Audit souladu
Audit souladu hodnotí, zda organizace dodržuje regulatorní požadavky, standardy a interní politiky.
Slovník
Pojmy z oblasti CRA a bezpečnosti srozumitelně vysvětlené
A
B
Bezpečnost API
Bezpečnost API znamená ochranu aplikačních programových rozhraní před útoky, neoprávněným přístupem a únikem dat po celý jejich životní cyklus.
Bezpečnost open source
Bezpečnost open source zahrnuje identifikaci a správu zranitelností v open source softwarových komponentách používaných v produktech.
Bezpečnostní záplata
Bezpečnostní záplata je aktualizace softwaru navržená speciálně k odstranění zranitelností a bezpečnostních chyb ve stávajících systémech.
Blue Team
Blue Team jsou bezpečnostní specialisté, kteří brání systémy zaváděním bezpečnostních opatření a reakcí na hrozby.
Bug Bounty
Programy Bug Bounty odměňují bezpečnostní výzkumníky za odhalení a nahlášení zranitelností v softwaru nebo systémech.
C
Certifikační autorita
Certifikační autorita (CA) je důvěryhodný subjekt, který vydává digitální certifikáty k ověření identity organizací a jednotlivců.
CI runner
CI runner je stroj, který vykonává joby pipeline CI/CD: převezme job od služby CI, spustí jeho kroky a vrátí výsledky zpět.
Common Criteria
Common Criteria je mezinárodní standard pro certifikaci počítačové bezpečnosti, který zajišťuje, že produkty splňují konkrétní bezpečnostní požadavky.
CPE
Common Platform Enumeration (CPE) je standardní schéma pojmenování IT produktů, například cpe:2.3:a:tukaani:xz:5.6.0, kterým NVD určuje, kterých produktů se CVE týká.
CRA
Cyber Resilience Act (CRA) je nařízení Evropské unie, které stanovuje požadavky na kybernetickou bezpečnost produktů s digitálními prvky.
CVE
CVE je jedinečný identifikátor, například CVE-2024-3094, s krátkým veřejným záznamem o jedné zveřejněné bezpečnostní zranitelnosti. CVE znamená Common Vulnerabilities and Exposures.
D
DevSecOps
DevSecOps začleňuje bezpečnostní postupy do procesu DevOps, takže se bezpečnost stává sdílenou odpovědností po celý životní cyklus vývoje.
Digitální podpis
Digitální podpis je kryptografický mechanismus, který ověřuje pravost a integritu digitálních dokumentů nebo zpráv.
Dvoufaktorové ověřování
Dvoufaktorové ověřování (2FA) vyžaduje dva různé ověřovací faktory, které potvrdí identitu uživatele a zvýší bezpečnost.
E
Egress policy
Egress policy (politika odchozího provozu) určuje, jaká odchozí síťová spojení smí systém navazovat podle cíle, protokolu a portu, a co se stane se vším ostatním.
Exfiltrace tokenů
Exfiltrace tokenů je neoprávněné vynesení autentizačních tokenů, jako jsou klíče API, přístupové tokeny nebo tokeny relací, které útočníkům umožní vydávat se za legitimní uživatele či služby.
Exploit
Exploit je kód nebo technika, která zneužívá zranitelnost ke kompromitaci systému nebo aplikace.
F
G
I
K
M
Malware
Malware je škodlivý software navržený tak, aby poškozoval počítačové systémy, narušoval jejich provoz nebo k nim získal neoprávněný přístup.
Minuty buildu
Minuty buildu jsou zúčtovací jednotkou výpočetního výkonu CI: čas, po který runner provádí joby, vynásobený sazbou podle velikosti stroje a systému.
Modelování hrozeb
Modelování hrozeb odhaluje potenciální bezpečnostní hrozby a zranitelnosti už ve fázi návrhu, aby bylo možné rizika včas zmírnit.
N
O
Obnova po havárii
Obnova po havárii zahrnuje plány a postupy pro obnovení systémů a dat po katastrofických událostech nebo kybernetických útocích.
Obrana do hloubky
Obrana do hloubky je bezpečnostní strategie, která k ochraně systémů a dat využívá více vrstev bezpečnostních opatření.
Osobní údaje
Osobní údaje jsou veškeré informace o identifikované nebo identifikovatelné osobě, které musí být chráněny podle předpisů o ochraně soukromí.
P
Package URL
Package URL (purl) je standardní řetězec, který identifikuje softwarový balíček podle ekosystému, jmenného prostoru, názvu a verze, například pkg:npm/[email protected].
Penetrační testování
Penetrační testování simuluje kybernetické útoky, aby odhalilo zranitelnosti a bezpečnostní slabiny systémů dříve, než je zneužijí útočníci.
Phishing
Phishing je technika kybernetického útoku, která pomocí klamavé komunikace přiměje uživatele prozradit citlivé informace nebo přístupové údaje.
Pipeline CI/CD
Pipeline CI/CD je automatizované workflow, které průběžně sestavuje, testuje a nasazuje změny softwaru, takže týmy dodávají kód rychleji a spolehlivěji.
Princip nejnižších oprávnění
Princip nejnižších oprávnění je bezpečnostní zásada, podle které uživatelé a systémy dostávají jen minimální přístup potřebný k plnění svých funkcí.
Privacy by Design
Privacy by Design začleňuje ochranu dat a soukromí do vývoje produktu od nejranějších fází.
R
Ransomware
Ransomware je škodlivý software, který šifruje data a za jejich uvolnění požaduje platbu, čímž narušuje chod firmy.
Red Team
Bezpečnostní specialisté z Red Teamu simulují skutečné útoky, aby otestovali obranu organizace a odhalili její slabá místa.
Reprodukovatelný build
Reprodukovatelný build dává bit po bitu shodný výstup pokaždé, když kdokoli sestaví stejný zdrojový kód ve stejném prostředí buildu a podle stejných instrukcí.
S
Secure Boot
Secure Boot zajišťuje, že se zařízení spouštějí pouze se softwarem, kterému důvěřuje výrobce, a brání tak spuštění neoprávněného kódu.
SIEM
Systémy SIEM (Security Information and Event Management) shromažďují, analyzují a korelují bezpečnostní data pro detekci hrozeb.
Single Reporting Platform
Single Reporting Platform (SRP), jednotná platforma pro podávání zpráv, je portál ENISA pro oznámení podle CRA o aktivně zneužívaných zranitelnostech a závažných incidentech.
Skrytá závislost
Skrytá závislost je kód, balíček nebo soubor, který build stáhne a použije, ale žádný lockfile ani manifest ho neuvádí, takže ho většina SBOM vynechá.
Soulad s předpisy
Soulad s předpisy zajišťuje, že organizace dodržují zákony, předpisy a oborové normy, které se vztahují na jejich činnost a produkty.
Správa identit a přístupu
Systémy správy identit a přístupu (IAM) řídí, kdo může přistupovat k prostředkům a jaké akce může provádět.
Správa kryptografických klíčů
Správa kryptografických klíčů zahrnuje bezpečné generování, ukládání, distribuci a likvidaci šifrovacích klíčů.
Správa zranitelností
Správa zranitelností je nepřetržitý proces identifikace, posuzování, prioritizace a nápravy bezpečnostních zranitelností.
Systém detekce narušení
Systém detekce narušení (IDS) monitoruje síťový provoz a činnost systémů a hledá škodlivé chování a bezpečnostní hrozby.
T
Testování bezpečnosti
Testování bezpečnosti hodnotí systémy, aby před nasazením odhalilo zranitelnosti, slabá místa a potenciální bezpečnostní rizika.
Threat Intelligence
Threat intelligence poskytuje znalosti o stávajících i nově vznikajících kybernetických hrozbách, které pomáhají utvářet obranné strategie.
V
Vícefaktorová autentizace
Vícefaktorová autentizace (MFA) vyžaduje několik forem ověření, které před udělením přístupu potvrdí identitu uživatele.
Vzdálené spuštění kódu
Vzdálené spuštění kódu (RCE) je třída zranitelností, která útočníkovi umožňuje spustit libovolný kód na cílovém systému přes síť, bez fyzického přístupu.
Z
Ú
Úplnost SBOM
Úplnost SBOM vyjadřuje, zda SBOM uvádí každou komponentu, která se dostala do popisovaného softwaru, v každé úrovni, a ne jen to, zda je soubor platný.
Útočná plocha
Útočná plocha zahrnuje všechny možné vstupní body, kterými by neoprávněný uživatel mohl získat přístup do systému a vynést z něj data.