Một phương pháp luận (methodology) là một cấu trúc có mục tiêu đại diện cho các thực hành, quy trình, và quy tắc cụ thể để hoàn thành hoặc thực thi một nhiệm vụ hoặc chức năng cụ thể. Có một số phương pháp luận cho an ninh hệ thống thông tin như sau:
1. Phương pháp luận Đánh giá INFOSEC (IAM - INFOSEC Assessment Methodology)
Mục tiêu của nó là cung cấp một phương pháp có thể dùng làm kiểm soát nhất quán cho việc điều tra vị trí INFOSEC của các hệ thống thông tin tự động hóa. IAM tập trung vào cung cấp đánh giá cấp cao (high-level assessment) của một hệ thống vận hành được chỉ định cho mục đích nhận diện các lỗ hổng tiềm ẩn.
IAM được chia thành ba giai đoạn: Tiền đánh giá (Pre-Assessment), Hoạt động tại hiện trường (On-Site Activities), và Hậu đánh giá (Post-Assessment). Giai đoạn Tiền đánh giá được đề xuất để xây dựng sự hiểu biết chung về nhu cầu người dùng, định nghĩa hệ thống mục tiêu, và thiết lập quy tắc tham gia cho đánh giá. Tiền đánh giá kết thúc bằng một kế hoạch đo lường bằng văn bản.
Phần Hoạt động tại hiện trường thể hiện cốt lõi của IAM trong đó nó tạo ra hiệu quả của Giai đoạn Tiền đánh giá, xác thực những hiệu quả đó, và thực hiện thêm thu thập và xác thực dữ liệu.
2. Phương pháp luận Đánh giá INFOSEC (IEM - INFOSEC Evaluation Methodology)
Mục tiêu của nó là cung cấp một kỹ thuật để đánh giá kỹ thuật sự dễ bị tổn thương (susceptibility) trong các hệ thống và để hợp pháp hóa (legalize) thiết kế INFOSEC thực tế của những hệ thống đó. IEM là một phương pháp luận đi kèm (escort methodology) với IAM, phù hợp dưới khung chung IA-CMM framework, nhưng nhắm vào Cấp độ 2 của "Tam giác Khám phá Lỗ hổng" (Vulnerability Discovery Triad).
Sự khác biệt giữa IAM và IEM là IEM thực hiện đánh giá thực tế trực tiếp (hands-on assessment) của các hệ thống để xác thực sự tồn tại thực tế của lỗ hổng, đối với kết quả của IAM là ghi nhận các lỗ hổng tiềm ẩn trong những hệ thống đó.
IEM được chia thành ba giai đoạn: Tiền đánh giá (Pre-Evaluation), Tại hiện trường (On-Site), và Hậu đánh giá (Post Evaluation). Giai đoạn Tiền đánh giá bắt đầu bằng việc lấy tài liệu IAM Tiền đánh giá làm đầu vào và sau đó điều phối các quy tắc tham gia để thực hiện đánh giá kỹ thuật của các hệ thống dưới mục tiêu. Giai đoạn này kết thúc bằng một Kế hoạch Đánh giá Kỹ thuật (Technical Evaluation Plan).
Giai đoạn Tại hiện trường của IEM sau đó thể hiện quy mô công việc kỹ thuật trực tiếp, thực hiện các khám phá, quét, và đánh giá đa dạng. Tất cả phát hiện được xác thực vật lý để tạo hiệu quả.
Cuối cùng, giai đoạn Hậu đánh giá hoàn thành phương pháp luận theo cách tương tự IAM bằng cách kéo tất cả dữ liệu sản xuất, đặt nó vào tài liệu cuối cùng chi tiết phát hiện, đề xuất, và lộ trình bảo mật (security roadmap).
3. Hệ thống Thực thi Chính sách Sự cố Bảo mật (SIPES - Security Incident Policy Enforcement System)
Mục tiêu của nó là cung cấp một phương pháp luận để định nghĩa và triển khai Hệ thống Thực thi Chính sách Sự cố Bảo mật. Phương pháp luận này được chuẩn bị cho sự đầy đủ.
Bản nháp Hệ thống Thực thi Chính sách Sự cố Bảo mật (SIPES) trình bày một phương pháp tương đối trừu tượng để giải quyết độ phức tạp của quản trị phản ứng sự cố. Bài báo bắt đầu bằng việc giải quyết xung đột định nghĩa thất bại bên trong hệ thống CNTT và sau đó tiến hành xây dựng phương pháp luận "statefull" của nó.