А + not (A) = 1

A x (B+C) = A x B + A x C

A + (A x B) = A

A x B + C =  (A + C) x (B + C)

(1,2,7,10,12,17,46)

(10,12,17,46,1,2,7)

(10,1,2,7,12,17,46)

(1,2,7,12,17,46,10)

Вимагає виключно технічного реагування без залучення менеджменту.

Визначає необхідність документування та аналізу кожного інциденту для подальшого вдосконалення заходів безпеки.

Дозволяє ігнорувати дрібні інциденти, якщо вони не впливають на основні бізнес-процеси.

Зобов’язує організації негайно звертатися до регуляторних органів при будь-якому інциденті.

Дотримання жорсткого переліку заходів без можливості їхньої зміни.

Орієнтація лише на технічні засоби захисту без організаційних заходів.

Вибір заходів контролю залежно від аналізу ризиків та особливостей організації.

Вибіркове використання заходів, наведених у додатку A стандарту.

Вимоги щодо розробки програмного забезпечення для забезпечення інформаційної безпеки.

Надає регулярну оцінку вразливостей в інформаційних комп'ютерних системах

Вимоги до встановлення, впровадження, підтримки та постійного вдосконалення СУІБ.

Вимоги щодо захисту фізичної інфраструктури організації.

Встановлення жорстких правил безпеки без можливості їх перегляду

Використання переважно технологічних засобів захисту інформації

Організація повинна мати виключно політику безпеки, без необхідності детальних процедур.

Організація має документально оформити сферу застосування СУІБ, політику безпеки, аналіз ризиків та заходи контролю.

Усі документи повинні оновлюватися щороку незалежно від змін у середовищі загроз.

 Сертифікація можлива без документування процесів управління ризиками.

Автоматичне призначення адміністративних прав вибраним групам користувачів для зручності керування.

Використання складних паролів у поєднанні з багатофакторною автентифікацією.

Надання доступу за принципом мінімальних привілеїв, в межах, необхідних для виконання завдань. 

Надання широкого доступу до корпоративних ресурсів для підвищення ефективності роботи команди.

Надання постачальникам доступу до внутрішніх систем без обмежень за рівнем привілеїв.

Обов’язковий щорічний аудит фізичних серверів усіх постачальників без винятку.

Укладання угод із постачальниками, що містять вимоги щодо безпеки інформації інформації та управління ризиками.

Використання попередньо перевірених каналів зв’язку без додаткових заходів контролю.

Забезпечує автоматичну сертифікацію без необхідності додаткової перевірки, незалежно від рівня впровадження заходів безпеки.

Він містить покрокові рекомендації щодо впровадження, управління та вдосконалення СУІБ, розробки політик безпеки та аналізу ризиків.

Обмежує вибір методів управління безпекою до жорстко визначеного стандартом набору заходів, без права самостійного розширення.

Вимагає використання виключно хмарних технологій та централізованих сервісів для захисту інформації.