Phương pháp luận là một công trình được nhắm mục tiêu đại diện cho các thực hành, quy trình và quy tắc cụ thể để hoàn thành hoặc thực hiện một nhiệm vụ hoặc chức năng cụ thể. Có một số phương pháp luận về bảo mật hệ thống thông tin như sau -
Phương pháp đánh giá INFOSEC (IAM) - Mục tiêu của nó là cung cấp một phương pháp có thể được sử dụng như một biện pháp kiểm soát nhất quán để điều tra vị trí INFOSEC của các hệ thống thông tin tự động. IAM tập trung vào việc cung cấp đánh giá cấp cao về một hệ thống hoạt động được chỉ định vì lý do nhận ra các lỗ hổng bảo mật có thể xảy ra.
IAM được chia thành ba giai đoạn như Đánh giá trước, Hoạt động tại chỗ và Sau đánh giá. Giai đoạn Đánh giá trước được đề xuất để xây dựng nhận thức chung về nhu cầu của người dùng, xác định hệ thống mục tiêu và thiết lập các quy tắc tham gia cho đánh giá. Đánh giá trước đạt được với một kế hoạch đo lường bằng văn bản.
Phân đoạn Hoạt động tại chỗ cho thấy lực đẩy cơ bản của IAM ở chỗ nó tạo ra các tác động của Giai đoạn đánh giá trước, xác nhận các tác động đó và thực hiện nhiều tập hợp và xác thực dữ liệu hơn.
Phương pháp đánh giá INFOSEC (IEM) - Mục tiêu của nó là cung cấp một kỹ thuật để đánh giá tính nhạy cảm về mặt kỹ thuật trong các hệ thống và hợp pháp hóa thiết kế INFOSEC thực của các hệ thống đó. IEM là một phương pháp hỗ trợ cho IAM, phù hợp với toàn bộ khuôn khổ của IA-CMM, nhưng nhắm mục tiêu Cấp 2 của “Bộ ba phát hiện lỗ hổng”.
Sự khác biệt giữa IAM và IEM là IEM thực hiện đánh giá thực tế của các hệ thống để xác thực sự tồn tại thực sự của các lỗ hổng bảo mật, chống lại kết quả của IAM về các lỗ hổng có thể xảy ra trong các hệ thống đó.
IEM được chia thành ba giai đoạn như Đánh giá trước, Đánh giá tại chỗ và Sau đánh giá. Giai đoạn Đánh giá trước bắt đầu bằng việc lấy tài liệu Đánh giá trước IAM làm đầu vào và sau đó điều phối các quy định tham gia để thực hiện đánh giá kỹ thuật đối với các hệ thống theo mục tiêu. Giai đoạn này sẽ loại bỏ bằng một Kế hoạch Đánh giá Kỹ thuật.
Giai đoạn Tại chỗ của IEM sau đó cho thấy quy mô của công việc kỹ thuật thực hành, thực hiện các khám phá, quét và đánh giá đa dạng. Tất cả các phát hiện đều được xác thực về mặt vật lý để tạo ra hiệu quả.
Cuối cùng, giai đoạn Hậu đánh giá đạt được phương pháp luận theo cách giống với IAM bằng cách lấy tất cả dữ liệu được tạo ra, đưa nó vào một tài liệu cuối cùng nêu chi tiết các phát hiện, đề xuất và lộ trình bảo mật.
Hệ thống thực thi chính sách về sự cố bảo mật (SIPES) - Mục tiêu của nó là cung cấp phương pháp luận để xác định và triển khai Hệ thống thực thi chính sách về sự cố an ninh. Phương pháp luận này được chuẩn bị cho sự đầy đủ.
Dự thảo Hệ thống Thực thi Chính sách Sự cố An ninh (SIPES) cho thấy một phương pháp tương đối trừu tượng để giải quyết sự phức tạp của quản lý ứng phó sự cố. Bài báo bắt đầu bằng cách loại bỏ định nghĩa về các hệ thống CNTT nội bộ bị lỗi và sau đó tiến hành xây dựng phương pháp luận “trạng thái đầy đủ” của nó.