4.1
對於鄧白氏資料所在的系統，建立並維護符合 CIS、NIST、DISA STIG、COBIT 或 PCI 等行業標準的系統強化程式。
4.2
在相應的系統開發生命週期中建立和維護公司 IT 資產的基準配置和清單。
4.3
公司應維護和使用工具，至少每月掃描一次伺服器、網路設備等，以確認公司的計算資產符合行業標準的系統強化要求。
4.4
公司應對其控制下包含鄧白氏資料的任何存儲介質進行標記，標記名稱應為通用名稱，不得向讀取者暗示該介質包含鄧白氏數據。
4.5
公司應在下列情況下加密鄧白氏資料： （a） 靜態；（b） 使用增強式加密演算法 AES 256 和 TLS 1.2 或更高版本跨網路傳輸，包括通過不受信任的網路（如公共網路）傳輸；以及（c）寫入可移動媒體設備時。公司應從授權的憑證授權獲取證書，證明傳輸中加密。公司應維護和實施補丁和漏洞管理流程，以識別、報告和修復應用程式或系統漏洞，該流程由應用程式或系統所有者批准，並與風險級別相稱，方法是： （a） 每月以及在任何重大系統或應用程式更新期間執行漏洞掃描;（b）實施供應商補丁或修復程式；以及 （c）制定風險處理機制以解決已識別的漏洞。
4.6
對於鄧白氏資料所在的所有系統，公司應使用信譽良好的解決方案（如Qualys、Nessus等）掃描此類系統，以識別和糾正可能影響鄧白氏資料CIA的安全性漏洞。 此類掃描的頻率不得低於每月一次。在公司系統上發現的 CVSS 評分為“嚴重”的漏洞應在發現後 7 天內進行修復。CVSS 評分為“高”風險的發現應在發現後 30 天內修復。CVSS 評分為“中等”風險結果應在發現後 120 天內修復。
4.7
應在網路和邊界級別實施和維護適當的安全解決方案（包括但不限於防火牆、IPS / IDS、防毒軟體等），以確保即時阻止/檢測惡意流量（入站/出站）或惡意使用者訪問應用程式、資料庫和基礎設施，以確保個人資料的資訊安全不受破壞。
4.8
公司應在會話結束時或規定的非活動期後終止與通信會話相關的網路連接。
4.9
公司應根據行業最佳實踐（如 OWASP WAF 配置指南）實施和維護 Web 應用程式防火牆 （WAF）。
4.10
公司應確保Web應用防火牆（WAF）保持最新的安全補丁和特徵庫。
4.11
公司應監控 WAF 是否存在任何可能導致安全事件的惡意活動。
4.12
公司應主動監控、限制、禁用和防止使用非必要的程式、功能、端口、協議和服務。
4.13
公司應創建、保護和保留資訊系統審計記錄，以監控、分析、調查和報告非法、未經授權或不適當的資訊系統活動，並保護審計資訊和審計工具免受未經授權的訪問、修改和刪除，並限制、監控對特權用戶子集的審計功能管理。
4.14
資料不得存儲在行動計算裝置上。如果必須使用行動計算裝置，則必須制定移動設備管理 （MDM） 策略，並為公司提供遠端擦除設備的能力。
4.15
公司應實施程式，確保在不再需要用於鄧白氏授權的用途時，或在鄧白氏和公司之間協議到期或終止時，鄧白氏資料被安全銷毀。公司應 （a） 在資產銷毀和處置之前，保護並確認從其系統和伺服器（包括任何物理或電子副本）中刪除 鄧白氏 資料;（b） 提供銷毀該 鄧白氏 資料的證明（如適用）;及 （c）要求任何參與處理鄧白氏資料的第三方在服務不再需要時安全地處理資訊。
4.16
應鄧白氏的要求，公司應將資料返還給鄧白氏，或根據NIST SP 800-88 r.1或DoD 5220.22-M標準規定的程式，證明資料的銷毀。此要求適用於資料使用結束後、鄧白氏合理請求時，或協定其他規定的情況。
4.17
公司應採用控制和程式，通過定期掃描資訊系統以及在下載、打開或執行檔時對來自外部來源的檔進行即時掃描和監控來保持檔完整性。
