Glossar
A · B · C · D · E · F · G · I · K · L · M · O · P · Q · R · S · T · V · W · Z
- Addressable implementation specification
- Eine Spezifikation der HIPAA Security Rule, die eine Organisation prüfen und umsetzen muss, sofern sie angemessen und sinnvoll ist. Andernfalls muss sie dokumentieren, warum dies nicht der Fall ist, und eine gleichwertige Maßnahme einführen. Sie ist nicht optional. Als Required gekennzeichnete Spezifikationen müssen umgesetzt werden.
- Akkreditierung
- Formale Anerkennung, dass eine Zertifizierungsstelle kompetent ist, nach einer Norm zu zertifizieren. Für ISO 27001 sollten Sie nach einer Zertifizierungsstelle suchen, die von einer nationalen Akkreditierungsstelle akkreditiert ist, die dem International Accreditation Forum (IAF) angehört.
- Attestation
- Die Einschätzung eines unabhängigen Prüfers zu einem Prüfgegenstand, etwa die Meinung einer CPA-Gesellschaft zu den Kontrollen eines Unternehmens in einem SOC-2-Bericht. Eine Attestation ist keine Zertifizierung: Es gibt weder ein Zertifikat noch eine Bestehensgrenze.
- Audit Trail
- Eine chronologische Aufzeichnung von Systemaktivitäten, die belegt, in welcher Reihenfolge Ereignisse stattgefunden haben. Audit Trails dienen dazu, Sicherheitsverletzungen, Leistungsprobleme und Anwendungsfehler zu erkennen.
- Auftragsverarbeiter
- Nach der DSGVO eine Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Auftragsverarbeiter müssen den Weisungen des Verantwortlichen folgen und geeignete Sicherheitsmaßnahmen umsetzen.
- Authentifizierung
- Der Prozess zur Überprüfung der Identität eines Benutzers, Geräts oder Systems. Gängige Verfahren sind Passwörter, Multi-Faktor-Authentifizierung (MFA), Biometrie und digitale Zertifikate.
- Autorisierung
- Der Prozess, der festlegt, ob ein authentifizierter Benutzer die Berechtigung hat, auf eine bestimmte Ressource zuzugreifen oder eine bestimmte Aktion auszuführen. Typischerweise umgesetzt durch rollenbasierte Zugriffskontrolle (RBAC) oder attributbasierte Zugriffskontrolle (ABAC).
- Beobachtungszeitraum
- Der Zeitraum, den ein SOC-2-Typ-II-Bericht abdeckt, typischerweise 3 bis 12 Monate, in dem der Prüfer testet, ob die Kontrollen wirksam gearbeitet haben.
- Business Associate
- Eine Person oder Organisation, die im Rahmen von HIPAA im Auftrag einer Covered Entity geschützte Gesundheitsinformationen erstellt, empfängt, speichert oder übermittelt, etwa ein Cloud- oder Abrechnungsdienstleister. Business Associates müssen die Security Rule einhalten und eine Business-Associate-Vereinbarung unterzeichnen.
- Business Continuity
- Die Fähigkeit einer Organisation, nach einem störenden Vorfall die Bereitstellung von Produkten oder Dienstleistungen auf vordefiniertem, akzeptablem Niveau fortzusetzen. Die Planung der Business Continuity (BCP) ermittelt Bedrohungen und legt Verfahren fest, die die Resilienz sicherstellen.
- C3PAO
- CMMC Third-Party Assessment Organization: eine Organisation, die berechtigt ist, CMMC-Level-2-Zertifizierungsprüfungen bei Rüstungszulieferern durchzuführen.
- CIA-Triade
- Die drei Kernprinzipien der Informationssicherheit: Vertraulichkeit (Schutz vor unbefugter Offenlegung), Integrität (Schutz vor unbefugter Veränderung) und Verfügbarkeit (Sicherstellung des autorisierten Zugriffs bei Bedarf).
- Complementary User Entity Controls (CUECs)
- Kontrollen, die laut einem SOC-2-Bericht von den Kunden des Dienstleisters selbst betrieben werden müssen, damit die beschriebenen Kontrollen wirksam sind, etwa die Verwaltung der eigenen Benutzerkonten.
- Covered Entity
- Eine Organisation, die im Rahmen von HIPAA die Privacy Rule und die Security Rule einhalten muss: Krankenversicherungen, Clearingstellen im Gesundheitswesen und Gesundheitsdienstleister, die Gesundheitsinformationen elektronisch übermitteln.
- Crosswalk
- Eine veröffentlichte Zuordnung zwischen den Anforderungen zweier Frameworks, etwa NISTs Zuordnung von SP 800-53 zu ISO 27001. Ein Crosswalk zeigt, dass Anforderungen verwandte Ergebnisse adressieren, nicht dass die Erfüllung der einen die andere erfüllt. Auf dieser Website sind Verknüpfungen aus Crosswalks als Crosswalk gekennzeichnet und mit einem ausgefüllten Quadrat dargestellt.
- CSF-Subkategorie
- Die spezifischste Ebene des NIST Cybersecurity Framework: ein Ergebnis wie PR.AA-03 (Benutzer, Dienste und Hardware werden authentifiziert). CSF 2.0 umfasst 106 aktive Subkategorien in 22 Kategorien und sechs Funktionen. ControlMapping nutzt sie als Drehscheibe, mit der jedes Framework verknüpft ist.
- CUI
- Controlled Unclassified Information: von Behörden erstellte oder im Eigentum von Behörden stehende Informationen, die geschützt werden müssen, aber nicht als Verschlusssache eingestuft sind. Die Schutzanforderungen für CUI sind in NIST SP 800-171 definiert und werden über CMMC durchgesetzt.
- Datenklassifizierung
- Der Prozess, Daten anhand ihrer Sensibilität und der Auswirkung einer unbefugten Offenlegung in Kategorien einzuordnen. Übliche Stufen sind Public, Internal, Confidential und Restricted.
- Datenschutz-Folgenabschätzung (DSFA)
- Ein nach Art. 35 DSGVO erforderlicher Prozess, um Datenschutzrisiken eines Vorhabens oder Systems zu ermitteln und zu minimieren, das voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
- Datenschutzverletzung
- Ein Vorfall, bei dem sensible, geschützte oder vertrauliche Daten von einer unbefugten Partei abgerufen, offengelegt oder gestohlen werden. Die Meldepflichten bei Datenschutzverletzungen unterscheiden sich je nach Regelwerk (die DSGVO verlangt eine Meldung innerhalb von 72 Stunden, HIPAA eine Meldung innerhalb von 60 Tagen).
- Defense in Depth
- Eine Sicherheitsstrategie, die über ein IT-System hinweg mehrere Schichten von Kontrollen einsetzt. Fällt eine Schicht aus, bieten weitere Schichten weiterhin Schutz. Auch bekannt als geschichtete Sicherheit.
- DLP
- Data Loss Prevention: Technologien und Richtlinien, die die unbefugte Übertragung sensibler Daten außerhalb der Organisation erkennen und verhindern. DLP-Lösungen überwachen E-Mail, Web, Endgeräte und Cloud-Dienste.
- Durchführungsverordnung (EU) 2024/2690
- Die Durchführungsverordnung der Europäischen Kommission, die die Risikomanagementmaßnahmen nach Artikel 21 NIS2 im Detail für DNS-Anbieter, Cloud-Anbieter, Rechenzentren, verwaltete Dienste und weitere digitale Anbieter festlegt. Die NIS2-Anforderungen von ControlMapping entsprechen den Punkten in deren Anhang.
- EDR
- Endpoint Detection and Response: Sicherheitslösungen auf Endgeräten, die kontinuierlich nach Cyberbedrohungen suchen und darauf reagieren. EDR bietet Verhaltensanalyse, Threat Hunting und forensische Fähigkeiten, die über klassischen Virenschutz hinausgehen.
- ePHI
- Electronic Protected Health Information: personenbezogene Gesundheitsinformationen, die elektronisch erstellt, gespeichert, übertragen oder empfangen werden. Die HIPAA Security Rule regelt den Schutz von ePHI ausdrücklich.
- Erklärung zur Anwendbarkeit (SoA)
- Das Dokument nach ISO 27001, das jede Kontrolle aus Anhang A auflistet, angibt, ob sie angewendet wird, und begründet, warum: die Verbindung zwischen Risikobehandlung und den umgesetzten Kontrollen. Prüfer sehen es genau durch.
- FedRAMP
- Federal Risk and Authorization Management Program: ein Programm der US-Regierung, das standardisierte Sicherheitsbewertungen und Autorisierungen für Cloud-Produkte und -Dienste bereitstellt, die von Bundesbehörden genutzt werden. Basiert auf den Kontrollen aus NIST SP 800-53.
- FISMA
- Federal Information Security Modernization Act: US-Gesetz, das Bundesbehörden verpflichtet, Programme zur Informationssicherheit zu entwickeln, zu dokumentieren und umzusetzen. Die Einhaltung von FISMA wird an den Kontrollen aus NIST SP 800-53 gemessen.
- Framework
- Eine strukturierte Sammlung von Sicherheitsanforderungen oder Ergebnissen. Einige sind gesetzlich verankert (HIPAA, DSGVO, NIS2), einige vertraglich (PCI DSS über Vereinbarungen mit den Kartenmarken, CMMC über Verteidigungsaufträge), einige freiwillig (NIST CSF, CIS Controls) und einige können zertifiziert werden (ISO 27001).
- Governance
- Das System aus Richtlinien, Prozessen und Organisationsstrukturen, das sicherstellt, dass Cybersicherheitsaktivitäten mit den Geschäftszielen und regulatorischen Anforderungen übereinstimmen. Governance schafft Verantwortlichkeit, legt Rollen fest und gibt die strategische Richtung vor.
- IDS/IPS
- Intrusion Detection System / Intrusion Prevention System: Netzwerksicherheitswerkzeuge, die den Datenverkehr auf verdächtige Aktivitäten überwachen. Ein IDS erkennt und alarmiert, ein IPS erkennt und blockiert. Sie können netzwerkbasiert (NIDS/NIPS) oder hostbasiert (HIDS/HIPS) sein.
- Incident Response
- Das strukturierte Vorgehen zur Erkennung, Eindämmung, Beseitigung und Wiederherstellung nach Cybersicherheitsvorfällen. Ein Incident-Response-Plan legt Rollen, Verfahren, Kommunikationsprotokolle und Eskalationswege fest.
- Information Security Manual (ISM)
- Das Cybersicherheits-Framework mit Kontrollen des australischen Signals Directorate, veröffentlicht unter CC BY 4.0. Die Anforderungen der Essential Eight sind ISM-Kontrollen, die mit Reifegraden gekennzeichnet sind.
- ISMS
- Information Security Management System: ein systematischer Ansatz zur Steuerung sensibler Informationen, damit sie sicher bleiben. Eine ISO-27001-Zertifizierung setzt die Einführung und Aufrechterhaltung eines ISMS voraus.
- Kompensierende Kontrolle
- Eine alternative Sicherheitsmaßnahme, die eingesetzt wird, wenn eine primäre Kontrolle nicht umgesetzt werden kann. Kompensierende Kontrollen müssen dem Zweck der ursprünglichen Anforderung entsprechen, ein vergleichbares Schutzniveau bieten und dokumentiert sein.
- Kontrolle
- Eine Schutzmaßnahme oder Gegenmaßnahme, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationssystemen und Daten schützen soll. Kontrollen können technisch (Firewalls, Verschlüsselung), administrativ (Richtlinien, Schulungen) oder physisch (Schlösser, Zugangsausweise) sein.
- Least Privilege
- Das Prinzip, dass Benutzern, Systemen und Prozessen nur die minimalen Zugriffsrechte gewährt werden, die sie zur Ausübung ihrer autorisierten Funktionen benötigen. Verringert die Angriffsfläche und begrenzt die Auswirkungen kompromittierter Konten.
- Lieferkettenrisiko
- Das Risiko, dass die Sicherheit einer Organisation über Schwachstellen bei ihren Anbietern, Lieferanten oder Dienstleistern kompromittiert wird. Angriffe auf Lieferketten nutzen vertrauenswürdige Beziehungen aus, um direkte Abwehrmaßnahmen zu umgehen.
- Lückenanalyse
- Ein Abgleich dessen, was Sie bereits tun, bzw. des Frameworks, das Sie bereits erfüllen, mit den Anforderungen eines anderen Frameworks, um die fehlenden Maßnahmen zu identifizieren. Die Lückenanalyse von ControlMapping führt diesen Abgleich Anforderung für Anforderung zwischen zwei beliebigen Frameworks durch.
- MFA
- Multi-Factor Authentication: Erfordert zwei oder mehr Nachweisfaktoren (etwas, das Sie wissen, besitzen oder sind), um Zugriff zu erhalten. Phishing-resistente MFA-Verfahren wie FIDO2 und Passkeys sind SMS-basierten Codes vorzuziehen.
- MITRE ATT&CK
- Eine weltweit zugängliche Wissensdatenbank zu Taktiken, Techniken und Vorgehensweisen (TTPs) von Angreifern, die auf realen Beobachtungen beruht. Sicherheitsteams nutzen sie, um Erkennung, Threat Hunting und Red-Team-Übungen zu verbessern.
- OLIR
- Das Programm Online Informative References des NIST: ein Katalog von Crosswalks zwischen NIST-Frameworks und anderen Normen, eingereicht vom NIST oder von Dritten. Das NIST prüft das Format eingereichter Beiträge Dritter, nicht deren Richtigkeit.
- Patch-Management
- Der Prozess, Softwareaktualisierungen zur Behebung von Sicherheitslücken zu ermitteln, zu testen und auszurollen. Wirksames Patch-Management erfordert genaue Bestandsverzeichnisse, risikobasierte Priorisierung und festgelegte SLAs für die Fristen der Behebung.
- Penetrationstest
- Ein autorisierter simulierter Angriff auf ein System, um dessen Sicherheit zu bewerten. Pen-Tests decken Schwachstellen auf, die Angreifer ausnutzen könnten, und prüfen, ob vorhandene Kontrollen wirksam sind.
- Personenbezogene Daten
- Nach der DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Namen, E-Mail-Adressen, IP-Adressen, Standortdaten und Online-Kennungen.
- Plan of Action and Milestones (POA&M)
- Ein Verzeichnis von Sicherheitsschwachstellen mit den Maßnahmen und Fristen zu ihrer Behebung, verwendet in Bewertungen nach NIST SP 800-53, SP 800-171 und CMMC.
- QSA, ROC, SAQ und AOC
- Begriffe der PCI-DSS-Bewertung. Ein Qualified Security Assessor (QSA) erstellt einen Report on Compliance (ROC); kleinere Händler können stattdessen einen Self-Assessment Questionnaire (SAQ) ausfüllen. Beide münden in einer Attestation of Compliance (AOC).
- Redaktionelle Zuordnung
- Eine Verknüpfung, die ControlMapping dort herstellt, wo kein veröffentlichter Crosswalk existiert, stets mit einer kurzen Begründung. Dargestellt mit einem nicht ausgefüllten Quadrat. Jede Verknüpfung zu SOC 2, DSGVO und Essential Eight auf dieser Website ist redaktionell.
- Reifegrad
- In der Essential Eight des ASD eine von drei Stufen (One bis Three) mit zunehmendem Schutz gegen zunehmend leistungsfähige Angreifer. Eine Strategie erreicht eine Stufe nur dann, wenn alle Anforderungen dieser Stufe und der darunterliegenden Stufen erfüllt sind.
- Risikobewertung
- Ein systematischer Prozess zur Ermittlung von Bedrohungen und Schwachstellen, zur Analyse ihrer Eintrittswahrscheinlichkeit und möglichen Auswirkungen sowie zur Festlegung geeigneter Gegenmaßnahmen. Risikobewertungen sollten regelmäßig und bei wesentlichen Änderungen durchgeführt werden.
- Risikoregister
- Ein dokumentiertes Verzeichnis identifizierter Risiken mit Eintrittswahrscheinlichkeit, Auswirkung, bestehenden Kontrollen, Risikoeigentümer und Behandlungsplan. Das Risikoregister ist ein lebendes Dokument, das das laufende Risikomanagement unterstützt.
- Schwachstelle
- Eine Schwäche in einem System, einer Anwendung oder einem Prozess, die von einem Bedrohungsakteur ausgenutzt werden könnte, um unbefugten Zugriff zu erlangen oder Schaden zu verursachen. Schwachstellen werden mit CVSS (Common Vulnerability Scoring System) bewertet.
- SIEM
- Security Information and Event Management: eine Plattform, die Protokolldaten aus der gesamten IT-Umgebung zusammenführt und korreliert, um zentrale Transparenz, Bedrohungserkennung und Compliance-Berichte zu ermöglichen.
- SOC (Security Operations Center)
- Ein Team, häufig mit eigener Einrichtung, das Sicherheitsvorfälle überwacht, erkennt und darauf reagiert. Nicht zu verwechseln mit SOC 2, einem Prüfbericht.
- SOC 2 Typ I und Typ II
- Ein Bericht vom Typ I erfasst, ob Kontrollen an einem Stichtag angemessen konzipiert und eingerichtet waren. Ein Bericht vom Typ II erfasst zusätzlich, ob sie über einen Zeitraum wirksam betrieben wurden; er wird von den meisten Kunden verlangt.
- Subservice-Organisation
- Ein Dienstleister, dessen Kontrollen für einen SOC-2-Bericht relevant sind, etwa der Cloud-Anbieter, der den Dienst hostet. Bei der Carve-out-Methode schließt der Bericht dessen Kontrollen aus und stützt sich auf dessen eigene Prüfberichte.
- System Security Plan (SSP)
- Das Dokument, das die Systemgrenze, die Umgebung und die Umsetzung jeder Sicherheitsanforderung beschreibt. Gefordert durch NIST SP 800-171 (CMMC-Level-2-Praxis CA.L2-3.12.4) und das NIST Risk Management Framework.
- Threat Intelligence
- Informationen über aktuelle und aufkommende Cyberbedrohungen aus mehreren Quellen (ISACs, staatliche Feeds, kommerzielle Plattformen, OSINT). Threat Intelligence fließt in Erkennungsregeln, die Priorisierung von Schwachstellen und die Incident Response ein.
- Trust Services Criteria
- Die Kriterien des AICPA, die in SOC-2-Berichten verwendet werden, in fünf Kategorien: Security (immer enthalten), Availability, Confidentiality, Processing Integrity und Privacy.
- Verantwortlicher
- Nach der DSGVO die Stelle, die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Der Verantwortliche trägt die Hauptverantwortung für die Einhaltung der Datenschutzgrundsätze.
- Verschlüsselung
- Der Prozess, Daten in eine codierte Form (Chiffretext) umzuwandeln, um unbefugten Zugriff zu verhindern. Daten sollten im Ruhezustand (gespeichert), bei der Übertragung (über Netzwerke) und zunehmend auch bei der Verarbeitung verschlüsselt sein.
- WAF
- Web Application Firewall: eine Sicherheitslösung, die HTTP-/HTTPS-Datenverkehr zu und von Webanwendungen prüft und gängige Angriffe wie SQL-Injection, XSS und Remote File Inclusion blockiert.
- Wesentliche und wichtige Einrichtungen
- Die beiden Kategorien der NIS2. Beide müssen dieselben Pflichten zum Risikomanagement und zur Meldung erfüllen; wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht und höheren Höchstbußgeldern, wichtige Einrichtungen werden nachträglich beaufsichtigt.
- Zero Trust
- Ein Sicherheitsmodell, das auf dem Prinzip „never trust, always verify“ beruht. Zero Trust erfordert die kontinuierliche Überprüfung von Identität und Berechtigung bei jeder Zugriffsanfrage, unabhängig vom Netzwerkstandort. Die Umsetzung umfasst Mikrosegmentierung, identitätsbewusste Proxys und Prüfungen des Gerätezustands.
- Zertifizierungsstelle
- Eine Organisation, die Managementsysteme anhand einer Norm wie ISO 27001 prüft und Zertifikate ausstellt. Kunden erwarten in der Regel, dass sie akkreditiert ist.
- Zugriffskontrolle
- Sicherheitsmaßnahmen, die festlegen, wer oder was Ressourcen in einer IT-Umgebung einsehen oder nutzen darf. Zugriffskontrollen umfassen Authentifizierung (Überprüfung der Identität), Autorisierung (Erteilung von Berechtigungen) und Protokollierung (Nachverfolgung des Zugriffs).