Представляемый глоссарий терминов для руководителя информационной безопасности (CISO) создан как рабочий инструмент, обеспечивающий единое понимание ключевых концепций в области управления информационной безопасностью. Унификация терминологии крайне важна для эффективного взаимодействия между техническими специалистами, менеджментом и бизнес-подразделениями, а также для построения прозрачной и соответственной требованиям системы защиты информации.

Для углубленного изучения каждого из терминов и связанных с ними практик рекомендуется обращаться к следующим авторитетным источникам:

Международные фреймворки:
- ISACA: Эта международная ассоциация предлагает обширный глоссарий (ссылка на глоссарий ISACA) и стандарты для аудита, управления и защиты информационных систем, такие как CISA (Certified Information Systems Auditor).
- NIST (Национальный институт стандартов и технологий США): Разрабатывает детальные framework и руководства (серия Special Publications 800-53, 800-37 и др.), которые содержат определения и являются основой для многих программ безопасности по всему миру.
Российские нормативные документы:
- ФСТЭК России: Издает обязательные к применению методические документы и приказы, которые определяют требования по защите информации, не составляющей государственную тайну. К ним относятся, например, «Методика оценки угроз безопасности информации» и «Базовая модель угроз безопасности персональных данных».
- ФСБ России: Устанавливает требования в области защиты информации, являющейся государственной тайной, и регулирует вопросы криптографической защиты (шифрования).
- ГОСТы: Национальные стандарты, такие как серия ГОСТ Р ИСО/МЭК 27000, которая адаптирует международные стандарты семейства ISO/IEC 27000 для Российской Федерации.

Как он собран: синтез широко применяемых фреймворков и источников (NIST CSF/800-53/800-61/800-171, ISO/IEC 27001/27002, CIS Controls v8, COBIT, MITRE ATT&CK/D3FEND, OWASP, AICPA SOC 2, PCI DSS, FFIEC, рекомендации CISA, ITIL 4), а также практик управленческого учёта и проектного управления (ROI, TCO, NPV, OKR, KPI) и типовых шаблонов эксплуатации средств защиты.

1) Корпоративное управление и лидерство

Corporate Governance (корпоративное управление) — структуры (совет директоров/комитеты/регламенты), направляющие и контролирующие риск, комплаенс и безопасность.
Enterprise Risk Management (ERM) — согласованный подход к идентификации, анализу, обработке и мониторингу рисков предприятия.
Risk Appetite (аппетит к риску) — уровень/типы риска, приемлемые для руководства ради достижения целей.
Risk Tolerance (толерантность к риску) — допустимые отклонения от аппетита по конкретным метрикам (напр., «≤ 1 существенный инцидент/год»).
Risk Capacity (ёмкость риска) — максимум риска, который организация может поглотить без угрозы жизнеспособности (капитал/ликвидность/операционные пределы).
Three Lines Model (модель трёх линий) — (1) менеджмент/владельцы рисков, (2) надзор за рисками/комплаенс, (3) независимое заверение (внутренний аудит).
GRC (Governance, Risk, and Compliance) — интеграция политики, риска и контроля со стратегией.
Control Objective (цель контроля) — требуемый исход, которого должен достигать контроль (напр., «Только уполномоченные лица получают доступ к PHI»).
Compensating Control (компенсирующий контроль) — альтернативный контроль с эквивалентной защитой, когда стандартный невыполним.
Risk Register (реестр рисков) — авторитетный журнал рисков, владельцев, обработок и статусов.
Materiality (существенность) — порог, при котором информация влияет на решения инвесторов; ключевой для раскрытий киберрисков по SEC.
Policy / Standard / Procedure / Guideline — иерархия управления от высокоуровневых намерений до пошаговых действий.
Security Strategy (стратегия безопасности) — многолетний план, выравнивающий результаты безопасности с ростом, надёжностью и комплаенсом.
Security Operating Model (операционная модель безопасности) — оргдизайн, процессы и инструменты, реализующие стратегию (централизованная, федеративная, гибридная).
Information Security Management System (ISMS) — управленческая система для политик, рисков, контролей, метрик и непрерывного улучшения.

2) Финансы, бюджетирование и ценность (основы для CISO)

P&L (отчёт о прибылях и убытках) — выручка, COGS, валовая маржа, OpEx, операционная прибыль, чистая прибыль.
OpEx / CapEx — операционные и капитальные затраты; важны для амортизации и одобрений бюджета.
EBITDA — прибыль до процентов, налогов, амортизации и износа; прокси операционной эффективности.
TCO (Total Cost of Ownership) — полная стоимость решения (лицензии, облако, труд, обучение, миграция, вывод из эксплуатации).
ROI (Return on Investment) — (Доход − Затраты)/Затраты; может включать избежание потерь.
Пример: ожидаемый убыток $800k → $200k после контроля при затратах $200k ≈ ROI 200%.
NPV / IRR / Payback Period — дисконтированные метрики для сравнения инвестиций.
Unit Economics (юнит-экономика) — рычаги прибыльности на единицу; безопасность влияет на отток, конверсию, поддержку.
Cost of Risk (CoR) — ожидаемый годовой убыток + стоимость контролей + страхование; помогает оптимизировать уровень инвестиций в ИБ.
ALE / SLE / ARO — годовая/разовая ожидаемая потеря; годовая частота наступления (классический количественный риск).
FAIR (Factor Analysis of Information Risk) — калиброванное вероятностное моделирование убытков (P10/P50/P90).
Zero-Based Budgeting (ZBB) — бюджет «с нуля» по реальной потребности, а не от прошлого года.
Run-Grow-Transform (RGT) Split — классификация трат на поддержание, расширение и стратегические изменения.
Chargeback / Showback — распределение стоимости безопасности по БЕ (жёсткое/информативное).
Vendor Lock-In — барьеры перехода (контракты, «гравитация данных», компетенции); заранее оговаривайте права выхода.
Cyber Insurance (киберстрахование) — перенос риска с франшизами, исключениями, доказательной базой и требованиями панельных подрядчиков.
RFP / RFI / RFQ — запрос предложения/информации/квоты в закупках.
Total Cost of Delay (TCD) — экономический эффект от отсрочки меры или исправления.
Depreciation / Amortization — распределение CapEx/нематериальных активов по сроку службы; влияет на «оптику» P&L.
Budget Guardrails (ограничители бюджета) — правила и пределы (напр., доли SaaS vs perpetual, штат vs услуги).
Business Case — структурированное обоснование выгод, затрат, рисков и опций инициативы.

3) Фреймворки, стандарты и комплаенс

NIST CSF (2.0) — Identify, Protect, Detect, Respond, Recover + Governance; ориентирован на результаты.
NIST SP 800-53 — всеобъемлющий каталог контролей (AC, AU, CM, IR, SC и др.).
NIST SP 800-61 — руководство по реагированию на инциденты (жизненный цикл IR).
NIST SP 800-171 — защита CUI в не-федеральных системах; основа для CMMC.
CMMC — уровни соответствия поставщиков DoD.
ISO/IEC 27001/27002 — сертифицируемая ISMS + практики контролей.
COBIT — фреймворк управления ценностью и обеспечением ИТ.
CIS Controls v8 — приоритизированные меры с группами внедрения (IG1–IG3).
MITRE ATT&CK — база знаний тактик/техник противника; основа для detection engineering.
MITRE D3FEND — сопоставление контрмер техникам ATT&CK.
SOC 2 (AICPA) — аттестация по принципам Security, Availability, Processing Integrity, Confidentiality, Privacy (Type I/II).
PCI DSS — защита данных держателей карт; сегментация CDE.
HIPAA — правила приватности/безопасности/уведомления о нарушениях для PHI; роли CE/BA.
GLBA (Safeguards Rule) — требования к программам безопасности у финорганизаций.
SOX (Sec. 404) — внутренний контроль над финотчётностью; релевантность ITGC.
CCPA/CPRA — права в Калифорнии (доступ, удаление, opt-out продажи/шеринга); договорные и чувствительные данные.
DPIA/PIA — оценка влияния на приватность для высокорисковой обработки.
Records of Processing (RoPA) — реестр операций обработки.
Breach Notification — законодательно установленные сроки/пороги уведомления регуляторов/потребителей.
Secure SDLC — встраивание требований/тестирования безопасности в ЖЦ ПО (см. § SecOps).

4) Идентичность, доступ и данные

IAM — идентичности, роли, провижининг и жизненный цикл.
IdP — аутентифицирует пользователей, выпускает токены/утверждения.
SSO — централизованная аутентификация между приложениями.
MFA — минимум два фактора: знание/владение/био (напр., FIDO2/WebAuthn).
SAML / OAuth 2.0 / OIDC — федерация и делегированная аутентификация; OIDC добавляет слой идентичности к OAuth.
PAM — хранение привилегированных секретов, мониторинг сессий, JIT-повышение прав.
CIEM — гигиена прав доступа в облаке в масштабе.
RBAC / ABAC — модели управления доступом на ролях/атрибутах.
PoLP — принцип наименьших привилегий.
DLP — обнаружение/предотвращение несанкционированного перемещения данных.
Tokenization / Encryption — замена чувствительных значений; защита данных «на покое»/«в пути»; KMS/HSM.
Data Classification — маркировка по чувствительности (Public, Internal, Confidential, Restricted).
Secrets Management — жизненный цикл API-ключей, учёток, сертификатов.
Keystore / KMS / HSM — сервис управления ключами; аппаратный модуль безопасности.
Data Minimization — сбор/хранение только необходимого под заявленные цели.

5) Сети, периметр и Zero Trust

Zero Trust — непрерывная проверка пользователя, устройства и контекста; микро-сегментация; явная авторизация.
ZTNA — брокер приложений вместо широкого VPN-доступа.
SASE / SSE — облачно доставляемые сеть/безопасность (SWG, CASB, ZTNA, FWaaS, DLP).
NAC — контроль позы устройства и идентичности при подключении к сети.
Segmentation / Micro-segmentation — ограничение радиуса поражения зонованием и политиками.
IDS/IPS / NDR — обнаружение/предотвращение вторжений; сетевое обнаружение и реагирование.
WAF / API Gateway — защита веб/API (OWASP Top 10, bot mgmt, rate limiting).
TLS / mTLS / QUIC — защитный транспорт; mTLS для доверия «сервис-к-сервису».
DNS Security — DNSSEC, фильтрация/«раковины», egress-контроль.
Email Authentication — SPF, DKIM, DMARC: согласование и принуждение.
DDoS Protection — поглощение/скраббинг, anycast, адаптивный rate-limit.
BGP Security — угон маршрутов/ROA/RPKI.
Egress Filtering — ограничение исходящего трафика разрешёнными направлениями/портами.
Proxy / SWG — инспекция исходящего веб-трафика; применение политик.
VPN (IPsec/SSL) — шифрованный удалённый доступ; всё чаще заменяется ZTNA.
NAT / PAT — трансляция адресов/портов; влияет на телеметрию и атрибуцию.
Decryption Strategy — правомерная, риск-ориентированная TLS-дешифрация с исключениями приватности.
Network Telemetry — NetFlow/IPFIX, SPAN/TAP; вход в NDR/SIEM.

6) Операции безопасности, детектирование и реагирование

SOC — люди/процессы/технологии для мониторинга, обнаружения и реагирования.
SIEM — агрегация логов, корреляция, оповещение, отчётность по комплаенсу.
SOAR — оркестрация/автоматизация по плейбукам (обогащение, изоляция, уведомление).
EDR/XDR — защита/обнаружение на конечных точках и расширенно (идентичность/сеть/облако).
UEBA — поведенческая аналитика пользователей/объектов.
Deception Technology — «приманки» для выявления латерального перемещения.
Threat Intelligence (TI/CTI) — индикаторы, TTP, профили акторов; стратегический/операционный/тактический уровни.
Detection Engineering — разработка/тест детектов, мэппинг на ATT&CK, измерение покрытия.
Use Case Catalog — приоритизированный список детектов (напр., подозрительный PowerShell, дамп учётных данных).
IR Playbook — шаги под конкретные типы инцидентов (BEC, ransomware, утечка данных).
Tabletop Exercise (TTX) — сценарные учения с участием руководителей и партнёров (юр/PR).
Post-Incident Review (PIR) — безобвинительный разбор, корректирующие действия, обновление метрик.
MTTD / MTTR — среднее время обнаружения/реагирования; ключевые KPI SOC.
Containment / Eradication / Recovery — фазы IR: остановить, удалить, восстановить.
Forensics Readiness — логирование/хранение, синхронизация времени, имиджинг, цепочка хранения.
Backup Strategy (3-2-1) — три копии, два носителя, одна внешняя/офлайн; неизменяемые снапшоты.
Ransomware Controls — EDR + харденинг + сегментация + офлайн-бэкапы + плейбуки (юр/правоохранители/страховщик).
Security Telemetry Quality — покрытие, точность, нормализация, метка времени, контекст.
Runbook — пошаговая операционная процедура (напр., отключить учётку, изолировать хост).
Purple Teaming — сотрудничество red/blue для проверки и улучшения детектов.
Exposure Management — непрерывное управление поверхностью атаки + уязвимости + конфигурационный дрейф.
Asset Inventory — авторитетная CMDB/граф активов для объёма и приоритезации.

7) Windows-энтерпрайз: атаки и защиты

Active Directory (AD) — ядро идентичности (домены, леса, трасты, GPO); критично для харденинга.
Kerberoasting — запрос TGS и офлайн-взлом; защита: сильные ключи SPN и мониторинг.
Pass-the-Hash (PtH) — повторное использование NTLM-хешей; защита: изоляция учётных данных, LAPS, SMB-подпись.
Pass-the-Ticket (PtT) — повторное использование билетов Kerberos (TGT/TGS); искать аномалии TTL/привилегий SID.
DCSync — злоупотребление DRS для получения хешей; мониторить вызовы DRSUAPI от не-DC.
Golden Ticket — подделка TGT с ключом KRBTGT; ротация KRBTGT, мониторинг выдачи TGT.
LSASS Dumping — извлечение секретов из памяти (напр., Mimikatz); включать Credential Guard, блокировать дампы не-админам.
NTDS.dit Exfiltration — кража базы AD; ограничивать доступ к DC, изолированные бэкапы DC.
WMI/WinRM Lateral Movement — каналы удалённого исполнения; логировать/тревожить необычные операции.
PowerShell Abuse — LOLBins; включать Constrained Language Mode, Script Block Logging, AMSI.
AppLocker/WDAC — белые списки приложений; блок неизвестных бинарей/скриптов.
LAPS / LAPS-NG — случайные локальные админ-пароли на машину; ротация и аудит доступа.
GPO Hardening — безопасные политики; ограничение делегирования; Protected Users, тирование.
Sysmon / ETW — расширенная телеметрия; тюнинг под кражу учёток/латеральное перемещение.
PrinterNightmare / Spooler — отключение лишних сервисов; патчи без задержек.
SAM / SECURITY Hive Protection — защита от экспонирования через shadow copy; охрана реестровых ульев.
Tiered Admin Model — разделение админ-уровней (рабочие станции/серверы/AD) без перекрёстного использования учёток.

8) Linux, контейнеры и Kubernetes

PrivEsc — эскалация привилегий (ядро/SETUID/CONFIG); патчинг и минимальные capabilities.
sudoers Abuse — ошибки sudo дают root; PoLP и ревью NOPASSWD.
SSH Key Theft — кража приватных ключей/агентов; пароли к ключам, аппаратные ключи, ограничения from=.
LD_PRELOAD / подмена библиотек — загрузка подложных библиотек; целостность пакетов и проверка подписи.
Cron/Systemd Persistence — вредоносные задания/юниты; аудит таймеров/сервисов.
Capabilities (cap_setuid, cap_net_raw) — гранулярные привилегии; отбрасывать лишние в контейнерах.
Container Escape �� побеги через namespaces/cgroups или сокеты демона; rootless, seccomp, AppArmor/SELinux.
K8s RBAC — минимальные права сервис-аккаунтам; избегать cluster-admin; сетевые политики.
Admission Control / OPA/Gatekeeper — политика-как-код для деплоев.
Подпись/сканирование образов (SBOM) — проверка происхождения (Sigstore/COSIGN), сканы уязвимостей, ведение SBOM.
Секреты в K8s — внешние секрет-сторы (KMS/HSM), без плейна в манифестах.
Etcd Security — шифрование «на покое», mTLS между компонентами, ограниченный доступ.
Supply Chain Security — уровни SLSA, аттестации происхождения, закреплённые версии.
Runtime Security — eBPF-детектирование, правила системных вызовов, контроль дрейфа.
Docker Daemon Socket — защита /var/run/docker.sock; избегать привилегированных контейнеров.

9) Облака и SaaS

Модель разделения ответственности — обязанности провайдера и клиента различаются для IaaS/PaaS/SaaS.
CSPM / CWPP / CNAPP — управление позой; защита рабочих нагрузок/рантайма; конвергированная платформа.
CASB / SSPM — видимость теневого ИТ; управление позой SaaS (мисконфиги, токены).
Key Management (KMS/HSM/CSE) — клиентские ключи; крипто-разделение обязанностей.
IAM в облаке — минимальные роли, permission boundaries, JIT-повышение.
Сетевые контроли — VPC, подсети, SG/NACL, private endpoints, WAF/CDN.
Логи и телеметрия — нативные облачные логи (control/identity/data plane) в SIEM; ретенция.
Федерация идентичности — SAML/OIDC к центральному IdP; SCIM для провижининга.
Харденинг SaaS — только SSO-логин, принудительный MFA, роли в приложении, аудит-логи арендатора.
Резидентность/суверенитет данных — регионы, трансграничные передачи, договорные оговорки.
Управление стоимостью — теги, бюджеты/алерты, райтсайзинг; избегать небезопасных «оптимизаций ценой безопасности».
Резерв и DR в облаке — кросс-региональная репликация, неизменяемость, тест восстановления.

10) AppSec и данные

SAST / DAST / IAST / RASP — статическое/динамическое/интерактивное тестирование; самозащита рантайма.
OWASP Top 10 / ASVS — типовые риски веб/API и стандарты верификации.
OWASP API Security Top 10 — специфические риски API (авторизация, избыточные данные, mass assignment).
Threat Modeling — структурный анализ (STRIDE, attack trees) для приоритезации мер.
SBOM — ведомость компонентов ПО; прозрачность зависимостей и реакция на уязвимости.
Secrets Scanning — поиск секретов в коде/логах CI; pre-commit хуки и проверки в пайплайне.
Data Discovery — поиск чувствительных данных в хранилищах/стримах; классификация и контроль.
Privacy by Design — встраивание минимизации и целевого ограничения в системы.

11) Люди, оргдизайн и культура

Org Topology — централизованная/федеративная безопасность; «чемпионы» безопасности в командах.
Headcount Plan / Job Families — уровни ролей, компетенции, кадровый резерв.
Span of Control — число прямых подчинённых; баланс фокуса и гибкости.
Performance Management — OKR, KPI, рамки роста; не ограничиваться активностными метриками.
PIP — структурная поддержка при проседании эффективности.
Blameless Postmortem — культура обучения и системных исправлений вместо поиска виновных.
Security Champions — обученные инженеры в продуктовых командах, продвигающие secure-практики.
Training & Phishing Sims — обучение по ролям; измерять снижение риска, а не только клики.
Duty of Care — безопасные инструменты/процессы; отслеживать выгорание и устойчивость on-call.
Diversity & Inclusion — расширение перспектив, сокращение слепых зон в дизайне/операциях.

12) Переговоры и коммуникации на уровне C-suite

BATNA — лучшая альтернатива в переговорах; усиливает позиции.
ZOPA — зона возможного соглашения.
Anchoring (якорение) — установка стартовых ориентиров (цена/условия) для влияния на исход.
Concession Strategy — планируемые уступки, жёстко привязанные к ценности (срок vs цена vs права выхода).
C-Suite Narrative — лаконичное изложение риска/выгоды на языке бизнеса, а не фич.
Board-Level Metrics — несколько стабильных метрик результатов (материальные инциденты, тренд экспозиции, время восстановления).
Executive Readout — одностраничник: контекст → риск → опции → рекомендация → стоимость/выгода.
Crisis Communications — согласованные сообщения юр/PR/регуляторам; единый «источник правды».

13) Небольшие примеры

Решение о существенности (SEC): «Инцидент затронул систему с 17% годовой выручки и риском простоя ≥ 1 недели; вероятное финансовое влияние превышает порог раскрытия».
Zero Trust в одном предложении: «Непрерывно проверяйте пользователя, устройство и контекст; авторизуйте каждый запрос; ограничивайте латеральное перемещение».
Бизнес-кейс одним тезисом: «$2,4 млн снижения ожидаемых потерь за 3 года при TCO $900k; NPV положительный к 14-му месяцу».

Заключение

Данный глоссарий охватывает самые важные, ключевые термины, с которыми ежедневно сталкивается руководитель службы информационной безопасности в своей работе. Однако область кибербезопасности динамична: постоянно появляются новые технологии, угрозы и, как следствие, новые понятия. Поэтому данный словарь следует рассматривать как живую базу знаний, требующую постоянного обновления и расширения.

Используйте его как «единый словарь» в стратегиях, бюджетировании, переговорах с вендорами и коммуникациях с советом директоров. Для углубления — опирайтесь на официальные документы из списка выше и поддерживайте терминологию в вашей организации единой и понятной.

В конечном счете, именно это является основной задачей CISO — говорить с бизнесом на одном языке, трансформируя технические риски в бизнес-решения.

Глоссарий CISO: Необходимый минимум руководителя информационной безопасности