サイバーセキュリティ用語のよくある誤解を避ける

言葉は難しい。英語は難しい。私たちがどうやって何かを伝えられているのか、ほぼ奇跡に近い。

時々、オスカー・ワイルドやマーク・トゥエインのような偉大な作家のように、読者が完璧にイメージできるようキャラクターやシナリオを描写できたらと願う。

代わりに、私はシェイクスピアのように言葉を発明し、狂った韻律に合わせて言葉をねじ曲げ、私のような凡人が意図した意味を理解するのに苦労する存在なのではないかと恐れる（ちなみに、私はシェイクスピアが大好きです）。

残念ながら、私の選んだ分野は仲間のシェイクスピアたちで溢れているようだ — アルファベットスープを壁に投げつけ、茶葉を読むように結果を読み解く人々、ただ精度は茶葉より低いが。

それは本当に何を意味するのか？

NISTサイバーセキュリティ用語集の基盤となるサイバーセキュリティ用語データベースを作成したとき、「リスク」や「セキュリティ」のような普遍的な用語でさえ、どれほど混乱があるか驚きました。「サイバーセキュリティ」という言葉の意味について、いまだに真のコンセンサスはありません！

そこで、サイバーセキュリティ分野でよく誤用される用語のリストをまとめました（これらは非公式な説明であり、情報提供を目的としています）：

データ vs. 情報 vs. 知識

データは通常、情報を構成するビットとバイトと見なされます。情報は複数のビットとバイトを何か有用なものに変換します。例えば、温度センサーが「102」と読み取っても、情報によってそれが人間の口に入っていた温度センサーで102華氏度だと分かります。知識は情報を行動に変えるものです。人間にとって102華氏度は高熱すぎると判断します。データ、情報、知識の境界は曖昧ですが、それらの境界を激しく主張する人もいます。

脅威 vs. リスク

脅威は、起こり得る悪いこと、または悪いことを引き起こす主体（別名「脅威アクター」）を指します。リスクには、悪いことが起こる確率と潜在的な結果が含まれます。人々はこれらの言葉を（誤って）交換可能に使いがちです。

リスク管理

何か悪いことが起こる潜在性への対応プロセス。一般的に4つの選択肢があります：リスクを受容する、移転する、回避する、軽減する。誰と話すかによっては少なくとも8つの選択肢がありますが、これらは伝統的な4つです。サイバーセキュリティ担者がリスク管理について語るとき、リスク管理フレームワークに定められたプロセスを指している場合があります。

サイバーセキュリティ

基本的に、コンピュータシステム（ネットワーク、インターネット、および「スマート」なものすべてを含む）の保護。しかし、情報保証、データ保護、プライバシーも包括する傘用語として使われてきました。誰かが「サイバー」とは何かを適切に説明できるまで、この用語は変化し続けるでしょう。

情報保証（またはセキュリティ）

あらゆる事実、ニュース、知識、時にはデータを、あらゆる形態（紙、電子、石板、信号、記憶など）で保護すること。サイバーセキュリティと混同され、その傘下に置かれがちです。

標準

多くの人がNIST特別出版物（SP）を標準と呼びますが、それはもう少し複雑です。NISTは正式な標準 — 連邦情報処理標準（FIPS）を開発しており、FIPS 200やFIPS 140-3などが例です。NISTは業界標準や国際標準の開発にも参加しています。「標準」という言葉は、品質レベルや受け入れられた規範を意味することもあります。この最後の意味では、NIST出版物はしばしば「標準」として使用されます。微妙な違いですが重要です。それでも一般的には、NIST特別出版物（SP）、内部/機関間報告書（IR）、ホワイトペーパー、またはFIPS以外のものを「標準」と呼ぶのは避け、「出版物」「文書」「ガイダンス」などの用語を使うのが最善です。

要件 vs. コントロール

これら両方の用語は、組織がサイバーセキュリティリスクを管理するために持つ、または実行する特定の活動、プロセス、プラクティス、ケイパビリティを特定するために使用できます。コントロールは必須ではない場合がありますが、要件は一般的に必須です。文書がどの用語を使っているか常に確認するのが最善です。例えば、多くの人がNIST SP 800-171の要件をコントロールと呼びますが、これは不正確です。

監査 vs. アセスメント

サイバーセキュリティでは、監査という用語は他の分野よりもより形式的でネガティブなニュアンスを持つことが多いです。監査は、データ侵害などのインシデント後（一般的に内部監査）、顧客の要請時（通常は顧客による外部監査）、認証取得時（サードパーティ監査）に実施されます。アセスメントは通常、より友好的な健康診断のようなものです。多様な活動を含み、狭義にも広義にも、企業が望む厳格さや状況に適した厳格さで実施できます。この一般則の例外の一つは、サイバーセキュリティ成熟度モデル認証（CMMC）プログラムで、アセスメントという言葉を企業評価の正式な方法として使用しています。

コンプライアンス

コンプライアンスは通常、要件（内部または外部、時には規制）を満たすことを指し、何らかの認証やアテステーションで示されることが多いです。人々は「NIST準拠」のようなフレーズをよく使います。これは誤解を招く可能性があります。多くの人は、NISTが要件を強制したり、企業の製品やプロセスのセキュリティを認証・アテステーションしたりしていると解釈するからです。通常「NIST準拠」で意図されるのは、企業がNIST出版物のプラクティスと手順を用いて、何らかの要件を満たしていることです。これはコンプライアンス活動と見なせますが、どのルールや要件がコンプライアンスの対象かを明示することで混乱を避けるのが一般的に最善です。例えば、DFARS準拠のためにNIST SP 800-171に従う、と表現できます。暗号アルゴリズムとモジュールの場合は例外で、正しい用語は「検証済み」であり、「準拠」は全体として正式に評価されていないことを示します。

英語の言葉は、インターネット上のミームとほぼ同じ速さで進化します — 100万のシェイクスピアたちが英語を裏庭へ連れ出し、解体、操作、折り畳み、かろうじて認識可能な文字列に変える。サイバーセキュリティ分野では、これが無謀に行われているように見えます。しかし、これらの重要用語とその使い方を理解することは、あなたのサイバーセキュリティニーズを理解し、伝える助けになります。