Veelvoorkomende misverstanden in cybersecurity terminologie vermijden

Woorden zijn moeilijk. Engels is moeilijk. Hoe we erin slagen om iets te communiceren is bijna een wonder.

Soms wens ik dat ik Oscar Wilde of Mark Twain was of een van de andere grote auteurs die schijnbaar moeiteloos een personage of scenario kunnen beschrijven zodat de lezer perfect kan verbeelden wat ze bedoelen.

In plaats daarvan, vrees ik dat ik meer ben zoals Shakespeare die woorden uitvond, en anderen draaide om in zijn waanzinnige meter te passen, zodat gemiddelde mensen als ik worstelen om de bedoelde betekenissen te begrijpen (incidentaal, ik hou van Shakespeare).

Helaas, mijn gekozen vakgebied lijkt vol te zitten met mede-Shakespeareanen – mensen die woorden gebruiken door alfabethoepel aan een muur te gooien en de resultaten te lezen alsof men theelezen zou lezen, alleen met minder nauwkeurigheid.

Wat Betekent Dat Echt?

Toen ik de cybersecurity termendatabase creëerde, wat de ruggengraat is van de NIST Cybersecurity Glossary, was ik verbijsterd hoeveel verwarring er was over zelfs alomtegenwoordige termen als "risico" en "beveiliging." Er is nog steeds geen echte consensus over wat het woord "cybersecurity" betekent!

Dus, ik heb een lijst samengesteld van enkele veelvoorkomend misbruikte termen in het veld van cybersecurity (dit zijn onofficiële beschrijvingen die bedoeld zijn om informatief te zijn):

Data vs. Informatie vs. Kennis

Data wordt meestal beschouwd als de bits en bytes waaruit informatie samengesteld is. Informatie zet meerdere bits en bytes om in iets nuttigs. Bijvoorbeeld, een temperatuursensor kan "102" lezen, maar informatie vertelt ons dat het 102 graden Fahrenheit is op een temperatuursensor die in een mens mond was. Kennis is wat informatie in actie kan omzetten. Het zegt dat 102 graden Fahrenheit voor een mens veel te heet is. De lijnen tussen data, informatie en kennis zijn vervaagd, maar er zijn sommigen die die lijnen hevig verdedigen.

Dreiging vs. Risico

Een dreiging wordt gebruikt om iets slechts te betekenen dat kan gebeuren of een entiteit die ertoe kan leiden dat er iets slechts gebeurt (ook wel een "dreigingsactor" genoemd). Risico omvat de kans dat het slechte kan gebeuren en de potentiële resultaat(en). Mensen gebruiken deze woorden vaak (onjuist) als synoniemen.

Risicobeheer

Het proces van reageren op de potentie dat er iets slechts kan gebeuren. Er zijn doorgaans vier opties: het risico accepteren, overdragen, vermijden of mitigeren. Afhankelijk van wie u spreekt, zijn er minstens acht opties, maar dit zijn de traditionele vier. Wanneer een cybersecurity persoon over risicobeheer praat, kunnen ze verwijzen naar het proces zoals uiteengezet in het Risk Management Framework.

Cybersecurity

Eenvoudig gezegd, de bescherming van computersystemen (inclusief netwerken, het internet en alles wat "slim" is). Echter, het is gebruikt als een parapluterme die ook informatieverzekering, databescherming en privacy omvat. Deze term zal waarschijnlijk blijven veranderen tot iemand adequate kan uitleggen wat "cyber" is.

Informatieverzekering (of Beveiliging)

De bescherming van alle feiten, nieuws, kennis, of soms data, in elke vorm – papier, elektronisch, stenen tabletten, signalen, gememoriseerd, etc. Vaak verward met en onder de cybersecurity paraplu geplaatst.

Standaard

Veel mensen noemen NIST special publications ten onrechte standaarden, maar het is een beetje ingewikkelder. NIST ontwikkelt wel formele standaarden – Federal Information Processing Standards (FIPS), zoals FIPS 200 en FIPS 140-3, bijvoorbeeld. NIST deelt ook mee in de ontwikkeling van industrie- en internationale standaarden. Het woord standaard kan ook gebruikt worden om een kwaliteitsniveau of een geaccepteerde norm te betekenen. In dit laatste geval worden NIST publicaties vaak als een standaard gebruikt. Het is een subtiel verschil, maar een belangrijk. Toch is het in het algemeen het beste om te vermijden NIST special publications (SPs), interne/interagency rapporten (IRs), white papers, of iets anders dan een FIPS een standaard te noemen en in plaats daarvan de termen "publicatie," "document" of "richtlijn" te gebruiken.

Vereisten vs. Beheersmaatregelen

Beide termen kunnen gebruikt worden om specifieke activiteiten, processen, praktijken of mogelijkheden te identificeren die een organisatie kan hebben of doen om hun cybersecurity risico te managen. Beheersmaatregelen mogen of mogen niet verplicht zijn, terwijl vereisten doorgaans wel zijn. Het is altijd het beste om te controleren welke term een document gebruikt. Bijvoorbeeld, veel mensen verwijzen naar NIST SP 800-171 vereisten als beheersmaatregelen, wat onjuist is.

Audit vs. Assessering

In cybersecurity heeft de term audit vaak een meer formele en negatieve bijklank dan in sommige andere disciplines. Audits worden gedaan na een incident zoals een datalekkage (doorgaans een interne audit), op verzoek van een klant (meestal een externe audit uitgevoerd door de klant), of om een certificering te verkrijgen (een derde-partij audit). Assesseringen zijn doorgaans, maar niet altijd, meer als een vriendelijke gezondheidscheck. Omvattend een willekeurig aantal activiteiten, kunnen assesseringen smal of breed zijn, met zoveel rigueur als het beoordeelde bedrijf wenst, of passend is voor de situatie. Een uitzondering op deze algemene regel is in het Cybersecurity Maturity Model Certification (CMMC) programma, dat het woord assessering gebruikt als de formele methode waarmee een bedrijf geëvalueerd wordt.

Naleving

Naleving verwijst doorgaans naar het voldoen aan een vereiste (interne of externe, soms regulatorische) en wordt vaak getoond met een certificering of attestatie van een of andere soort. Mensen gebruiken vaak zinnen als "NIST compliant." Dit kan misleidend zijn aangezien velen het interpreteren als NIST een vereiste afdwingt of certificeert of attesteert de beveiliging van een bedrijfsproducten of processen. Wat typisch bedoeld wordt met "NIST compliant" is dat het bedrijf de praktijken en procedures in NIST publicaties heeft gebruikt, vaak om aan een vereiste te voldoen. Hoewel dit als een nalevingsactiviteit gezien kan worden, is het doorgaans het beste om verwarring te vermijden door вместо te stellen welke regel of vereiste het onderwerp is van de naleving. Bijvoorbeeld, men kan NIST SP 800-171 volgen om compliant te zijn met DFARS. Een uitzondering op dit is met cryptografische algoritmes en modules, in welk geval de correcte terminologie gevalideerd is en compliant aangeeft dat het algehele product niet formeel is geëvalueerd.

Woorden in het Engels evolueren bijna zo snel als memes op het internet – een miljoen Shakespeareanen die de Engelse taal achter de schuur halen om te slachten, manipuleren en vouwen in nauwelijks herkenbaar schrift. In het veld van cybersecurity, lijkt dit met onbezorgdheid gedaan te worden. Maar het begrijpen van enkele van deze sleuteltermen en hoe ze gebruikt worden, zal helpen bij het begrijpen en communiceren van uw cybersecurity behoeften.