Glossaire

Terminologie de securite et de conformite utilisee dans CyberOrigen.

A

API (Application Programming Interface) Un ensemble de protocoles et d'outils pour construire des applications logicielles. CyberOrigen fournit une API REST pour l'acces programmatique.

ASV (Approved Scanning Vendor) Une entreprise approuvee par le PCI SSC pour effectuer des analyses de vulnerabilites externes pour la conformite PCI-DSS.

Attestation Une declaration formelle qu'une affirmation est vraie. Dans CyberOrigen, les utilisateurs attestent qu'ils ont l'autorisation d'analyser les cibles.

Audit Log (Journal d'Audit) Un enregistrement chronologique des evenements pertinents pour la securite, pour la responsabilite et l'analyse forensique.

Audit Trail (Piste d'Audit) Documentation complete de toutes les actions entreprises, fournissant des preuves pour les audits de conformite.

B

BAA (Business Associate Agreement) Un contrat requis par HIPAA entre les entites couvertes et leurs partenaires commerciaux manipulant les PHI.

Backup Codes (Codes de Secours) Codes de recuperation a usage unique pour la MFA, utilises lorsque l'authentificateur principal n'est pas disponible.

Breach (Violation) Acces non autorise ou divulgation d'informations protegees.

C

CDE (Cardholder Data Environment) Systemes qui stockent, traitent ou transmettent des donnees de cartes de paiement. Definition du perimetre PCI-DSS.

CIA Triad (Triade CIA) Principes de securite fondamentaux : Confidentialite, Integrite et Disponibilite.

Compliance (Conformite) Adhesion aux lois, reglements, normes ou politiques.

Control (Controle) Une mesure concue pour proteger les systemes ou l'information. Peut etre technique, administratif ou physique.

CSF (Cybersecurity Framework) Le cadre du NIST pour gerer les risques de cybersecurite a travers des fonctions cles : Identifier, Proteger, Detecter, Repondre, Recuperer.

CVE (Common Vulnerabilities and Exposures) Un identifiant standardise pour les vulnerabilites de securite connues (ex. : CVE-2024-1234).

CVSS (Common Vulnerability Scoring System) Un systeme de notation standardise pour la severite des vulnerabilites, allant de 0.0 a 10.0.

D

DAST (Dynamic Application Security Testing) Test d'une application en cours d'execution pour les vulnerabilites en simulant des attaques.

Data Subject (Personne Concernee) Sous le RGPD, une personne physique identifiable dont les donnees personnelles sont traitees.

Defense in Depth (Defense en Profondeur) Strategie de securite utilisant plusieurs couches de controles pour proteger les systemes.

DORA (Digital Operational Resilience Act) Reglement de l'UE pour la gestion des risques TIC dans le secteur financier.

DPA (Data Processing Agreement) Contrat sous le RGPD entre responsables du traitement et sous-traitants.

DPIA (Data Protection Impact Assessment) / AIPD Evaluation requise par le RGPD pour les activites de traitement de donnees a haut risque.

DPO (Data Protection Officer) / DPD Personne responsable de la conformite RGPD au sein d'une organisation.

E

Encryption (Chiffrement) Processus d'encodage des donnees pour que seules les parties autorisees puissent les lire.

ePHI (Electronic Protected Health Information) PHI sous forme electronique, protege par HIPAA.

EPSS (Exploit Prediction Scoring System) Probabilite qu'une vulnerabilite soit exploitee dans la nature.

Evidence (Preuve) Documentation prouvant l'implementation d'un controle ou le statut de conformite.

F

False Positive (Faux Positif) Un resultat incorrectement identifie comme une vulnerabilite alors qu'il n'en est pas une.

Finding (Resultat) Un probleme de securite, une vulnerabilite ou une lacune de conformite decouverte.

Framework (Referentiel) Une approche structuree pour implementer la securite ou la conformite (ex. : SOC 2, ISO 27001).

G

Gap Analysis (Analyse des Lacunes) Evaluation identifiant les differences entre l'etat de securite actuel et desire.

GDPR / RGPD (General Data Protection Regulation / Reglement General sur la Protection des Donnees) Reglement de l'UE pour la protection des donnees et la vie privee.

GRC (Governance, Risk, and Compliance) Approche integree pour gerer la gouvernance, la gestion des risques et la conformite.

H

HIPAA (Health Insurance Portability and Accountability Act) Loi americaine protegeant la confidentialite et la securite des informations de sante.

Host (Hote) Un ordinateur ou appareil sur un reseau.

I

ICT / TIC (Information and Communication Technology) Toutes les technologies utilisees pour gerer les telecommunications et les reseaux informatiques.

Incident Un evenement de securite menacant la confidentialite, l'integrite ou la disponibilite des systemes ou donnees.

ISMS / SMSI (Information Security Management System) Cadre de politiques et procedures pour gerer systematiquement la securite de l'information (ISO 27001).

IOC (Indicator of Compromise) Preuve qu'une violation de securite s'est produite.

K

KRI (Key Risk Indicator) Metrique utilisee pour mesurer l'exposition potentielle au risque.

L

Least Privilege (Moindre Privilege) Principe de securite accordant aux utilisateurs l'acces minimum necessaire pour leur role.

M

MFA (Multi-Factor Authentication) Authentification necessitant plusieurs methodes de verification.

MISP (Malware Information Sharing Platform) Plateforme open source de renseignement sur les menaces integree avec CyberOrigen.

N

NIST (National Institute of Standards and Technology) Agence americaine developpant des normes et cadres de cybersecurite.

Nuclei Scanner de vulnerabilites base sur des templates utilise par CyberOrigen.

O

OWASP (Open Web Application Security Project) Organisation produisant des ressources de securite web, y compris l'OWASP Top 10.

P

PCI-DSS (Payment Card Industry Data Security Standard) Norme de securite pour les organisations manipulant des cartes de paiement.

Penetration Testing / Test de Penetration Attaque simulee autorisee pour evaluer la securite.

PHI (Protected Health Information) Informations de sante identifiables individuellement protegees par HIPAA.

PII (Personally Identifiable Information) Donnees pouvant identifier un individu.

Policy (Politique) Declaration formelle des regles et attentes pour les pratiques de securite.

Procedure Instructions etape par etape pour implementer les politiques.

Q

QSA (Qualified Security Assessor) Individu certifie par le PCI SSC pour evaluer la conformite PCI-DSS.

Quarantine (Quarantaine) Isolation des fichiers suspects de malware pour examen.

R

RACI Matrix (Matrice RACI) Matrice d'attribution montrant qui est Responsable, Approbateur, Consulte et Informe.

RAG (Retrieval-Augmented Generation) Technique IA utilisant des connaissances externes pour ameliorer les reponses.

Remediation Processus de correction des vulnerabilites ou lacunes de conformite identifiees.

Risk (Risque) Potentiel de perte ou dommage lorsqu'une menace exploite une vulnerabilite.

Risk Appetite (Appetit pour le Risque) Quantite de risque qu'une organisation est prete a accepter.

Risk Register (Registre des Risques) Document listant les risques identifies, evaluations et plans de traitement.

ROC (Report on Compliance) Rapport d'evaluation PCI-DSS complete par un QSA.

S

SAQ (Self-Assessment Questionnaire) Outil d'auto-evaluation PCI-DSS pour les commercants eligibles.

SAST (Static Application Security Testing) Analyse du code source pour les vulnerabilites sans l'executer.

SIEM (Security Information and Event Management) Systeme collectant et analysant les logs et evenements de securite.

SLA (Service Level Agreement) Contrat definissant les niveaux de service attendus.

SOC 2 (Service Organization Control 2) Cadre d'audit pour les prestataires de services, base sur les Criteres de Services de Confiance.

SSRF (Server-Side Request Forgery) Vulnerabilite permettant aux attaquants de faire des requetes depuis le serveur.

SSL/TLS Protocoles pour chiffrer les communications reseau.

T

Threat (Menace) Cause potentielle d'un incident indesirable.

Threat Intelligence (Renseignement sur les Menaces) Information sur les menaces et les acteurs de menaces.

TLPT (Threat-Led Penetration Testing) Methodologie de test avancee requise par DORA.

Trust Services Criteria (Criteres de Services de Confiance) Criteres AICPA pour SOC 2 : Securite, Disponibilite, Integrite du Traitement, Confidentialite, Vie Privee.

V

Vulnerability (Vulnerabilite) Une faiblesse pouvant etre exploitee par une menace.

Vulnerability Management (Gestion des Vulnerabilites) Processus d'identification, evaluation, traitement et signalement des vulnerabilites.

W

WAF (Web Application Firewall) Solution de securite protegeant les applications web contre les attaques.

Webhook Callback HTTP pour les notifications en temps reel entre systemes.

Z

Zero Day Une vulnerabilite inconnue des fournisseurs ou sans correctifs disponibles.