این نگرانی‌ها توسعه یافته است. این استاندارد راهنمایی‌هایی برای پیاده‌سازی کنترل‌های امنیت اطلاعات ویژه فضای ابری ارائه می‌دهد تا استفاده امن از خدمات ابری برای ارائه‌دهندگان و مشتریان تضمین شود. در کنار آن، ISO/IEC 27018 بر حفاظت از اطلاعات شناسایی‌شده فردی (PII) در محیط‌های ابری عمومی تمرکز دارد و به سازمان‌ها کمک می‌کند تا الزامات قانونی مربوط به حریم خصوصی را رعایت کرده و اعتماد مشتری را حفظ کنند.علاوه بر این، ISO/IEC 27035 به مدیریت حوادث می‌پردازد و راهنمایی‌هایی برای آماده‌سازی، شناسایی و پاسخ مؤثر به حوادث امنیتی ارائه می‌دهد. این استاندارد بر فرآیندهای ساختاریافته پاسخ به حوادث تأکید دارد تا آسیب‌های احتمالی را به حداقل رسانده و بازیابی به‌موقع را ممکن سازد.با افزایش قوانین مربوط به حریم خصوصی داده‌ها مانند مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR)، استاندارد ISO/IEC 27701 به عنوان توسعه‌ای بر ISO/IEC 27001 و ISO/IEC 27002 معرفی شده است. این استاندارد راهنمایی‌هایی برای ایجاد و راه‌اندازی سامانه مدیریت اطلاعات حریم خصوصی (PIMS) فراهم می‌کند و امنیت اطلاعات را با الزامات حفاظت از داده‌ها هم‌راستا می‌سازد.ISO/IEC 15408.مقاله اصلی: ()معیار مشترک برای ارزیابی امنیت فناوری اطلاعات (Common Criteria یا CC) یک استاندارد بین‌المللی (ISO/IEC 15408) برای ارزیابی و تأیید ویژگی‌های امنیتی محصولات و سامانه‌های IT است. این استاندارد چارچوبی شناخته‌شده در سطح جهانی برای تعریف الزامات امنیتی، اجرای اقدامات حفاظتی، و ارزیابی اینکه آیا این اقدامات معیارهای مشخص‌شده را برآورده می‌کنند، ارائه می‌دهد.استاندارد ISO/IEC 15408 از پنج بخش تشکیل شده است:گواهی‌نامه‌های مبتنی بر Common Criteria از طریق تفاهم‌نامه شناخت متقابل معیار مشترک (CCRA) صادر می‌شوند که شناخت متقابل گواهی‌نامه‌ها میان کشورهای عضو را تضمین می‌کند. این کار موجب کاهش هزینه‌ها و جلوگیری از تکرار فرآیندها برای شرکت‌هایی می‌شود که به دنبال دسترسی به بازار جهانی هستند.اتحادیه اروپا نیز طرح گواهی‌نامه امنیت سایبری اروپا (EUCC) را که بر پایه ISO/IEC 15408 بنا شده، برای هم‌راستایی با استانداردهای بین‌المللی و پاسخ‌گویی به الزامات منطقه‌ای اتخاذ کرده است.IEC 62443.مقاله اصلی: استاندارد امنیت سایبری IEC 62443 فرآیندها، تکنیک‌ها و الزامات مربوط به سامانه کنترل صنعتی (IACS) را تعریف می‌کند. این اسناد حاصل فرایند تدوین استانداردهای IEC هستند که در آن تمامی کمیته‌های ملی مشارکت‌کننده بر سر یک استاندارد مشترک توافق می‌کنند. تمام استانداردها و گزارش‌های فنی IEC 62443 در شش دسته کلی سازمان‌دهی شده‌اند: عمومی، سیاست‌ها و رویه‌ها، سیستم، مؤلفه، پروفایل‌ها و ارزیابی.ISO/SAE 21434ISO/SAE 21434 تحت عنوان «وسایل نقلیه جاده‌ای - مهندسی امنیت سایبری»، استانداردی است که به‌طور مشترک توسط گروه‌های کاری ISO و SAE توسعه یافته است. این استاندارد، اقدامات امنیت سایبری در طول چرخه توسعه وسایل نقلیه جاده‌ای را پیشنهاد می‌کند و در آگوست 2021 منتشر شده است.این استاندارد به مقررات امنیت سایبری اتحادیه اروپا (EU) که در حال تدوین است، مربوط می‌شود. در هماهنگی با اتحادیه اروپا، کمیسیون اقتصادی سازمان ملل متحد برای اروپا (UNECE) یک سیستم مدیریت امنیت سایبری (CSMS) تعریف کرده که برای تأیید نوع وسایل نقلیه الزامی است. این موضوع در مقررات کلی UN Regulation 155 بیان شده و ISO/SAE 21434 به عنوان یک استاندارد فنی در توسعه خودرو می‌تواند انطباق با این مقررات را نشان دهد.مشتقاتی از این استاندارد در کارهای گروه UNECE WP29 دیده می‌شود که مقررات مربوط به امنیت سایبری خودرو و به‌روزرسانی نرم‌افزار را فراهم می‌کند.ETSI EN 303 645استاندارد ETSI EN 303 645 مجموعه‌ای از الزامات پایه‌ای امنیتی را برای دستگاه‌های اینترنت اشیاء (IoT) مصرف‌کننده ارائه می‌دهد. این استاندارد شامل کنترل‌های فنی و سیاست‌های سازمانی برای توسعه‌دهندگان و تولیدکنندگان دستگاه‌های متصل به اینترنت است. این استاندارد در ژوئن 2020 منتشر شد و هدف آن تکمیل سایر استانداردهای تخصصی‌تر است. از آنجا که بسیاری از دستگاه‌های IoT اطلاعات هویتی شخصی (PII) را پردازش می‌کنند، اجرای این استاندارد به رعایت مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) کمک می‌کند.مفاد امنیت سایبری در این استاندارد اروپایی شامل موارد زیر است:ارزیابی تطابق با این الزامات پایه از طریق استاندارد TS 103 701 انجام می‌شود، که امکان خودارزیابی یا ارزیابی توسط نهاد ثالث را فراهم می‌کند.EN 18031مجموعه استانداردهای EN 18031 که توسط کمیته استانداردگذاری اروپا (CEN) با همکاری کمیته استانداردسازی الکتروتکنیک اروپا (CENELEC) منتشر شده‌اند، الزامات ضروری امنیت اطلاعات برای دستگاه‌ها و سیستم‌های رادیویی را تعیین می‌کنند. با همسویی با دستورالعمل تجهیزات رادیویی (2014/53/EU) و قانون تفویضی همراه آن، این استانداردها از تولیدکنندگان و ذی‌نفعان برای حفظ انطباق و سازگاری در بازارهای اروپا پشتیبانی می‌کنند. آن‌ها همچنین پروتکل‌های آزمون مشترک، معیارهای عملکرد و دستورالعمل‌های امنیتی را ایجاد می‌کنند تا قابلیت همکاری فرامرزی تسهیل شده و نیازهای در حال تغییر صنعت پاسخ داده شوند.استاندارد های ملی.زیر‌بخش‌های زیر به استانداردها و چارچوب‌های ملی مرتبط با امنیت سایبری می‌پردازند.NERC CIP.شرکت قابلیت اطمینان الکتریکی آمریکای شمالی (NERC) مسئول توسعه و اجرای استانداردهای امنیت سایبری برای حفاظت از قابلیت اطمینان و امنیت سامانه برق عمده در آمریکای شمالی است که ایالات متحده، کانادا و شمال باخا کالیفرنیای مکزیک را پوشش می‌دهد.[27]استانداردهای NERC بر اقدامات امنیت سایبری برای دارایی‌های حیاتی تمرکز دارند. این اقدامات شامل شناسایی دارایی‌ها، تعیین مرزهای امنیت الکترونیکی، آموزش کارکنان، پاسخ‌گویی به رخدادها و برنامه‌ریزی برای بازیابی می‌شود. استانداردهای کلیدی امنیت سایبری در مجموعه‌ای با عنوان حفاظت از زیرساخت‌های حیاتی (CIP) تعریف شده‌اند، که شامل استانداردهای CIP-002 تا CIP-014 می‌باشد.[28]رعایت این استانداردها برای تمامی اپراتورها و مالکان سامانه‌های قدرت که تحت حوزه اختیارات NERC فعالیت می‌کنند، الزامی است. نظارت بر اجرای این استانداردها در ایالات متحده بر عهده کمیسیون فدرال تنظیم‌گری انرژی (FERC) می‌باشد. عدم رعایت آن‌ها می‌تواند منجر به جریمه‌های مالی سنگین شود.استانداردهای امنیت سایبری NIST. (NIST)، که یک آژانس فدرال ایالات متحده تحت وزارت بازرگانی ایالات متحده آمریکا است، نقش مرکزی در توسعه و نگهداری استانداردها، دستورالعمل‌ها و بهترین شیوه‌ها در زمینه امنیت سایبری دارد. NIST در ابتدا با هدف تأمین امنیت سامانه‌های اطلاعاتی فدرال تأسیس شد، اما استانداردهای آن به‌مرور تأثیر جهانی یافته‌اند و اکنون به عنوان منابع پایه‌ای در برنامه‌های امنیت سایبری در صنایع و کشورهای مختلف مورد استفاده قرار می‌گیرند.رویکرد NIST بر روش‌شناسی مبتنی بر ریسک تأکید دارد که پنج عملکرد اصلی را در بر می‌گیرد:شناسایی (Identify)، محافظت (Protect)، کشف (Detect)، پاسخ‌گویی (Respond)، و بازیابی (Recover).این اصول، پایه بسیاری از دستورالعمل‌ها و چارچوب‌های NIST را تشکیل می‌دهند و به سازمان‌ها کمک می‌کنند تا ارزیابی و مدیریت مؤثر ریسک‌های امنیت سایبری را انجام دهند. در حالی که رعایت استانداردهای NIST برای نهادهای فدرال الزامی است، بسیاری از سازمان‌های خصوصی در حوزه‌هایی مانند مالی، سلامت، تولید و غیره نیز داوطلبانه آن‌ها را به دلیل وضوح، انعطاف‌پذیری و جامع بودن‌شان می‌پذیرند.چارچوب امنیت سایبری NIST (NIST CSF).مقاله اصلی: چارچوب امنیت سایبری ایالات متحده آمریکایکی از تأثیرگذارترین مشارکت‌های NIST، چارچوب امنیت سایبری ایالات متحده آمریکا(CSF) است که نخستین بار در سال ۲۰۱۴ منتشر و در سال ۲۰۲۴ با نسخه CSF 2.0 به‌روزرسانی شد. این چارچوب در پاسخ به تهدیدات فزاینده سایبری و نیاز به شیوه‌های استاندارد توسعه یافته است. CSF یک رویکرد مبتنی بر ریسک برای مدیریت خطرات امنیت سایبری فراهم می‌کند. ساختار آن حول پنج عملکرد اصلی است:شناسایی، محافظت، کشف، پاسخ‌گویی، و بازیابی، که هر یک نمایانگر یک مرحله حیاتی در مدیریت ریسک امنیت سایبری هستند.[29]این چارچوب به عنوان یک راهنمای جهانی طراحی شده است تا قابل تطبیق برای تمامی سازمان‌ها با هر اندازه و در هر بخش باشد.NCSC Cyber Essentials.اصول پایه امنیت سایبری مرکز ملی امنیت سایبری بریتانیا (NCSC)مقالهٔ اصلی: Cyber Essentials یک طرح تضمین اطلاعاتی دولتی در بریتانیا است که توسط مرکز ملی امنیت سایبری (بریتانیا) (NCSC) اداره می‌شود. این طرح، سازمان‌ها را تشویق می‌کند تا شیوه‌های مناسب امنیت اطلاعات را اتخاذ کنند. Cyber Essentials همچنین شامل یک چارچوب تضمین و مجموعه‌ای ساده از کنترل‌های امنیتی برای محافظت از اطلاعات در برابر تهدیداتی است که از طریق اینترنت وارد می‌شوند.Essential Eight.هشت اصل ضروری مرکز امنیت سایبری استرالیامرکز امنیت سایبری استرالیا مجموعه‌ای از راهبردهای اولویت‌بندی شده برای کاهش تهدیدات سایبری را در قالب "راهبردهایی برای کاهش حوادث امنیت سایبری" ارائه داده است تا به سازمان‌ها کمک کند در برابر تهدیدهای مختلف سایبری از خود محافظت کنند. مؤثرترین این راهبردها تحت عنوان Essential Eight یا «هشت اصل ضروری» شناخته می‌شوند.[34]BSI IT-Grundschutz.استانداردهای BSI و روش حفاظت پایه فناوری اطلاعات آلمان (IT-Grundschutz)استانداردهای دفتر مرکزی امنیت داده‌ها (آلمان) (Bundesamt für Sicherheit in der Informationstechnik یا به اختصار BSI) بخشی اساسی از روش حفاظت پایه فناوری اطلاعات (IT-Grundschutz) هستند. این استانداردها شامل توصیه‌هایی دربارهٔ روش‌ها، فرایندها، رویه‌ها، رویکردها و اقدامات برای جنبه‌های مختلف امنیت اطلاعات هستند. کاربران نهادهای دولتی، شرکت‌ها، تولیدکنندگان یا ارائه‌دهندگان خدمات می‌توانند از استانداردهای BSI برای امن‌سازی داده‌ها و فرایندهای کسب‌وکار خود استفاده کنند.[35]استانداردهای خاص صنعت.PCI DSS.مقاله اصلی: استاندارد امنیت داده صنعت پرداخت کارت (Payment Card Industry Data Security Standard)استاندارد امنیت داده‌های صنعت کارت پرداخت (PCI DSS) یک استاندارد امنیت اطلاعات است که برای سازمان‌هایی تدوین شده که با کارت‌های اعتباری برندهای اصلی سر و کار دارند.این استاندارد توسط شرکت‌های ارائه‌دهنده کارت‌های اعتباری الزام‌آور شده و توسط شورای استانداردهای امنیتی صنعت کارت پرداخت (PCI SSC) مدیریت می‌شود.هدف از ایجاد این استاندارد، افزایش کنترل‌ها بر داده‌های دارنده کارت و در نتیجه کاهش تقلب در کارت‌های اعتباری است.UL 2900.UL 2900 مجموعه‌ای از استانداردهاست که توسط شرکت UL (Underwriters Laboratories) منتشر شده است. این استانداردها شامل الزامات کلی امنیت سایبری (UL 2900-1) و همچنین الزامات خاص برای محصولات پزشکی (UL 2900-2-1)، سیستم‌های صنعتی (UL 2900-2-2)، و سامانه‌های هشدار ایمنی و امنیت زندگی (UL 2900-2-3) هستند.طبق UL 2900، تولیدکنندگان موظف‌اند سطح حمله (attack surface) فناوری‌های استفاده‌شده در محصولاتشان را شرح داده و مستندسازی کنند.این استاندارد نیازمند مدل‌سازی تهدیدات (Threat Modeling) بر اساس کاربری مورد نظر و محیط پیاده‌سازی محصول است.همچنین UL 2900 تأکید می‌کند که اقدامات امنیتی مؤثری برای محافظت از داده‌های حساس (مانند داده‌های شخصی) و سایر دارایی‌ها (نظیر داده‌های فرمان و کنترل) باید اتخاذ شده باشد.این استاندارد همچنین مستلزم این است که آسیب‌پذیری‌های امنیتی نرم‌افزار برطرف شده باشند، اصول امنیتی مانند دفاع در عمق (Defense-in-Depth) رعایت شده و امنیت نرم‌افزار از طریق تست نفوذ (Penetration Testing) تأیید شده باشد.سازمان‌های تولیدکننده استانداردها.سازمان بین‌المللی استانداردسازی (ISO) یک سازمان بین‌المللی تدوین استاندارد است که به‌صورت کنسرسیومی از نهادهای ملی استاندارد از ۱۶۷ کشور سازماندهی شده و دبیرخانه آن در ژنو، سوئیس قرار دارد.ISO بزرگ‌ترین تدوین‌کننده استانداردهای بین‌المللی در جهان است.کمیسیون بین‌المللی الکتروتکنیک (IEC) نیز یک سازمان بین‌المللی استانداردسازی است که در حوزه الکتروتکنولوژی فعالیت دارد و همکاری نزدیکی با ISO دارد.برخی از استانداردهای مهم برای متخصصان امنیت اطلاعات عبارت‌اند از:مؤسسه ملی فناوری و استانداردها (NIST) یک نهاد فدرال غیرنظارتی وابسته به وزارت بازرگانی ایالات متحده آمریکا است.بخش امنیت رایانه NIST به توسعه استانداردها، سنجه‌ها، تست‌ها و برنامه‌های ارزیابی می‌پردازد و استانداردها و راهنماهایی را برای بهبود امنیت در برنامه‌ریزی، پیاده‌سازی، مدیریت و عملیات فناوری اطلاعات منتشر می‌کند.NIST همچنین نگهدارنده انتشارات استاندارد پردازش اطلاعات فدرال (FIPS) است.جامعه اینترنت (Internet Society یا ISOC) یک جامعه حرفه‌ای با عضویت بیش از ۱۰۰ سازمان و ۲۰٬۰۰۰ عضو حقیقی از بیش از ۱۸۰ کشور است.این نهاد در زمینه مسائل مربوط به آینده اینترنت نقش رهبری دارد و خانه سازمانی گروه‌هایی است که مسئول استانداردهای زیرساختی اینترنت هستند، از جمله:ISOC همچنین میزبان اسناد درخواست برای اظهار نظر (RFC) است، که شامل استانداردهای رسمی پروتکل‌های اینترنت و سند مهم RFC-2196 (راهنمای امنیت سایت) می‌شود.دفتر مرکزی امنیت داده‌ها (آلمان) (به آلمانی: "Bundesamt für Sicherheit in der Informationstechnik" یا BSI)استانداردهای BSI با شماره‌های ۱۰۰–۱ تا ۱۰۰–۴ مجموعه‌ای از توصیه‌ها هستند که شامل روش‌ها، فرآیندها، رویکردها و اقدامات مرتبط با امنیت اطلاعات می‌شوند.استاندارد ۱۰۰–۲ BSI با عنوان روش‌شناسی IT-Grundschutz توضیح می‌دهد که چگونه می‌توان مدیریت امنیت اطلاعات را پیاده‌سازی و اجرا کرد.این استاندارد راهنمایی ویژه به نام کاتالوگ‌های حفاظت پایه IT (IT-Grundschutz Catalogs) را نیز در بر می‌گیرد.پیش از سال ۲۰۰۵، این کاتالوگ‌ها با عنوان "حفاظت از پایگاه داده فناوری اطلاعات" شناخته می‌شدند. این اسناد برای شناسایی و مقابله با نقاط ضعف امنیتی در محیط فناوری اطلاعات بسیار مفید هستند.تا سپتامبر ۲۰۱۳، مجموعه‌ی کامل این اسناد به همراه مقدمه و کاتالوگ‌ها، بیش از ۴۴۰۰ صفحه را دربر می‌گیرد.رویکرد IT-Grundschutz با خانواده استانداردهای ISO/IEC 2700x هم‌راستا و منطبق است.نهاد استانداردهای مخابراتی اروپا (ETSI) نیز یک کاتالوگ از شاخص‌های امنیت اطلاعات را استاندارد کرده است که توسط گروه مشخصات صنعتی (ISG) تحت عنوان ISI هدایت می‌شود.