Glosarium
A · B · C · D · E · F · H · I · J · K · M · O · P · Q · R · S · T · W · Z
- Akreditasi
- Pengakuan formal bahwa badan sertifikasi memiliki kompetensi untuk melakukan sertifikasi terhadap suatu standar. Untuk ISO 27001, carilah badan sertifikasi yang diakreditasi oleh badan akreditasi nasional yang tergabung dalam International Accreditation Forum (IAF).
- Analisis Kesenjangan
- Perbandingan antara apa yang sudah dijalankan, atau kerangka kerja yang sudah dipenuhi, dengan persyaratan kerangka kerja lain untuk menemukan pekerjaan yang belum ada. Analisis kesenjangan ControlMapping melakukannya persyaratan demi persyaratan di antara dua kerangka kerja mana pun.
- Atestasi
- Opini independen dari praktisi atas suatu subjek, misalnya opini firma CPA mengenai kontrol perusahaan dalam laporan SOC 2. Atestasi bukan sertifikasi: tidak ada sertifikat dan tidak ada nilai kelulusan.
- Autentikasi
- Proses memverifikasi identitas pengguna, perangkat, atau sistem. Metode umum meliputi kata sandi, autentikasi multifaktor (MFA), biometrik, dan sertifikat digital.
- Badan Sertifikasi
- Organisasi yang mengaudit sistem manajemen terhadap suatu standar, seperti ISO 27001, dan menerbitkan sertifikat. Pelanggan umumnya mengharapkan badan tersebut telah diakreditasi.
- C3PAO
- CMMC Third-Party Assessment Organization: organisasi yang berwenang melakukan penilaian sertifikasi CMMC Level 2 terhadap kontraktor pertahanan.
- Crosswalk
- Pemetaan yang dipublikasikan antara persyaratan dari dua kerangka kerja, misalnya pemetaan NIST dari SP 800-53 ke ISO 27001. Crosswalk menunjukkan bahwa persyaratan membahas hasil yang terkait, bukan bahwa pemenuhan satu persyaratan otomatis memenuhi yang lain. Di situs ini, tautan dari crosswalk diberi label crosswalk dan ditampilkan dengan kotak berisi.
- CUI
- Controlled Unclassified Information: informasi yang dibuat atau dimiliki pemerintah yang memerlukan pengamanan tetapi tidak diklasifikasikan. Persyaratan perlindungan CUI didefinisikan dalam NIST SP 800-171 dan ditegakkan melalui CMMC.
- Daftar Risiko
- Inventaris terdokumentasi atas risiko yang teridentifikasi, termasuk kemungkinan, dampak, kontrol yang ada, pemilik risiko, dan rencana penanganan. Daftar risiko merupakan dokumen hidup yang mendukung pengelolaan risiko berkelanjutan.
- Data Pribadi
- Dalam GDPR, setiap informasi yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi. Ini mencakup nama, alamat email, alamat IP, data lokasi, dan pengidentifikasi daring.
- DLP
- Data Loss Prevention: teknologi dan kebijakan yang mendeteksi dan mencegah pengiriman data sensitif yang tidak sah ke luar organisasi. Solusi DLP memantau email, web, endpoint, dan layanan cloud.
- EDR
- Endpoint Detection and Response: solusi keamanan yang dipasang pada endpoint dan secara terus-menerus memantau serta merespons ancaman siber. EDR menyediakan analisis perilaku, threat hunting, dan kemampuan forensik yang melampaui antivirus tradisional.
- Enkripsi
- Proses mengubah data menjadi bentuk tersandi (ciphertext) untuk mencegah akses yang tidak sah. Data sebaiknya dienkripsi saat disimpan (at rest), saat ditransmisikan melintasi jaringan (in transit), dan semakin sering saat digunakan (in use).
- Entitas Esensial dan Entitas Penting
- Dua kategori dalam NIS2. Keduanya wajib memenuhi kewajiban manajemen risiko dan pelaporan yang sama; entitas esensial menghadapi pengawasan proaktif dan denda maksimum yang lebih tinggi, sedangkan entitas penting diawasi setelah kejadian.
- Entitas Tercakup
- Dalam HIPAA, organisasi yang wajib mematuhi Privacy Rule dan Security Rule: rencana kesehatan, lembaga kliring layanan kesehatan, dan penyedia layanan kesehatan yang mengirimkan informasi kesehatan secara elektronik.
- ePHI
- Electronic Protected Health Information: informasi kesehatan yang dapat diidentifikasi secara individual, yang dibuat, disimpan, dikirim, atau diterima secara elektronik. HIPAA Security Rule secara khusus mengatur perlindungan ePHI.
- FedRAMP
- Federal Risk and Authorization Management Program: program pemerintah Amerika Serikat yang menyediakan penilaian dan otorisasi keamanan yang terstandarisasi untuk produk dan layanan cloud yang digunakan oleh lembaga federal. Didasarkan pada kontrol NIST SP 800-53.
- FISMA
- Federal Information Security Modernization Act: undang-undang Amerika Serikat yang mewajibkan lembaga federal untuk mengembangkan, mendokumentasikan, dan menerapkan program keamanan informasi. Kepatuhan FISMA diukur berdasarkan kontrol NIST SP 800-53.
- Hak Akses Minimum
- Prinsip bahwa pengguna, sistem, dan proses hanya boleh diberikan izin akses minimum yang diperlukan untuk menjalankan fungsi yang berwenang. Hal ini mengurangi permukaan serangan dan membatasi dampak dari akun yang disusupi.
- IDS/IPS
- Intrusion Detection System / Intrusion Prevention System: perangkat keamanan jaringan yang memantau lalu lintas untuk aktivitas mencurigakan. IDS mendeteksi dan memberi peringatan; IPS mendeteksi dan memblokir. Dapat berbasis jaringan (NIDS/NIPS) atau berbasis host (HIDS/HIPS).
- Implementing Regulation (EU) 2024/2690
- Peraturan Komisi Eropa yang merinci langkah manajemen risiko NIS2 Pasal 21 untuk penyedia DNS, cloud, pusat data, layanan terkelola, dan penyedia digital lainnya. Persyaratan NIS2 ControlMapping adalah poin-poin dalam Annex-nya.
- Information Security Manual (ISM)
- Kerangka kerja keamanan siber dari Australian Signals Directorate yang berisi kontrol, dipublikasikan di bawah CC BY 4.0. Persyaratan Essential Eight merupakan kontrol ISM yang diberi tag tingkat kematangan.
- ISMS
- Information Security Management System: pendekatan sistematis untuk mengelola informasi sensitif agar tetap aman. Sertifikasi ISO 27001 mensyaratkan implementasi dan pemeliharaan ISMS.
- Jejak Audit
- Catatan kronologis aktivitas sistem yang memberikan bukti dokumenter mengenai urutan kejadian. Jejak audit digunakan untuk mendeteksi pelanggaran keamanan, masalah kinerja, dan cacat aplikasi.
- Kelangsungan Bisnis
- Kemampuan organisasi untuk terus menyediakan produk atau layanan pada tingkat yang telah ditetapkan dan dapat diterima setelah terjadi insiden yang mengganggu. Perencanaan kelangsungan bisnis (BCP) mengidentifikasi ancaman dan menetapkan prosedur untuk memastikan ketahanan.
- Kerangka Kerja
- Kumpulan persyaratan atau hasil keamanan yang terstruktur. Sebagian bersifat hukum (HIPAA, GDPR, NIS2), sebagian bersifat kontraktual (PCI DSS melalui perjanjian dengan card brand, CMMC melalui kontrak pertahanan), sebagian bersifat sukarela (NIST CSF, CIS Controls), dan sebagian dapat disertifikasi (ISO 27001).
- Kerentanan
- Kelemahan pada sistem, aplikasi, atau proses yang dapat dieksploitasi oleh pelaku ancaman untuk memperoleh akses tidak sah atau menyebabkan kerusakan. Kerentanan dinilai menggunakan CVSS (Common Vulnerability Scoring System).
- Klasifikasi Data
- Proses mengelompokkan data ke dalam kategori berdasarkan tingkat sensitivitasnya dan dampak pengungkapan yang tidak sah. Tingkatan yang umum meliputi Publik, Internal, Rahasia, dan Terbatas.
- Kontrol
- Pengamanan atau tindakan penanggulangan yang dirancang untuk melindungi kerahasiaan, integritas, dan ketersediaan sistem informasi dan data. Kontrol dapat bersifat teknis (firewall, enkripsi), administratif (kebijakan, pelatihan), atau fisik (kunci, kartu akses).
- Kontrol Akses
- Langkah keamanan yang mengatur siapa atau apa yang dapat melihat atau menggunakan sumber daya dalam lingkungan komputasi. Kontrol akses mencakup autentikasi (memverifikasi identitas), otorisasi (memberikan izin), dan akuntansi (melacak akses).
- Kontrol Entitas Pengguna Komplementer (CUEC)
- Kontrol yang menurut laporan SOC 2 harus dijalankan sendiri oleh pelanggan organisasi layanan agar kontrol yang dijelaskan dapat berfungsi, misalnya mengelola akun pengguna mereka sendiri.
- Kontrol Kompensasi
- Langkah keamanan alternatif yang diterapkan ketika kontrol utama tidak dapat diimplementasikan. Kontrol kompensasi harus memenuhi maksud dari persyaratan asli, memberikan tingkat perlindungan yang serupa, dan didokumentasikan.
- Manajemen Patch
- Proses mengidentifikasi, menguji, dan menerapkan pembaruan perangkat lunak untuk memperbaiki kerentanan keamanan. Manajemen patch yang efektif memerlukan inventaris aset yang akurat, prioritisasi berbasis risiko, dan SLA yang ditetapkan untuk jangka waktu perbaikan.
- MFA
- Multi-Factor Authentication: mewajibkan dua atau lebih faktor verifikasi (sesuatu yang diketahui, dimiliki, atau melekat pada diri) untuk memperoleh akses. Metode MFA tahan-phishing seperti FIDO2 dan passkey lebih disarankan daripada kode berbasis SMS.
- Mitra Bisnis
- Dalam HIPAA, orang atau organisasi yang membuat, menerima, memelihara, atau mengirimkan informasi kesehatan yang dilindungi atas nama entitas tercakup, misalnya penyedia cloud atau penyedia penagihan. Mitra bisnis wajib mematuhi Security Rule dan menandatangani perjanjian mitra bisnis.
- MITRE ATT&CK
- Basis pengetahuan yang dapat diakses secara global mengenai taktik, teknik, dan prosedur (TTP) pelaku ancaman, berdasarkan pengamatan di dunia nyata. Digunakan oleh tim keamanan untuk meningkatkan deteksi, threat hunting, dan latihan red team.
- OLIR
- Online Informative References program NIST: katalog crosswalk antara kerangka kerja NIST dan standar lain, yang diajukan oleh NIST atau pihak ketiga. NIST memeriksa format pengajuan pihak ketiga, bukan ketepatannya.
- Organisasi Subservice
- Vendor yang kontrolnya relevan bagi laporan SOC 2, misalnya penyedia cloud yang menjadi tempat layanan dihosting. Dengan metode carve-out, laporan tidak mencakup kontrolnya dan mengandalkan laporan assurance tersendiri dari vendor tersebut.
- Otorisasi
- Proses menentukan apakah pengguna yang telah terautentikasi memiliki izin untuk mengakses sumber daya tertentu atau melakukan tindakan tertentu. Biasanya diimplementasikan melalui role-based access control (RBAC) atau attribute-based access control (ABAC).
- Pelanggaran Data
- Insiden ketika data sensitif, terlindungi, atau rahasia diakses, diungkapkan, atau dicuri oleh pihak yang tidak berwenang. Persyaratan pemberitahuan pelanggaran berbeda-beda menurut regulasi (GDPR mewajibkan pemberitahuan dalam 72 jam, HIPAA mewajibkan pemberitahuan dalam 60 hari).
- Pemetaan Editorial
- Tautan yang dibuat ControlMapping ketika tidak ada crosswalk yang dipublikasikan, selalu disertai alasan singkat. Ditampilkan dengan kotak berbingkai. Setiap tautan SOC 2, GDPR, dan Essential Eight di situs ini bersifat editorial.
- Penanganan Insiden
- Pendekatan terorganisir untuk mendeteksi, membatasi, menghilangkan, dan memulihkan diri dari insiden keamanan siber. Rencana penanganan insiden menetapkan peran, prosedur, protokol komunikasi, dan jalur eskalasi.
- Penetration Testing
- Simulasi serangan yang diotorisasi terhadap suatu sistem untuk mengevaluasi keamanannya. Pen test mengidentifikasi kerentanan yang dapat dieksploitasi penyerang dan memvalidasi bahwa kontrol yang ada efektif.
- Pengendali Data
- Dalam GDPR, entitas yang menentukan tujuan dan cara pemrosesan data pribadi. Pengendali data memikul tanggung jawab utama atas kepatuhan terhadap prinsip-prinsip perlindungan data.
- Penilaian Dampak Perlindungan Data (DPIA)
- Proses yang disyaratkan berdasarkan GDPR Pasal 35 untuk mengidentifikasi dan meminimalkan risiko perlindungan data dari suatu proyek atau sistem yang kemungkinan menimbulkan risiko tinggi terhadap hak dan kebebasan individu.
- Penilaian Risiko
- Proses sistematis untuk mengidentifikasi ancaman dan kerentanan, menganalisis kemungkinan serta potensi dampaknya, dan menentukan mitigasi yang sesuai. Penilaian risiko sebaiknya dilakukan secara berkala dan setiap kali terjadi perubahan signifikan.
- Periode Observasi
- Periode yang dicakup oleh laporan SOC 2 Type II, umumnya 3 hingga 12 bulan, selama auditor menguji apakah kontrol beroperasi secara efektif.
- Pertahanan Berlapis
- Strategi keamanan yang menerapkan beberapa lapisan kontrol di seluruh sistem TI. Jika satu lapisan gagal, lapisan tambahan tetap memberikan perlindungan. Juga dikenal sebagai layered security.
- Prosesor Data
- Dalam GDPR, entitas yang memproses data pribadi atas nama pengendali data. Prosesor harus mengikuti instruksi pengendali dan menerapkan langkah keamanan yang sesuai.
- QSA, ROC, SAQ dan AOC
- Istilah penilaian PCI DSS. Qualified Security Assessor (QSA) menyusun Report on Compliance (ROC); merchant yang lebih kecil dapat sebagai gantinya mengisi Self-Assessment Questionnaire (SAQ). Keduanya berakhir dengan Attestation of Compliance (AOC).
- Rencana Tindakan dan Tonggak (POA&M)
- Catatan kelemahan keamanan beserta tindakan dan tenggat waktu untuk memperbaikinya, digunakan dalam penilaian NIST SP 800-53, SP 800-171, dan CMMC.
- Risiko Rantai Pasok
- Risiko bahwa keamanan suatu organisasi dikompromikan melalui kerentanan pada vendor, pemasok, atau penyedia layanannya. Serangan rantai pasok memanfaatkan hubungan tepercaya untuk melewati pertahanan langsung.
- SIEM
- Security Information and Event Management: platform yang mengumpulkan dan mengorelasikan data log dari seluruh lingkungan TI untuk memberikan visibilitas terpusat, deteksi ancaman, dan pelaporan kepatuhan.
- SOC (Security Operations Centre)
- Tim, sering kali dengan fasilitas khusus, yang memantau, mendeteksi, dan merespons insiden keamanan. Jangan disamakan dengan SOC 2, yang merupakan laporan audit.
- SOC 2 Type I dan Type II
- Laporan Type I mencakup apakah kontrol telah dirancang dengan layak dan diterapkan pada satu tanggal. Laporan Type II juga mencakup apakah kontrol beroperasi secara efektif selama suatu periode, dan inilah yang paling sering diminta pelanggan.
- Spesifikasi implementasi yang dapat diadaptasi
- Spesifikasi dalam HIPAA Security Rule yang wajib dinilai dan diimplementasikan oleh organisasi jika memang wajar dan sesuai, atau didokumentasikan alasan tidak diterapkannya serta diadopsi langkah setara. Spesifikasi ini bukan berarti opsional. Spesifikasi yang bertanda Required wajib diimplementasikan.
- Statement of Applicability (SoA)
- Dokumen ISO 27001 yang mencantumkan setiap kontrol Lampiran A, apakah kontrol tersebut diterapkan, dan alasannya: penghubung antara penanganan risiko dan kontrol yang diterapkan. Auditor meninjaunya dengan cermat.
- Subkategori CSF
- Tingkat paling spesifik dalam NIST Cybersecurity Framework: suatu hasil seperti PR.AA-03 (pengguna, layanan, dan perangkat keras diautentikasi). CSF 2.0 memiliki 106 subkategori aktif dalam 22 kategori dan enam fungsi. ControlMapping menggunakannya sebagai hub yang ditautkan oleh setiap kerangka kerja.
- System Security Plan (SSP)
- Dokumen yang menjelaskan batas sistem, lingkungannya, dan bagaimana setiap persyaratan keamanan diimplementasikan. Diwajibkan oleh NIST SP 800-171 (praktik CMMC Level 2 CA.L2-3.12.4) dan NIST Risk Management Framework.
- Tata Kelola
- Sistem kebijakan, proses, dan struktur organisasi yang memastikan aktivitas keamanan siber selaras dengan tujuan bisnis dan persyaratan regulasi. Tata kelola menetapkan akuntabilitas, mendefinisikan peran, dan menentukan arah strategis.
- Threat Intelligence
- Informasi tentang ancaman siber terkini dan yang sedang berkembang, dikumpulkan dari berbagai sumber (ISAC, feed pemerintah, platform komersial, OSINT). Threat intelligence menjadi dasar aturan deteksi, prioritisasi kerentanan, dan penanganan insiden.
- Tingkat Kematangan
- Dalam Essential Eight ASD, salah satu dari tiga tingkat (Satu sampai Tiga) perlindungan yang meningkat terhadap pelaku ancaman yang semakin canggih. Suatu strategi hanya mencapai suatu tingkat jika setiap persyaratan pada tingkat tersebut dan di bawahnya telah dipenuhi.
- Triad CIA
- Tiga prinsip inti keamanan informasi: Kerahasiaan (mencegah pengungkapan yang tidak sah), Integritas (mencegah modifikasi yang tidak sah), dan Ketersediaan (memastikan akses yang sah saat dibutuhkan).
- Trust Services Criteria
- Kriteria AICPA yang digunakan dalam laporan SOC 2, terdiri atas lima kategori: Security (selalu disertakan), Availability, Confidentiality, Processing Integrity, dan Privacy.
- WAF
- Web Application Firewall: solusi keamanan yang memeriksa lalu lintas HTTP/HTTPS ke dan dari aplikasi web, dengan memblokir serangan umum seperti SQL injection, XSS, dan remote file inclusion.
- Zero Trust
- Model keamanan berdasarkan prinsip "jangan pernah percaya, selalu verifikasi." Zero trust mensyaratkan verifikasi identitas dan otorisasi yang berkelanjutan untuk setiap permintaan akses, terlepas dari lokasi jaringan. Implementasinya melibatkan micro-segmentation, identity-aware proxy, dan pemeriksaan postur perangkat.