أمن المعلومات

أمن المعلومات هو ممارسة حماية المعلومات من خلال الحد من مخاطرها، وهو جزء من إدارة مخاطر المعلومات. ^{[ 1 ]} ويتضمن عادةً منع أو تقليل احتمالية الوصول غير المصرح به أو غير المناسب إلى البيانات ، أو استخدامها أو الكشف عنها أو تعطيلها أو حذفها أو إتلافها أو تعديلها أو فحصها أو تسجيلها أو التقليل من قيمتها بشكل غير قانوني. كما يشمل اتخاذ إجراءات تهدف إلى الحد من الآثار السلبية لمثل هذه الحوادث. قد تتخذ المعلومات المحمية أي شكل، سواءً كانت إلكترونية أو مادية، ملموسة (مثل المستندات ) أو غير ملموسة (مثل المعرفة ). ^{[ 2 ]} ينصب التركيز الأساسي لأمن المعلومات على الحماية المتوازنة لسرية البيانات وسلامتها وتوافرها ( المعروفة باسم مثلث CIA، وهو غير مرتبط بمنظمة الحكومة الأمريكية) ^{[ 3 ]} مع الحفاظ على التركيز على التنفيذ الفعال للسياسات دون إعاقة إنتاجية المؤسسة . ^{[ 4 ]} ويتحقق ذلك إلى حد كبير من خلال عملية منظمة لإدارة المخاطر .

لتوحيد هذا المجال، يتعاون الأكاديميون والمهنيون لتقديم التوجيهات والسياسات ومعايير الصناعة المتعلقة بكلمات المرور ، وبرامج مكافحة الفيروسات ، وجدران الحماية ، وبرامج التشفير ، والمسؤولية القانونية ، والتوعية والتدريب الأمني ، وما إلى ذلك. ^{[ 5 ]} وقد يُعزز هذا التوحيد مجموعة واسعة من القوانين واللوائح التي تؤثر على كيفية الوصول إلى البيانات ومعالجتها وتخزينها ونقلها وإتلافها. ^{[ 6 ]}

على الرغم من استمرار شيوع العمليات التجارية الورقية، وما تتطلبه من ممارسات أمن معلومات خاصة بها، إلا أن المبادرات الرقمية للمؤسسات تحظى باهتمام متزايد، ^{[ 7 ]} حيث يتولى متخصصو أمن تكنولوجيا المعلومات مسؤولية ضمان أمن المعلومات . ويقوم هؤلاء المتخصصون بتطبيق أمن المعلومات على التكنولوجيا (غالباً ما يكون ذلك نوعاً من أنظمة الحاسوب).

تستعين المؤسسات والشركات الكبرى بخبراء أمن تكنولوجيا المعلومات لحماية تقنيات الشركة من الهجمات الخبيثة التي تسعى إلى الحصول على معلومات خاصة حساسة أو السيطرة على الأنظمة الداخلية. ^{[ 8 ] [ 9 ]}

توجد العديد من الأدوار المتخصصة في مجال أمن المعلومات، بما في ذلك تأمين الشبكات والبنية التحتية المرتبطة بها ، وتأمين التطبيقات وقواعد البيانات ، واختبار الأمان ، وتدقيق نظم المعلومات ، وتخطيط استمرارية الأعمال ، واكتشاف السجلات الإلكترونية، والأدلة الجنائية الرقمية . ^{[ 10 ]}

معايير أمن المعلومات هي إرشادات تُحدد عادةً في مواد منشورة، وتهدف إلى حماية البيئة الإلكترونية للمستخدم أو المؤسسة من التهديدات. ^{[ 11 ]} تشمل هذه البيئة المستخدمين أنفسهم، والأجهزة مثل الشبكات، والبرامج مثل التطبيقات أو الخدمات، وأي معلومات مخزنة أو قيد النقل.

تتضمن هذه المعايير مفاهيم وتقنيات وإرشادات أمنية للتعامل مع أي حدث ضار. وقد تشمل أيضًا معايير تقييم ومنح شهادات للمؤسسات التي تطبق الحد الأدنى من الأمن. وقد طورت هذه المعايير هيئات دولية ووطنية مختلفة لمنع الهجمات الإلكترونية أو التخفيف من آثارها، وضمان التناسق بين المطورين، ووضع معيار أدنى في القطاعات المعرضة للهجمات.

توفر سلسلة معايير ISO /IEC 27000 ، الصادرة عن المنظمة الدولية للتوحيد القياسي (ISO) واللجنة الكهروتقنية الدولية (IEC)، معلومات حول الإرشادات والمتطلبات الخاصة بنظام إدارة أمن المعلومات (ISMS). ^{[ 12 ]} وتقدم المعايير المشتركة (ISO/IEC 15408) إرشادات حول تقييم أمن النظام واعتماده. ^{[ 13 ]} ويضع معيار IEC 62443 معايير أمنية لأنظمة الأتمتة والتحكم. وبالمثل، توفر معايير ISO/SAE 21434 وETSI EN 303 645 وEN 18031 معايير لمركبات الطرق، وإنترنت الأشياء ، والأنظمة اللاسلكية على التوالي.

إطار الأمن السيبراني التابع للمعهد الوطني للمعايير والتكنولوجيا (NIST CSF) هو مجموعة من الإرشادات التي وضعها المعهد الوطني الأمريكي للمعايير والتكنولوجيا لمساعدة المؤسسات في إدارة المخاطر. ^{[ 14 ]} كما ينشر المعهد معايير معالجة المعلومات الفيدرالية (FIPS) ومنشورات خاصة متنوعة. وقد أطلقت المملكة المتحدة برنامج Cyber ​​Essentials ، وهو برنامج شهادات لحماية المؤسسات من التهديدات الأمنية الشائعة. ^{[ 15 ]} وينشر المركز الأسترالي للأمن السيبراني استراتيجيات التخفيف الثمانية الأساسية. ^{[ 16 ]}

ينظم معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) معالجة بيانات حاملي البطاقات بهدف الحد من الاحتيال في بطاقات الائتمان. ^{[ 17 ]} وقد نشرت مؤسسة UL معايير خاصة بصناعات محددة، مثل UL 2900-2-3 لأنظمة الإشارات الأمنية وأنظمة السلامة، وUL-2900-2-1 لأنظمة الرعاية الصحية والعافية.

تتخذ تهديدات أمن المعلومات أشكالًا عديدة. ^{[ 18 ]} ومن أكثر التهديدات شيوعًا اليوم: الهجمات البرمجية، وسرقة الملكية الفكرية، وسرقة الهوية، وسرقة المعدات أو المعلومات، والتخريب، وابتزاز المعلومات. ^{[ 19 ]} وتُعد الفيروسات ، ^{[ 20 ]} والديدان ، وهجمات التصيد الاحتيالي ، وبرامج التجسس (أحصنة طروادة) أمثلة شائعة على الهجمات البرمجية. كما تُعد سرقة الملكية الفكرية مشكلة واسعة النطاق تواجه العديد من الشركات. أما سرقة الهوية فهي محاولة انتحال شخصية شخص آخر، عادةً للحصول على معلوماته الشخصية أو استغلال وصوله إلى معلومات حيوية من خلال الهندسة الاجتماعية . ^{[ 21 ] [ 22 ]} ويتمثل التخريب عادةً في تدمير موقع إلكتروني تابع لمنظمة ما بهدف زعزعة ثقة عملائها. ^{[ 23 ]} ويتمثل ابتزاز المعلومات في سرقة ممتلكات أو معلومات شركة ما بهدف الحصول على فدية مقابل إعادة المعلومات أو الممتلكات إلى مالكها، كما هو الحال مع برامج الفدية . من أكثر الاحتياطات فعالية ضد هذه الهجمات إجراء توعية دورية للمستخدمين.

تجمع الحكومات والجيوش والشركات والمؤسسات المالية والمستشفيات والمنظمات غير الربحية والشركات الخاصة كميات هائلة من المعلومات السرية حول موظفيها وعملائها ومنتجاتها وأبحاثها ووضعها المالي. في حال وقوع معلومات سرية تتعلق بعملاء شركة ما أو مواردها المالية أو خط إنتاجها الجديد في أيدي منافس أو مخترق، فقد تتكبد الشركة وعملاؤها خسائر مالية فادحة لا يمكن تداركها، فضلاً عن الإضرار بسمعة الشركة. ^{[ 24 ]} من منظور الأعمال، يجب الموازنة بين أمن المعلومات والتكلفة؛ ويقدم نموذج غوردون-لوب منهجًا اقتصاديًا رياضيًا لمعالجة هذا الأمر. ^{[ 25 ]}

بالنسبة للفرد، فإن أمن المعلومات له تأثير كبير على الخصوصية ، والتي يُنظر إليها بشكل مختلف تمامًا في مختلف الثقافات . ^{[ 26 ]}

منذ فجر الاتصالات، أدرك الدبلوماسيون والقادة العسكريون ضرورة توفير آلية لحماية سرية المراسلات ووسيلة لكشف أي تلاعب بها . ^{[ 27 ]} يُنسب إلى يوليوس قيصر اختراع شيفرة قيصر حوالي عام 50 قبل الميلاد، والتي صُممت لمنع قراءة رسائله السرية في حال وقوعها في الأيدي الخطأ. ^{[ 28 ] [ 29 ]} مع ذلك، تحققت الحماية في معظم الأحيان من خلال تطبيق ضوابط إجرائية للتعامل مع الرسائل. ^{[ 30 ]} كانت المعلومات الحساسة تُعلّم لتوضيح ضرورة حمايتها ونقلها بواسطة أشخاص موثوق بهم، وحراستها وتخزينها في بيئة آمنة أو صندوق محصن. ومع توسع الخدمات البريدية، أنشأت الحكومات منظمات رسمية لاعتراض الرسائل وفك شفرتها وقراءتها وإعادة ختمها (مثل المكتب السري البريطاني، الذي تأسس عام 1653 ^{[ 31 ]} ).

في منتصف القرن التاسع عشر، طُوِّرت أنظمة تصنيف أكثر تعقيدًا لتمكين الحكومات من إدارة معلوماتها وفقًا لدرجة حساسيتها. ^{[ 32 ]} فعلى سبيل المثال، قامت الحكومة البريطانية بتقنين هذا الأمر، إلى حد ما، بنشر قانون الأسرار الرسمية عام 1889. ^{[ 33 ]} تناول القسم الأول من القانون التجسس والإفصاح غير القانوني عن المعلومات، بينما تناول القسم الثاني انتهاكات الأمانة الرسمية. وسرعان ما أُضيف بندٌ للدفاع عن المصلحة العامة لتبرير الإفصاحات التي تصب في مصلحة الدولة. ^{[ 34 ]} صدر قانون مماثل في الهند عام 1889، وهو قانون الأسرار الرسمية الهندي، الذي ارتبط بالحقبة الاستعمارية البريطانية واستُخدم لقمع الصحف التي عارضت سياسات الراج. ^{[ 35 ]} صدرت نسخة أحدث منه عام 1923 شملت جميع مسائل المعلومات السرية أو الخاصة بالحكم. ^{[ 36 ]} بحلول الحرب العالمية الأولى ، استُخدمت أنظمة تصنيف متعددة المستويات لنقل المعلومات من وإلى مختلف الجبهات، مما شجع على زيادة استخدام أقسام فك الشفرات في المقرات الدبلوماسية والعسكرية. ^{[ 37 ]} أصبح التشفير أكثر تطورًا بين الحربين مع استخدام الآلات لتشفير المعلومات وفك تشفيرها. ^{[ 38 ]}

شكّل إرساء أمن الحاسوب بدايةً لتاريخ أمن المعلومات، وقد برزت الحاجة إليه خلال الحرب العالمية الثانية . ^{[ 39 ]} استلزم حجم المعلومات التي تبادلتها دول الحلفاء خلال الحرب العالمية الثانية توحيد أنظمة التصنيف والضوابط الإجرائية بشكل رسمي. وتطورت مجموعة من العلامات المعقدة لتحديد من يُسمح له بالتعامل مع الوثائق (عادةً الضباط وليس الجنود) ومكان تخزينها مع تطور الخزائن ومرافق التخزين الأكثر تعقيدًا. ^{[ 40 ]} ويمكن اعتبار آلة إنجما ، التي استخدمها الألمان لتشفير بيانات الحرب ونجح آلان تورينج في فك تشفيرها ، مثالًا بارزًا على إنشاء واستخدام معلومات مؤمّنة. ^{[ 41 ]} وقد تطورت إجراءات لضمان إتلاف الوثائق بشكل صحيح، وكان عدم اتباع هذه الإجراءات سببًا في بعض أعظم عمليات الاستخبارات في الحرب (مثل الاستيلاء على الغواصة يو-570 ^{[ 41 ]} ).

خلال الحرب الباردة، تم ربط العديد من الحواسيب المركزية بالإنترنت لإنجاز مهام أكثر تعقيدًا، في عملية تواصل أسهل من إرسال الأشرطة المغناطيسية ذهابًا وإيابًا عبر مراكز الحاسوب. وبناءً على ذلك، بدأت وكالة مشاريع الأبحاث المتقدمة (ARPA)، التابعة لوزارة الدفاع الأمريكية ، بدراسة جدوى نظام اتصالات شبكي لتبادل المعلومات داخل القوات المسلحة الأمريكية . وفي عام 1968، وضع لاري روبرتس مشروع ARPANET ، الذي تطور لاحقًا إلى ما يُعرف اليوم بالإنترنت . ^{[ 42 ]}

في عام 1973، اكتشف رائد الإنترنت روبرت ميتكالف العديد من الثغرات الأمنية في شبكة أربانت، ومنها: "ضعف بنية كلمات المرور وتنسيقاتها، وانعدام إجراءات الأمان لاتصالات الطلب الهاتفي ، وعدم وجود نظام لتحديد هوية المستخدمين ومنحهم الصلاحيات"، بالإضافة إلى غياب الضوابط والضمانات اللازمة لحماية البيانات من الوصول غير المصرح به. وقد تمكن المخترقون من الوصول إلى أربانت بسهولة، نظرًا لشيوع أرقام الهواتف. ^{[ 43 ]} ونتيجةً لهذه المشاكل، إلى جانب الانتهاكات المستمرة لأمن الحاسوب، والزيادة الهائلة في عدد الأجهزة والمستخدمين، أصبح يُشار إلى "أمن الشبكة" غالبًا بـ"انعدام أمن الشبكة". ^{[ 43 ]}

شهدت نهاية القرن العشرين وبداية القرن الحادي والعشرين تطورات سريعة في مجال الاتصالات ، وأجهزة وبرامج الحوسبة ، وتشفير البيانات . ^{[ 44 ]} وقد أتاح توفر أجهزة حوسبة أصغر حجمًا وأكثر قوة وأقل تكلفة إمكانية معالجة البيانات الإلكترونية للشركات الصغيرة والمستخدمين المنزليين. ^{[ 45 ]} كما مكّن إنشاء بروتوكول التحكم في النقل/بروتوكول الإنترنت (TCP/IP) في أوائل ثمانينيات القرن الماضي أنواعًا مختلفة من أجهزة الكمبيوتر من التواصل. ^{[ 46 ]} وسرعان ما أصبحت هذه الأجهزة متصلة ببعضها عبر الإنترنت . ^{[ 47 ]}

أدى النمو السريع والاستخدام الواسع النطاق لمعالجة البيانات الإلكترونية والتجارة الإلكترونية عبر الإنترنت، إلى جانب حوادث الإرهاب الدولي المتكررة ، إلى زيادة الحاجة إلى أساليب أفضل لحماية أجهزة الحاسوب والمعلومات التي تخزنها وتعالجها وتنقلها. ^{[ 48 ]} وقد ظهرت التخصصات الأكاديمية لأمن الحاسوب وضمان المعلومات، إلى جانب العديد من المنظمات المهنية، التي تشترك جميعها في الأهداف المشتركة المتمثلة في ضمان أمن وموثوقية أنظمة المعلومات . ^{[ 49 ]}

تُعدّ "ثلاثية وكالة المخابرات المركزية" المتمثلة في السرية والنزاهة والتوافر جوهر أمن المعلومات. ^{[ 50 ]} طُرح هذا المفهوم في تقرير أندرسون عام 1972، ثم أُعيد ذكره لاحقًا في كتاب " حماية المعلومات في أنظمة الحاسوب" . وقد صاغ ستيف ليبنر هذا الاختصار حوالي عام 1986. ^{[ 51 ]}

في مجال أمن المعلومات، تُعرَّف السرية بأنها "عدم إتاحة المعلومات أو الكشف عنها لأفراد أو جهات أو عمليات غير مصرح لها". ^{[ 52 ]} ورغم تشابهها مع "الخصوصية"، إلا أن المصطلحين ليسا مترادفين. فالسرية عنصر من عناصر الخصوصية يُطبَّق لحماية البيانات من الوصول غير المصرح به. ^{[ 53 ]} ومن أمثلة اختراق سرية البيانات الإلكترونية: سرقة أجهزة الكمبيوتر المحمولة، وسرقة كلمات المرور، وإرسال رسائل بريد إلكتروني حساسة إلى أشخاص غير مصرح لهم. ^{[ 54 ]}

في مجال أمن تكنولوجيا المعلومات، تعني سلامة البيانات الحفاظ على دقة البيانات واكتمالها وضمانهما. ^{[ 55 ]} وهذا يعني أنه لا يمكن تعديل البيانات بطريقة غير مصرح بها أو دون اكتشافها. ^{[ 56 ]} وبشكل أوسع، تُعدّ السلامة مبدأً من مبادئ أمن المعلومات يشمل السلامة البشرية/الاجتماعية، وسلامة العمليات، والسلامة التجارية، بالإضافة إلى سلامة البيانات. ولذلك، فهي تتناول جوانب مثل المصداقية، والاتساق، والصدق، والاكتمال، والدقة، والتوقيت المناسب، والضمان. ^{[ 57 ]}

لكي يؤدي أي نظام معلوماتي غرضه، يجب أن تكون المعلومات متاحة عند الحاجة إليها. ^{[ 58 ]} وهذا يعني أن أنظمة الحوسبة المستخدمة لتخزين المعلومات ومعالجتها، وضوابط الأمان المستخدمة لحمايتها، وقنوات الاتصال المستخدمة للوصول إليها، يجب أن تعمل بشكل صحيح. ^{[ 59 ]} وقد يشمل ضمان التوافر أيضًا منع هجمات حجب الخدمة ، مثل إغراق النظام المستهدف بسيل من الرسائل الواردة، مما يجبره فعليًا على التوقف عن العمل. ^{[ 60 ]}

إضافةً إلى ثلاثية أهداف الأمن الكلاسيكية لوكالة المخابرات المركزية، قد ترغب بعض المنظمات في تضمين أهداف أمنية أخرى مثل المصداقية والمساءلة وعدم الإنكار والموثوقية. وتُعدّ مزايا نموذج باركر السداسي موضوع نقاش بين خبراء الأمن. ^{[ 61 ]}

المخاطرة هي احتمال وقوع حدث سيئ يُلحق الضرر بأحد الأصول المعلوماتية (أو فقدانه). ^{[ 62 ]} أما الثغرة الأمنية فهي نقطة ضعف يُمكن استغلالها لتعريض أحد الأصول المعلوماتية للخطر أو إلحاق الضرر به. والتهديد هو أي شيء (من صنع الإنسان أو من صنع الطبيعة ) لديه القدرة على إحداث ضرر. ^{[ 63 ]} ويُشكل احتمال استغلال التهديد للثغرة الأمنية لإلحاق الضرر خطرًا. وعندما يستغل التهديد الثغرة الأمنية لإلحاق الضرر، يكون لذلك أثر. ^{[ 64 ]} وفي سياق أمن المعلومات، يتمثل هذا الأثر في فقدان التوافر والنزاهة والسرية، وربما خسائر أخرى (مثل فقدان الدخل، أو فقدان الأرواح، أو فقدان الممتلكات العقارية). ^{[ 65 ]}

يُعرّف دليل مراجعة مدقق نظم المعلومات المعتمد (CISA) لعام 2006 إدارة المخاطر بأنها "عملية تحديد نقاط الضعف والتهديدات التي تواجه موارد المعلومات التي تستخدمها المنظمة في تحقيق أهداف العمل، وتحديد التدابير المضادة ، ^{[ 66 ]} إن وجدت، التي يجب اتخاذها لتقليل المخاطر إلى مستوى مقبول، بناءً على قيمة مورد المعلومات بالنسبة للمنظمة." ^{[ 67 ]}

هناك جانبان في هذا التعريف قد يحتاجان إلى توضيح. أولًا، عملية إدارة المخاطر عملية مستمرة ومتكررة، ويجب تكرارها باستمرار. فبيئة الأعمال تتغير باستمرار، وتظهر تهديدات وثغرات جديدة يوميًا. ^{[ 68 ]} ثانيًا، يجب أن يوازن اختيار التدابير المضادة ( الضوابط ) المستخدمة لإدارة المخاطر بين الإنتاجية والتكلفة وفعالية التدبير المضاد وقيمة الأصول المعلوماتية المراد حمايتها. ^{[ 69 ]} علاوة على ذلك، لهذه العمليات قيود، إذ أن الاختراقات الأمنية نادرة الحدوث عمومًا، وتظهر في سياق محدد قد يصعب تكراره. ^{[ 70 ]} لذا، ينبغي تقييم أي عملية أو تدبير مضاد بحثًا عن الثغرات. ^{[ 71 ]} ليس من الممكن تحديد جميع المخاطر، ولا القضاء عليها تمامًا. يُطلق على المخاطر المتبقية اسم "المخاطر المتبقية". ^{[ 72 ]}

يُجرى تقييم المخاطر بواسطة فريق من ذوي الخبرة في مجالات محددة من العمل. [ 73 ^{] وقد يتغير} أعضاء الفريق بمرور الوقت مع تقييم أجزاء مختلفة من العمل. ^{[ 74 ]} وقد يعتمد التقييم على تحليل نوعي قائم على آراء الخبراء، أو على تحليل كمي في حال توفر بيانات مالية موثوقة ومعلومات تاريخية .

أظهرت الأبحاث أن أكثر نقاط الضعف في معظم أنظمة المعلومات هي المستخدم البشري، أو المشغل، أو المصمم، أو أي شخص آخر. ^{[ 75 ]} توصي مدونة الممارسات ISO /IEC 27002:2005 لإدارة أمن المعلومات بفحص ما يلي أثناء تقييم المخاطر:

• سياسة الأمن ،
• تنظيم أمن المعلومات،
• إدارة الأصول ،
• أمن الموارد البشرية ،
• الأمن المادي والبيئي ،
• إدارة الاتصالات والعمليات،
• التحكم في الوصول ،
• اقتناء وتطوير وصيانة نظم المعلومات،
• إدارة حوادث أمن المعلومات ،
• إدارة استمرارية الأعمال
• الامتثال التنظيمي.

بشكل عام، تتكون عملية إدارة المخاطر مما يلي: ^{[ 76 ] [ 77 ]}

1. تحديد الأصول وتقدير قيمتها. يشمل ذلك: الأفراد، والمباني، والأجهزة، والبرامج، والبيانات (الإلكترونية، والمطبوعة، وغيرها)، واللوازم. ^{[ 78 ]}
2. إجراء تقييم للمخاطر . يشمل ذلك: الكوارث الطبيعية، وأعمال الحرب، والحوادث، والأعمال الخبيثة التي تنشأ من داخل المنظمة أو خارجها. ^{[ 79 ]}
3. قم بإجراء تقييم للثغرات الأمنية ، واحسب احتمالية استغلال كل ثغرة. قيّم السياسات والإجراءات والمعايير والتدريب ^والأمن المادي ومراقبة الجودة والأمن التقني. [ ^{80 ]}
4. احسب تأثير كل تهديد على كل أصل. استخدم التحليل النوعي أو التحليل الكمي.
5. حدد الضوابط المناسبة، واخترها، ونفذها. قدم استجابة متناسبة. ضع في اعتبارك الإنتاجية، وفعالية التكلفة، وقيمة الأصل. ^{[ 81 ]}
6. قيّم فعالية تدابير الرقابة. تأكد من أن هذه التدابير توفر الحماية المطلوبة بفعالية من حيث التكلفة دون أي خسارة ملحوظة في الإنتاجية. ^{[ 82 ]}

بالنسبة لأي خطر مُحدد، يُمكن للإدارة قبوله بناءً على انخفاض قيمة الأصل، وقلة تكرار حدوثه، وانخفاض تأثيره على العمل. أو قد تختار القيادة تخفيف المخاطر باختيار وتطبيق إجراءات رقابية مناسبة للحد منها. في بعض الحالات، يُمكن نقل المخاطر إلى شركة أخرى عن طريق شراء تأمين أو الاستعانة بمصادر خارجية. ^{[ 83 ]} قد يكون واقع بعض المخاطر محل خلاف. في مثل هذه الحالات، قد تختار القيادة إنكار المخاطر. ^{[ 84 ]}

يُعدّ مفهوم الدفاع المتعدد الطبقات فلسفة أمنية أساسية تعتمد على أنظمة أمنية متداخلة مصممة للحفاظ على الحماية حتى في حال تعطل أحد مكوناتها. فبدلاً من الاعتماد على إجراء أمني واحد، يجمع هذا المفهوم بين طبقات متعددة من الضوابط الأمنية، سواء في الحوسبة السحابية أو على نقاط نهاية الشبكة. ويشمل هذا النهج تركيبات مثل جدران الحماية مع أنظمة كشف التسلل، وخدمات تصفية البريد الإلكتروني مع برامج مكافحة الفيروسات المكتبية، والأمن السحابي إلى جانب وسائل الدفاع الشبكية التقليدية. ^{[ 90 ]} ويمكن تطبيق هذا المفهوم من خلال ثلاث طبقات متميزة من الضوابط الإدارية والمنطقية والمادية، ^{[ 91 ]} أو تمثيله بصريًا كنموذج بصلة، حيث تُمثّل البيانات جوهره، وتحيط بها طبقات الأفراد، وأمن الشبكة، وأمن الأجهزة، وأمن التطبيقات. ^{[ 92 ]} وتؤكد هذه الاستراتيجية أن الأمن لا يقتصر على التكنولوجيا فحسب، بل يشمل أيضًا الأفراد والعمليات التي تعمل معًا، مع كون المراقبة والاستجابة في الوقت الفعلي عنصرين أساسيين. ^{[ 90 ]}

يُعدّ إدراك قيمة المعلومات وتحديد الإجراءات المناسبة ومتطلبات حمايتها جانبًا هامًا من جوانب أمن المعلومات وإدارة المخاطر. ^{[ 93 ]} لا تتساوى جميع المعلومات، وبالتالي لا تتطلب جميعها نفس درجة الحماية. ^{[ 94 ]} يتطلب ذلك تصنيف المعلومات أمنيًا . ^{[ 95 ]} تتمثل الخطوة الأولى في تصنيف المعلومات في تحديد أحد أعضاء الإدارة العليا بصفته مالكًا للمعلومات المراد تصنيفها. بعد ذلك، يتم وضع سياسة تصنيف. ^{[ 96 ]} ينبغي أن تصف هذه السياسة مختلف مسميات التصنيف، وتحدد معايير إسناد كل مسمى إلى المعلومات، وتُدرج ضوابط الأمان المطلوبة لكل تصنيف. ^{[ 97 ]}

تتضمن بعض العوامل المؤثرة في تصنيف المعلومات مدى أهميتها للمؤسسة، وعمرها، وما إذا كانت قد أصبحت قديمة أم لا. ^{[ 98 ]} كما تُعد القوانين والمتطلبات التنظيمية الأخرى من الاعتبارات المهمة عند تصنيف المعلومات. ^{[ 99 ]} وتُعتبر جمعية تدقيق ومراقبة نظم المعلومات (ISACA) ونموذجها التجاري لأمن المعلومات أداةً لمتخصصي الأمن لدراسة الأمن من منظور النظم، مما يُهيئ بيئةً لإدارة الأمن بشكل شامل، ويُمكّن من معالجة المخاطر الفعلية. ^{[ 100 ]}

يعتمد نوع تصنيفات أمن المعلومات المختارة والمستخدمة على طبيعة المنظمة، ومن الأمثلة على ذلك: ^{[ 97 ]}

• في قطاع الأعمال، توجد تصنيفات مثل: عام، حساس، خاص، سري.
• في القطاع الحكومي، توجد تصنيفات مثل: غير مصنف، غير رسمي، محمي، سري، سري للغاية، وما يعادلها من المصطلحات غير الإنجليزية. ^{[ 101 ]}
• في التشكيلات متعددة القطاعات، يتم تطبيق بروتوكول إشارات المرور ، والذي يتكون من: الأبيض والأخضر والأصفر والأحمر.
• في القطاع الشخصي، يُستخدم مصطلح واحد مثل "المالي". ويشمل ذلك الأنشطة المتعلقة بإدارة الأموال، مثل الخدمات المصرفية عبر الإنترنت. ^{[ 102 ]}

يجب تدريب جميع موظفي المؤسسة، بالإضافة إلى شركاء العمل، على مخطط التصنيف وفهم ضوابط الأمان المطلوبة وإجراءات التعامل مع كل تصنيف. ينبغي مراجعة تصنيف أي أصل معلوماتي مُحدد بشكل دوري للتأكد من ملاءمته للمعلومات، ولضمان تطبيق ضوابط الأمان المطلوبة وفقًا للإجراءات الصحيحة. ^{[ 103 ]}

يجب تقييد الوصول إلى المعلومات المحمية على الأشخاص المصرح لهم بالوصول إليها. ^{[ 104 ]} كما يجب أن تكون برامج الحاسوب، وفي كثير من الحالات أجهزة الحاسوب التي تعالج المعلومات، مصرحًا لها أيضًا. وهذا يتطلب وجود آليات للتحكم في الوصول إلى المعلومات المحمية. وينبغي أن تتناسب درجة تعقيد آليات التحكم في الوصول مع قيمة المعلومات المحمية؛ فكلما زادت حساسية المعلومات أو قيمتها، زادت الحاجة إلى آليات تحكم أقوى. ^{[ 105 ]} وتبدأ أسس آليات التحكم في الوصول بتحديد الهوية والتحقق من الهوية . ^{[ 106 ]}

تُعتبر عملية التحكم في الوصول عمومًا من خلال ثلاث خطوات: تحديد الهوية، والمصادقة ، والتفويض . ^{[ 107 ] [ 54 ]}

يستخدم أمن المعلومات التشفير لتحويل المعلومات القابلة للاستخدام إلى شكل يجعلها غير قابلة للاستخدام من قبل أي شخص آخر غير المستخدم المُصرَّح له؛ وتُسمى هذه العملية بالتشفير . ^{[ 124 ]} يمكن للمستخدم المُصرَّح له، الذي يمتلك مفتاح التشفير، إعادة المعلومات المُشفَّرة (غير القابلة للاستخدام) إلى شكلها الأصلي القابل للاستخدام ، من خلال عملية فك التشفير. يُستخدم التشفير في أمن المعلومات لحماية المعلومات من الكشف غير المُصرَّح به أو العرضي أثناء نقلها (إلكترونيًا أو ماديًا) وأثناء تخزينها. ^{[ 54 ]}

توفر تقنيات التشفير أمانًا للمعلومات من خلال تطبيقات مفيدة أخرى، تشمل أساليب مصادقة محسّنة، وملخصات الرسائل، والتوقيعات الرقمية، وعدم الإنكار ، واتصالات الشبكة المشفرة. ^{[ 125 ]} ويجري استبدال التطبيقات القديمة الأقل أمانًا، مثل Telnet وبروتوكول نقل الملفات (FTP)، تدريجيًا بتطبيقات أكثر أمانًا، مثل Secure Shell (SSH)، التي تستخدم اتصالات شبكة مشفرة. ^{[ 126 ]} ويمكن تشفير الاتصالات اللاسلكية باستخدام بروتوكولات مثل WPA/WPA2 أو WEP الأقدم (والأقل أمانًا) . أما الاتصالات السلكية (مثل ITU-T G.hn ) فتُؤمَّن باستخدام AES للتشفير و X.1035 للمصادقة وتبادل المفاتيح. ^{[ 127 ]} ويمكن استخدام تطبيقات برمجية مثل GnuPG أو PGP لتشفير ملفات البيانات والبريد الإلكتروني. ^{[ 128 ]}

قد تُسبب التشفير مشاكل أمنية عند عدم تطبيقه بشكل صحيح. ^{[ 129 ]} يجب تطبيق حلول التشفير باستخدام حلول معتمدة في هذا المجال، خضعت لمراجعة دقيقة من قبل خبراء مستقلين في التشفير. ^{[ 130 ]} يُعد طول مفتاح التشفير وقوته من الاعتبارات المهمة أيضًا. ^{[ 131 ]} فالمفتاح الضعيف أو القصير جدًا يُنتج تشفيرًا ضعيفًا . ^{[ 131 ]} يجب حماية المفاتيح المستخدمة في التشفير وفك التشفير بنفس درجة الحماية التي تُوفر لأي معلومات سرية أخرى. ^{[ 132 ]} يجب حمايتها من الكشف غير المصرح به والتدمير، ويجب أن تكون متاحة عند الحاجة. تُعالج حلول البنية التحتية للمفاتيح العامة (PKI) العديد من المشاكل المتعلقة بإدارة المفاتيح . ^{[ 54 ]}

تُتيح المبادئ التوجيهية الفيدرالية الأمريكية للعقوبات الآن إمكانية تحميل مسؤولي الشركات المسؤولية عن عدم بذل العناية الواجبة والحرص اللازم في إدارة أنظمة المعلومات الخاصة بهم. ^{[ 133 ]}

في مجال أمن المعلومات، يقدم هاريس ^{[ 134 ]} التعريفات التالية للعناية الواجبة والاجتهاد الواجب:

"العناية الواجبة هي الخطوات التي تُتخذ لإظهار أن الشركة قد تحملت مسؤولية الأنشطة التي تجري داخلها، واتخذت الخطوات اللازمة لحماية الشركة ومواردها وموظفيها." و "الاجتهاد الواجب" هو "الأنشطة المستمرة التي تضمن استمرار عمل آليات الحماية وفعاليتها." ^{[ 135 ]}

ينبغي الانتباه إلى نقطتين هامتين في هذه التعريفات. ^{[ 136 ]} أولاً، في حالة العناية الواجبة، تُتخذ خطوات لإثبات ذلك؛ وهذا يعني إمكانية التحقق من هذه الخطوات وقياسها، أو حتى إنتاج نتائج ملموسة. ^{[ 137 ] [ 138 ]} ثانياً، في حالة بذل العناية الواجبة، تُمارس أنشطة مستمرة؛ وهذا يعني أن هناك أشخاصاً يقومون فعلياً بأمور لمراقبة آليات الحماية وصيانتها، وهذه الأنشطة مستمرة. ^{[ 139 ]}

تتحمل المؤسسات مسؤولية تطبيق واجب العناية عند تطبيق أمن المعلومات. يوفر معيار تحليل مخاطر واجب العناية (DoCRA) ^{[ 140 ]} مبادئ وممارسات لتقييم المخاطر. ^{[ 141 ]} وهو يأخذ في الاعتبار جميع الأطراف التي قد تتأثر بتلك المخاطر. ^{[ 142 ]} يساعد DoCRA في تقييم مدى ملاءمة الضمانات لحماية الآخرين من الضرر مع مراعاة أنها تمثل عبئًا معقولًا. ^{[ 143 ]} مع تزايد الدعاوى القضائية المتعلقة باختراق البيانات، يتعين على الشركات تحقيق التوازن بين ضوابط الأمان والامتثال ورسالتها. ^{[ 144 ]}

تُعنى إدارة استمرارية الأعمال ( BCM ) بالترتيبات التي تهدف إلى حماية وظائف الأعمال الحيوية للمؤسسة من الانقطاع نتيجةً للحوادث، أو على الأقل تقليل آثارها. ^{[ 182 ]} تُعدّ إدارة استمرارية الأعمال ضرورية لأي مؤسسة للحفاظ على توافق التكنولوجيا والأعمال مع التهديدات الحالية لاستمرار العمل كالمعتاد. ^{[ 183 ]} ​​ينبغي إدراج إدارة استمرارية الأعمال في خطة تحليل المخاطر للمؤسسة لضمان حصول جميع وظائف الأعمال الضرورية على ما يلزمها لمواصلة العمل في حال حدوث أي نوع من التهديدات لأي وظيفة من وظائف الأعمال. ^{[ 184 ]}

وهو يشمل:

• تحليل المتطلبات، على سبيل المثال، تحديد وظائف الأعمال الحيوية، والتبعيات، ونقاط الفشل المحتملة، والتهديدات المحتملة، وبالتالي الحوادث أو المخاطر التي تهم المنظمة؛ ^{[ 185 ]}
• الهندسة المعمارية والتصميم، على سبيل المثال، مزيج مناسب من المناهج بما في ذلك المرونة (مثل هندسة أنظمة وعمليات تكنولوجيا المعلومات لتحقيق توافر عالٍ، ^{[ 186 ]} وتجنب أو منع المواقف التي قد تعطل العمل)، وإدارة الحوادث والطوارئ (مثل إخلاء المباني، والاتصال بخدمات الطوارئ، والفرز/تقييم الوضع ^{[ 187 ]} وتفعيل خطط التعافي)، والتعافي (مثل إعادة البناء) وإدارة الطوارئ (قدرات عامة للتعامل بشكل إيجابي مع أي شيء يحدث باستخدام أي موارد متاحة)؛ ^{[ 188 ]}
• التنفيذ، على سبيل المثال، تكوين وجدولة النسخ الاحتياطية، ونقل البيانات، وما إلى ذلك، وتكرار العناصر الحيوية وتعزيزها؛ والتعاقد مع موردي الخدمات والمعدات؛
• الاختبارات، على سبيل المثال، تمارين استمرارية الأعمال من مختلف الأنواع والتكاليف ومستويات الضمان؛ ^{[ 189 ]}
• الإدارة، على سبيل المثال، تحديد الاستراتيجيات، ووضع الأهداف والغايات؛ تخطيط وتوجيه العمل؛ تخصيص الأموال والأفراد والموارد الأخرى؛ تحديد الأولويات بالنسبة للأنشطة الأخرى؛ بناء الفريق، والقيادة، والرقابة، والتحفيز، والتنسيق مع وظائف وأنشطة الأعمال الأخرى ^{[ 190 ]} (مثل تكنولوجيا المعلومات، والمرافق، والموارد البشرية، وإدارة المخاطر، ومخاطر المعلومات وأمنها، والعمليات)؛ مراقبة الوضع، والتحقق من الترتيبات وتحديثها عند حدوث تغييرات؛ تطوير النهج من خلال التحسين المستمر والتعلم والاستثمار المناسب؛
• ضمان، على سبيل المثال، الاختبار وفقًا لمتطلبات محددة؛ قياس وتحليل وإعداد تقارير عن المعايير الرئيسية؛ إجراء اختبارات ومراجعات وعمليات تدقيق إضافية لزيادة الثقة في أن الترتيبات ستسير وفقًا للخطة إذا تم تفعيلها.

بينما يتبنى نظام إدارة استمرارية الأعمال (BCM) نهجًا شاملًا للحد من المخاطر المرتبطة بالكوارث عن طريق تقليل احتمالية وقوع الحوادث وشدتها، تركز خطة التعافي من الكوارث (DRP) تحديدًا على استئناف العمليات التجارية بأسرع وقت ممكن بعد وقوع الكارثة. ^{[ 191 ]} وتحدد خطة التعافي من الكوارث، التي يتم تفعيلها فور وقوع الكارثة، الخطوات اللازمة لاستعادة البنية التحتية الحيوية لتكنولوجيا المعلومات والاتصالات . ^{[ 192 ]} وتشمل عملية التخطيط للتعافي من الكوارث تشكيل فريق تخطيط، وإجراء تقييم للمخاطر، وتحديد الأولويات، ووضع استراتيجيات التعافي، وإعداد قوائم الجرد وتوثيق الخطة، ووضع معايير وإجراءات التحقق، وأخيرًا تنفيذ الخطة. ^{[ 193 ]}

فيما يلي قائمة جزئية بالقوانين واللوائح الحكومية في مختلف أنحاء العالم التي كان لها، أو سيكون لها، تأثير كبير على معالجة البيانات وأمن المعلومات. كما تم إدراج لوائح القطاعات الصناعية الهامة عندما يكون لها تأثير كبير على أمن المعلومات.

• ينص قانون حماية البيانات البريطاني لعام 1998 على أحكام جديدة لتنظيم معالجة المعلومات المتعلقة بالأفراد، بما في ذلك الحصول على هذه المعلومات أو الاحتفاظ بها أو استخدامها أو الإفصاح عنها. ^{[ 194 ] [ 195 ]} ويُلزم توجيه الاتحاد الأوروبي بشأن حماية البيانات (EUDPD) جميع الدول الأعضاء في الاتحاد الأوروبي بتبني لوائح وطنية لتوحيد معايير حماية خصوصية البيانات للمواطنين في جميع أنحاء الاتحاد الأوروبي. ^{[ 196 ] [ 197 ]}
• قانون إساءة استخدام الحاسوب لعام 1990 هو قانون صادر عن البرلمان البريطاني يُجرّم جرائم الحاسوب (مثل القرصنة). ^{[ 198 ]} وقد أصبح هذا القانون نموذجًا استلهمت منه العديد من الدول الأخرى، بما في ذلك كندا وأيرلندا ، عند صياغة قوانينها الخاصة بأمن المعلومات. ^{[ 199 ]}
• كان توجيه الاتحاد الأوروبي بشأن الاحتفاظ بالبيانات (الملغى) يُلزم مزودي خدمات الإنترنت وشركات الهاتف بالاحتفاظ ببيانات كل رسالة إلكترونية مُرسلة وكل مكالمة هاتفية مُجراة لمدة تتراوح بين ستة أشهر وسنتين. ^{[ 200 ]}
• قانون حقوق الأسرة والخصوصية التعليمية (FERPA) ( 20  U.S.C § 1232 g؛ 34 CFR الجزء 99) هو قانون فيدرالي أمريكي يحمي خصوصية السجلات التعليمية للطلاب. ^{[ 201 ]} ينطبق هذا القانون على جميع المدارس التي تتلقى تمويلًا بموجب برنامج تابع لوزارة التعليم الأمريكية . ^{[ 202 ]} عمومًا، يجب على المدارس الحصول على إذن كتابي من ولي الأمر أو الطالب المؤهل ^{[ 202 ] [ 203 ]} للإفصاح عن أي معلومات من السجل التعليمي للطالب. ^{[ 204 ]}  
• تحدد إرشادات الأمن الصادرة عن مجلس فحص المؤسسات المالية الفيدرالية ( FFIEC) للمدققين متطلبات أمن الخدمات المصرفية عبر الإنترنت. ^{[ 205 ]}
• ينص قانون قابلية نقل التأمين الصحي والمساءلة (HIPAA) لعام 1996 على اعتماد معايير وطنية للمعاملات الإلكترونية في مجال الرعاية الصحية، ومعرفات وطنية لمقدمي الخدمات الصحية، وخطط التأمين الصحي، وأصحاب العمل. ^{[ 206 ]} كما يلزم القانون مقدمي الرعاية الصحية، وشركات التأمين، وأصحاب العمل بحماية أمن وسرية البيانات الصحية. ^{[ 207 ]}
• يحمي قانون غرام -ليتش-بليلي لعام 1999 (GLBA)، المعروف أيضاً باسم قانون تحديث الخدمات المالية لعام 1999، خصوصية وأمن المعلومات المالية الخاصة التي تجمعها المؤسسات المالية وتحتفظ بها وتعالجها. ^{[ 208 ]}
• ينصّ البند 404 من قانون ساربينز-أوكسلي لعام 2002 (SOX) على إلزام الشركات المساهمة العامة بتقييم فعالية ضوابطها الداخلية المتعلقة بالتقارير المالية في التقارير السنوية التي تقدمها في نهاية كل سنة مالية. ^{[ 209 ]} ويتحمل مديرو تقنية المعلومات مسؤولية أمن ودقة وموثوقية الأنظمة التي تُدير البيانات المالية وتُبلغ عنها. كما يُلزم القانون الشركات المساهمة العامة بالتعاقد مع مدققين مستقلين يُقرّون بصحة تقييماتهم ويُقدمون تقريرًا عنها. ^{[ 210 ]}
• يضع معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) متطلبات شاملة لتعزيز أمان بيانات حسابات الدفع. ^{[ 211 ]} وقد طُوّر هذا المعيار من قِبل العلامات التجارية المؤسسة لمجلس معايير أمان PCI، وهي: أمريكان إكسبريس ، وديسكوفر للخدمات المالية ، وJCB، وماستركارد العالمية، وفيزا الدولية ، وذلك لتسهيل اعتماد تدابير أمان بيانات متسقة على نطاق واسع عالميًا. ويُعدّ معيار PCI DSS معيارًا أمنيًا متعدد الجوانب، يشمل متطلبات إدارة الأمان، والسياسات، والإجراءات، وبنية الشبكة ، وتصميم البرمجيات، وغيرها من التدابير الوقائية الهامة. ^{[ 212 ]}
• تُلزم قوانين الإبلاغ عن خروقات أمن المعلومات في الولايات (كاليفورنيا وغيرها الكثير) الشركات والمنظمات غير الربحية والمؤسسات الحكومية بإخطار المستهلكين عندما يُحتمل أن تكون "المعلومات الشخصية" غير المشفرة قد تعرضت للاختراق أو الفقدان أو السرقة. ^{[ 213 ]}
• يدعم قانون حماية المعلومات الشخصية والوثائق الإلكترونية ( PIPEDA ) في كندا التجارة الإلكترونية ويعززها من خلال حماية المعلومات الشخصية التي يتم جمعها أو استخدامها أو الكشف عنها في ظروف معينة، ^{[ 214 ]} وذلك من خلال النص على استخدام الوسائل الإلكترونية للتواصل أو تسجيل المعلومات أو المعاملات، ومن خلال تعديل قانون الإثبات الكندي ، وقانون الصكوك القانونية، وقانون مراجعة القوانين. ^{[ 215 ] [ 216 ]}
• تُحدد الهيئة اليونانية لأمن الاتصالات والخصوصية (ADAE) (القانون رقم 165/2011) الحد الأدنى من ضوابط أمن المعلومات التي يجب على كل شركة تُقدم شبكات و/أو خدمات اتصالات إلكترونية في اليونان تطبيقها لحماية سرية بيانات العملاء. ^{[ 217 ]} وتشمل هذه الضوابط ضوابط إدارية وفنية (مثل حفظ سجلات البيانات لمدة عامين). ^{[ 218 ]}
• تركز الهيئة اليونانية لأمن الاتصالات والخصوصية (ADAE) (القانون رقم 205/2013) على حماية سلامة وتوافر الخدمات والبيانات التي تقدمها شركات الاتصالات اليونانية. ويُلزم القانون هذه الشركات وغيرها من الشركات ذات الصلة بوضع ونشر واختبار خطط استمرارية الأعمال المناسبة والبنى التحتية الاحتياطية. ^{[ 219 ]}

أصدرت وزارة الدفاع الأمريكية (البنتاغون) التوجيه رقم 8570 في عام 2004، والذي تم استكماله بالتوجيه رقم 8140، والذي يلزم جميع موظفي البنتاغون وجميع العاملين المتعاقدين معها والمنخرطين في أدوار وأنشطة ضمان أمن المعلومات بالحصول على شهادات معتمدة في مجال تكنولوجيا المعلومات والحفاظ عليها، وذلك لضمان امتلاك جميع العاملين في البنتاغون المعنيين بحماية البنية التحتية للشبكات الحد الأدنى من المعارف والمهارات والقدرات المعترف بها في هذا المجال. ويشير أندرسون وريمرز (2019) إلى أن هذه الشهادات تتراوح بين شهادتي A+ وSecurity+ من CompTIA، وشهادة CISSP من ICS2.org، وغيرها. ^{[ 220 ]}

لا يقتصر مفهوم ثقافة أمن المعلومات على وصف مدى وعي الموظفين بالأمن فحسب، بل يشمل الأفكار والعادات والسلوكيات الاجتماعية للمؤسسة التي تؤثر على أمن المعلومات إيجابًا وسلبًا. ^{[ 221 ]} يمكن للمفاهيم الثقافية أن تساعد مختلف أقسام المؤسسة على العمل بفعالية أو أن تعيق فعالية أمن المعلومات داخلها. إن طريقة تفكير الموظفين وشعورهم تجاه الأمن والإجراءات التي يتخذونها لها تأثير كبير على أمن المعلومات في المؤسسات. وقد حدد روير وبيتريك (2017) سبعة أبعاد أساسية لثقافة أمن المعلومات في المؤسسات: ^{[ 222 ]}

• المواقف: مشاعر وعواطف الموظفين تجاه الأنشطة المختلفة المتعلقة بأمن المعلومات التنظيمية.
• السلوكيات: الأنشطة الفعلية أو المقصودة والإجراءات التي تنطوي على المخاطرة من جانب الموظفين والتي لها تأثير مباشر أو غير مباشر على أمن المعلومات.
• الإدراك: وعي الموظفين ومعرفتهم القابلة للتحقق ومعتقداتهم فيما يتعلق بالممارسات والأنشطة وعلاقة الكفاءة الذاتية التي ترتبط بأمن المعلومات.
• التواصل: طرق تواصل الموظفين مع بعضهم البعض، والشعور بالانتماء، ودعم قضايا الأمن، والإبلاغ عن الحوادث.
• الامتثال: الالتزام بسياسات الأمن التنظيمي، والوعي بوجود هذه السياسات، والقدرة على تذكر جوهر هذه السياسات.
• المعايير: تصورات السلوك والممارسات التنظيمية المتعلقة بالأمن والتي يعتبرها الموظفون وأقرانهم بشكل غير رسمي إما طبيعية أو منحرفة، على سبيل المثال التوقعات الخفية المتعلقة بالسلوكيات الأمنية والقواعد غير المكتوبة المتعلقة باستخدامات تكنولوجيا المعلومات والاتصالات.
• المسؤوليات: فهم الموظفين لأدوارهم ومسؤولياتهم كعامل حاسم في الحفاظ على أمن المعلومات أو تعريضه للخطر، وبالتالي أمن المنظمة.

وجد أندرسون وريمرز (2014) أن الموظفين غالبًا لا يرون أنفسهم جزءًا من "جهود" أمن المعلومات في المؤسسة، وكثيرًا ما يتخذون إجراءات تتجاهل مصالح أمن المعلومات المؤسسية. ^{[ 223 ]} تشير الأبحاث إلى ضرورة التحسين المستمر لثقافة أمن المعلومات. في كتاب "ثقافة أمن المعلومات: من التحليل إلى التغيير" ، علّق المؤلفون قائلين: "إنها عملية لا تنتهي، دورة من التقييم والتغيير أو الصيانة". لإدارة ثقافة أمن المعلومات، ينبغي اتخاذ خمس خطوات: التقييم المسبق، والتخطيط الاستراتيجي، والتخطيط التشغيلي، والتنفيذ، والتقييم اللاحق. ^{[ 224 ]}

• التقييم المبدئي: لتحديد مدى وعي الموظفين بأمن المعلومات وتحليل سياسة الأمن الحالية
• التخطيط الاستراتيجي: لوضع برنامج توعية أفضل، نحتاج إلى تحديد أهداف واضحة. ويُعدّ تجميع الأشخاص في مجموعات أمرًا مفيدًا لتحقيق ذلك.
• التخطيط العملياتي: بناء ثقافة أمنية جيدة قائمة على التواصل الداخلي، ودعم الإدارة، والوعي الأمني، وبرامج التدريب
• التنفيذ: ينبغي أن يتضمن التزام الإدارة، والتواصل مع أعضاء المنظمة، وتقديم دورات لجميع أعضاء المنظمة، والتزام الموظفين ^{[ 224 ]}
• التقييم اللاحق: لتقييم فعالية الخطوات السابقة بشكل أفضل والبناء على التحسين المستمر