IT ir kibernetinio saugumo terminų paaiškinimas.

Atsarginė kopija

Atskira duomenų kopija, kurią galima panaudoti norint atkurti duomenis po praradimo ar sugadinimo.

Praktiškai: sėkmingas atsarginės kopijos kūrimas neįrodo, kad atkūrimas veikia. Atkūrimo testas patikrina, ar kopiją iš tikrųjų galima naudoti.

Debesis

Kompiuterinės paslaugos nuomojamos iš paslaugų teikėjo, o ne visos teikiamos jūsų valdomoje įrangoje.

Praktiškai: debesyje talpinamai programai vis tiek reikalingas prieigos valdymas, priežiūros atsakomybės ir atkūrimo planas.

Kibernetinio atsparumo aktas (CRA)

ES reglamentas, kuriuo nustatomi kibernetinio saugumo, pažeidžiamumų tvarkymo ir ataskaitų teikimo reikalavimai produktams su skaitmeniniais elementais.

Praktiškai: gamintojui gali tekti palaikyti pažeidžiamumų procesą visą produkto palaikymo laikotarpį ir pranešti apie tam tikrus aktyviai išnaudotus pažeidžiamumus ar rimtus incidentus.

Priklausomybė

Kažkas, ko reikia, kad sistema veiktų.

Praktiškai: jūsų programa gali priklausyti nuo duomenų bazės, tapatybės nustatymo paslaugos arba išorinio mokėjimo teikėjo.

DevSecOps

Įskaitant saugumo patikrinimus ir atsakomybę, susijusią su programinės įrangos kūrimu, išleidimu ir priežiūra.

Praktiškai: priklausomybių tikrinimas kūrimo metu padeda tik tuo atveju, jei kas nors peržiūri atitinkamus rezultatus ir imasi veiksmų.

Atkūrimas po nelaimės

Sistemų atkūrimo po rimto sutrikimo tvarka.

Praktiškai: atkūrimo plane nurodoma, ką atkurti pirmiausia, kas tai atliks ir kaip bus tikrinama atkurta paslauga.

Dalinis vadovavimas

Sutartas ne viso etato vadovo vaidmuo vietoj viso etato paskyrimo.

Praktiškai: Išorinis techninis vadovas gali peržiūrėti sprendimus ir koordinuoti darbą pagal įprastą grafiką. Dėl prieinamumo turi būti susitarta.

ISO 27001

Tarptautinis informacijos saugumo valdymo naudojant valdymo sistemą standartas.

Praktiškai: techninės apsaugos priemonės yra darbo dalis. Sertifikuojant taip pat atsižvelgiama į organizacijos valdymo procesus, o sertifikavimo įstaiga atlieka vertinimą.

Nuoroda: ISO/IEC 27001

IT architektūra

Kaip programos, infrastruktūra ir duomenys dera tarpusavyje.

Praktiškai: jei jūsų pardavimo sistema remiasi sandėlio programa, ryšys ir jo veikimo poreikiai yra architektūros dalis.

Migracija

Sistemos, programos ar duomenų perkėlimas iš vienos konfigūracijos į kitą.

Praktiškai: programos perkėlimas į naują serverį reikalauja testavimo, sutarto perjungimo ir būdo, kaip atkurti sistemą, jei perkėlimas nepavyksta.

NIS2

ES direktyva, nustatanti kibernetinio saugumo reikalavimus tam tikroms organizacijoms, įgyvendinama per nacionalinę teisę.

Praktiškai: Ar jūsų organizacijai taikoma ši direktyva ir kokie įsipareigojimai taikomi, priklauso nuo jos aplinkybių ir atitinkamų nacionalinių taisyklių.

Nuoroda: NIS2 direktyva

Įsiskverbimo bandymas

Autorizuotas saugumo testas, kuriuo bandoma išnaudoti silpnąsias vietas sutartoje srityje.

Praktiškai: Testas gali patikrinti, ar užpuolikas gali pasiekti duomenis per žiniatinklio programą. Praneštų problemų sprendimas yra atskiras darbas.

Ištaisymas

Darbas siekiant išspręsti problemą arba sumažinti jos riziką, o po to – rezultato patikrinimas.

Praktiškai: audito metu nustačius pažeidžiamą vidinį įrankį, taisomosios priemonės gali apimti prieigos pakeitimą, jo testavimą ir pakeitimo užfiksavimą.

SBOM

Programinės įrangos medžiagų sąrašas: programinės įrangos produkte esančių komponentų sąrašas.

Praktiškai: tai padeda komandai patikrinti, ar naujai pranešta spraga susijusi su jos produkte naudojama biblioteka. Pats sąrašas nieko neištaiso.

Apsaugos kontrolė

Apsaugos priemonė, skirta sumažinti saugumo riziką.

Praktiškai: reikalavimas naudoti antrą prisijungimo veiksnį padeda apsaugoti paskyras, kai slaptažodis pavogiamas.

Saugumo įrodymai

Įrašai, patvirtinantys teiginį apie tai, kaip valdomas saugumas.

Praktiškai: data pagrįstas prieigos peržiūros arba atkūrimo bandymo įrašas patvirtina atsakymą, kad valdiklis iš tikrųjų naudojamas.

Techninė skola

Ankstesni techniniai sprendimai, dėl kurių vėlesni pakeitimai ar priežiūra tampa sunkesni.

Praktiškai: laikina integracija, kuri tampa nuolatine, gali pareikalauti papildomo darbo kiekvieną kartą, kai pasikeičia kuri nors sistema.

Bendros eksploatavimo išlaidos

Sprendimo naudojimo ir priežiūros kaina pasirinktu laikotarpiu, įskaitant daugiau nei jo įsigijimo kaina.

Praktiškai: palyginimas gali apimti diegimą, licencijas, talpinimą, palaikymą, mokymą ir galutines išsikraustymo išlaidas.

Pardavėjo užrakinimas

Priklausomybė nuo tiekėjo ar technologijos, dėl kurios sunku arba brangu pakeisti tiekėją ar tiekėją.

Praktiškai: duomenų eksporto apribojimai arba patentuotos integracijos gali padidinti darbą, reikalingą norint palikti platformą.

VEX

Pažeidžiamumo išnaudojimo eXchange: informacija apie tai, ar žinomas pažeidžiamumas paveikia konkretų produktą.

Praktiškai: komponentas gali turėti pažeidžiamą funkciją, kurios produktas niekada nenaudoja. Ši išvada reikalauja techninio pagrindimo ir peržiūros, kai produktas pasikeičia.

Pažeidžiamumas

Silpnybė, kuria galima pasinaudoti siekiant pažeisti sistemą ar jos informaciją.

Praktiškai: Neištaisyta programa gali leisti kam nors pasiekti duomenis, kurių jis neturėtų matyti.