Гайд не является юридическим заключением. Здесь термины объяснены простыми словами; юридические определения — в самих актах, ссылки на них в разделе «Источники».
Регуляторы и национальная система кибербезопасности
ОАЦ — Оперативно-аналитический центр при Президенте Республики Беларусь. Регулятор, который определяет требования по кибербезопасности (подп. 3.1 п. 3 Указа № 40) и требования к технической и криптографической защите информации (приказ ОАЦ № 66).
Указ № 40 — Указ Президента Республики Беларусь от 14 февраля 2023 г. № 40 «О кибербезопасности». Создаёт национальную систему обеспечения кибербезопасности. Разбор — в гайде по Указу № 40.
Национальный центр кибербезопасности — элемент национальной системы, который получает от центров кибербезопасности информацию о киберинцидентах.
Центр кибербезопасности (ЦКБ) — выявляет киберинциденты и информирует о них Национальный центр кибербезопасности не позднее одного часа с момента выявления (подп. 3.8 п. 3 Указа № 40).
Приказ ОАЦ № 130 — детализирует Указ № 40. Его приложение 4 содержит требования по кибербезопасности объектов информационной инфраструктуры. Действует в редакции приказа № 98 с 1 июля 2026 г. Чек-лист — в гайде по приказу № 130.
Приказ ОАЦ № 66 — порядок технической и криптографической защиты информации, в том числе информации ограниченного распространения и персональных данных, с требованиями по классам информационных систем.
Объекты, события и инциденты
Объект информационной инфраструктуры — объект, к активам которого применяются требования приложения 4 приказа ОАЦ № 130: реквизиты доступа, аутентификация, обновление ПО, межсетевое экранирование, сбор событий.
Актив — то, из чего состоит объект: серверы, сетевое оборудование, программное обеспечение, а также применяемые на объекте средства защиты информации.
КВОИ — критически важный объект информатизации. Требования к КВОИ в наших гайдах не разбираются: сверяйтесь с официальными актами ОАЦ.
Событие кибербезопасности — сведения, которые организация собирает и обрабатывает и хранит не менее одного года (приказ № 130, прил. 4, п. 1, абзац десятый).
Событие информационной безопасности — термин приказа ОАЦ № 66. Собственники (владельцы) информационных систем сообщают в ОАЦ о таких событиях, в том числе о нарушении конфиденциальности, целостности, доступности информации, в течение суток.
Киберинцидент — то, что выявляют центры кибербезопасности и о чём информируют Национальный центр. Информацию о киберинцидентах на своих объектах организации хранят не менее одного года (подп. 3.12 п. 3 Указа № 40).
Критическая уязвимость — о ней, как и о киберинцидентах высокого и среднего уровня, центр кибербезопасности информирует Национальный центр не позднее одного часа (п. 6 Положения об информационном взаимодействии, приказ № 130).
Информационные системы и их классы
Информация ограниченного распространения — информация, для защиты которой в информационных системах применяется приказ ОАЦ № 66.
Класс типовой информационной системы — от него зависит, какие меры перечня приказа № 66 обязательны, а какие рекомендуемые. Обозначение состоит из цифры и суффикса: 3-ин, 3-спец, 3-бг, 3-юл, 3-дсп, 4-* и другие. Расшифровка суффиксов — в приказе.
Классы 3-* — для систем классов 3-ин, 3-спец, 3-бг, 3-юл и 3-дсп обязательны, в частности, изоляция сети управления, межсетевое экранирование внутреннего и внешнего взаимодействия, обнаружение и предотвращение вторжений, централизованный сбор событий и шифрование при передаче по открытым каналам.
Классы 4-* — системы без подключения к открытым каналам передачи данных. Для них часть требований (например, управление информационными потоками) рекомендуемая.
Обязательное и рекомендуемое требование — так перечень приказа № 66 размечает меры для каждого класса. Например, многофакторная аутентификация (п. 5.6) — рекомендуемое требование.
Криптография
СКЗИ — средство криптографической защиты информации. Должно соответствовать государственным стандартам, взаимосвязанным с ТР 2013/027/BY.
ТР 2013/027/BY — технический регламент Республики Беларусь, на основе взаимосвязанных с которым государственных стандартов определяются требования к средствам криптографической защиты.
Линейное и предварительное шифрование — способы обеспечить конфиденциальность и контроль целостности информации при передаче по сетям электросвязи общего пользования; для классов 3-* это обязательно (приказ № 66, п. 5.1).
Персональные данные
Закон № 99-З — Закон Республики Беларусь «О защите персональных данных».
Оператор — организация или лицо, которые обрабатывают персональные данные. Обязан принимать правовые, организационные и технические меры по их защите (ст. 17).
Уполномоченное лицо — обрабатывает персональные данные по поручению оператора и тоже обязано их защищать.
Уполномоченный орган — орган по защите прав субъектов персональных данных. Оператор уведомляет его о нарушениях систем защиты персональных данных незамедлительно, не позднее трёх рабочих дней (ст. 16).
Стандарты и методики
СУИБ — система управления информационной безопасностью, предмет стандарта ISO/IEC 27001. Как стандарт соотносится с белорусскими требованиями — в гайде по ISO/IEC 27001.
Приложение A ISO/IEC 27001 — перечень из 93 мер в четырёх темах: организационные, кадровые, физические, технологические.
Положение о применимости (Statement of Applicability) — документ СУИБ, в котором организация указывает, какие меры приложения A применяет, а какие исключает, и почему.
NIST CSF 2.0 — методика NIST, группирующая результаты в шесть функций: Govern, Identify, Protect, Detect, Respond, Recover.
CIS Controls — набор приоритизированных технических мер защиты от Center for Internet Security.
SGRC — Security Governance, Risk and Compliance: класс систем для управления информационной безопасностью, рисками и соответствием требованиям — реестры активов и рисков, оценка соответствия, задачи по устранению.
Технические термины
Реквизиты доступа по умолчанию — заводские логины и пароли оборудования и ПО. Их нужно изменить или заблокировать (приказ № 130, прил. 4, п. 1, абзац третий).
Многофакторная аутентификация (MFA) — вход с подтверждением несколькими факторами, например паролем и одноразовым кодом.
Межсетевое экранирование — фильтрация трафика по протоколам сетевого и транспортного уровней на границе сети и между её сегментами.
Обнаружение и предотвращение вторжений — средства контроля трафика, которые выявляют и блокируют атаки (IDS/IPS).
Сегментирование сети — разделение сети на зоны с контролем трафика между ними; ограничивает горизонтальное перемещение атакующего.
CVE — идентификатор публично известной уязвимости.
CVSS — шкала критичности уязвимостей от 0 до 10.
KEV — каталог CISA Known Exploited Vulnerabilities: уязвимости, которые реально эксплуатируются.
Потенциальное несоответствие — так Cyber-Cortex называет находку, сопоставленную с требованием: признак возможного нарушения, а не юридический вывод. Решение принимает ответственное лицо организации.