Glossário de cibersegurança

É o risco que vem de quem já tem acesso autorizado, como um colaborador, um prestador ou uma conta legítima nas mãos de um atacante, e que pode, por intenção ou por descuido, destruir, divulgar ou alterar dados ou interromper um serviço (NIST). Controles baseados só em assinaturas ou regras não enxergam esse caso; a análise comportamental (UEBA) aponta o uso anômalo de credenciais e o abuso de contas privilegiadas.

É a Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, que zela pela proteção dos dados pessoais e fiscaliza e aplica as sanções da LGPD (LGPD, arts. 55-A e 55-J). O nome "Agência" veio com a Medida Provisória nº 1.317/2025, convertida na Lei nº 15.352/2026; antes, era a Autoridade Nacional de Proteção de Dados. O incidente com dados pessoais que possa causar risco ou dano relevante aos titulares é comunicado à ANPD em três dias úteis (ANPD).

É o incidente em que o atacante explora vulnerabilidades na rede de fornecimento de produtos ou serviços da empresa-alvo, como um software, um componente ou um prestador com acesso, em qualquer fase do ciclo de vida do sistema (NIST). A defesa passa pela gestão de risco de terceiros (TPRM) e da cadeia de suprimentos (SCRM), que o NIST CSF 2.0 trata na categoria GV.SC.

É a simulação contínua e automatizada de técnicas de ataque conhecidas, mapeadas no MITRE ATT&CK, para validar os controles e a cobertura de detecção do SOC. Mostra a distância entre "temos a ferramenta" e "ela funciona", e o que não foi testado não deve ser dado como seguro.

É a prevenção de danos, a proteção e a restauração de computadores e de sistemas e serviços de comunicação eletrônica, e da informação que eles contêm, para garantir disponibilidade, integridade, autenticação, confidencialidade e não repúdio (NIST). O NIST CSF 2.0 organiza esse trabalho em seis funções, de Governar a Recuperar, e a Vortex Security, empresa brasileira de cibersegurança, segue essas funções na Jornada de Cibersegurança.

São um conjunto prescritivo, priorizado e simplificado de boas práticas de cibersegurança, mantido pelo Center for Internet Security (CIS), para defender sistemas e redes dos ataques mais comuns (CIS). A versão 8.1 tem 153 salvaguardas, divididas em três grupos de implementação; o primeiro (IG1), de "higiene cibernética essencial", é o ponto de partida recomendado para toda empresa (CIS).

É o modelo que substitui avaliações pontuais por um ciclo contínuo de gestão da exposição a ameaças, em cinco estágios: escopo, descoberta, priorização, validação e mobilização. Prioriza pelo risco real, e não só pela severidade teórica, comprova a eficácia das defesas e leva cada correção a um responsável com prazo.

É a lista de vulnerabilidades de cibersegurança publicamente conhecidas, em que cada entrada tem um número de identificação, uma descrição e pelo menos uma referência pública (NIST). O identificador CVE é o nome comum que ferramentas, fabricantes e equipes usam para a mesma falha; a probabilidade de exploração é avaliada à parte, com o catálogo KEV e o EPSS.

É o método de avaliação de risco de OT da ISA/IEC 62443-3-2 que, em vez de listar as CVEs da rede, mede o que acontece com o processo físico se uma função de automação for comprometida, com consequências em pessoas, meio ambiente, finanças e reputação. A prioridade sai do impacto físico, e o scan de vulnerabilidades entra como evidência.

É o ataque de negação de serviço feito a partir de muitas máquinas ao mesmo tempo (NIST), para impedir o acesso legítimo a um site, uma API ou um link, ou atrasar operações críticas (NIST). A mitigação pode ficar num equipamento local, na nuvem (scrubbing) ou nos dois.

É a combinação de resposta a incidentes, que contém, investiga e erradica o ataque, com forense digital, que preserva e analisa as evidências para reconstruir o que aconteceu. No modelo de retainer, a equipe de resposta a incidentes e forense digital fica disponível sob contrato antes de o incidente acontecer.

É a tecnologia que monitora, detecta e impede o vazamento de dados sensíveis por canais como e-mail, navegação, dispositivos removíveis e uploads, com políticas que mantêm a informação crítica protegida e em conformidade com as normas. Depende de saber onde estão os dados sensíveis, por isso a descoberta e a classificação de dados vêm antes. Para prompts e respostas de IA, veja DLP para IA.

É a tecnologia de detecção e resposta em estações de trabalho e servidores: monitora de forma contínua o que acontece no equipamento, aponta comportamentos suspeitos e permite responder, por exemplo isolando a máquina da rede, além de apoiar a análise forense. É a base da proteção de endpoint e, sozinha, não cobre rede, nuvem e identidade.

É o ato de enganar uma pessoa, ganhando a confiança dela, para que revele informação sensível, conceda acesso não autorizado ou cometa uma fraude (NIST). Phishing e o comprometimento de e-mail corporativo (Business Email Compromise, BEC) são exemplos. Campanhas controladas de phishing e engenharia social medem a exposição das pessoas e orientam a conscientização.

É o modelo do FIRST, baseado em dados e aprendizado de máquina, que estima a probabilidade de uma CVE publicada ser explorada nos próximos 30 dias e publica todo dia esse número, de 0 a 1, para cada CVE (FIRST). Junto com o catálogo KEV, ajuda a decidir o que corrigir primeiro.

É a transferência não autorizada de informação para fora de um sistema (NIST). No ransomware, os dados roubados viram ameaça de venda ou de vazamento. A análise comportamental e o NDR apontam envios fora do padrão, como uma conta que passa a mover muito mais dado do que costuma.

É o processo contínuo de identificar e avaliar as vulnerabilidades de todos os tipos, priorizá-las e testar e aplicar a resposta a cada uma (NIST SP 800-61r3). Priorizar pela exploração ativa, e não só pela severidade teórica, é olhar se a falha está no catálogo KEV, se o ativo é alcançável pela internet e crítico para o negócio e qual a probabilidade de exploração (EPSS). O CTEM amplia esse trabalho para toda a exposição a ameaças.

É a série de normas internacionais de cibersegurança para sistemas de automação e controle industrial (IACS), desenvolvida pelo comitê ISA99, da ISA, com a IEC: IEC 62443, ISA/IEC 62443 e ISA 62443 são a mesma série (ISA). As partes se dividem em quatro grupos (geral, políticas e procedimentos, sistema e componente) e se dirigem aos donos dos ativos, aos fabricantes, aos integradores e aos prestadores de serviço. A avaliação de risco do projeto segue a parte 3-2, e os requisitos do sistema, com níveis de segurança, a 3-3.

É a ocorrência que compromete, de fato ou de forma iminente e sem autorização legal, a confidencialidade, a integridade ou a disponibilidade de uma informação ou de um sistema, ou que viola, ou ameaça violar, leis, políticas de segurança ou de uso aceitável (NIST SP 800-61r3). Nem todo evento é incidente: evento é qualquer ocorrência observável, e evento adverso é o que tem consequência negativa. Com dados pessoais, a ANPD fala em evento adverso confirmado (ANPD).

São artefatos técnicos ou observáveis que sugerem que um ataque é iminente, está em andamento ou que um comprometimento pode já ter acontecido (NIST SP 800-61r3), como o hash de um arquivo malicioso, um endereço IP ou um domínio. No SOC, os IoCs alimentam a detecção e a contenção, como a quarentena pelo hash e o bloqueio do IP de origem.

É a norma internacional com os requisitos de um sistema de gestão de continuidade de negócios (SGCN, ou BCMS em inglês), para a organização se preparar para interrupções, responder a elas e se recuperar (ISO). A edição atual é de 2019. A Vortex é certificada na ISO 22301, e o planejamento de continuidade e de recuperação de desastres (BCDR) começa pela análise de impacto ao negócio (BIA).

É a norma internacional com os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de segurança da informação (SGSI, ou ISMS em inglês), inclusive a avaliação e o tratamento dos riscos de segurança da informação (ISO). A edição atual é de 2022, e a certificação é feita por auditoria. A Vortex é certificada na ISO/IEC 27001 desde 2023, e a consultoria prepara empresas para a conformidade.

É a norma internacional de gestão da privacidade da informação: define os requisitos de um sistema de gestão da privacidade (PIMS, na sigla em inglês) para organizações que tratam dados pessoais. Ajuda a mostrar que os dados pessoais são tratados segundo padrões internacionais de privacidade. A Vortex é certificada na ISO/IEC 27701 desde 2023, junto com a ISO/IEC 27001.

É o catálogo da CISA, a agência de cibersegurança dos Estados Unidos, com as vulnerabilidades que já foram exploradas em ataques reais (CISA). A própria CISA recomenda usá-lo como entrada na priorização da gestão de vulnerabilidades: uma falha já explorada vem antes de uma que é grave só no papel.

É a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), que regula o tratamento de dados pessoais, inclusive nos meios digitais, para proteger os direitos de liberdade e de privacidade e o livre desenvolvimento da personalidade (LGPD). Em segurança, exige medidas técnicas e administrativas para proteger os dados (art. 46) e a comunicação à ANPD e aos titulares do incidente que possa causar risco ou dano relevante (art. 48). A ANPD fiscaliza e aplica as sanções.

É o software ou firmware feito para executar um processo não autorizado que prejudica a confidencialidade, a integridade ou a disponibilidade de um sistema, como vírus, worms, cavalos de Troia e spyware (NIST). O ransomware é um tipo de malware. A proteção de endpoint bloqueia o malware conhecido por assinatura, e o EDR detecta comportamentos suspeitos que a assinatura não pega.

É o serviço em que um fornecedor especializado monitora o ambiente da empresa 24x7, investiga as ameaças e responde a elas, inclusive com a contenção do ataque, usando tecnologia, analistas e processos próprios. A diferença para o modelo tradicional de MSSP está na resposta: o MDR não para no alerta, investiga e age dentro de regras combinadas com a empresa. O guia O que é MDR compara as opções.

É o princípio de segurança pelo qual cada usuário, ou processo agindo em nome dele, recebe só os acessos mínimos necessários para as tarefas que executa (NIST). Reduz a superfície de ataque e o estrago de uma conta comprometida. A gestão de acessos privilegiados (PAM) e a de privilégios no endpoint (EPM) aplicam o princípio.

É a autenticação que exige dois ou mais fatores diferentes: algo que a pessoa sabe, como uma senha; algo que ela tem, como um token; ou algo que ela é, como a biometria (NIST). Dificulta o acesso não autorizado mesmo quando a senha vaza.

É a base de conhecimento pública da MITRE sobre táticas e técnicas de atacantes, construída a partir de observações de ataques reais (MITRE ATT&CK). Organiza o comportamento do atacante em táticas, como acesso inicial, movimentação lateral e impacto, e nas técnicas de cada uma. Serve para mapear o que os casos de uso de um SOC detectam e para orientar testes de controles; a versão 20 saiu em outubro de 2026.

É a tática em que o atacante, já dentro do ambiente, passa de um sistema ou de uma conta para outros até chegar ao alvo, muitas vezes com credenciais legítimas e ferramentas nativas da rede e do sistema operacional, o que a torna mais discreta (MITRE ATT&CK, TA0008). Microssegmentação, análise comportamental (UEBA), NDR e iscas (deception) ajudam a limitá-la e a vê-la.

É a empresa que assume, como serviço contínuo, parte ou toda a operação de segurança de outra empresa: monitora o ambiente e opera e gerencia tecnologias como firewall, SIEM e proteção de endpoint, com equipe, processos e plataforma próprios. Não é o mesmo que MSP, que gerencia a TI em geral. O que o MSSP entrega depende do contrato: no modelo tradicional, monitora e encaminha os alertas; quando oferece MDR, também investiga e contém a ameaça.

É a tecnologia que monitora o tráfego de rede em tempo real e detecta padrões anômalos e possíveis ameaças com inteligência comportamental e análise de fluxo. Ajuda a achar movimentação lateral, comunicação com servidores de comando e controle e exfiltração de dados, inclusive entre equipamentos que não aceitam agente.

É o modelo de SOC de nova geração que a Vortex Security opera no Cyber Defense Center: IT, OT e IA no mesmo contexto de detecção, com visão unificada de risco, correlação cruzada entre IT e OT, contexto de IA na superfície de ataque e foco no risco para o negócio. Na leitura da Vortex, é a terceira geração do SOC, depois do SOC tradicional, focado na detecção e no volume de eventos, e da automação e orquestração.

É o framework de cibersegurança do NIST, que organiza a gestão de riscos de cibersegurança em seis funções: Governar (GV), Identificar (ID), Proteger (PR), Detectar (DE), Responder (RS) e Recuperar (RC) (NIST CSWP 29). A versão 2.0, de 26/02/2024, acrescentou Governar às cinco funções da versão 1.1, de 2018. A Jornada de Cibersegurança da Vortex segue as seis funções.

São os sistemas e dispositivos programáveis que interagem com o ambiente físico, monitorando ou controlando equipamentos, processos e eventos, como os sistemas de controle industrial (ICS), a automação predial e o controle de acesso físico (NIST). Na indústria e na energia, inclui CLPs, sistemas SCADA e relés de proteção. Em OT, a continuidade do processo vem antes de tudo, e o monitoramento de segurança usa coleta passiva.

É o padrão de segurança de dados da indústria de cartões de pagamento, do PCI Security Standards Council, com requisitos técnicos e operacionais para proteger os dados de conta de pagamento (PCI SSC). Vale para quem armazena, processa ou transmite dados de titulares de cartão ou dados sensíveis de autenticação, ou pode afetar a segurança desse ambiente: lojistas, processadoras, adquirentes, emissores e prestadores de serviço.

É o teste em que especialistas, dentro de regras e limites combinados, tentam contornar ou derrotar os controles de segurança de um sistema, como um atacante faria (NIST). Mostra quais falhas são exploráveis de verdade e entrega as vulnerabilidades priorizadas e as recomendações. No setor financeiro, a Resolução CMN 4.893 exige um teste de intrusão independente ao menos uma vez por ano.

É a técnica de enganar a pessoa com uma mensagem fraudulenta, em geral um e-mail ou um site falso que se passa por uma empresa ou pessoa confiável, para obter dados sensíveis, como senhas, ou fazê-la abrir um anexo malicioso (NIST). É uma forma digital de engenharia social. A defesa combina proteção de e-mail, MFA, treinamento com simulações e a investigação rápida pelo SOC.

É o documento que define, antes de um ataque, como a empresa detecta, contém, erradica e se recupera de um incidente: quem decide, como classificar, quem avisar, que playbooks seguir e como preservar evidências (NIST). Para o NIST, é o roteiro da capacidade de resposta a incidentes e precisa ser mantido, testado e sincronizado com o plano de continuidade de negócios (NIST SP 800-61r3). O guia de plano de resposta a incidentes detalha o conteúdo.

É o passo a passo de resposta a um tipo de situação, como um phishing ou uma credencial vazada: o que verificar, quem acionar e que ação executar (NIST SP 800-61r3). No SOC, os playbooks rodam no SOAR e automatizam triagem, enriquecimento e contenção, e a contenção automática segue playbooks aprovados pela empresa.

É o malware que cifra os arquivos e sistemas de uma organização e exige pagamento para devolver o acesso; muitas vezes os atacantes também roubam os dados e ameaçam vendê-los ou publicá-los se o resgate não for pago (NIST IR 8374; CISA). No MITRE ATT&CK, cifrar dados para cobrar resgate é a técnica Data Encrypted for Impact (T1486). A defesa combina prevenção, detecção cedo pelo SOC, recuperação testada e um plano de resposta a incidentes ensaiado.

É o grupo autorizado a emular as capacidades de ataque de um adversário contra a postura de segurança de uma empresa, para mostrar o impacto de um ataque bem-sucedido e o que funciona para os defensores, o Blue Team (NIST). Diferente do pentest, que procura as falhas exploráveis, o exercício de Red Team tem objetivos definidos e usa técnicas do MITRE ATT&CK para medir a capacidade de prevenir, detectar e responder a um ataque direcionado.

É a resolução normativa da ANEEL, de 14/12/2021, que exige uma política de segurança cibernética e a notificação dos incidentes cibernéticos de maior impacto. Vale para concessionários, permissionários e autorizados de serviços ou instalações de energia elétrica e para as entidades de operação do sistema, de comercialização de energia e de gestão de encargos setoriais, desde 1º/7/2022.

É a resolução do Conselho Monetário Nacional que exige política de segurança cibernética e plano de resposta a incidentes das instituições autorizadas pelo Banco Central e fixa regras para contratar processamento, armazenamento de dados e computação em nuvem (CMN 4.893). A Resolução BCB 85 traz as mesmas exigências para instituições de pagamento e outras. Desde dezembro de 2025, com a Resolução CMN 5.274, exige também teste de intrusão independente ao menos uma vez por ano.

É a proteção dos sistemas de IA da empresa, como modelos, aplicações de IA generativa, agentes e os dados que eles usam, contra ataques, vazamento e uso indevido. Não é o mesmo que a segurança feita com IA, como a de um SOC com IA. Os termos dessa área, de prompt injection a shadow AI e ISO/IEC 42001, estão no glossário de segurança de IA.

É o conjunto de controles que protege dados, aplicações, identidades e cargas de trabalho em nuvem pública ou híbrida. Inclui a gestão contínua da configuração (CSPM), a proteção de aplicações cloud-native do build ao runtime (CNAPP), a visibilidade e o controle do uso de aplicações SaaS, IaaS e PaaS (CASB) e a governança das permissões de identidade na nuvem (CIEM).

É a plataforma que centraliza os registros (logs) e os eventos de segurança de todo o ambiente, como firewalls, servidores, identidades, nuvem e aplicações, correlaciona esses eventos e gera alertas; também guarda os registros para investigação e auditoria (NIST). Sem um SOC, gera alertas que ninguém investiga. O guia de SIEM, SOAR, EDR, XDR e NDR compara as cinco tecnologias.

É a tecnologia que integra as ferramentas de segurança por API e executa playbooks que automatizam a triagem, o enriquecimento, a contenção e a resposta a incidentes. Reduz o tempo de resposta (MTTR) e libera os analistas para os casos complexos; as ações de maior impacto podem exigir aprovação humana. O SIEM detecta, e o SOAR coordena o que fazer.

É a equipe que monitora o ambiente de uma empresa de forma contínua para detectar, analisar e responder a incidentes de cibersegurança, com processos definidos e tecnologia de apoio, como SIEM, SOAR e EDR. Coleta e correlaciona eventos, separa a ameaça real do ruído e coordena a contenção. Pode ser interno, terceirizado (SOC as a Service) ou híbrido; o guia O que é SOC explica cada modelo.

É o SOC que monitora redes industriais e responde a incidentes com cuidado para não interromper o processo: coleta passiva, protocolos industriais, analistas formados em segurança industrial e playbooks que respeitam as restrições da planta. Integrado ao SOC de TI, acompanha o ataque que começa no escritório e tenta chegar ao controlador.

É o conjunto de pontos na fronteira de um sistema ou de um ambiente por onde um atacante pode tentar entrar, causar um efeito ou extrair dados (NIST). Inclui o que está exposto na internet, como domínios, subdomínios, IPs, serviços e certificados. A gestão da superfície de ataque (ASM e EASM) descobre e monitora esses pontos como um atacante os veria.

É a busca proativa, feita por analistas, de sinais de ataque que as regras e os casos de uso ainda não detectam, sobre a telemetria já coletada. No SOC, anda junto com a engenharia de detecção, que cria e ajusta os casos de uso e as regras a partir do que se aprende.

É a informação sobre ameaças cibernéticas agregada, transformada, analisada, interpretada ou enriquecida para dar o contexto necessário às decisões (NIST SP 800-61r3). Inclui indicadores de comprometimento, táticas e técnicas de atacantes e o monitoramento da deep e da dark web em busca de credenciais vazadas, vazamento de dados e campanhas de phishing contra a empresa. No SOC, enriquece os alertas e orienta a detecção.

É a análise comportamental de usuários e entidades: aprende o comportamento normal de usuários, dispositivos e serviços e aponta desvios, como acessos atípicos, movimentação lateral, uso anômalo de credenciais, exfiltração de dados e abuso de contas privilegiadas. Funciona mesmo quando o atacante usa credenciais legítimas, cenário em que controles baseados só em assinaturas ou regras são cegos.

É a exposição de dados a quem não tem autorização, por ataque, erro ou abuso de acesso. O NIST fala em violação (breach) quando há perda de controle, comprometimento, divulgação ou aquisição não autorizada de dados pessoais (NIST). Pela LGPD, o incidente com dados pessoais que possa causar risco ou dano relevante aos titulares é comunicado à ANPD e aos titulares (art. 48).

É a fraqueza num sistema de informação, nos procedimentos de segurança, nos controles internos ou na implementação que pode ser explorada ou acionada por uma fonte de ameaça (NIST). As vulnerabilidades conhecidas recebem um identificador CVE, e a gestão de vulnerabilidades decide a ordem de correção.

É a plataforma que correlaciona a telemetria de endpoint, rede, identidade, nuvem e e-mail, com detecções contextualizadas e resposta orquestrada em várias camadas a partir de um só lugar. Dá uma visão integrada do ataque que passa por mais de uma camada, mas ainda depende de pessoas para investigar e decidir.

É o modelo de segurança que não dá confiança implícita a um usuário, dispositivo ou conta por estar na rede interna ou por ser da empresa: cada acesso a um recurso é autenticado e autorizado antes, com o menor privilégio (NIST SP 800-207). Protege recursos, e não segmentos de rede, e responde a usuários remotos, dispositivos pessoais e nuvem. Na prática, combina identidade forte com MFA, ZTNA no acesso a aplicações e microssegmentação no ambiente interno.