Menghindari Kesalahpahaman Umum dalam Terminologi Keamanan Siber

Kata-kata sulit. Bahasa Inggris sulit. Bagaimana kita mampu mengomunikasikan apa pun adalah hampir sebuah keajaiban.

Kadang-kadang saya berharap saya adalah Oscar Wilde atau Mark Twain atau salah satu penulis hebat lainnya yang sepertinya mampu dengan mudah menggambarkan karakter atau skenario sehingga pembaca dapat membayangkan dengan sempurna apa yang mereka maksud.

Alih-alih, saya khawatir saya lebih mirip dengan Shakespeare yang menciptakan kata-kata dan memutar balik yang lain agar sesuai dengan metrik gila, sehingga orang rata-rata seperti saya kesulitan memahami arti yang dimaksud (incidentally, saya suka Shakespeare).

Sayangnya, bidang yang saya pilih tampaknya dipenuhi oleh sesama Shakespearean – orang yang menggunakan kata-kata dengan melemparkan sup alfabet ke dinding dan membaca hasilnya seperti seseorang mungkin membaca daun teh, hanya dengan akurasi yang lebih rendah.

Apa Artinya Itu Sebenarnya?

Saat saya menciptakan database istilah keamanan siber, yang merupakan tulang punggung Kamus Keamanan Siber NIST, saya terkejut seberapa banyak kebingungan yang ada tentang istilah yang sering digunakan seperti “risiko” dan “keamanan.” Belum ada konsensi yang sebenarnya tentang apa arti kata “keamanan siber”!

Jadi, saya telah mengumpulkan daftar beberapa istilah yang sering disalahgunakan dalam bidang keamanan siber (ini adalah deskripsi tidak resmi yang dimaksudkan untuk memberikan informasi):

Data vs. Informasi vs. Pengetahuan

Data biasanya dianggap sebagai bit dan byte yang menyusun informasi. Informasi mengubah beberapa bit dan byte menjadi sesuatu yang berguna. Misalnya, sensor suhu mungkin membaca “102,” tetapi informasi memberi tahu kita bahwa itu 102 derajat Fahrenheit pada sensor suhu yang berada di mulut seseorang. Pengetahuan adalah apa yang memungkinkan informasi berubah menjadi tindakan. Itu mengatakan bahwa 102 derajat Fahrenheit untuk manusia terlalu panas. Garis di antara data, informasi dan pengetahuan kabur, tetapi ada yang berdebat tentang garis-garis itu dengan sengit.

Ancaman vs. Risiko

Sebuah ancaman digunakan untuk berarti sesuatu yang buruk yang bisa terjadi atau entitas yang mungkin menyebabkan sesuatu yang buruk terjadi (juga disebut “aktor ancaman”). Risiko meliputi probabilitas bahwa hal buruk itu bisa terjadi dan hasil potensial(-nya). Orang seringkali (secara salah) menggunakan kata-kata ini secara bergantian.

Manajemen Risiko

Proses merespons potensi bahwa sesuatu yang buruk mungkin terjadi. Secara umum ada empat opsi: menerima risiko, mentransfernya, menghindarinya atau memitigasinya. Terlepas dari siapa yang Anda bicarakan, ada setidaknya delapan opsi, tetapi ini adalah empat tradisional. Ketika seseorang keamanan siber bicara manajemen risiko, mereka mungkin merujuk pada proses yang diterapkan dalam Risk Management Framework.

Keamanan Siber

Dasarnya, perlindungan sistem komputer (termasuk jaringan, internet dan apa pun yang “pintar”). Namun, ini telah digunakan sebagai istilah payung yang juga mencakup jaminan informasi, perlindungan data dan privasi. Istilah ini mungkin akan terus berubah sampai seseorang dapat menjelaskan dengan memadai apa yang dimaksud dengan “cyber”.

Jaminan Informasi (atau Keamanan)

Perlindungan fakta, berita, pengetahuan, atau kadang-kadang data, dalam bentuk apa pun – kertas, elektronik, tablet batu, sinyal, dihafal, dll. Sering disalahpahami dan diletakkan di bawah payung keamanan siber.

Standar

Banyak orang salah menyebut publikasi khusus NIST sebagai standar, tetapi itu sedikit lebih rumit dari itu. NIST memang mengembangkan standar formal – Federal Information Processing Standards (FIPS), seperti FIPS 200 dan FIPS 140-3, misalnya. NIST juga berpartisipasi dalam pengembangan standar industri dan internasional. Kata standar juga dapat digunakan untuk berarti tingkat kualitas atau norma yang diterima. Dalam kasus terakhir, publikasi NIST sering digunakan sebagai standar. Ini adalah perbedaan yang halus, tetapi penting. Masih, secara umum, sebaiknya menjauhi dari menyebut publikasi khusus NIST (SPs), laporan internal/agen (IRs), white paper, atau apa pun selain FIPS sebagai standar dan sebagai gantinya menggunakan istilah “publikasi,” “dokumen” atau “panduan.”

Persyaratan vs. Kontrol

Keduanya istilah ini dapat digunakan untuk mengidentifikasi aktivitas, proses, praktik atau kemampuan spesifik yang organisasi mungkin miliki atau lakukan untuk mengelola risiko keamanan siber mereka. Kontrol mungkin atau mungkin tidak wajar, sedangkan persyaratan umumnya wajar. Selalu baik untuk memeriksa istilah apa yang digunakan oleh dokumen. Misalnya, banyak orang merujuk ke persyaratan NIST SP 800-171 sebagai kontrol, yang salah.

Audit vs. Penilaian

Dalam keamanan siber, istilah audit seringkali memiliki konotasi yang lebih formal dan negatif daripada di beberapa disiplin lainnya. Audits dilakukan setelah insiden seperti pelanggaran data (secara umum audit internal), atas permintaan pelanggan (biasanya audit eksternal yang dilakukan oleh pelanggan), atau untuk mendapatkan sertifikasi (audit pihak ketiga). Penilaian biasanya, tetapi tidak selalu, lebih seperti pemeriksaan kesehatan ramah. Meliputi sejumlah aktivitas, penilaian dapat sempit atau luas, dengan sejumlah ketelitian yang diinginkan oleh organisasi yang dinilai, atau yang sesuai dengan situasi. Pengecualian dari aturan umum ini ada di program Cybersecurity Maturity Model Certification (CMMC), yang menggunakan kata penilaian sebagai metode formal dengan cara organisasi dievaluasi.

Kepatuhan

Kepatuhan biasanya merujuk pada memenuhi persyaratan (internal atau eksternal, kadang-kadang regulator) dan sering ditunjukkan dengan sertifikasi atau aksi kebaikan dalam bentuk apa pun. Orang sering menggunakan frasa seperti “NIST compliant.” Ini bisa menyesatkan karena banyak yang mengartikannya berarti NIST sedang menegakkan persyaratan atau mensertifikasi atau memberikan kesaksian tentang keamanan produk atau proses perusahaan. Biasanya yang dimaksud dengan “NIST compliant” adalah bahwa perusahaan telah menggunakan praktik dan prosedur dalam publikasi NIST, seringkali untuk memenuhi beberapa persyaratan. Sementara ini dapat dianggap sebagai aktivitas kepatuhan, secara umum sebaiknya menghindari kebingungan dengan menyatakan aturan atau persyaratan apa yang menjadi subjek kepatuhan. Misalnya, seseorang dapat mengikuti NIST SP 800-171 untuk patuh dengan DFARS. Pengecualian dari ini adalah dengan algoritma dan modul kriptografi, dalam hal ini terminologi yang benar adalah divalidasi dan patuh menunjukkan produk secara keseluruhan tidak telah dievaluasi secara formal.

Kata dalam bahasa Inggris berkembang hampir secepat meme di internet – sekian juta Shakespearean yang membawa bahasa Inggris ke belakang untuk dibetulkan, dimanipulasi dan dilipat menjadi skrip yang hampir tidak dapat dikenali. Dalam bidang keamanan siber, sepertinya ini dilakukan dengan rewel. Namun, memahami beberapa istilah kunci ini dan bagaimana mereka digunakan akan membantu dalam memahami dan mengomunikasikan kebutuhan keamanan siber Anda.