Ordlista: säkerhetstermer på klarspråk

Leveranskedjesäkerhet är full av förkortningar. Här står vad var och en faktiskt betyder, på klarspråk, så att du kan läsa en leverantörsbedömning utan kodnyckel.

BEC

Business Email Compromise: bedrägeri där en angripare utger sig för en betrodd person för att lura personal till betalningar eller att lämna ut data.

BIMI

Brand Indicators for Message Identification: en standard som visar din verifierade logotyp bredvid autentiserad e-post i inkorgar som stöder det; kräver att DMARC är framtvingad.

CVE

Common Vulnerabilities and Exposures: en offentlig identifierare för en specifik känd sårbarhet.

CVSS

Common Vulnerability Scoring System: en poäng från 0 till 10 för hur allvarlig en sårbarhet är.

DANE

DNS-based Authentication of Named Entities: publicerar ditt TLS-certifikats fingeravtryck i DNS så att avsändare kan verifiera det. Kräver DNSSEC.

DKIM

DomainKeys Identified Mail: en kryptografisk signatur som bevisar att ett e-postmeddelande verkligen kom från din domän och inte ändrats.

DMARC

Domain-based Message Authentication, Reporting and Conformance: en e-poststandard som låter dig styra och övervaka vem som kan skicka e-post med din domän.

DNSSEC

Domain Name System Security Extensions: signerar dina DNS-poster så att angripare inte kan förfalska dem och omdirigera din trafik.

DORA

Digital Operational Resilience Act: EU-förordning om operativ och IKT-motståndskraft i finanssektorn, en syskonlagstiftning till NIS2.

EASM

External Attack Surface Management: löpande insyn i allt hos dig som är nåbart från internet, sett som en angripare ser det.

EPSS

Exploit Prediction Scoring System: sannolikheten att en sårbarhet utnyttjas i verkligheten inom kort.

HSTS

HTTP Strict Transport Security: en header som säger åt webbläsare att alltid ansluta till din webbplats via krypterad HTTPS.

Infostealer

Skadlig kod som stjäl sparade lösenord, cookies och andra inloggningsuppgifter från en infekterad enhet.

KEV

Known Exploited Vulnerabilities: en katalog över sårbarheter som bekräftats aktivt utnyttjas av angripare.

MCP

Model Context Protocol: en standard för att koppla AI-modeller till verktyg och data. En MCP-endpoint exponerad mot internet kan läcka data eller ge oavsiktlig åtkomst.

MFA

Multifaktorautentisering: att kräva en andra faktor (appkod, säkerhetsnyckel) utöver lösenordet. Förväntas enligt NIS2 art. 21.2 j.

MTA-STS

Mail Transfer Agent Strict Transport Security: tvingar e-post som skickas till din domän att använda krypterade anslutningar.

NIS2

EU:s direktiv om nät- och informationssäkerhet 2, som ställer krav på cybersäkerhet och leveranskedjor för många organisationer.

RBL

Realtime Blackhole List / DNS-blockeringslista: en publicerad lista över IP-adresser kända för skräppost eller missbruk; om din e-postservers IP är listad kan mottagare avvisa din e-post.

RPKI

Resource Public Key Infrastructure: bevisar kryptografiskt vilket nätverk som får annonsera dina IP-intervall, vilket förhindrar routkapning.

SAQ

Supplier Assessment Questionnaire: ett strukturerat säkerhetsformulär till leverantörer, vars svar norppa korsvaliderar mot skanningsbevis.

SBOM

Software Bill of Materials: en förteckning över komponenterna som en programvara är byggd av.

Shadow IT

System och tjänster som används inom en organisation utan IT-funktionens kännedom eller godkännande.

SPF

Sender Policy Framework: en DNS-post som listar servrarna som får skicka e-post för din domän.

TLS

Transport Layer Security: krypteringen bakom HTTPS som skyddar data under överföring och identifierar en webbplats.

TLS-RPT

SMTP TLS Reporting: e-postmottagare rapporterar dagligen om e-post som levererats till din domän använde krypterad TLS, så misslyckade eller nedgraderade anslutningar blir synliga.

TPRM

Third-Party Risk Management: att bedöma och övervaka den risk dina leverantörer och partner för in i din egen organisation.