| Termo | Significado |
|---|---|
| ALE (Annual Loss Expectancy) | Perda anual esperada de um cenário de risco, em Reais. Calculada pelo Quantify. |
| Ativo | Qualquer recurso que precisa de proteção: servidor, estação de trabalho, dispositivo de rede, IoT, instância em nuvem, aplicação ou equipamento industrial. |
| CIS Benchmark | Conjunto de recomendações de configuração segura publicado pelo Center for Internet Security. Usado pelo Baseline. |
| CISA KEV (Known Exploited Vulnerabilities) | Catálogo da agência americana CISA com as vulnerabilidades que já são exploradas na prática. |
| CPE (Common Platform Enumeration) | Identificador padronizado de software e hardware. A versão 2.3 permite correlacionar o que está instalado com as CVEs da base NVD. |
| CRQ (Cyber Risk Quantification) | Quantificação de risco cibernético: traduz exposição técnica em valor financeiro. |
| CSPM (Cloud Security Posture Management) | Gestão da postura de configuração de recursos em nuvem. |
| CTEM (Continuous Threat Exposure Management) | Gerenciamento Contínuo de Exposição a Ameaças. Framework do Gartner em cinco fases: escopo, descoberta, priorização, validação e mobilização. |
| CVE (Common Vulnerabilities and Exposures) | Identificador público de uma vulnerabilidade conhecida, como CVE-2021-44228. |
| CVSS (Common Vulnerability Scoring System) | Nota de 0 a 10 que mede a severidade técnica de uma vulnerabilidade. |
| DAST (Dynamic Application Security Testing) | Teste de segurança feito com a aplicação em execução, como um atacante faria. |
| EASM (External Attack Surface Management) | Gestão da superfície de ataque externa, vista de fora, sem credencial. Função do Surface. |
| EPSS (Exploit Prediction Scoring System) | Probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias. |
| FAIR (Factor Analysis of Information Risk) | Metodologia de análise quantitativa de risco usada pelo Quantify. |
| Hardening | Endurecimento da configuração de um ativo: desligar o que não é necessário e aplicar configurações seguras. |
| IOC (Indicator of Compromise) | Indício técnico de comprometimento, como um hash, IP ou domínio malicioso. |
| MTTR (Mean Time to Remediate) | Tempo Médio de Correção: quanto tempo, em média, uma exposição leva para ser fechada. |
| NVD (National Vulnerability Database) | Base pública de vulnerabilidades mantida pelo NIST. |
| OWASP Top 10 | Lista das 10 categorias de risco mais críticas em aplicações web, mantida pela OWASP. |
| SAST (Static Application Security Testing) | Análise de segurança feita sobre o código-fonte, sem executar a aplicação. |
| SBOM (Software Bill of Materials) | Lista dos componentes de software e das versões presentes em um ativo ou aplicação. |
| Shadow IT | Tecnologia em uso na empresa sem o conhecimento ou a gestão da área de TI. |
| SSVC (Stakeholder-Specific Vulnerability Categorization) | Árvore de decisão criada pelo SEI da Carnegie Mellon com a CISA. Em vez de uma nota, devolve uma ação: Track, Track*, Attend ou Act. |
| TLP (Traffic Light Protocol) | Marcação que indica com quem uma informação pode ser compartilhada: red, amber, green ou white. |
| TPCRM (Third-Party Cyber Risk Management) | Gestão de risco cibernético de terceiros. Função do Verify. |
| VaR (Value at Risk) | Perda máxima esperada para um nível de confiança, como 95%. |
Base de conhecimento
Glossário
Os termos e siglas de cibersegurança usados na plataforma e nesta documentação.
Os termos estão em ordem alfabética. Quando a sigla vem do inglês, o nome original aparece entre parênteses.
Esta página foi útil?