Glossário
A · C · D · E · F · G · I · M · N · O · P · Q · R · S · T · V · W
- Acreditação
- Reconhecimento formal de que um organismo de certificação é competente para certificar com base em uma norma. Para a ISO 27001, procure um organismo de certificação acreditado por um organismo nacional de acreditação membro do International Accreditation Forum (IAF).
- Análise de lacunas
- Comparação entre o que você já faz, ou o framework que você já atende, e os requisitos de outro framework, para identificar o trabalho que falta. A análise de lacunas da ControlMapping faz isso requisito a requisito entre quaisquer dois frameworks.
- Atestação
- Opinião de um profissional independente sobre um determinado assunto, como a opinião de uma firma de CPA sobre os controles de uma empresa em um relatório SOC 2. Uma atestação não é uma certificação: não há certificado nem nota de aprovação.
- Autenticação
- Processo de verificação da identidade de um usuário, dispositivo ou sistema. Métodos comuns incluem senhas, autenticação multifator (MFA), biometria e certificados digitais.
- Autorização
- Processo de determinação se um usuário autenticado tem permissão para acessar um recurso específico ou executar uma ação específica. Normalmente implementado por meio de controle de acesso baseado em funções (RBAC) ou controle de acesso baseado em atributos (ABAC).
- Avaliação de Impacto sobre a Proteção de Dados (DPIA)
- Processo exigido pelo Artigo 35 do GDPR [RGPD] para identificar e minimizar os riscos à proteção de dados de um projeto ou sistema suscetível de resultar em alto risco para os direitos e liberdades das pessoas.
- Avaliação de riscos
- Processo sistemático de identificação de ameaças e vulnerabilidades, análise de sua probabilidade e de seu impacto potencial e definição das mitigações adequadas. As avaliações de riscos devem ser realizadas regularmente e sempre que ocorrerem mudanças significativas.
- C3PAO
- Organização de Avaliação de Terceiros do CMMC: organização autorizada a conduzir avaliações de certificação CMMC de Nível 2 de contratados do setor de defesa.
- Classificação de dados
- Processo de organização dos dados em categorias com base em seu nível de sensibilidade e no impacto de uma divulgação não autorizada. Os níveis comuns incluem Público, Interno, Confidencial e Restrito.
- Confiança Zero
- Modelo de segurança baseado no princípio "nunca confie, sempre verifique". A confiança zero exige verificação contínua de identidade e autorização para cada solicitação de acesso, independentemente da localização na rede. Sua implementação envolve microssegmentação, proxies com reconhecimento de identidade e verificações de postura dos dispositivos.
- Continuidade de negócios
- Capacidade de uma organização de manter a entrega de produtos ou serviços em níveis aceitáveis e predefinidos após um incidente disruptivo. O planejamento de continuidade de negócios (BCP) identifica ameaças e estabelece procedimentos para garantir a resiliência.
- Controlador de dados
- Segundo o GDPR [RGPD], entidade que determina as finalidades e os meios do tratamento de dados pessoais. O controlador é o principal responsável pela conformidade com os princípios de proteção de dados.
- Controle
- Salvaguarda ou contramedida projetada para proteger a confidencialidade, a integridade e a disponibilidade dos sistemas de informação e dos dados. Os controles podem ser técnicos (firewalls, criptografia), administrativos (políticas, treinamentos) ou físicos (fechaduras, crachás).
- Controle compensatório
- Medida de segurança alternativa adotada quando um controle primário não pode ser implementado. Os controles compensatórios devem atender à finalidade do requisito original, oferecer um nível de proteção semelhante e ser documentados.
- Controle de acesso
- Medidas de segurança que regulam quem ou o quê pode visualizar ou usar recursos em um ambiente computacional. Os controles de acesso incluem autenticação (verificação de identidade), autorização (concessão de permissões) e contabilização (registro dos acessos).
- Controles complementares de entidades usuárias (CUECs)
- Controles que um relatório SOC 2 indica que os clientes da organização de serviços devem operar por conta própria para que os controles descritos funcionem, como a gestão de suas próprias contas de usuário.
- Correspondência
- Mapeamento publicado entre os requisitos de dois frameworks, como o mapeamento do NIST do SP 800-53 para a ISO 27001. Uma correspondência indica que os requisitos tratam de resultados relacionados, e não que atender a um deles satisfaz o outro. Neste site, os links provenientes de correspondências são rotulados como crosswalk e exibidos com um quadrado sólido.
- Criptografia
- Processo de conversão de dados em uma forma codificada (texto cifrado) para impedir o acesso não autorizado. Os dados devem ser criptografados em repouso (armazenados), em trânsito (movimentando-se pelas redes) e, cada vez mais, em uso.
- Critérios de Serviços de Confiança
- Os critérios da AICPA usados nos relatórios SOC 2, em cinco categorias: Segurança (sempre incluída), Disponibilidade, Confidencialidade, Integridade de Processamento e Privacidade.
- CUI
- Informação Não Classificada Controlada: informação criada ou de propriedade do governo que exige salvaguarda, mas não é classificada. Os requisitos de proteção da CUI são definidos no NIST SP 800-171 e aplicados por meio do CMMC.
- Dados pessoais
- Segundo o GDPR [RGPD], qualquer informação relativa a uma pessoa natural identificada ou identificável. Incluem-se nomes, endereços de e-mail, endereços IP, dados de localização e identificadores online.
- Declaração de Aplicabilidade (SoA)
- Documento da ISO 27001 que lista todos os controles do Anexo A, indicando se são aplicados e por quê: o elo entre o tratamento de riscos e os controles implementados. Os auditores o analisam com atenção.
- Defesa em profundidade
- Estratégia de segurança que emprega múltiplas camadas de controles em todo o sistema de TI. Se uma camada falhar, as camadas adicionais continuam a oferecer proteção. Também conhecida como segurança em camadas.
- DLP
- Prevenção contra Perda de Dados (Data Loss Prevention): tecnologias e políticas que detectam e impedem a transmissão não autorizada de dados sensíveis para fora da organização. Soluções de DLP monitoram e-mail, web, endpoints e serviços de nuvem.
- EDR
- Detecção e Resposta em Endpoints (Endpoint Detection and Response): soluções de segurança implantadas em endpoints que monitoram continuamente e respondem a ameaças cibernéticas. O EDR oferece análise comportamental, caça a ameaças e capacidades forenses que vão além do antivírus tradicional.
- Entidade coberta
- Segundo a HIPAA, organização que deve cumprir as Regras de Privacidade e de Segurança: planos de saúde, câmaras de compensação de serviços de saúde e prestadores de serviços de saúde que transmitem eletronicamente informações de saúde.
- Entidades essenciais e importantes
- As duas categorias da NIS2. Ambas devem cumprir as mesmas obrigações de gestão de riscos e de notificação; as entidades essenciais estão sujeitas a supervisão proativa e a multas máximas mais altas, enquanto as entidades importantes são supervisionadas somente a posteriori.
- ePHI
- Informações eletrônicas de saúde protegidas (Electronic Protected Health Information): informações de saúde identificáveis individualmente que são criadas, armazenadas, transmitidas ou recebidas eletronicamente. A Regra de Segurança da HIPAA trata especificamente da proteção de ePHI.
- Especificação de implementação endereçável
- Especificação da Regra de Segurança da HIPAA que a organização deve avaliar e implementar, se razoável e apropriada, ou documentar o motivo da não implementação e adotar uma medida equivalente. Não significa opcional. As especificações marcadas como Obrigatórias devem ser implementadas.
- FedRAMP
- Programa Federal de Gestão de Riscos e Autorização (Federal Risk and Authorization Management Program): programa do governo dos EUA que oferece avaliação e autorização de segurança padronizadas para produtos e serviços de nuvem usados por agências federais. Baseia-se nos controles do NIST SP 800-53.
- FISMA
- Lei Federal de Modernização da Segurança da Informação (Federal Information Security Modernization Act): legislação dos EUA que exige que as agências federais desenvolvam, documentem e implementem programas de segurança da informação. A conformidade com a FISMA é medida com base nos controles do NIST SP 800-53.
- Framework
- Conjunto estruturado de requisitos ou resultados de segurança. Alguns são leis (HIPAA, GDPR [RGPD], NIS2), alguns são contratuais (PCI DSS, por meio de acordos com as bandeiras de cartão; CMMC, por meio de contratos de defesa), alguns são voluntários (NIST CSF, CIS Controls) e alguns podem ser certificados (ISO 27001).
- Gestão de patches
- Processo de identificação, teste e implantação de atualizações de software para corrigir vulnerabilidades de segurança. A gestão eficaz de patches exige inventários precisos de ativos, priorização baseada em risco e SLAs definidos para os prazos de correção.
- Governança
- Sistema de políticas, processos e estruturas organizacionais que garante que as atividades de segurança cibernética estejam alinhadas aos objetivos de negócio e aos requisitos regulatórios. A governança estabelece responsabilidades, define papéis e define a direção estratégica.
- IDS/IPS
- Sistema de Detecção de Intrusão / Sistema de Prevenção de Intrusão (Intrusion Detection System / Intrusion Prevention System): ferramentas de segurança de rede que monitoram o tráfego em busca de atividades suspeitas. O IDS detecta e alerta; o IPS detecta e bloqueia. Podem ser baseados em rede (NIDS/NIPS) ou em host (HIDS/HIPS).
- Information Security Manual (ISM)
- Framework de controles de segurança cibernética da Australian Signals Directorate, publicado sob a licença CC BY 4.0. Os requisitos do Essential Eight são controles do ISM marcados com níveis de maturidade.
- Inteligência de ameaças
- Informações sobre ameaças cibernéticas atuais e emergentes, coletadas de múltiplas fontes (ISACs, feeds governamentais, plataformas comerciais, OSINT). A inteligência de ameaças orienta regras de detecção, a priorização de vulnerabilidades e a resposta a incidentes.
- Mapeamento editorial
- Vínculo que a ControlMapping estabelece quando não existe correspondência publicada, sempre acompanhado de um breve motivo. Exibido com um quadrado vazado. Todo link de SOC 2, GDPR [RGPD] e Essential Eight neste site é editorial.
- Menor privilégio
- Princípio segundo o qual usuários, sistemas e processos devem receber apenas as permissões mínimas de acesso necessárias para executar suas funções autorizadas. Reduz a superfície de ataque e limita o alcance de contas comprometidas.
- MFA
- Autenticação Multifator (Multi-Factor Authentication): exigência de dois ou mais fatores de verificação (algo que você sabe, possui ou é) para obter acesso. Métodos de MFA resistentes a phishing, como FIDO2 e passkeys, são preferíveis aos códigos enviados por SMS.
- MITRE ATT&CK
- Base de conhecimento acessível globalmente sobre táticas, técnicas e procedimentos (TTPs) de adversários, baseada em observações do mundo real. Usada por equipes de segurança para aprimorar a detecção, a caça a ameaças e os exercícios de red team.
- Nível de maturidade
- No Essential Eight da ASD, um dos três níveis (Um a Três) de proteção crescente contra adversários cada vez mais capazes. Uma estratégia só atinge um nível quando todos os requisitos desse nível e dos níveis inferiores são atendidos.
- OLIR
- Programa Online Informative References do NIST: catálogo de correspondências entre frameworks do NIST e outras normas, enviadas pelo próprio NIST ou por terceiros. O NIST verifica o formato das submissões de terceiros, não a sua correção.
- Operador de dados
- Segundo o GDPR [RGPD], entidade que trata dados pessoais em nome de um controlador de dados. Os operadores devem seguir as instruções do controlador e implementar medidas de segurança adequadas.
- Organismo de certificação
- Organização que audita sistemas de gestão com base em uma norma, como a ISO 27001, e emite certificados. Os clientes geralmente esperam que ela seja acreditada.
- Organização subcontratada de serviços
- Fornecedor cujos controles são relevantes para um relatório SOC 2, como o provedor de nuvem que hospeda o serviço. Sob o método de exclusão (carve-out), o relatório deixa de fora os controles desse fornecedor e se apoia em seus próprios relatórios de asseguração.
- Parceiro de negócios
- Segundo a HIPAA, pessoa ou organização que cria, recebe, mantém ou transmite informações de saúde protegidas em nome de uma entidade coberta, como um provedor de nuvem ou de faturamento. Os parceiros de negócios devem cumprir a Regra de Segurança e assinar um acordo de parceria comercial.
- Período de observação
- Período coberto por um relatório SOC 2 Tipo II, normalmente de 3 a 12 meses, durante o qual o auditor testa se os controles funcionaram com eficácia.
- Plano de Ação e Marcos (POA&M)
- Registro de fragilidades de segurança com as ações e os prazos para saná-las, utilizado nas avaliações do NIST SP 800-53, do SP 800-171 e do CMMC.
- Plano de Segurança do Sistema (SSP)
- Documento que descreve o limite e o ambiente de um sistema e como cada requisito de segurança é implementado. Exigido pelo NIST SP 800-171 (prática CMMC de Nível 2 CA.L2-3.12.4) e pelo NIST Risk Management Framework.
- QSA, ROC, SAQ e AOC
- Termos de avaliação do PCI DSS. Um Avaliador de Segurança Qualificado (QSA) elabora um Relatório sobre Conformidade (ROC); pequenos comerciantes podem, em vez disso, preencher um Questionário de Autoavaliação (SAQ). Ambos resultam em uma Atestação de Conformidade (AOC).
- Registro de riscos
- Inventário documentado dos riscos identificados, incluindo sua probabilidade, impacto, controles atuais, responsável pelo risco e plano de tratamento. O registro de riscos é um documento vivo que apoia a gestão contínua de riscos.
- Regulamento de Execução (UE) 2024/2690
- Regulamento da Comissão Europeia que detalha as medidas de gestão de riscos do Artigo 21 da NIS2 para provedores de DNS, nuvem, data centers, serviços gerenciados e outros provedores digitais. Os requisitos da NIS2 da ControlMapping correspondem aos pontos de seu Anexo.
- Resposta a incidentes
- Abordagem organizada para detectar, conter, erradicar e recuperar-se de incidentes de segurança cibernética. Um plano de resposta a incidentes define papéis, procedimentos, protocolos de comunicação e caminhos de escalonamento.
- Risco na cadeia de suprimentos
- Risco de que a segurança de uma organização seja comprometida por vulnerabilidades em seus fornecedores, provedores ou prestadores de serviços. Ataques à cadeia de suprimentos exploram relações de confiança para contornar as defesas diretas.
- SGSI
- Sistema de Gestão de Segurança da Informação: abordagem sistemática para gerenciar informações sensíveis de modo que permaneçam seguras. A certificação ISO 27001 exige a implementação e a manutenção de um SGSI.
- SIEM
- Gerenciamento de Informações e Eventos de Segurança (Security Information and Event Management): plataforma que agrega e correlaciona dados de logs de todo o ambiente de TI para oferecer visibilidade centralizada, detecção de ameaças e relatórios de conformidade.
- SOC (Centro de Operações de Segurança)
- Equipe, muitas vezes com instalações próprias, que monitora, detecta e responde a incidentes de segurança. Não deve ser confundido com o SOC 2, que é um relatório de auditoria.
- SOC 2 Tipo I e Tipo II
- Um relatório Tipo I aborda se os controles foram adequadamente desenhados e estavam implementados em uma data específica. Um relatório Tipo II também aborda se eles funcionaram com eficácia ao longo de um período, sendo o tipo que a maioria dos clientes solicita.
- Subcategoria do CSF
- O nível mais específico do NIST Cybersecurity Framework: um resultado como PR.AA-03 (usuários, serviços e hardware são autenticados). O CSF 2.0 possui 106 subcategorias ativas, distribuídas em 22 categorias e seis funções. A ControlMapping as utiliza como eixo central ao qual todos os frameworks se vinculam.
- Teste de penetração
- Ataque simulado e autorizado a um sistema para avaliar sua segurança. Os testes de penetração identificam vulnerabilidades que poderiam ser exploradas por atacantes e validam se os controles existentes são eficazes.
- Tríade CIA
- Os três princípios fundamentais da segurança da informação: Confidencialidade (prevenção de divulgação não autorizada), Integridade (prevenção de modificação não autorizada) e Disponibilidade (garantia de acesso autorizado quando necessário).
- Trilha de auditoria
- Registro cronológico das atividades do sistema que fornece evidência documental da sequência de eventos. As trilhas de auditoria são usadas para detectar violações de segurança, problemas de desempenho e falhas em aplicações.
- Violação de dados
- Incidente em que dados sensíveis, protegidos ou confidenciais são acessados, divulgados ou roubados por uma parte não autorizada. Os requisitos de notificação de violação variam conforme a regulamentação (o GDPR [RGPD] exige notificação em 72 horas; a HIPAA exige notificação em 60 dias).
- Vulnerabilidade
- Fragilidade em um sistema, aplicação ou processo que poderia ser explorada por um agente de ameaça para obter acesso não autorizado ou causar danos. As vulnerabilidades são pontuadas com o CVSS (Common Vulnerability Scoring System).
- WAF
- Firewall de Aplicação Web (Web Application Firewall): solução de segurança que inspeciona o tráfego HTTP/HTTPS de e para aplicações web, bloqueando ataques comuns como injeção de SQL, XSS e inclusão remota de arquivos.