Glossario
A · B · C · D · E · F · G · I · L · M · O · P · Q · R · S · T · V · W · Z
- Accreditamento
- Riconoscimento formale che un organismo di certificazione è competente a certificare in base a una norma. Per ISO 27001, cercate un organismo di certificazione accreditato da un ente nazionale di accreditamento che aderisce all'International Accreditation Forum (IAF).
- Attestazione
- Il parere di un professionista indipendente su un determinato oggetto, come il parere di uno studio CPA sui controlli di un'azienda in un report SOC 2. Un'attestazione non è una certificazione: non esiste alcun certificato né una soglia di superamento.
- Audit trail
- Registro cronologico delle attività di sistema che fornisce evidenza documentale della sequenza degli eventi. Gli audit trail sono utilizzati per rilevare violazioni di sicurezza, problemi di prestazioni e difetti applicativi.
- Autenticazione
- Il processo di verifica dell'identità di un utente, dispositivo o sistema. I metodi più comuni includono password, autenticazione a più fattori (MFA), biometria e certificati digitali.
- Autorizzazione
- Il processo che determina se un utente autenticato ha il permesso di accedere a una specifica risorsa o di eseguire una specifica azione. Tipicamente implementata tramite il controllo degli accessi basato sui ruoli (RBAC) o il controllo degli accessi basato sugli attributi (ABAC).
- Business Associate
- Ai sensi della HIPAA, una persona o un'organizzazione che crea, riceve, conserva o trasmette informazioni sanitarie protette per conto di un soggetto coperto, come un fornitore cloud o di servizi di fatturazione. I business associate devono rispettare la Security Rule e sottoscrivere un business associate agreement.
- C3PAO
- CMMC Third-Party Assessment Organization: un'organizzazione autorizzata a condurre le valutazioni di certificazione CMMC Level 2 dei fornitori della difesa.
- Cifratura
- Il processo di conversione dei dati in una forma codificata (testo cifrato) per impedire l'accesso non autorizzato. I dati dovrebbero essere cifrati a riposo (memorizzati), in transito (in movimento sulle reti) e, sempre più spesso, in uso.
- Classificazione dei dati
- Il processo di organizzazione dei dati in categorie in base al loro livello di sensibilità e all'impatto di una divulgazione non autorizzata. I livelli più comuni includono Pubblico, Interno, Riservato e Ristretto.
- Continuità operativa
- La capacità di un'organizzazione di continuare a erogare prodotti o servizi a livelli predefiniti accettabili a seguito di un incidente dirompente. La pianificazione della continuità operativa (BCP) individua le minacce e definisce le procedure per garantire la resilienza.
- Controlli complementari a carico dell'utente (CUEC)
- Controlli che un report SOC 2 indica come da gestire direttamente dai clienti dell'organizzazione di servizi affinché i controlli descritti funzionino, ad esempio la gestione dei propri account utente.
- Controllo
- Una salvaguardia o contromisura progettata per proteggere la riservatezza, l'integrità e la disponibilità dei sistemi informativi e dei dati. I controlli possono essere tecnici (firewall, cifratura), amministrativi (politiche, formazione) o fisici (serrature, badge).
- Controllo compensativo
- Una misura di sicurezza alternativa adottata quando un controllo primario non può essere implementato. I controlli compensativi devono soddisfare l'intento del requisito originario, offrire un livello di difesa analogo e essere documentati.
- Controllo degli accessi
- Misure di sicurezza che regolano chi o cosa può visualizzare o utilizzare le risorse in un ambiente informatico. I controlli di accesso comprendono l'autenticazione (verifica dell'identità), l'autorizzazione (concessione dei permessi) e la registrazione degli accessi (tracciamento degli accessi).
- Crosswalk
- Una mappatura pubblicata tra i requisiti di due framework, come la mappatura di NIST da SP 800-53 a ISO 27001. Un crosswalk indica che i requisiti affrontano esiti correlati, non che il soddisfacimento di uno implichi il soddisfacimento dell'altro. Su questo sito, i collegamenti derivanti dai crosswalk sono etichettati come crosswalk e mostrati con un quadrato pieno.
- CUI
- Controlled Unclassified Information — informazioni create o di proprietà del governo che richiedono protezione ma non sono classificate. I requisiti di protezione delle CUI sono definiti in NIST SP 800-171 e applicati tramite CMMC.
- Dati personali
- Ai sensi del GDPR, qualsiasi informazione relativa a una persona fisica identificata o identificabile. Include nomi, indirizzi e-mail, indirizzi IP, dati di localizzazione e identificativi online.
- Difesa in profondità
- Una strategia di sicurezza che impiega più livelli di controlli in tutto il sistema informatico. Se un livello non funziona, quelli aggiuntivi continuano a fornire protezione. Nota anche come sicurezza a strati.
- DLP
- Data Loss Prevention — tecnologie e politiche che individuano e impediscono la trasmissione non autorizzata di dati sensibili al di fuori dell'organizzazione. Le soluzioni DLP monitorano e-mail, web, endpoint e servizi cloud.
- EDR
- Endpoint Detection and Response — soluzioni di sicurezza installate sugli endpoint che monitorano continuamente le minacce informatiche e vi rispondono. L'EDR offre analisi comportamentale, threat hunting e capacità forensi che vanno oltre il tradizionale antivirus.
- ePHI
- Electronic Protected Health Information — informazioni sanitarie individualmente identificabili create, conservate, trasmesse o ricevute per via elettronica. La HIPAA Security Rule affronta specificamente la protezione degli ePHI.
- FedRAMP
- Federal Risk and Authorization Management Program — un programma del governo degli Stati Uniti che fornisce valutazione e autorizzazione standardizzate della sicurezza per i prodotti e servizi cloud utilizzati dalle agenzie federali. Basato sui controlli di NIST SP 800-53.
- FISMA
- Federal Information Security Modernization Act — normativa statunitense che impone alle agenzie federali di sviluppare, documentare e implementare programmi di sicurezza delle informazioni. La conformità a FISMA si misura sui controlli di NIST SP 800-53.
- Framework
- Un insieme strutturato di requisiti o esiti di sicurezza. Alcuni hanno valore di legge (HIPAA, GDPR, NIS2), alcuni sono contrattuali (PCI DSS tramite gli accordi con i circuiti di carte, CMMC tramite i contratti con la difesa), alcuni sono volontari (NIST CSF, CIS Controls) e alcuni possono essere certificati (ISO 27001).
- Gap analysis
- Un confronto tra ciò che si fa già, o il framework che si soddisfa già, e i requisiti di un altro framework, per individuare le attività mancanti. La gap analysis di ControlMapping svolge questa operazione requisito per requisito tra due framework qualsiasi.
- Gestione degli incidenti
- L'approccio organizzato per rilevare, contenere, eradicare e ripristinare dagli incidenti di cybersecurity. Un piano di risposta agli incidenti definisce ruoli, procedure, protocolli di comunicazione e percorsi di escalation.
- Governance
- Il sistema di politiche, processi e strutture organizzative che assicura che le attività di cybersecurity siano allineate agli obiettivi di business e ai requisiti normativi. La governance stabilisce responsabilità, definisce i ruoli e indica la direzione strategica.
- IDS/IPS
- Intrusion Detection System / Intrusion Prevention System — strumenti di sicurezza di rete che monitorano il traffico alla ricerca di attività sospette. L'IDS rileva e segnala; l'IPS rileva e blocca. Possono essere basati sulla rete (NIDS/NIPS) o sull'host (HIDS/HIPS).
- Information Security Manual (ISM)
- Il framework di controlli di cybersecurity dell'Australian Signals Directorate, pubblicato con licenza CC BY 4.0. I requisiti dell'Essential Eight sono controlli ISM contrassegnati con livelli di maturità.
- ISMS
- Information Security Management System — un approccio sistematico alla gestione delle informazioni sensibili per garantirne la sicurezza nel tempo. La certificazione ISO 27001 richiede l'implementazione e il mantenimento di un ISMS.
- Livello di maturità
- Nell'Essential Eight dell'ASD, uno dei tre livelli (da One a Three) di protezione crescente contro avversari sempre più capaci. Una strategia raggiunge un livello solo quando sono soddisfatti tutti i requisiti di quel livello e di quelli inferiori.
- Mappatura editoriale
- Un collegamento che ControlMapping crea dove non esiste un crosswalk pubblicato, sempre con una breve motivazione. Mostrato con un quadrato con contorno. Ogni collegamento a SOC 2, GDPR ed Essential Eight presente su questo sito è editoriale.
- MFA
- Multi-Factor Authentication — richiesta di due o più fattori di verifica (qualcosa che si conosce, si possiede o si è) per ottenere l'accesso. I metodi MFA resistenti al phishing, come FIDO2 e passkey, sono preferibili ai codici via SMS.
- MITRE ATT&CK
- Una base di conoscenza accessibile a livello globale sulle tattiche, tecniche e procedure (TTP) degli avversari, basata su osservazioni reali. Utilizzata dai team di sicurezza per migliorare il rilevamento, il threat hunting e gli esercizi di red team.
- OLIR
- Online Informative References di NIST: un catalogo di crosswalk tra i framework NIST e altri standard, inviati da NIST o da terze parti. NIST verifica il formato delle proposte di terze parti, non la loro correttezza.
- Organismo di certificazione
- Un'organizzazione che verifica i sistemi di gestione rispetto a una norma come ISO 27001 e rilascia i certificati. In genere i clienti se ne aspettano l'accreditamento.
- Organizzazione di sottoservizio
- Un fornitore i cui controlli sono rilevanti per un report SOC 2, come il fornitore cloud che ospita il servizio. Con il metodo carve-out, il report esclude i suoi controlli e si basa sui propri report di assurance.
- Patch management
- Il processo di individuazione, test e distribuzione degli aggiornamenti software per correggere le vulnerabilità di sicurezza. Un patch management efficace richiede inventari accurati degli asset, una priorizzazione basata sul rischio e SLA definiti per i tempi di rimedio.
- Penetration testing
- Un attacco simulato e autorizzato a un sistema per valutarne la sicurezza. I pen test individuano le vulnerabilità che potrebbero essere sfruttate dagli attaccanti e verificano che i controlli esistenti siano efficaci.
- Periodo di osservazione
- Il periodo coperto da un report SOC 2 Type II, in genere da 3 a 12 mesi, durante il quale il revisore verifica se i controlli hanno funzionato in modo efficace.
- Piano d'azione e traguardi (POA&M)
- Un registro delle debolezze di sicurezza con le azioni e le scadenze per correggerle, utilizzato nelle valutazioni NIST SP 800-53, SP 800-171 e CMMC.
- Privilegio minimo
- Il principio secondo cui utenti, sistemi e processi devono ricevere solo i permessi di accesso minimi necessari per svolgere le funzioni autorizzate. Riduce la superficie di attacco e limita l'impatto degli account compromessi.
- QSA, ROC, SAQ e AOC
- Termini di valutazione PCI DSS. Un Qualified Security Assessor (QSA) redige un Report on Compliance (ROC); i commercianti di minori dimensioni possono invece compilare un Self-Assessment Questionnaire (SAQ). Entrambi si concludono con un Attestation of Compliance (AOC).
- Registro dei rischi
- Un inventario documentato dei rischi individuati, comprensivo di probabilità, impatto, controlli attuali, responsabile del rischio e piano di trattamento. Il registro dei rischi è un documento vivo che supporta la gestione continua del rischio.
- Regolamento di esecuzione (UE) 2024/2690
- Il regolamento della Commissione europea che definisce in dettaglio le misure di gestione del rischio dell'articolo 21 della NIS2 per i fornitori di DNS, cloud, data center, servizi gestiti e altri fornitori digitali. I requisiti NIS2 di ControlMapping corrispondono ai punti del suo Allegato.
- Responsabile del trattamento
- Ai sensi del GDPR, un soggetto che tratta dati personali per conto del titolare del trattamento. I responsabili devono seguire le istruzioni del titolare e implementare misure di sicurezza adeguate.
- Rischio della catena di fornitura
- Il rischio che la sicurezza di un'organizzazione sia compromessa attraverso vulnerabilità presenti nei suoi fornitori o prestatori di servizi. Gli attacchi alla catena di fornitura sfruttano relazioni di fiducia per aggirare le difese dirette.
- SIEM
- Security Information and Event Management — piattaforma che aggrega e correla i dati di log provenienti dall'intero ambiente IT per offrire visibilità centralizzata, rilevamento delle minacce e reportistica di conformità.
- SOC (Security Operations Center)
- Un team, spesso con una sede dedicata, che monitora, rileva e risponde agli incidenti di sicurezza. Non va confuso con SOC 2, che è un report di audit.
- SOC 2 Type I e Type II
- Un report Type I verifica se i controlli erano adeguatamente progettati e in essere in una data specifica. Un report Type II verifica inoltre se hanno funzionato in modo efficace per un periodo, ed è ciò che la maggior parte dei clienti richiede.
- Soggetti essenziali e importanti
- Le due categorie della NIS2. Entrambe devono rispettare i medesimi obblighi di gestione del rischio e di segnalazione; i soggetti essenziali sono soggetti a vigilanza proattiva e a sanzioni massime più elevate, mentre i soggetti importanti sono sottoposti a vigilanza ex post.
- Soggetto coperto
- Ai sensi della HIPAA, un'organizzazione tenuta a rispettare le Privacy Rule e Security Rule: piani sanitari, clearinghouse sanitari e fornitori di assistenza sanitaria che trasmettono informazioni sanitarie per via elettronica.
- Sottocategoria CSF
- Il livello più specifico del NIST Cybersecurity Framework: un esito come PR.AA-03 (utenti, servizi e hardware sono autenticati). Il CSF 2.0 comprende 106 sottocategorie attive, suddivise in 22 categorie e sei funzioni. ControlMapping le utilizza come hub a cui ogni framework si collega.
- Specifica di implementazione addressable
- Una specifica della HIPAA Security Rule che l'organizzazione deve valutare e implementare se ragionevole e appropriata, oppure documentare il motivo per cui non lo è e adottare una misura equivalente. Non significa facoltativa. Le specifiche contrassegnate come Required devono essere implementate.
- Statement of Applicability (SoA)
- Il documento ISO 27001 che elenca ogni controllo dell'Allegato A, indicando se è applicato e perché: il collegamento tra il trattamento del rischio e i controlli in essere. I revisori lo esaminano con attenzione.
- System Security Plan (SSP)
- Il documento che descrive il perimetro e l'ambiente di un sistema e come ciascun requisito di sicurezza è implementato. Richiesto da NIST SP 800-171 (pratica CMMC Level 2 CA.L2-3.12.4) e dal NIST Risk Management Framework.
- Threat Intelligence
- Informazioni su minacce informatiche attuali ed emergenti raccolte da più fonti (ISAC, flussi governativi, piattaforme commerciali, OSINT). La threat intelligence orienta le regole di rilevamento, la priorizzazione delle vulnerabilità e la risposta agli incidenti.
- Titolare del trattamento
- Ai sensi del GDPR, il soggetto che determina le finalità e i mezzi del trattamento dei dati personali. Il titolare ha la responsabilità principale del rispetto dei principi di protezione dei dati.
- Triade CIA
- I tre principi fondamentali della sicurezza delle informazioni: Riservatezza (impedire la divulgazione non autorizzata), Integrità (impedire la modifica non autorizzata) e Disponibilità (garantire l'accesso autorizzato quando necessario).
- Trust Services Criteria
- I criteri AICPA utilizzati nei report SOC 2, suddivisi in cinque categorie: Sicurezza (sempre inclusa), Disponibilità, Riservatezza, Integrità del trattamento e Privacy.
- Valutazione d'impatto sulla protezione dei dati (DPIA)
- Un processo richiesto dall'articolo 35 del GDPR per individuare e ridurre i rischi per la protezione dei dati di un progetto o di un sistema che potrebbe comportare un rischio elevato per i diritti e le libertà delle persone fisiche.
- Valutazione del rischio
- Un processo sistematico di identificazione di minacce e vulnerabilità, di analisi della loro probabilità e del potenziale impatto e di definizione delle mitigazioni appropriate. Le valutazioni del rischio dovrebbero essere svolte regolarmente e ogni volta che si verificano cambiamenti significativi.
- Violazione di dati
- Un incidente in cui dati sensibili, protetti o riservati vengono acceduti, divulgati o sottratti da una parte non autorizzata. I requisiti di notifica della violazione variano in base alla normativa (il GDPR prevede la notifica entro 72 ore, la HIPAA entro 60 giorni).
- Vulnerabilità
- Una debolezza di un sistema, applicazione o processo che potrebbe essere sfruttata da un attore di minaccia per ottenere accessi non autorizzati o causare danni. Le vulnerabilità sono valutate con il CVSS (Common Vulnerability Scoring System).
- WAF
- Web Application Firewall — soluzione di sicurezza che ispeziona il traffico HTTP/HTTPS da e verso le applicazioni web, bloccando attacchi comuni come SQL injection, XSS e remote file inclusion.
- Zero Trust
- Un modello di sicurezza basato sul principio "non fidarsi mai, verificare sempre". Lo zero trust richiede la verifica continua di identità e autorizzazione per ogni richiesta di accesso, indipendentemente dalla posizione di rete. L'implementazione prevede micro-segmentazione, proxy consapevoli dell'identità e controlli della postura dei dispositivi.