Asset
Informationswert oder Ressource mit geschäftlichem oder sicherheitsbezogenem Wert.
Assurance
Strukturierte Vertrauensbildung, dass definierte Kontrollen wirksam betrieben und Abweichungen gesteuert werden.
BSIG
Deutsches BSI-Gesetz; das aktuelle BSIG enthält unter anderem Pflichten für besonders wichtige und wichtige Einrichtungen.
CIA-Triade
Confidentiality, Integrity und Availability: Vertraulichkeit, Integrität und Verfügbarkeit.
Compensating Control
Alternative Sicherheitsmaßnahme, die ein Risiko reduziert, wenn die bevorzugte Kontrolle nicht vollständig umgesetzt werden kann.
Conditional Access
Microsoft-Entra-Mechanismus zur kontextbezogenen Steuerung von Zugriffsentscheidungen.
Control
Organisatorische, technische, personelle oder physische Maßnahme zur Veränderung von Risiko oder Erreichung eines Sicherheitszustands.
Control Owner
Verantwortliche Rolle für Definition, Betrieb, Überwachung und Behandlung von Abweichungen einer Kontrolle.
Control Health
Bewerteter aktueller Betriebszustand einer Kontrolle auf Grundlage von Evidenz, Prüfkriterien, Findings und genehmigten Ausnahmen.
Evidence
Überprüfbare Information zur Bewertung eines Prüfkriteriums oder Kontrollbetriebs.
Evidence Freshness
Zeitliche Aktualität von Evidenz im Verhältnis zur vorgesehenen Prüffrequenz.
Finding
Dokumentierte Abweichung zwischen erwartetem und beobachtetem Zustand.
GRC
Governance, Risk and Compliance: Verbindung von Führung, Risikoentscheidungen, Verpflichtungen, Kontrollen, Evidenz und Überwachung.
Human Oversight
Menschliche Aufsicht über AI- oder automatisierte Systeme einschließlich Freigabe-, Eskalations- und Override-Verantwortung.
ISMS
Information Security Management System: Managementsystem zur systematischen Steuerung von Informationssicherheitsrisiken.
Least Privilege
Prinzip, Identitäten nur die minimal notwendigen Rechte für den erforderlichen Zeitraum zu geben.
MFA
Multi-Factor Authentication: Authentisierung mit mindestens zwei unterschiedlichen Faktorarten.
NIS2
EU-Richtlinie für ein hohes gemeinsames Cybersicherheitsniveau; in Deutschland über nationales Recht operationalisiert.
Remediation
Maßnahmen zur Überführung eines nicht akzeptablen Ist-Zustands in einen definierten Zielzustand.
Risk Acceptance
Dokumentierte Entscheidung eines berechtigten Risk Owners, ein verbleibendes Risiko innerhalb festgelegter Bedingungen bewusst zu tragen.
Risk Treatment
Vermeidung, Reduktion, Übertragung oder bewusste Akzeptanz eines Risikos.
SoA
Statement of Applicability: ISO/IEC-27001-Dokument zur Anwendbarkeit und Begründung von Referenzkontrollen im ISMS-Scope.
Zero Trust
Sicherheitsmodell mit expliziter Verifikation, reduziertem implizitem Vertrauen, Least Privilege und Annahme möglicher Kompromittierung.