एक कार्यप्रणाली एक लक्षित निर्माण है जो एक विशिष्ट कार्य या फ़ंक्शन की उपलब्धि या निष्पादन के लिए विशिष्ट प्रथाओं, प्रक्रियाओं, और नियमों का प्रतिनिधित्व करता है। सूचना प्रणाली सुरक्षा के लिए कई कार्यप्रणालियाँ निम्नलिखित हैं:
INFOSEC मूल्यांकन कार्यप्रणाली (IAM) - इसका उद्देश्य एक ऐसी विधि प्रदान करना है जिसे स्वचालित सूचना प्रणालियों की INFOSEC स्थिति की जांच के लिए एक सुसंगत नियंत्रण के रूप में उपयोग किया जा सके। IAM एक निर्दिष्ट, परिचालन प्रणाली के उच्च-स्तरीय मूल्यांकन प्रदान करने पर केंद्रित है ताकि संभावित कमजोरियों को पहचाना जा सके।
IAM को तीन चरणों में विभाजित किया गया है जैसे पूर्व-मूल्यांकन, ऑन-साइट गतिविधियाँ, और पश्चात-मूल्यांकन। पूर्व-मूल्यांकन चरण उपयोगकर्ता आवश्यकताओं की सामान्य समझ बनाने, लक्ष्य प्रणालियों को परिभाषित करने, और मूल्यांकन के लिए जुड़ाव के नियम स्थापित करने के लिए प्रस्तावित है। पूर्व-मूल्यांकन एक लिखित माप योजना के साथ प्राप्त होता है।
ऑन-साइट गतिविधियाँ खंड IAM के बुनियादी जोर को दर्शाता है जिसमें यह पूर्व-मूल्यांकन चरण के प्रभावों को बनाता है, उन प्रभावों को मान्य करता है, और अधिक डेटा असेंबली और सत्यापन करता है।
INFOSEC मूल्यांकन कार्यप्रणाली (IEM) - इसका उद्देश्य सिस्टम में संवेदनशीलता का तकनीकी रूप से मूल्यांकन करने के लिए एक तकनीक प्रदान करना और उन प्रणालियों के वास्तविक INFOSEC डिजाइन को मान्य करना है। IEM, IAM के लिए एक एस्कॉर्ट कार्यप्रणाली है, जो IA-CMM ढांचे के पूरे छत्र के तहत फिट बैठती है, लेकिन "भेद्यता खोज त्रय" के स्तर 2 को लक्षित करती है।
IAM और IEM के बीच अंतर यह है कि IEM उन प्रणालियों में कमजोरियों के वास्तविक अस्तित्व को प्रमाणित करने के लिए सिस्टम का वास्तविक हैंड्स-ऑन मूल्यांकन लागू करता है, IAM के परिणाम के विरुद्ध उन प्रणालियों में संभावित कमजोरियों का दस्तावेजीकरण करता है।
IEM को तीन चरणों में अलग किया गया है जैसे पूर्व-मूल्यांकन, ऑन-साइट, और पश्चात मूल्यांकन। पूर्व-मूल्यांकन चरण IAM पूर्व-मूल्यांकन दस्तावेज़ को इनपुट के रूप में लेने और फिर लक्ष्य के तहत सिस्टम के तकनीकी मूल्यांकन को पूरा करने के लिए जुड़ाव के नियमों के समन्वय के साथ शुरू होता है। यह चरण एक तकनीकी मूल्यांकन योजना के साथ समाप्त होता है।
IEM का ऑन-साइट चरण फिर हैंड्स-ऑन तकनीकी कार्य के आकार को दर्शाता है, विविध खोज, स्कैन, और मूल्यांकन लागू करता है। सभी निष्कर्षों को दक्षता बनाने के लिए भौतिक रूप से मान्य किया जाता है।
अंत में, पश्चात-मूल्यांकन चरण IAM के समान तरीके से कार्यप्रणाली को प्राप्त करता है, सभी उत्पादित डेटा को खींचकर, इसे एक अंतिम दस्तावेज़ में डालकर जो निष्कर्षों, सुझावों, और एक सुरक्षा रोडमैप का विवरण देता है।
सुरक्षा घटना नीति प्रवर्तन प्रणाली (SIPES) - इसका उद्देश्य सुरक्षा घटना नीति प्रवर्तन प्रणालियों को परिभाषित और कार्यान्वित करने के लिए एक कार्यप्रणाली प्रदान करना है। यह कार्यप्रणाली पूर्णता के लिए तैयार है।
सुरक्षा घटना नीति प्रवर्तन प्रणाली (SIPES) मसौदा घटना प्रतिक्रिया प्रबंधन की जटिलता को संबोधित करने के लिए एक अपेक्षाकृत सार विधि दिखाता है। पेपर IT सिस्टम के अंदर विफलता की परिभाषा को डी-कॉन्फ्लिक्ट करके शुरू होता है और फिर अपनी "स्टेटफुल" कार्यप्रणाली बनाने के लिए आगे बढ़ता है।
