Избегайте распространенных ошибок в терминологии кибербезопасности

Слова — это сложно. Английский — сложен. То, как мы вообще общаемся — почти чудо.

Иногда хочется быть Оскаром Уайльдом или Марком Твеном или любым из других великих авторов, которые безупречно описывают персонажа или сценарий так, что читатель идеально представляет их смысл.

Вместо этого я боюсь, что я больше похож на Шекспира, который изобретал слова и извращал другие под свой безумный размер, так что обычные люди вроде меня борются за понимание намеренных смыслов (кстати, я люблю Шекспира).

К сожалению, моя сфера, кажется, полна соплеменников Шекспира — людей, которые используют слова, бросая алфавитный суп на стену и читая результат, как можно читать чайные листья, только с меньшей точностью.

Что это на самом деле значит?

Когда я создавал базу данных терминов кибербезопасности, которая является основой NIST Cybersecurity Glossary, я удивился, насколько много путаницы существует даже вокруг повсеместных терминов вроде «риск» и «безопасность». До сих пор нет реального консенсуса о том, что означает слово «кибербезопасность»!

Поэтому я составил список некоторых распространенно неправильно используемых терминов в области кибербезопасности (это неофициальные описания для информационных целей):

Данные vs Информация vs Знание

Данные обычно считаются битами и байтами, из которых состоит информация. Информация превращает множество битов и байтов во что-то полезное. Например, датчик температуры может показать «102», но информация говорит нам, что это 102 градуса Фаренгейта на датчике во рту человека. Знание позволяет информации превратиться в действие. Оно говорит, что 102°F для человека — слишком горячо. Границы между данными, информацией и знанием размыты, но есть те, кто яросто спорит о них.

Угроза vs Риск

Угроза либо означает что-то плохое, что может случиться, либо сущность, которая может вызвать что-то плохое (также «актор угрозы»). Риск включает вероятность того, что плохое случится, и потенциальные последствия. Люди часто (неправильно) используют эти слова как синонимы.

Управление рисками

Процесс реагирования на потенциал того, что может случиться что-то плохое. Обычно четыре варианта: принять риск, перевести его, избежать или смягчить. Зависит от того, с кем говорите, может быть минимум восемь вариантов, но это традиционные четыре. Когда кибербезопасный специалист говорит об управлении рисками, он может иметь в виду процесс, изложенный в Risk Management Framework.

Кибербезопасность

По сути, защита компьютерных систем (включая сети, интернет и всё «умное»). Однако используется как зонтичный термин, охватывающий информационную уверенность, защиту данных и конфиденциальность. Этот термин, вероятно, будет меняться, пока кто-то адекватно не объяснит, что такое «кибер».

Информационная уверенность (или безопасность)

Защита любых фактов, новостей, знаний, иногда данных, в любой форме — бумага, электронная, каменная табличка, сигналы, запомненное и т.д. Часто путается и ставится под зонт кибербезопасности.

Стандарт

Многие ошибочно называют специальные публикации NIST стандартами, но это сложнее. NIST разрабатывает формальные стандарты — Federal Information Processing Standards (FIPS), например FIPS 200 и FIPS 140-3. NIST также участвует в разработке отраслевых и международных стандартов. Слово стандарт также может означать уровень качества или принятую норму. В последнем случае публикации NIST часто используются как стандарт. Это тонкая разница, но важная. Всё равно лучше воздерживаться от вызова NIST special publications (SPs), internal/interagency reports (IRs), white papers или чего-либо, кроме FIPS, стандартом, и вместо этого использовать термины «публикация», «документ» или «руководство».

Требования vs Контроли

Оба термина могут использоваться для идентификации конкретных активностей, процессов, практик или возможностей, которые организация может иметь или делать для управления кибер-риском. Контроли могут быть обязательными или нет, тогда как требования обычно обязательны. Всегда лучше проверить, какой термин использует документ. Например, многие называют требования NIST SP 800-171 контролями, что неверно.

Аудит vs Оценка

В кибербезопасности термин аудит часто имеет более формальный и негативный подтекст, чем в других дисциплинах. Аудиты проводятся после инцидента (внутренний), по запросу клиента (обычно внешний аудит клиентом) или для получения сертификации (аудит третьей стороны). Оценки обычно, но не всегда, больше похожи на дружеский медицинский осмотр. Охватывают любое число активностей, могут быть узкими или широкими, с такой строгостью, какую желает оцениваемая компания или уместно для ситуации. Исключение — программа Cybersecurity Maturity Model Certification (CMMC), использующая слово оценка как формальный метод оценки компании.

Соответствие (Compliance)

Соответствие обычно относится к выполнению требования (внутреннего или внешнего, иногда регуляторного) и часто показывается сертификацией или аттестацией. Люди часто используют фразы вроде «NIST compliant». Это может вводить в заблуждение, так как многие интерпретируют как NIST принудительно применяет требование или сертифицирует/аттестует безопасность продуктов или процессов компании. Обычно под «NIST compliant» подразумевается, что компания использует практики и процедуры из публикаций NIST, часто для выполнения какого-то требования. Хотя это может считаться деятельностью по соответствию, лучше избегать путаницы, указывая, какое правило или требование является предметом соответствия. Например, можно следовать NIST SP 800-171 для соответствия DFARS. Исключение — криптографические алгоритмы и модули, где правильная терминология — validated, а compliant указывает, что общий продукт не был формально оценён.

Слова в английском эволюционируют почти так же быстро, как мемы в интернете — миллион Шекспиров тащат английский за сарай, чтобы избить, манипулировать и сложить в едва узнаваемый скрипт. В кибербезопасности это делается с безрассудством. Но понимание некоторых ключевых терминов и того, как они используются, поможет в понимании и коммуникации ваших кибербезопасных потребностей.