Pojmovnik informacijske varnosti in skladnosti

A

Aktivno izkoriščena ranljivost

Po aktu o kibernetski odpornosti (CRA) ranljivost, za katero obstajajo zanesljivi dokazi, da jo je zlonamerni akter izkoristil v sistemu brez dovoljenja njegovega lastnika. Proizvajalec jo mora prijaviti v 24 urah.

Več: CRA: prijava ranljivosti

Analiza vpliva na poslovanje (BIA)

Analiza, kako motnja skozi čas vpliva na dejavnosti organizacije. Po ISO 22301 je podlaga za prioritete ter za določitev MTPD, RTO in RPO; po ZInfV-1 je del politike in načrta neprekinjenega poslovanja.

Več: ISO 22301

Analiza vrzeli

Primerjava obstoječega stanja organizacije z zahtevami standarda ali predpisa. Rezultat so ugotovljene vrzeli in akcijski načrt za njihovo odpravo.

Več: Uvedba ISO 27001

B

Bistveni subjekt

Zavezanec po ZInfV-1, ki je po 7. členu razvrščen med bistvene subjekte – praviloma večji subjekti iz sektorjev visoke kritičnosti (Priloga 1) in nekateri subjekti ne glede na velikost. Zanje velja strožji nadzor in višje najvišje globe.

Več: Ali smo zavezanec po ZInfV-1?

C

Certifikacijska presoja

Presoja, s katero neodvisen akreditiran certifikacijski organ ugotovi, ali sistem vodenja izpolnjuje zahteve standarda. Poteka v dveh delih: najprej pregled dokumentacije in pripravljenosti, nato delovanja sistema v praksi.

Več: Uvedba ISO 27001

CSIRT

Skupina za odzivanje na računalniške varnostne incidente. Po ZInfV-1 ji zavezanci priglašajo pomembne incidente; po CRA proizvajalci prijave pošiljajo prek enotne platforme za poročanje pristojni skupini CSIRT.

Več: ZInfV-1 (NIS2)

CVD (usklajeno razkrivanje ranljivosti)

Postopek, v katerem prijavitelj ranljivost sporoči proizvajalcu, ta pa jo odpravi in javno razkrije usklajeno s prijaviteljem. Po CRA mora proizvajalec imeti politiko usklajenega razkrivanja ranljivosti.

Več: CRA za proizvajalce

H

Hud incident (CRA)

Incident, ki vpliva na varnost izdelka z digitalnimi elementi – na primer zmanjša njegovo zmožnost varovanja razpoložljivosti, avtentičnosti, celovitosti ali zaupnosti podatkov ali funkcij. Proizvajalec ga mora prijaviti v 24 urah.

Več: CRA: prijava ranljivosti

I

Izdelek z digitalnimi elementi

Po CRA programski ali strojni izdelek in njegove rešitve za obdelavo podatkov na daljavo, vključno s komponentami, ki se dajo na trg ločeno.

Več: CRA za proizvajalce

Izjava o uporabnosti (SoA)

Dokument, ki za vsako kontrolo iz Priloge A standarda ISO/IEC 27001 navede, ali se uporablja, zakaj je vključena ali izključena in ali je izvedena.

Več: Uvedba ISO 27001

K

Kontrole iz Priloge A

Seznam varnostnih kontrol v Prilogi A standarda ISO/IEC 27001:2022, razvrščenih v organizacijske, kadrovske, fizične in tehnološke. Organizacija jih izbere na podlagi ocene tveganj in izbor utemelji v Izjavi o uporabnosti.

Več: ISO 27001 in ZInfV-1

M

MTPD

Najdaljše sprejemljivo obdobje motnje – čas, po katerem bi bile posledice izpada dejavnosti za organizacijo nesprejemljive (ISO 22301).

Več: ISO 22301

N

Neprekinjeno poslovanje

Zmožnost organizacije, da med motnjo nadaljuje dobavo izdelkov in storitev v sprejemljivem času in na vnaprej določeni ravni (ISO 22301).

Več: ISO 22301

Notranja presoja

Presoja, s katero organizacija v načrtovanih presledkih preveri, ali sistem vodenja izpolnjuje zahteve in se učinkovito izvaja (točka 9.2 standardov ISO za sisteme vodenja). Presojevalec mora biti objektiven in nepristranski.

Več: vCISO in vzdrževanje

O

Obdobje podpore

Po CRA obdobje, v katerem proizvajalec zagotavlja učinkovito obravnavanje ranljivosti izdelka – praviloma najmanj pet let.

Več: CRA za proizvajalce

Oznaka CE

Oznaka, s katero proizvajalec izjavi, da izdelek izpolnjuje veljavne zahteve EU. Po CRA jo morajo izdelki z digitalnimi elementi nositi od 11. 12. 2027.

Več: CRA za proizvajalce

P

Pomemben incident

Incident s pomembnim vplivom na zagotavljanje storitev zavezanca po ZInfV-1. Priglasi se pristojni skupini CSIRT: zgodnje sporočilo v 24 urah, priglasitev v 72 urah, končno poročilo v enem mesecu.

Več: ZInfV-1 (NIS2)

Pomembni subjekt

Zavezanec po ZInfV-1, ki spada med zavezance po 6. in 7. členu, ne izpolnjuje pa meril za bistveni subjekt. Velja pretežno naknadni nadzor in nižje najvišje globe.

Več: Ali smo zavezanec po ZInfV-1?

R

Register sredstev

Popis informacijskih in drugih sredstev – strojne in programske opreme, podatkov, storitev, ljudi in lokacij – z lastniki in vrednotenjem. Zahtevata ga ISO/IEC 27001 in 21. člen ZInfV-1.

Več: Uvedba ISO 27001

RPO

Ciljna točka obnovitve – trenutek, do katerega morajo biti podatki obnovljeni, da dejavnost po motnji lahko nadaljuje; izraža največjo sprejemljivo izgubo podatkov.

Več: ISO 22301

RTO

Ciljni čas obnovitve – čas po motnji, v katerem je treba ponovno vzpostaviti izdelke, storitve, dejavnosti ali vire. Biti mora krajši od MTPD.

Več: ISO 22301

S

Samoregistracija

Obveznost zavezanca po ZInfV-1, da se prek obrazca URSIV vpiše med zavezance – v 30 dneh od dneva, ko izpolni merila (8. člen). Za subjekte, ki so merila izpolnjevali ob uveljavitvi zakona, je bil rok 19. 12. 2025.

Več: Ali smo zavezanec po ZInfV-1?

SBOM

Seznam programskih komponent (angl. software bill of materials) – zapis komponent in odvisnosti, iz katerih je izdelek sestavljen. Po CRA ga proizvajalec pripravi kot del tehnične dokumentacije.

Več: CRA za proizvajalce

Sistem upravljanja varovanja informacij (SUVI)

Del sistema vodenja organizacije, ki na podlagi tveganj vzpostavlja, izvaja, vzdržuje in izboljšuje varovanje informacij. Zahteve zanj določa ISO/IEC 27001.

Več: Uvedba ISO 27001

U

URSIV

Urad Vlade Republike Slovenije za informacijsko varnost – pristojni nacionalni organ po ZInfV-1, ki vodi samoregistracijo zavezancev in nadzor, ter osrednja točka za izvajanje CRA v Sloveniji.

Več: Nadzor URSIV

V

vCISO

Zunanji vodja informacijske varnosti, ki v naročniškem modelu vodi program informacijske varnosti organizacije. Formalne odločitve ostanejo pri vodstvu organizacije.

Več: vCISO in vzdrževanje

Vodstveni pregled

Pregled sistema vodenja, ki ga v načrtovanih presledkih izvede najvišje vodstvo, da zagotovi njegovo stalno primernost, ustreznost in učinkovitost (točka 9.3 standardov ISO za sisteme vodenja).

Več: Uvedba ISO 27001