Glossário de cibersegurança

AppSec, ou segurança de aplicações, reúne as práticas que reduzem falhas exploráveis em sistemas web, APIs e aplicativos ao longo de todo o ciclo do software: requisitos, modelagem de ameaças, revisão de código, testes automatizados, testes manuais e correção. O objetivo é encontrar o defeito quando ele ainda é barato de corrigir.

Desenvolvimento seguro · Fonte: OWASP Application Security Verification Standard

Blue team é a equipe que defende o ambiente: monitora eventos, detecta comportamento suspeito, responde a incidentes e corrige configurações. Em exercícios, ela enfrenta o red team e mede quanto da simulação conseguiu ver. A CyberArmor não mantém SOC próprio; monitoramento e resposta é um serviço sob contrato, no horário e SLA combinados, com equipe dedicada definida na proposta.

Monitoramento e resposta sob consulta · Fonte: NIST CSRC Glossary: blue team

Cibersegurança é a proteção de computadores, redes, sistemas e dados contra acesso indevido, alteração, interrupção e roubo. Abrange prevenção, detecção, resposta e recuperação, e combina tecnologia, processos e pessoas. No uso corrente é tratada como a parte digital da segurança da informação, que também cobre papel, processos e pessoas.

Todos os serviços · Fonte: NIST CSRC Glossary: cybersecurity

Benchmarks de configuração segura são guias públicos, mantidos por organizações independentes, por governos e pelos próprios fabricantes, que dizem como configurar sistemas operacionais, bancos de dados, nuvens e equipamentos de rede. Cada recomendação traz o que configurar, por que e como verificar, muitas vezes em níveis de exigência. São a referência mais usada para hardening e para medir a conformidade de servidores.

Guia de hardening de servidores · Fonte: NIST: National Checklist Program

CVE (Common Vulnerabilities and Exposures) é o catálogo público que dá um identificador único a cada vulnerabilidade divulgada, no formato CVE-ano-número. O identificador permite que fabricantes, scanners e equipes de segurança falem da mesma falha sem ambiguidade. A gravidade e os detalhes técnicos costumam ser consultados na NVD, base mantida pelo NIST.

Diagnóstico de máquinas · Fonte: CVE Program: Overview

DAST (teste dinâmico de segurança de aplicações) examina o sistema em execução, de fora para dentro, enviando requisições e observando as respostas, como faria um atacante sem acesso ao código. Encontra falhas de configuração, autenticação e injeção que só aparecem com a aplicação rodando. Complementa o SAST, que lê o código-fonte.

Pentest de aplicação · Fonte: OWASP: Vulnerability Scanning Tools

DevSecOps é a prática de colocar a segurança dentro da esteira de desenvolvimento e entrega, com análise de código, de dependências e de configuração rodando a cada mudança. A responsabilidade passa a ser dividida entre desenvolvimento, operações e segurança, e o problema aparece no pull request, antes de chegar à produção.

Esteira segura acompanhada · Fonte: OWASP DevSecOps Guideline

Encarregado é a pessoa indicada pelo controlador para ser o canal de comunicação entre a empresa, os titulares dos dados e a ANPD, conforme a LGPD. No mercado também é chamado de DPO. A ANPD regulamentou a atuação do encarregado e prevê regras diferenciadas para agentes de tratamento de pequeno porte.

Adequação à LGPD · Fonte: Resolução CD/ANPD nº 18/2024 (Diário Oficial da União)

Engenharia social é a manipulação de pessoas para que revelem informações, entreguem acessos ou executem ações que favorecem o atacante. Explora confiança, pressa, medo e autoridade, por e-mail, telefone, mensagem ou contato presencial. Phishing é a forma mais comum. A defesa combina processos de confirmação, treinamento periódico e testes simulados.

Conscientização com simulação de phishing · Fonte: NIST CSRC Glossary: social engineering

Ethical hacking é o uso de técnicas de ataque com autorização formal do dono do sistema, escopo definido e regras de engajamento por escrito, para encontrar falhas antes de um criminoso. O resultado é um relatório com evidências e recomendações de correção. Na prática comercial, o serviço contratado com esse fim é o pentest.

Pentest de aplicação

Gestão de vulnerabilidades é o ciclo contínuo de descobrir ativos, identificar falhas conhecidas, priorizar pelo risco real para o negócio, corrigir ou mitigar e verificar a correção. Um scanner sozinho produz uma lista; a gestão decide o que corrigir primeiro, quem corrige e em que prazo, e acompanha até fechar.

Hardening e conformidade contínuos · Fonte: NIST CSRC Glossary: vulnerability

Governança de IA é o conjunto de regras, responsáveis e controles que define quais ferramentas de inteligência artificial a empresa usa, com quais dados e para quê. Inclui política de uso, inventário de ferramentas, avaliação de risco, registro de uso e revisão periódica. Referências como o AI RMF do NIST ajudam a estruturar o programa.

Governança de IA contínua · Fonte: NIST AI Risk Management Framework

GRC (governança, risco e conformidade) é a forma integrada de decidir como a segurança é dirigida, quais riscos a empresa aceita e como ela demonstra que cumpre leis, normas e contratos. Na prática envolve políticas, análise de riscos, controles, evidências e auditorias, com LGPD e ISO/IEC 27001 entre as referências mais comuns no Brasil.

Governança e conformidade · Fonte: NIST CSRC Glossary: governance, risk, and compliance

Hardening é o endurecimento da configuração de servidores, estações e equipamentos: desligar serviços sem uso, remover contas e permissões excessivas, ajustar criptografia, registros e atualizações. Reduz a superfície de ataque sem comprar ferramenta nova. Costuma seguir um padrão publicado, como os benchmarks públicos de configuração segura, para que o resultado possa ser medido e repetido.

Guia de hardening de servidores · Fonte: NIST CSRC Glossary: hardening

Injeção de prompt é o ataque em que instruções maliciosas, digitadas pelo usuário ou escondidas em um documento, página ou e-mail lido pelo modelo, fazem um assistente de IA ignorar suas regras, vazar dados ou executar ações indevidas. A OWASP a lista como o primeiro risco em aplicações com modelos de linguagem.

Uso seguro de IA · Fonte: OWASP GenAI: LLM01 Prompt Injection

ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação (SGSI): escopo, análise de riscos, controles, indicadores, auditoria interna e melhoria contínua. Uma empresa pode ser certificada por organismo acreditado. No Brasil, a versão adotada pela ABNT leva o nome ABNT NBR ISO/IEC 27001.

Preparação para a ISO/IEC 27001

LGPD é a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), que regula como empresas e órgãos públicos coletam, usam, guardam e compartilham dados de pessoas físicas no Brasil. Exige base legal para cada tratamento, transparência com o titular, medidas de segurança e comunicação de incidentes. A fiscalização cabe à ANPD.

Guia de LGPD para pequena empresa · Fonte: Lei nº 13.709/2018 (Planalto)

OWASP Top 10 é a lista, publicada pela fundação OWASP e revista periodicamente, das categorias de risco mais críticas em aplicações web, como controle de acesso quebrado, falhas de injeção e configuração insegura. Serve de vocabulário comum entre desenvolvimento e segurança e de ponto de partida para revisões de código e pentests.

Raio-X do código · Fonte: OWASP Top Ten

Pentest, ou teste de intrusão, é a simulação autorizada de um ataque contra um sistema, aplicação ou rede, com escopo e janela combinados por escrito. O testador tenta explorar as falhas encontradas para provar o impacto real e entrega um relatório com evidências, gravidade e recomendações. Na CyberArmor, o pentest de aplicação é contratado por projeto.

Pentest de aplicação · Fonte: NIST CSRC Glossary: penetration testing

Phishing é a mensagem fraudulenta, geralmente por e-mail ou aplicativo de mensagens, que se passa por alguém confiável para roubar senhas, dados ou dinheiro, ou para instalar código malicioso. É a porta de entrada mais comum de incidentes. Simulações controladas medem quem clica e orientam o treinamento seguinte.

Conscientização com simulação de phishing · Fonte: NIST CSRC Glossary: phishing

Purple team é o formato de exercício em que ataque e defesa trabalham juntos: o red team executa uma técnica, o blue team verifica em tempo real se a detectou e ajusta regras e alertas na hora. Cada simulação já melhora a detecção no mesmo dia, sem esperar o relatório final.

Pentest de aplicação

Red team é a equipe que imita um adversário real, com objetivo definido e técnicas variadas, para testar se a organização detecta e responde a um ataque. Costuma ser mais amplo e mais longo que um pentest. A CyberArmor faz simulação de ataque por projeto, na forma de pentest de aplicação, sem operação de red team contínua.

Pentest de aplicação · Fonte: NIST CSRC Glossary: red team exercise

SAST (teste estático de segurança de aplicações) analisa o código-fonte sem executá-lo, procurando padrões que levam a vulnerabilidades, como entrada sem validação, segredos no código e uso inseguro de criptografia. Roda cedo, no próprio pull request, e aponta arquivo e linha. Gera falsos positivos, por isso precisa de triagem humana.

Raio-X do código · Fonte: OWASP: Source Code Analysis Tools

SBOM (Software Bill of Materials) é o inventário formal dos componentes que formam um software, com nome, versão, origem e relação entre bibliotecas abertas e comerciais. Com ele, quando surge uma nova vulnerabilidade em uma dependência, a empresa descobre em minutos quais sistemas são afetados, sem depender de memória ou de busca manual.

Raio-X do código · Fonte: NIST CSRC Glossary: SBOM

SCA (análise de composição de software) examina as bibliotecas de terceiros usadas por um sistema e cruza cada versão com bases de vulnerabilidades conhecidas e com as licenças de uso. Como a maior parte do código de uma aplicação moderna vem de dependências, é a forma mais direta de achar falhas herdadas.

Raio-X do código · Fonte: NIST CSRC Glossary: software composition analysis

Segurança da informação é a proteção da confidencialidade, integridade e disponibilidade da informação, em qualquer formato: digital, papel ou conhecimento das pessoas. Envolve políticas, gestão de riscos, controles técnicos, conscientização e conformidade com leis e normas. A cibersegurança é a parte dessa disciplina dedicada a sistemas e redes.

Todos os serviços · Fonte: NIST CSRC Glossary: information security

Shadow AI é o uso de ferramentas de inteligência artificial pelos funcionários sem conhecimento ou aprovação da empresa, como colar contratos, planilhas de clientes ou código em um chatbot pessoal. O risco principal é o vazamento de dados para fora do controle da empresa. Proibir sem oferecer alternativa costuma empurrar o uso para canais ainda menos visíveis.

Guia para controlar o uso do ChatGPT

SIEM (Security Information and Event Management) é a plataforma que coleta registros de servidores, redes, nuvem e aplicações, correlaciona eventos e gera alertas sobre comportamento suspeito. Também guarda o histórico para investigação e auditoria. É a principal ferramenta de trabalho de um SOC, e só entrega valor com regras ajustadas e alguém lendo os alertas.

Monitoramento e resposta sob consulta · Fonte: NIST CSRC Glossary: SIEM tool

SOC (Security Operations Center) é a equipe, com processos e ferramentas, que monitora o ambiente de forma contínua, analisa alertas, investiga incidentes e coordena a resposta. Pode ser interno ou contratado de terceiros. Sem SOC próprio, a CyberArmor oferece monitoramento e resposta sob contrato, no horário e SLA combinados, com equipe dedicada e implantação definida na proposta.

Monitoramento e resposta sob consulta · Fonte: NIST CSRC Glossary: SOC

vCISO, ou CISO virtual, é o profissional externo que exerce a função de gestor de segurança da informação em tempo parcial: define prioridades, conduz a política de segurança, acompanha riscos e fornecedores e reporta à direção. Atende empresas que precisam dessa liderança sem a contratação de um executivo em tempo integral.

vCISO · Fonte: NIST CSRC Glossary: chief information security officer