API-tietoturva
API-tietoturva tarkoittaa ohjelmointirajapintojen suojaamista hyökkäyksiltä, luvattomalta käytöltä ja tietomurroilta koko niiden elinkaaren ajan.
Sanasto
CRA- ja tietoturvatermit selitettyinä
A
B
Blue Team
Blue Team tarkoittaa tietoturva-ammattilaisia, jotka puolustavat järjestelmiä ottamalla käyttöön suojauksia ja reagoimalla uhkiin.
Bug Bounty
Bug Bounty -ohjelmat palkitsevat tietoturvatutkijoita ohjelmistojen tai järjestelmien haavoittuvuuksien löytämisestä ja ilmoittamisesta.
Build-minuutit
Build-minuutit ovat CI-laskennan laskutusyksikkö: aika, jonka runneri käyttää jobien ajamiseen, kerrottuna hinnalla, joka riippuu koneen koosta ja käyttöjärjestelmästä.
C
CI-runneri
CI-runneri on kone, joka suorittaa CI/CD-putken jobit: se ottaa jobin vastaan CI-palvelulta, ajaa sen vaiheet ja raportoi tulokset takaisin.
CI/CD-putki
CI/CD-putki on automatisoitu työnkulku, joka rakentaa, testaa ja ottaa käyttöön ohjelmistomuutoksia jatkuvasti, jotta tiimit voivat toimittaa koodia nopeammin ja luotettavammin.
Common Criteria
Common Criteria on kansainvälinen standardi tietoturvasertifioinnille, ja se varmistaa, että tuotteet täyttävät tietyt tietoturvavaatimukset.
CPE
Common Platform Enumeration (CPE) on IT-tuotteiden standardoitu nimeämiskäytäntö, esimerkiksi cpe:2.3:a:tukaani:xz:5.6.0, jolla NVD ilmoittaa, mihin tuotteisiin CVE vaikuttaa.
CRA
EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) on EU-asetus, joka asettaa kyberturvallisuusvaatimukset digitaalisia elementtejä sisältäville tuotteille.
CVE
CVE on yksilöllinen tunniste, kuten CVE-2024-3094, ja lyhyt julkinen tietue yhdestä julkistetusta haavoittuvuudesta. CVE on lyhenne sanoista Common Vulnerabilities and Exposures.
D
E
Egress-käytäntö
Egress-käytäntö määrittää, mitä lähteviä verkkoyhteyksiä järjestelmä saa muodostaa kohteen, protokollan ja portin mukaan, ja mitä kaikelle muulle tapahtuu.
End-of-Life
End-of-Life (EOL) eli elinkaaren loppu tarkoittaa hetkeä, jolloin tuote ei enää saa päivityksiä tai tukea, mikä tekee jatkokäytöstä tietoturvariskin.
Etäkoodin suoritus
Etäkoodin suoritus (RCE) on haavoittuvuusluokka, jonka avulla hyökkääjä voi ajaa mielivaltaista koodia kohdejärjestelmässä verkon yli ilman fyysistä pääsyä.
G
H
Haavoittuvuuksien hallinta
Haavoittuvuuksien hallinta on jatkuva prosessi, jossa tietoturvahaavoittuvuuksia tunnistetaan, arvioidaan, priorisoidaan ja korjataan.
Haittaohjelma
Haittaohjelma on vahingollinen ohjelmisto, joka on suunniteltu vahingoittamaan tai häiritsemään tietojärjestelmiä tai pääsemään niihin luvatta.
Henkilötiedot
Henkilötiedot ovat mitä tahansa tunnistettuun tai tunnistettavissa olevaan henkilöön liittyviä tietoja, jotka on suojattava tietosuojasääntelyn mukaisesti.
Hyödyntämiskoodi (exploit)
Exploit eli hyödyntämiskoodi on koodia tai tekniikka, joka käyttää haavoittuvuutta hyväkseen järjestelmän tai sovelluksen vaarantamiseksi.
Hyökkäyspinta
Hyökkäyspinta tarkoittaa kaikkia mahdollisia sisäänpääsykohtia, joiden kautta luvaton käyttäjä voi päästä järjestelmään ja viedä sieltä tietoja.
I
J
K
Kaksivaiheinen tunnistautuminen
Kaksivaiheinen tunnistautuminen (2FA) edellyttää kahta eri tunnistautumistekijää käyttäjän henkilöllisyyden varmentamiseksi ja tietoturvan parantamiseksi.
Keskitetty raportointialusta
Keskitetty raportointialusta (Single Reporting Platform, SRP) on ENISAn portaali, jonka kautta tehdään kyberkestävyyssäädöksen mukaiset ilmoitukset aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista.
Kiristyshaittaohjelma (ransomware)
Kiristyshaittaohjelma (ransomware) on haittaohjelma, joka salaa dataa ja vaatii maksua sen vapauttamisesta, mikä häiritsee liiketoimintaa.
Kryptografisten avainten hallinta
Kryptografisten avainten hallinta kattaa salausavainten turvallisen luonnin, säilytyksen, jakelun ja hävittämisen.
L
M
N
P
Package URL
Package URL (purl) on standardoitu merkkijono, joka yksilöi ohjelmistopaketin ekosysteemin, nimiavaruuden, nimen ja version perusteella, esimerkiksi pkg:npm/[email protected].
Penetraatiotestaus
Penetraatiotestaus simuloi kyberhyökkäyksiä, jotta järjestelmien haavoittuvuudet ja tietoturvaheikkoudet löytyvät ennen kuin hyökkääjät hyödyntävät niitä.
Piilotettu riippuvuus
Piilotettu riippuvuus on koodia, paketti tai tiedosto, jonka buildi lataa ja jota se käyttää mutta jota mikään lukitustiedosto tai manifesti ei listaa, joten useimmat SBOM:t eivät näe sitä.
Privacy by Design
Privacy by Design eli sisäänrakennettu yksityisyydensuoja tuo tietosuojan ja yksityisyyden huomioimisen tuotekehitykseen sen alkuvaiheista lähtien.
R
S
Salausalgoritmi
Salausalgoritmi on matemaattinen menetelmä, jolla selkoteksti muutetaan salatekstiksi datan luottamuksellisuuden suojaamiseksi.
SBOM:n kattavuus
SBOM:n kattavuus tarkoittaa sitä, listaako SBOM jokaisen komponentin, joka meni sen kuvaamaan ohjelmistoon, kaikilla tasoilla, eikä vain sitä, onko tiedosto kelvollinen.
Secure Boot
Secure Boot varmistaa, että laitteet käynnistyvät vain valmistajan luotettavaksi hyväksymällä ohjelmistolla, ja estää luvattoman koodin suorittamisen.
SIEM
Tietoturvatietojen ja -tapahtumien hallintajärjestelmät (SIEM) keräävät, analysoivat ja korreloivat tietoturvadataa uhkien havaitsemiseksi.
Syvyyspuolustus
Syvyyspuolustus on tietoturvastrategia, jossa järjestelmiä ja tietoja suojataan useilla päällekkäisillä tietoturvakontrollien kerroksilla.
Säädösten noudattaminen
Säädösten noudattaminen varmistaa, että organisaatiot noudattavat toimintaansa ja tuotteitaan koskevia lakeja, määräyksiä ja alan standardeja.
T
Tietojen salaus
Tietojen salaus muuntaa tiedon suojattuun muotoon, jonka voivat lukea vain valtuutetut osapuolet, joilla on salauksen purkuavain.
Tietojenkalastelu
Tietojenkalastelu on kyberhyökkäystekniikka, jossa harhaanjohtavilla viesteillä huijataan käyttäjiä paljastamaan arkaluonteisia tietoja tai tunnistetietoja.
Tietoturvapäivitys
Tietoturvapäivitys on ohjelmistopäivitys, joka on tehty nimenomaan korjaamaan olemassa olevien järjestelmien haavoittuvuuksia ja tietoturvapuutteita.
Tietoturvatestaus
Tietoturvatestaus arvioi järjestelmiä haavoittuvuuksien, heikkouksien ja mahdollisten tietoturvariskien tunnistamiseksi ennen käyttöönottoa.
Todennus
Todennus on prosessi, jossa käyttäjän, laitteen tai järjestelmän identiteetti varmistetaan ennen kuin sille myönnetään pääsy resursseihin.
Toipuminen suuronnettomuudesta (disaster recovery)
Disaster recovery tarkoittaa suunnitelmia ja menettelyjä, joilla järjestelmät ja tiedot palautetaan katastrofien tai kyberhyökkäysten jälkeen.
Toistettava buildi
Toistettava buildi tuottaa bitilleen identtisen tuloksen aina, kun kuka tahansa buildaa saman lähdekoodin samassa build-ympäristössä samoilla build-ohjeilla.
Tokenien vuotaminen (token exfiltration)
Tokenien vuotaminen tarkoittaa todennustokenien, kuten API-avainten, käyttöoikeustokenien tai istuntotokenien, luvatonta poimimista, jolloin hyökkääjä voi esiintyä oikeana käyttäjänä tai palveluna.
Tunkeutumisen havaitsemisjärjestelmä
Tunkeutumisen havaitsemisjärjestelmä (IDS) valvoo verkkoliikennettä ja järjestelmien toimintaa haitallisen toiminnan ja tietoturvauhkien varalta.
U
V
Vaatimustenmukaisuusauditointi
Vaatimustenmukaisuusauditointi arvioi, noudattaako organisaatio sääntelyvaatimuksia, standardeja ja sisäisiä käytäntöjä.
Valtuutus
Valtuutus määrittää, mitä toimintoja todennettu käyttäjä tai järjestelmä saa suorittaa sovelluksessa tai järjestelmässä.
Varmentaja
Varmentaja (Certificate Authority, CA) on luotettu taho, joka myöntää digitaalisia varmenteita organisaatioiden ja henkilöiden identiteetin todentamiseksi.
Vähimpien oikeuksien periaate
Vähimpien oikeuksien periaate on tietoturvaperiaate, jossa käyttäjille ja järjestelmille annetaan vain tehtäviensä hoitamiseen vaadittava vähimmäispääsy.