Глоссарий
А · Д · Ж · З · К · Н · О · П · Р · С · Т · У · Ш · Э · C · D · E · F · I · M · O · Q · S · W · Z
- Авторизация
- Процесс определения того, имеет ли прошедший аутентификацию пользователь право на доступ к конкретному ресурсу или на выполнение конкретного действия. Обычно реализуется через управление доступом на основе ролей (RBAC) или управление доступом на основе атрибутов (ABAC).
- Адресуемая спецификация реализации
- Спецификация Правила безопасности HIPAA, которую организация обязана оценить и внедрить, если это разумно и уместно, либо документально обосновать, почему этого не сделано, и применить эквивалентную меру. Это не означает, что она необязательна. Спецификации, помеченные как обязательные, должны быть реализованы.
- Аккредитация
- Официальное признание того, что орган по сертификации компетентен проводить сертификацию на соответствие стандарту. Для ISO 27001 ищите орган по сертификации, аккредитованный национальным органом по аккредитации, который входит в Международный форум по аккредитации (IAF).
- Анализ разрывов
- Сравнение того, что организация уже делает или какому стандарту уже соответствует, с требованиями другого стандарта, чтобы выявить недостающую работу. Анализ разрывов ControlMapping выполняет это потребовательно для любых двух стандартов.
- Аттестация
- Независимое мнение практикующего специалиста по предмету проверки, например мнение аудиторской фирмы CPA о контролях компании в отчёте SOC 2. Аттестация не является сертификацией: сертификата и проходного балла не существует.
- Аутентификация
- Процесс проверки личности пользователя, устройства или системы. Распространённые методы включают пароли, многофакторную аутентификацию (MFA), биометрию и цифровые сертификаты.
- Деловой партнёр
- По HIPAA — лицо или организация, которые от имени оператора, подпадающего под действие закона, создают, получают, хранят или передают защищаемую медицинскую информацию, например облачный провайдер или поставщик биллинговых услуг. Деловые партнёры должны соответствовать Правилу безопасности и заключать соглашение о деловом партнёрстве.
- Журнал аудита
- Хронологическая запись действий системы, которая служит документальным подтверждением последовательности событий. Журналы аудита используются для выявления нарушений безопасности, проблем производительности и недостатков приложений.
- Заявление о применимости (SoA)
- Документ ISO 27001, в котором перечислен каждый контроль Приложения A, указано, применяется ли он, и обоснование: связь между обработкой рисков и действующими контролями. Аудиторы тщательно его проверяют.
- Классификация данных
- Процесс распределения данных по категориям в зависимости от уровня их чувствительности и последствий несанкционированного раскрытия. Распространённые уровни включают: публичные, внутренние, конфиденциальные и ограниченного доступа.
- Компенсирующий контроль
- Альтернативная мера безопасности, применяемая, когда основной контроль не может быть внедрён. Компенсирующие контроли должны соответствовать сути исходного требования, обеспечивать сопоставимый уровень защиты и документироваться.
- Комплементарные контроли пользовательских организаций (CUEC)
- Контроли, которые, согласно отчёту SOC 2, заказчики организации-поставщика услуг должны выполнять самостоятельно, чтобы описанные контроли работали, например управлять собственными учётными записями пользователей.
- Контролёр данных
- По GDPR — субъект, который определяет цели и средства обработки персональных данных. Контролёр несёт основную ответственность за соблюдение принципов защиты данных.
- Контроль
- Защитная мера или контрмера, предназначенная для обеспечения конфиденциальности, целостности и доступности информационных систем и данных. Контроли могут быть техническими (межсетевые экраны, шифрование), административными (политики, обучение) или физическими (замки, пропуска).
- Контроль доступа
- Меры безопасности, которые определяют, кто или что может просматривать или использовать ресурсы вычислительной среды. Контроль доступа включает аутентификацию (проверку личности), авторизацию (предоставление полномочий) и учёт (отслеживание доступа).
- Критерии служб доверия
- Критерии AICPA, используемые в отчётах SOC 2, в пяти категориях: безопасность (включается всегда), доступность, конфиденциальность, целостность обработки и конфиденциальность персональных данных.
- Наименьших привилегий
- Принцип, согласно которому пользователям, системам и процессам предоставляется только минимально необходимый набор прав доступа для выполнения их санкционированных функций. Снижает поверхность атаки и ограничивает масштаб ущерба от скомпрометированных учётных записей.
- Непрерывность бизнеса
- Способность организации продолжать предоставление продуктов или услуг на приемлемом, заранее определённом уровне после разрушительного инцидента. Планирование непрерывности бизнеса (BCP) выявляет угрозы и устанавливает процедуры для обеспечения устойчивости.
- Обработчик данных
- По GDPR — субъект, который обрабатывает персональные данные от имени контролёра данных. Обработчики должны следовать инструкциям контролёра и внедрять надлежащие меры безопасности.
- Оператор, подпадающий под действие закона
- По HIPAA — организация, обязанная соблюдать Правила конфиденциальности и безопасности: планы медицинского страхования, клиринговые центры в здравоохранении и поставщики медицинских услуг, которые передают медицинскую информацию в электронном виде.
- Орган по сертификации
- Организация, которая проводит аудит систем менеджмента на соответствие стандарту, такому как ISO 27001, и выдаёт сертификаты. Заказчики обычно ожидают, что она аккредитована.
- Оценка воздействия на защиту данных (DPIA)
- Процесс, требуемый статьёй 35 GDPR, для выявления и минимизации рисков защиты данных в проекте или системе, которые, вероятно, приведут к высокому риску для прав и свобод физических лиц.
- Оценка рисков
- Систематический процесс выявления угроз и уязвимостей, анализа их вероятности и потенциального воздействия и определения подходящих мер снижения. Оценки рисков следует проводить регулярно и при каждом существенном изменении.
- Период наблюдения
- Период, который охватывает отчёт SOC 2 Type II, как правило от 3 до 12 месяцев, в течение которого аудитор проверяет, эффективно ли работали контроли.
- Персональные данные
- По GDPR — любая информация, относящаяся к идентифицированному или поддающемуся идентификации физическому лицу. Сюда относятся имена, адреса электронной почты, IP-адреса, данные о местоположении и онлайн-идентификаторы.
- План безопасности системы (SSP)
- Документ, описывающий границы системы, её среду и способ реализации каждого требования безопасности. Требуется NIST SP 800-171 (практика CMMC Level 2 CA.L2-3.12.4) и NIST Risk Management Framework.
- План действий и вех (POA&M)
- Реестр недостатков безопасности с действиями и сроками их устранения, используемый в оценках по NIST SP 800-53, SP 800-171 и CMMC.
- Подкатегория CSF
- Наиболее детальный уровень Основы кибербезопасности NIST: результат, например PR.AA-03 (пользователи, службы и оборудование проходят аутентификацию). CSF 2.0 содержит 106 действующих подкатегорий в 22 категориях и шести функциях. ControlMapping использует их как центр, к которому привязан каждый стандарт.
- Разведка угроз
- Информация о текущих и возникающих киберугрозах, собранная из множества источников (ISAC, государственных каналов, коммерческих платформ, OSINT). Разведка угроз используется для правил обнаружения, приоритизации уязвимостей и реагирования на инциденты.
- Реагирование на инциденты
- Организованный подход к обнаружению, локализации, устранению и восстановлению после инцидентов кибербезопасности. План реагирования на инциденты определяет роли, процедуры, протоколы коммуникации и пути эскалации.
- Редакционное соотнесение
- Ссылка, которую ControlMapping создаёт там, где опубликованного соответствия не существует, всегда с кратким обоснованием. Отображается контурным квадратом. Каждая ссылка SOC 2, GDPR и Essential Eight на этом сайте является редакционной.
- Реестр рисков
- Документированный перечень выявленных рисков с указанием их вероятности, воздействия, текущих контролей, владельца риска и плана обработки. Реестр рисков является действующим документом, который поддерживает непрерывное управление рисками.
- Риск цепочки поставок
- Риск того, что безопасность организации будет скомпрометирована через уязвимости её поставщиков, поставщиков комплектующих или поставщиков услуг. Атаки на цепочки поставок используют доверительные отношения, чтобы обойти прямую защиту.
- Соответствия
- Опубликованное соотнесение требований двух стандартов, например сопоставление NIST между SP 800-53 и ISO 27001. Соответствия показывают, что требования касаются связанных результатов, но не означают, что выполнение одного требования автоматически выполняет другое. На этом сайте ссылки из соответствий помечены как crosswalk и отображаются сплошным квадратом.
- Стандарт
- Структурированный набор требований или результатов в области безопасности. Одни из них закреплены законом (HIPAA, GDPR, NIS2), другие носят договорной характер (PCI DSS по соглашениям с платёжными брендами, CMMC по оборонным контрактам), третьи являются добровольными (NIST CSF, CIS Controls), а некоторые могут быть сертифицированы (ISO 27001).
- Субподрядная организация
- Поставщик, контроли которого важны для отчёта SOC 2, например облачный провайдер, на котором размещён сервис. При методе carve-out отчёт исключает его контроли и опирается на его собственные отчёты об уверенности.
- Существенные и важные субъекты
- Две категории NIS2. Обе должны соответствовать одинаковым обязательствам по управлению рисками и отчётности; существенные субъекты подлежат превентивному надзору и более высоким максимальным штрафам, важные субъекты контролируются постфактум.
- Тестирование на проникновение
- Санкционированная имитация атаки на систему для оценки её безопасности. Тесты на проникновение выявляют уязвимости, которыми могут воспользоваться злоумышленники, и подтверждают эффективность существующих контролей.
- Триада CIA
- Три основных принципа информационной безопасности: конфиденциальность (предотвращение несанкционированного раскрытия), целостность (предотвращение несанкционированного изменения) и доступность (обеспечение санкционированного доступа при необходимости).
- Управление
- Система политик, процессов и организационных структур, которая обеспечивает согласованность мероприятий по кибербезопасности с бизнес-целями и нормативными требованиями. Управление устанавливает подотчётность, определяет роли и задаёт стратегическое направление.
- Управление исправлениями
- Процесс выявления, тестирования и развёртывания обновлений программного обеспечения для устранения уязвимостей безопасности. Эффективное управление исправлениями требует точных инвентаризаций активов, приоритизации на основе рисков и установленных SLA сроков устранения.
- Уровень зрелости
- В Essential Eight ASD — один из трёх уровней (с первого по третий) возрастающей защиты от всё более подготовленных злоумышленников. Стратегия достигает уровня только тогда, когда выполнены все требования этого уровня и нижестоящих.
- Утечка данных
- Инцидент, при котором конфиденциальные, защищаемые или закрытые данные получены, раскрыты или похищены неуполномоченной стороной. Требования к уведомлению об утечках различаются в зависимости от регулирования (GDPR требует уведомления в течение 72 часов, HIPAA — в течение 60 дней).
- Уязвимость
- Слабое место в системе, приложении или процессе, которое может быть использовано злоумышленником для получения несанкционированного доступа или нанесения ущерба. Уязвимости оцениваются с помощью CVSS (Common Vulnerability Scoring System).
- Шифрование
- Процесс преобразования данных в закодированную форму (шифротекст) для предотвращения несанкционированного доступа. Данные следует шифровать в состоянии покоя (хранения), при передаче (по сетям) и всё чаще при обработке.
- Эшелонированная защита
- Стратегия безопасности, предполагающая применение нескольких уровней контролей во всей ИТ-системе. Если один уровень выходит из строя, дополнительные уровни продолжают обеспечивать защиту. Также известна как многоуровневая защита.
- C3PAO
- Сторонняя организация по оценке CMMC: организация, уполномоченная проводить оценки сертификации CMMC Level 2 для оборонных подрядчиков.
- CUI
- Controlled Unclassified Information — информация, созданная или принадлежащая государству, которая требует защиты, но не является засекреченной. Требования к защите CUI определены в NIST SP 800-171 и обеспечиваются через CMMC.
- DLP
- Data Loss Prevention — технологии и политики, которые выявляют и предотвращают несанкционированную передачу конфиденциальных данных за пределы организации. Решения DLP контролируют электронную почту, веб-трафик, конечные точки и облачные сервисы.
- EDR
- Endpoint Detection and Response — решения безопасности, развёрнутые на конечных точках, которые непрерывно отслеживают киберугрозы и реагируют на них. EDR обеспечивает поведенческий анализ, поиск угроз и возможности криминалистического анализа, выходящие за рамки традиционного антивируса.
- ePHI
- Electronic Protected Health Information — персонально идентифицируемая медицинская информация, которая создаётся, хранится, передаётся или получается в электронном виде. Правило безопасности HIPAA прямо регулирует защиту ePHI.
- FedRAMP
- Federal Risk and Authorization Management Program — программа правительства США, которая обеспечивает стандартизированную оценку безопасности и авторизацию облачных продуктов и услуг, используемых федеральными ведомствами. Основана на мерах NIST SP 800-53.
- FISMA
- Federal Information Security Modernization Act — законодательство США, обязывающее федеральные ведомства разрабатывать, документировать и внедрять программы информационной безопасности. Соответствие FISMA оценивается по мерам NIST SP 800-53.
- IDS/IPS
- Intrusion Detection System / Intrusion Prevention System — средства сетевой безопасности, которые отслеживают трафик на предмет подозрительной активности. IDS обнаруживает и оповещает; IPS обнаруживает и блокирует. Может быть сетевым (NIDS/NIPS) или хостовым (HIDS/HIPS).
- Implementing Regulation (EU) 2024/2690
- Регламент Европейской комиссии, который подробно определяет меры управления рисками по статье 21 NIS2 для поставщиков DNS, облачных сервисов, центров обработки данных, управляемых услуг и других цифровых провайдеров. Требования NIS2 на ControlMapping представляют собой пункты его приложения.
- Information Security Manual (ISM)
- Основа кибербезопасности Австралийского директората сигналов (ASD), состоящая из контролей и опубликованная по лицензии CC BY 4.0. Требования Essential Eight представляют собой контроли ISM, помеченные уровнями зрелости.
- ISMS
- Information Security Management System — систематический подход к управлению конфиденциальной информацией, позволяющий сохранять её защищённость. Сертификация ISO 27001 требует внедрения и поддержания ISMS.
- MFA
- Multi-Factor Authentication — требование двух и более факторов проверки (то, что вы знаете, имеете или представляете собой) для получения доступа. Методы MFA, устойчивые к фишингу, такие как FIDO2 и passkeys, предпочтительнее кодов по SMS.
- MITRE ATT&CK
- Общедоступная база знаний о тактиках, техниках и процедурах (TTP) злоумышленников, основанная на наблюдениях из реальной практики. Используется командами безопасности для улучшения обнаружения, поиска угроз и учений красной команды.
- OLIR
- Программа Online Informative References от NIST: каталог соответствий между стандартами NIST и другими стандартами, представленных самим NIST или третьими сторонами. NIST проверяет формат сторонних материалов, но не их корректность.
- QSA, ROC, SAQ и AOC
- Термины оценки PCI DSS. Квалифицированный оценщик безопасности (QSA) составляет отчёт о соответствии (ROC); мелкие торговцы могут вместо этого заполнить опросник самооценки (SAQ). Оба завершаются заключением о соответствии (AOC).
- SIEM
- Security Information and Event Management — платформа, которая агрегирует и коррелирует журналы событий из всей ИТ-среды для обеспечения централизованной видимости, обнаружения угроз и отчётности о соответствии.
- SOC (центр безопасности)
- Команда, часто с выделенным помещением, которая отслеживает, обнаруживает и реагирует на инциденты безопасности. Не путать с SOC 2, который представляет собой аудиторский отчёт.
- SOC 2 Type I и Type II
- Отчёт Type I подтверждает, что контроли были должным образом спроектированы и внедрены на одну дату. Отчёт Type II дополнительно подтверждает их эффективную работу в течение периода; именно его чаще всего запрашивают заказчики.
- WAF
- Web Application Firewall — решение безопасности, которое проверяет HTTP/HTTPS-трафик к веб-приложениям и от них, блокируя распространённые атаки, такие как SQL-инъекции, XSS и удалённое включение файлов.
- Zero Trust
- Модель безопасности, основанная на принципе «никогда не доверяй, всегда проверяй». Zero Trust требует постоянной проверки личности и полномочий для каждого запроса доступа независимо от сетевого расположения. Реализация включает микросегментацию, идентификационно-ориентированные прокси и проверку состояния устройств.