Une bonne sécurité repose sur une poignée d'idées durables. Les technologies changent, les menaces évoluent, mais un petit ensemble de principes continue de guider la façon dont les systèmes doivent être conçus, défendus et exploités. Cette catégorie rassemble ces principes afin que le lecteur dispose d'un vocabulaire commun pour tout ce qui suit. Elle ancre le pilier Fondations, car ces concepts sous-tendent presque chaque contrôle, politique et décision du domaine.
Les sujets ci-dessous définissent l'essentiel.
La triade DIC décrit les trois objectifs de confidentialité, d'intégrité et de disponibilité que servent la plupart des contrôles.
La défense en profondeur superpose les protections pour qu'aucune défaillance isolée n'expose l'ensemble du système.
Le moindre privilège n'accorde à chaque utilisateur et processus que l'accès dont il a réellement besoin.
La confiance zéro ne présume aucune confiance implicite et vérifie chaque requête.
La responsabilité garantit que les actions peuvent être rattachées à une partie responsable.
L'authentification et l'autorisation établissent qui est une personne et ce qu'elle est autorisée à faire.
La sécurité dès la conception intègre la protection dès le départ au lieu de l'ajouter après coup.
La minimisation réduit les données, les accès et la surface d'attaque au strict nécessaire.