शब्दावली
- अटेस्टेशन
- किसी विषय पर स्वतंत्र व्यवसायी की राय, जैसे SOC 2 रिपोर्ट में किसी कंपनी के कंट्रोल पर CPA फर्म की राय। अटेस्टेशन कोई सर्टिफिकेशन नहीं है: इसमें न कोई प्रमाणपत्र होता है और न ही उत्तीर्ण होने का अंक।
- आवश्यक और महत्वपूर्ण इकाइयाँ
- NIS2 की दो श्रेणियाँ। दोनों को एक जैसे जोखिम-प्रबंधन और रिपोर्टिंग दायित्वों का पालन करना होता है; आवश्यक इकाइयों की सक्रिय निगरानी होती है और अधिकतम जुर्माने भी अधिक होते हैं, जबकि महत्वपूर्ण इकाइयों की निगरानी घटना के बाद की जाती है।
- इंसिडेंट रिस्पॉन्स
- साइबर सुरक्षा घटनाओं का पता लगाने, उन्हें सीमित करने, समाप्त करने और उनसे उबरने का संगठित तरीका। इंसिडेंट रिस्पॉन्स प्लान भूमिकाएँ, प्रक्रियाएँ, संचार प्रोटोकॉल और एस्कलेशन पथ परिभाषित करता है।
- एक्रेडिटेशन
- इस बात की औपचारिक मान्यता कि कोई सर्टिफिकेशन निकाय किसी मानक के आधार पर प्रमाणन करने में सक्षम है। ISO 27001 के लिए, ऐसा सर्टिफिकेशन निकाय चुनें जिसे किसी राष्ट्रीय एक्रेडिटेशन निकाय ने मान्यता दी हो, और जो International Accreditation Forum (IAF) का सदस्य हो।
- एक्सेस कंट्रोल
- ऐसे सुरक्षा उपाय जो तय करते हैं कि कंप्यूटिंग वातावरण में कौन या क्या संसाधनों को देख या उपयोग कर सकता है। एक्सेस कंट्रोल में प्रमाणीकरण (पहचान की पुष्टि करना), प्राधिकरण (अनुमतियाँ देना) और लेखांकन (एक्सेस का रिकॉर्ड रखना) शामिल हैं।
- एन्क्रिप्शन
- डेटा को अनधिकृत पहुँच से बचाने के लिए उसे कोडित रूप (साइफरटेक्स्ट) में बदलने की प्रक्रिया। डेटा को स्टोरेज में (at rest), ट्रांज़िट में (नेटवर्क पर गति के दौरान, in transit) और बढ़ते क्रम में उपयोग के दौरान (in use) एन्क्रिप्ट किया जाना चाहिए।
- ऑडिट ट्रेल
- सिस्टम गतिविधियों का कालक्रम के अनुसार रिकॉर्ड, जो घटनाओं के क्रम का दस्तावेज़ी प्रमाण देता है। ऑडिट ट्रेल का उपयोग सुरक्षा उल्लंघनों, प्रदर्शन समस्याओं और एप्लिकेशन की खामियों का पता लगाने के लिए किया जाता है।
- ऑब्ज़र्वेशन अवधि
- वह अवधि जिसे SOC 2 Type II रिपोर्ट कवर करती है, आम तौर पर 3 से 12 महीने, जिसके दौरान ऑडिटर यह परखता है कि कंट्रोल प्रभावी रूप से काम कर रहे थे या नहीं।
- कंट्रोल
- सूचना प्रणालियों और डेटा की गोपनीयता, अखंडता और उपलब्धता की रक्षा के लिए बनाया गया सुरक्षा उपाय या प्रतिरोधी उपाय। कंट्रोल तकनीकी (फ़ायरवॉल, एन्क्रिप्शन), प्रशासनिक (नीतियाँ, प्रशिक्षण) या भौतिक (ताले, बैज) हो सकते हैं।
- कमज़ोरी
- किसी सिस्टम, एप्लिकेशन या प्रक्रिया में ऐसी कमी जिसका उपयोग कोई खतरा करने वाला अनधिकृत पहुँच पाने या नुकसान पहुँचाने के लिए कर सकता है। कमज़ोरियों को CVSS (Common Vulnerability Scoring System) से स्कोर किया जाता है।
- कवर्ड एंटिटी
- HIPAA के अंतर्गत, ऐसा संगठन जिसे प्राइवेसी और सिक्योरिटी रूल का पालन करना अनिवार्य है: हेल्थ प्लान, हेल्थकेयर क्लियरिंगहाउस और वे हेल्थकेयर प्रदाता जो स्वास्थ्य सूचना इलेक्ट्रॉनिक रूप से प्रेषित करते हैं।
- कार्य योजना और मील के पत्थर (POA&M)
- सुरक्षा कमज़ोरियों का रिकॉर्ड, जिसमें उन्हें ठीक करने की कार्रवाइयाँ और समय-सीमाएँ शामिल हैं। इसका उपयोग NIST SP 800-53, SP 800-171 और CMMC असेसमेंट में किया जाता है।
- कॉम्प्लिमेंटरी यूज़र एंटिटी कंट्रोल (CUECs)
- ऐसे कंट्रोल जिन्हें SOC 2 रिपोर्ट के अनुसार सेवा संगठन के ग्राहकों को स्वयं संचालित करना होता है, ताकि वर्णित कंट्रोल काम कर सकें, जैसे अपने यूज़र अकाउंट का प्रबंधन करना।
- क्रॉसवॉक
- दो फ़्रेमवर्क की आवश्यकताओं के बीच प्रकाशित मैपिंग, जैसे NIST की SP 800-53 से ISO 27001 तक की मैपिंग। क्रॉसवॉक यह दिखाता है कि आवश्यकताएँ संबंधित परिणामों को संबोधित करती हैं, न कि यह कि एक को पूरा करने से दूसरी भी पूरी होती है। इस साइट पर, क्रॉसवॉक से मिलने वाले लिंक क्रॉसवॉक लेबल के साथ दिखाए जाते हैं और उन पर ठोस वर्ग चिह्न होता है।
- क्षतिपूरक कंट्रोल
- एक वैकल्पिक सुरक्षा उपाय जिसे तब अपनाया जाता है जब प्राथमिक कंट्रोल लागू नहीं किया जा सकता। क्षतिपूरक कंट्रोल को मूल आवश्यकता के उद्देश्य को पूरा करना चाहिए, समान स्तर की सुरक्षा देनी चाहिए और उनका दस्तावेज़ीकरण होना चाहिए।
- गवर्नेंस
- नीतियों, प्रक्रियाओं और संगठनात्मक ढाँचों की वह व्यवस्था जो सुनिश्चित करती है कि साइबर सुरक्षा गतिविधियाँ व्यावसायिक उद्देश्यों और नियामक आवश्यकताओं के अनुरूप हों। गवर्नेंस जवाबदेही स्थापित करती है, भूमिकाएँ परिभाषित करती है और रणनीतिक दिशा तय करती है।
- गैप विश्लेषण
- आपके पहले से किए जा रहे कार्यों, या आपके पहले से पूरे किए गए फ़्रेमवर्क की तुलना किसी अन्य फ़्रेमवर्क की आवश्यकताओं से करना, ताकि छूटा हुआ काम पता चले। ControlMapping का गैप विश्लेषण किन्हीं दो फ़्रेमवर्क के बीच आवश्यकता-दर-आवश्यकता यही करता है।
- ज़ीरो ट्रस्ट
- "कभी भरोसा न करें, हमेशा सत्यापित करें" सिद्धांत पर आधारित सुरक्षा मॉडल। ज़ीरो ट्रस्ट में नेटवर्क स्थान की परवाह किए बिना हर एक्सेस अनुरोध के लिए पहचान और प्राधिकरण का निरंतर सत्यापन आवश्यक है। इसके कार्यान्वयन में माइक्रो-सेगमेंटेशन, आइडेंटिटी-अवेयर प्रॉक्सी और डिवाइस posture जाँच शामिल हैं।
- जोखिम असेसमेंट
- खतरों और कमज़ोरियों की पहचान करने, उनकी संभावना और संभावित प्रभाव का विश्लेषण करने, और उचित न्यूनीकरण तय करने की एक व्यवस्थित प्रक्रिया। जोखिम असेसमेंट नियमित रूप से और हर बार किए जाने चाहिए जब कोई महत्वपूर्ण बदलाव हो।
- ट्रस्ट सर्विसेज़ क्राइटेरिया
- SOC 2 रिपोर्टों में उपयोग होने वाले AICPA मानदंड, जो पाँच श्रेणियों में हैं: सिक्योरिटी (हमेशा शामिल), उपलब्धता, गोपनीयता, प्रोसेसिंग इंटेग्रिटी और प्राइवेसी।
- डिफ़ेंस इन डेप्थ
- एक सुरक्षा रणनीति जो किसी IT सिस्टम में कंट्रोल की कई परतें लागू करती है। यदि एक परत विफल हो जाए, तो अतिरिक्त परतें सुरक्षा प्रदान करती रहती हैं। इसे लेयर्ड सिक्योरिटी के नाम से भी जाना जाता है।
- डेटा कंट्रोलर
- GDPR के अंतर्गत, वह इकाई जो व्यक्तिगत डेटा की प्रोसेसिंग के उद्देश्य और साधन तय करती है। डेटा सुरक्षा सिद्धांतों के अनुपालन की प्राथमिक ज़िम्मेदारी कंट्रोलर की होती है।
- डेटा प्रोटेक्शन इम्पैक्ट असेसमेंट (DPIA)
- GDPR अनुच्छेद 35 के अंतर्गत आवश्यक प्रक्रिया, जिसके माध्यम से ऐसी परियोजना या सिस्टम के डेटा सुरक्षा जोखिमों की पहचान और उन्हें न्यूनतम किया जाता है, जिससे व्यक्तियों के अधिकारों और स्वतंत्रताओं पर उच्च जोखिम होने की संभावना हो।
- डेटा प्रोसेसर
- GDPR के अंतर्गत, वह इकाई जो डेटा कंट्रोलर की ओर से व्यक्तिगत डेटा की प्रोसेसिंग करती है। प्रोसेसर को कंट्रोलर के निर्देशों का पालन करना होता है और उपयुक्त सुरक्षा उपाय लागू करने होते हैं।
- डेटा ब्रीच
- ऐसी घटना जिसमें संवेदनशील, संरक्षित या गोपनीय डेटा किसी अनधिकृत पक्ष द्वारा एक्सेस, प्रकट या चुराया जाता है। ब्रीच सूचना देने की आवश्यकताएँ नियमन के अनुसार भिन्न होती हैं (GDPR के तहत 72 घंटे के भीतर सूचना देना आवश्यक है, HIPAA के तहत 60 दिन के भीतर)।
- डेटा वर्गीकरण
- डेटा को उसकी संवेदनशीलता के स्तर और अनधिकृत प्रकटीकरण के प्रभाव के आधार पर श्रेणियों में व्यवस्थित करने की प्रक्रिया। आम स्तरों में Public, Internal, Confidential और Restricted शामिल हैं।
- थ्रेट इंटेलिजेंस
- कई स्रोतों (ISACs, सरकारी फ़ीड, वाणिज्यिक प्लेटफ़ॉर्म, OSINT) से एकत्र की गई वर्तमान और उभरते साइबर खतरों की जानकारी। थ्रेट इंटेलिजेंस का उपयोग डिटेक्शन नियमों, कमज़ोरियों की प्राथमिकता और इंसिडेंट रिस्पॉन्स में होता है।
- न्यूनतम विशेषाधिकार
- यह सिद्धांत कि उपयोगकर्ताओं, सिस्टम और प्रक्रियाओं को केवल वही न्यूनतम एक्सेस अनुमतियाँ दी जाएँ जो उनके अधिकृत कार्य करने के लिए आवश्यक हों। यह अटैक सरफ़ेस को कम करता है और समझौता किए गए खातों के प्रभाव क्षेत्र को सीमित करता है।
- पेनेट्रेशन टेस्टिंग
- किसी सिस्टम की सुरक्षा का मूल्यांकन करने के लिए उसपर किया गया अधिकृत, सिमुलेटेड हमला। पेन टेस्ट ऐसी कमज़ोरियों की पहचान करते हैं जिनका हमलावर फ़ायदा उठा सकते हैं, और यह पुष्टि करते हैं कि मौजूदा कंट्रोल प्रभावी हैं।
- पैच मैनेजमेंट
- सुरक्षा कमज़ोरियों को ठीक करने के लिए सॉफ़्टवेयर अपडेट की पहचान करने, उनका परीक्षण करने और उन्हें लागू करने की प्रक्रिया। प्रभावी पैच मैनेजमेंट के लिए सटीक एसेट इन्वेंटरी, जोखिम-आधारित प्राथमिकता और सुधार की समय-सीमाओं के लिए परिभाषित SLA आवश्यक हैं।
- प्रमाणीकरण
- किसी उपयोगकर्ता, डिवाइस या सिस्टम की पहचान की पुष्टि करने की प्रक्रिया। सामान्य तरीकों में पासवर्ड, मल्टी-फैक्टर प्रमाणीकरण (MFA), बायोमेट्रिक्स और डिजिटल प्रमाणपत्र शामिल हैं।
- प्राधिकरण
- यह तय करने की प्रक्रिया कि प्रमाणित उपयोगकर्ता को किसी विशिष्ट संसाधन तक पहुँचने या कोई विशिष्ट कार्य करने की अनुमति है या नहीं। आम तौर पर यह रोल-आधारित एक्सेस कंट्रोल (RBAC) या एट्रिब्यूट-आधारित एक्सेस कंट्रोल (ABAC) के माध्यम से लागू किया जाता है।
- फ़्रेमवर्क
- सुरक्षा आवश्यकताओं या परिणामों का संरचित समूह। कुछ कानून हैं (HIPAA, GDPR, NIS2), कुछ अनुबंध-आधारित हैं (कार्ड-ब्रांड समझौतों के माध्यम से PCI DSS, रक्षा अनुबंधों के माध्यम से CMMC), कुछ स्वैच्छिक हैं (NIST CSF, CIS Controls), और कुछ का प्रमाणन किया जा सकता है (ISO 27001)।
- बिज़नेस एसोसिएट
- HIPAA के अंतर्गत, ऐसा व्यक्ति या संगठन जो कवर्ड एंटिटी की ओर से संरक्षित स्वास्थ्य सूचना बनाता, प्राप्त करता, रखता या प्रेषित करता है, जैसे कोई क्लाउड या बिलिंग प्रदाता। बिज़नेस एसोसिएट को सिक्योरिटी रूल का पालन करना होता है और बिज़नेस एसोसिएट एग्रीमेंट पर हस्ताक्षर करने होते हैं।
- बिज़नेस कंटीन्युइटी
- किसी व्यवधानकारी घटना के बाद संगठन की उत्पाद या सेवा वितरण को पूर्व-निर्धारित स्वीकार्य स्तरों पर जारी रखने की क्षमता। बिज़नेस कंटीन्युइटी प्लानिंग (BCP) खतरों की पहचान करती है और लचीलापन सुनिश्चित करने के लिए प्रक्रियाएँ स्थापित करती है।
- मैच्योरिटी स्तर
- ASD के Essential Eight में तीन स्तरों (एक से तीन) में से एक, जो अधिक सक्षम प्रतिद्वंद्वियों के विरुद्ध बढ़ती सुरक्षा दर्शाता है। कोई रणनीति तभी किसी स्तर तक पहुँचती है जब उस स्तर और उससे नीचे की हर आवश्यकता पूरी हो।
- रिस्क रजिस्टर
- पहचाने गए जोखिमों की दस्तावेज़ी सूची, जिसमें उनकी संभावना, प्रभाव, मौजूदा कंट्रोल, जोखिम स्वामी और उपचार योजना शामिल हैं। रिस्क रजिस्टर एक जीवंत दस्तावेज़ है जो निरंतर जोखिम प्रबंधन को सहारा देता है।
- वैकल्पिक रूप से लागू होने वाली कार्यान्वयन विशिष्टता
- HIPAA सिक्योरिटी रूल की एक विशिष्टता, जिसका मूल्यांकन और कार्यान्वयन संगठन को तब करना होता है जब वह उचित और उपयुक्त हो; अन्यथा उसे यह दस्तावेज़ करना होता है कि ऐसा क्यों नहीं किया गया और उसके समकक्ष कोई उपाय अपनाना होता है। इसका अर्थ वैकल्पिक होना नहीं है। जिन विशिष्टताओं पर Required अंकित है, उन्हें लागू करना अनिवार्य है।
- व्यक्तिगत डेटा
- GDPR के अंतर्गत, किसी पहचाने गए या पहचाने जा सकने वाले प्राकृतिक व्यक्ति से संबंधित कोई भी सूचना। इसमें नाम, ईमेल पते, IP पते, स्थान डेटा और ऑनलाइन पहचानकर्ता शामिल हैं।
- संपादकीय मैपिंग
- ऐसा लिंक जो ControlMapping तब बनाता है जब कोई प्रकाशित क्रॉसवॉक उपलब्ध न हो, और हमेशा एक संक्षिप्त कारण के साथ। इसे खाली वर्ग चिह्न के साथ दिखाया जाता है। इस साइट पर हर SOC 2, GDPR और Essential Eight लिंक संपादकीय है।
- सप्लाई चेन जोखिम
- यह जोखिम कि किसी संगठन की सुरक्षा उसके विक्रेताओं, आपूर्तिकर्ताओं या सेवा प्रदाताओं की कमज़ोरियों के माध्यम से समझौता हो जाए। सप्लाई चेन हमले भरोसेमंद संबंधों का फ़ायदा उठाकर प्रत्यक्ष सुरक्षा उपायों को बायपास करते हैं।
- सबसर्विस ऑर्गनाइज़ेशन
- ऐसा विक्रेता जिसके कंट्रोल SOC 2 रिपोर्ट के लिए महत्वपूर्ण हैं, जैसे सेवा को होस्ट करने वाला क्लाउड प्रदाता। कैरव-आउट पद्धति के अंतर्गत रिपोर्ट उसके कंट्रोल को बाहर रखती है और उसके अपने आश्वासन रिपोर्टों पर निर्भर करती है।
- सर्टिफिकेशन निकाय
- ऐसा संगठन जो ISO 27001 जैसे मानक के आधार पर मैनेजमेंट सिस्टम का ऑडिट करता है और सर्टिफिकेट जारी करता है। ग्राहक आम तौर पर अपेक्षा करते हैं कि यह मान्यता प्राप्त हो।
- सिस्टम सिक्योरिटी प्लान (SSP)
- वह दस्तावेज़ जो किसी सिस्टम की सीमा, वातावरण और यह वर्णन करता है कि हर सुरक्षा आवश्यकता कैसे लागू की गई है। यह NIST SP 800-171 (CMMC Level 2 अभ्यास CA.L2-3.12.4) और NIST रिस्क मैनेजमेंट फ़्रेमवर्क द्वारा आवश्यक है।
- स्टेटमेंट ऑफ़ एप्लिकेबिलिटी (SoA)
- ISO 27001 दस्तावेज़ जिसमें हर Annex A कंट्रोल सूचीबद्ध होता है, कि वह लागू है या नहीं, और क्यों: यह जोखिम उपचार और मौजूदा कंट्रोल के बीच की कड़ी है। ऑडिटर इसकी बारीकी से समीक्षा करते हैं।
- C3PAO
- CMMC थर्ड-पार्टी असेसमेंट संगठन: ऐसा संगठन जिसे रक्षा ठेकेदारों के CMMC Level 2 सर्टिफिकेशन असेसमेंट करने के लिए अधिकृत किया गया है।
- CIA ट्रायड
- सूचना सुरक्षा के तीन मूल सिद्धांत: गोपनीयता (अनधिकृत प्रकटीकरण को रोकना), अखंडता (अनधिकृत संशोधन को रोकना) और उपलब्धता (ज़रूरत पड़ने पर अधिकृत पहुँच सुनिश्चित करना)।
- CSF सबकैटेगरी
- NIST साइबरसिक्योरिटी फ़्रेमवर्क का सबसे विशिष्ट स्तर: PR.AA-03 जैसा परिणाम (उपयोगकर्ता, सेवाएँ और हार्डवेयर प्रमाणित होते हैं)। CSF 2.0 में 22 कैटेगरी और छह फ़ंक्शन के अंतर्गत 106 सक्रिय सबकैटेगरी हैं। ControlMapping इन्हें उस केंद्र के रूप में उपयोग करता है जिससे हर फ़्रेमवर्क जुड़ता है।
- CUI
- Controlled Unclassified Information — सरकार द्वारा निर्मित या स्वामित्व वाली ऐसी सूचना जिसकी सुरक्षा आवश्यक है, पर जिसे वर्गीकृत नहीं किया गया है। CUI की सुरक्षा आवश्यकताएँ NIST SP 800-171 में परिभाषित हैं और CMMC के माध्यम से लागू की जाती हैं।
- DLP
- Data Loss Prevention — ऐसी तकनीकें और नीतियाँ जो संगठन से बाहर संवेदनशील डेटा के अनधिकृत प्रेषण का पता लगाती और उसे रोकती हैं। DLP समाधान ईमेल, वेब, एंडपॉइंट और क्लाउड सेवाओं की निगरानी करते हैं।
- EDR
- Endpoint Detection and Response — एंडपॉइंट पर तैनात सुरक्षा समाधान जो साइबर खतरों की लगातार निगरानी करते हैं और उन पर प्रतिक्रिया देते हैं। EDR पारंपरिक एंटीवायरस से आगे बढ़कर व्यवहार विश्लेषण, थ्रेट हंटिंग और फ़ॉरेंसिक क्षमताएँ प्रदान करता है।
- ePHI
- Electronic Protected Health Information — व्यक्तिगत रूप से पहचानी जा सकने वाली स्वास्थ्य सूचना, जो इलेक्ट्रॉनिक रूप से बनाई, संग्रहीत, प्रेषित या प्राप्त की जाती है। HIPAA सिक्योरिटी रूल विशेष रूप से ePHI की सुरक्षा से संबंधित है।
- FedRAMP
- Federal Risk and Authorization Management Program — अमेरिकी सरकार का कार्यक्रम जो संघीय एजेंसियों द्वारा उपयोग किए जाने वाले क्लाउड उत्पादों और सेवाओं के लिए मानकीकृत सुरक्षा असेसमेंट और प्राधिकरण प्रदान करता है। यह NIST SP 800-53 कंट्रोल पर आधारित है।
- FISMA
- Federal Information Security Modernization Act — अमेरिकी कानून जिसके तहत संघीय एजेंसियों को सूचना सुरक्षा कार्यक्रम विकसित, दस्तावेज़ीकृत और लागू करने होते हैं। FISMA अनुपालन NIST SP 800-53 कंट्रोल के आधार पर मापा जाता है।
- IDS/IPS
- Intrusion Detection System / Intrusion Prevention System — नेटवर्क सुरक्षा उपकरण जो संदिग्ध गतिविधि के लिए ट्रैफ़िक की निगरानी करते हैं। IDS पता लगाकर अलर्ट देता है; IPS पता लगाकर उसे रोकता है। ये नेटवर्क-आधारित (NIDS/NIPS) या होस्ट-आधारित (HIDS/HIPS) हो सकते हैं।
- Implementing Regulation (EU) 2024/2690
- यूरोपीय आयोग का वह विनियमन जो DNS, क्लाउड, डेटा सेंटर, मैनेज्ड सर्विस और अन्य डिजिटल प्रदाताओं के लिए NIS2 अनुच्छेद 21 के जोखिम-प्रबंधन उपायों को विस्तार से निर्धारित करता है। ControlMapping की NIS2 आवश्यकताएँ इसके Annex के बिंदु हैं।
- Information Security Manual (ISM)
- ऑस्ट्रेलियाई सिग्नल्स डायरेक्टोरेट का साइबर सुरक्षा फ़्रेमवर्क, जो कंट्रोल का समूह है और CC BY 4.0 के अंतर्गत प्रकाशित है। Essential Eight की आवश्यकताएँ ISM कंट्रोल हैं जिन पर मैच्योरिटी स्तर अंकित हैं।
- ISMS
- Information Security Management System — संवेदनशील सूचना के प्रबंधन की एक व्यवस्थित प्रणाली, ताकि वह सुरक्षित रहे। ISO 27001 सर्टिफिकेशन के लिए ISMS लागू करना और उसे बनाए रखना आवश्यक है।
- MFA
- मल्टी-फ़ैक्टर प्रमाणीकरण — पहुँच पाने के लिए दो या अधिक सत्यापन कारकों (कुछ जो आप जानते हैं, रखते हैं या हैं) की आवश्यकता। FIDO2 और पासकी जैसी फ़िशिंग-प्रतिरोधी MFA विधियाँ SMS-आधारित कोड की तुलना में अधिक पसंद की जाती हैं।
- MITRE ATT&CK
- वास्तविक दुनिया के अवलोकनों पर आधारित प्रतिद्वंद्वी रणनीतियों, तकनीकों और प्रक्रियाओं (TTPs) का वैश्विक रूप से सुलभ ज्ञान-आधार। सुरक्षा टीमें इसका उपयोग पहचान, थ्रेट हंटिंग और रेड टीम अभ्यासों को बेहतर बनाने के लिए करती हैं।
- OLIR
- NIST का Online Informative References कार्यक्रम: NIST फ़्रेमवर्क और अन्य मानकों के बीच क्रॉसवॉक का कैटलॉग, जो NIST या तृतीय पक्षों द्वारा प्रस्तुत किए जाते हैं। NIST तृतीय-पक्ष प्रस्तुतियों के प्रारूप की जाँच करता है, उनकी सटीकता की नहीं।
- QSA, ROC, SAQ और AOC
- PCI DSS असेसमेंट शब्द। एक Qualified Security Assessor (QSA) Report on Compliance (ROC) तैयार करता है; छोटे व्यापारी इसके बजाय Self-Assessment Questionnaire (SAQ) भर सकते हैं। दोनों का अंत Attestation of Compliance (AOC) से होता है।
- SIEM
- Security Information and Event Management — ऐसा प्लेटफ़ॉर्म जो IT वातावरण भर से लॉग डेटा को एकत्र और सहसंबंधित करता है, ताकि केंद्रीकृत दृश्यता, खतरे का पता लगाने और अनुपालन रिपोर्टिंग मिल सके।
- SOC (सिक्योरिटी ऑपरेशंस सेंटर)
- एक टीम, जो अक्सर किसी सुविधा के साथ होती है, जो सुरक्षा घटनाओं की निगरानी करती है, उनका पता लगाती है और उनपर प्रतिक्रिया देती है। इसे SOC 2 के साथ भ्रमित न करें, जो एक ऑडिट रिपोर्ट है।
- SOC 2 Type I और Type II
- Type I रिपोर्ट यह कवर करती है कि किसी एक तिथि पर कंट्रोल उपयुक्त रूप से डिज़ाइन और लागू थे या नहीं। Type II रिपोर्ट यह भी कवर करती है कि वे एक अवधि में प्रभावी रूप से संचालित हुए या नहीं, और अधिकांश ग्राहक इसी की माँग करते हैं।
- WAF
- Web Application Firewall — ऐसा सुरक्षा समाधान जो वेब एप्लिकेशन की ओर और वहाँ से आने-जाने वाले HTTP/HTTPS ट्रैफ़िक की जाँच करता है और SQL इंजेक्शन, XSS और रिमोट फ़ाइल इंक्लूज़न जैसे सामान्य हमलों को रोकता है।