Глоссарий IDM / IGA / IAM / PAM

Дисциплина управления доступом к ресурсам после установления идентичности, включающая аутентификацию, авторизацию, управление сессиями и применение политик доступа.

ГОСТ

Управление доступом (ГОСТ Р 59383-2021)

Применение

Нормативная привязка: ГОСТ Р 59383-2021 «Управление доступом»

midPoint: Управление доступом (AM) — это дисциплина безопасности, которая предоставляет доступ к определённым ресурсам авторизованным пользователям.

1IDM: Управление доступом — Системы и процессы, используемые для управления аутентификацией и авторизацией доступа к ресурсам внутри организации, таким как файлы, приложения, системы, устройства и т.д.

Источники

• ГОСТ Р 59383-2021 (protect.gost.ru) ↗ первоисточник

Набор атрибутов, учётных данных и идентификаторов, которые уникально представляют сущность в цифровых системах.

Синонимы

• Электронный профиль

Запрещённые варианты

• Цифровая личность
• ⚠ Цифровая идентичность — допустимо только в академическом контексте

Применение

midPoint: цифровое представление цифрового профиля: набор характеристик, качеств, убеждений и моделей поведения сущности, обычно представленный в виде набора атрибутов.

Источники

• NIST SP 800-63 Digital Identity Guidelines (NIST) ↗ первоисточник

Иерархическая структура для централизованного хранения и управления информацией о ресурсах организации.

Применение

1IDM: Каталог — Способ иерархического представления ресурсов, принадлежащих некоторой отдельно взятой организации, и упорядоченный по ряду признаков массив информации об этих ресурсах.

Любая сущность (человек, устройство, сервис-аккаунт), которой может быть присвоена цифровая идентичность и которая может действовать в системах.

Применение

midPoint: Сущность.

Уникальное представление сущности (человека, устройства, сервиса) в цифровых системах, отличающееся от учётной записи и связывающее её с различными системами.

ГОСТ

Пользователь — лицо, имеющее УЗ в контролируемых ИС и доступ к ИР организации (ГОСТ Р 71753-2024, п.3.23)

Синонимы

• Пользователь
• Профиль пользователя
• Идентификационные данные

Запрещённые варианты

• Идентичность
• Идентити
• Цифровая личность
• 🚫 **Учётная запись** — в значении Identity — путает с Account
• Личность

Применение

Нормативная привязка: ГОСТ Р 71753-2024 «Управление идентификацией и доступом»

midPoint: Факт того, кто или что является человеком или предметом.

SailPoint: Identity Cube — центральный объект идентификации в IdentityIQ, агрегирующий атрибуты из авторитетных источников

В UI IDM-систем: часто переводим как «Пользователь» (хотя identity шире — идентичность любой сущности: человек, сервис, устройство).

Источники

• ГОСТ Р 71753-2024 (protect.gost.ru) ↗ первоисточник

Комплексная дисциплина, охватывающая создание, управление идентичностями, аутентификацию, авторизацию и аудит доступа в организации.

Запрещённые варианты

• Менеджмент идентичностей
• Управление идентичностями и доступами

Применение

midPoint: Управление идентификацией и доступом (IAM) — область, связанная с управлением учётными записями (например)

SailPoint: SailPoint Identity Security Cloud (ISC) — полноценная SaaS-платформа IAM

Источники

• NIST SP 1800-2 (csrc.nist.gov) ↗ первоисточник

Система, которая является источником идентификационных данных, обычно данных о пользователях. Распространённые источники: HR-системы, Active Directory, IDaaS.

Применение

midPoint: система, которая является источником идентификационных данных, обычно данных о пользователях.

База данных, разработанная и/или выделенная для хранения идентификационных данных. Хранилище идентификационных данных обычно используется совместно многими приложениями и служит авторитетным источником.

Применение

midPoint: база данных, разработанная и/или предназначенная для хранения идентификационных данных.

Источники

• NIST SP 1800-2 (csrc.nist.gov) ↗ первоисточник

Дисциплина, обеспечивающая соответствие прав доступа сущностей их ролям на протяжении всего жизненного цикла с помощью политик, процессов и надзора.

Синонимы

• Управление доступом (governance-аспект)

Запрещённые варианты

• Гавернанс идентичностей

Применение

midPoint: Бизнес-аспект управления учётными записями, включая бизнес-процессы, правила, политики и организационные структуры.

SailPoint: IdentityIQ — платформа IGA, объединяющая жизненный цикл учётной записи, управление доступом и предоставление доступа

1IDM: Управление учетными записями — Процессы и программное обеспечение для управления учетными записями, которое автоматизирует правила, практики и процессы для управления и контроля доступа пользователей к приложениям и данным.

Подобласть IAM, объединяющая управление, политики, аудит и администрирование учётных записей

Синонимы

• Управление и администрирование учётных записей и доступа (IGA)

Запрещённые варианты

• Управление идентичностями и администрирование
• Гавернанс идентичностей

Применение

midPoint: Управление и администрирование учётных записей и доступа (IGA) — это подраздел управления идентификацией и доступом (IAM), который занимается управлением и контролем информации, связанной с учётными записями.

Big4 (позиционирование):
• Deloitte — Identity Resilience — adaptive identity controls aligned with Cyber Resilience framework
• EY — Digital Trust — identity as cornerstone of digital transformation
• KPMG — Identity Risk Management — identity-driven risk framework
• PwC — Trust by Design — identity as foundation для Zero Trust enterprise

Последовательность стадий, которые проходит идентичность от создания до удаления, включая этапы подключения, изменения ролей и отключения доступа.

Запрещённые варианты

• Жизненный цикл идентичности

Применение

midPoint: набор этапов жизненного цикла учётной записи от создания до её деактивации или удаления.

Источники

• NIST SP 800-63 Digital Identity Guidelines (NIST) ↗ первоисточник

Дисциплина создания, хранения и поддержки цифровых идентичностей и их атрибутов, включая проектирование моделей данных и синхронизацию учётных записей.

Запрещённые варианты

• Управление идентичностями
• Менеджмент идентичности
• Управление идентификационными данными

Применение

midPoint: Управление учётными записями и доступом (IDM) — это процесс управления цифровыми профилями и их доступом к определённым ресурсам в киберпространстве.

SailPoint: IdentityIQ — полноценная платформа IAM (IIQ) или IdentityNow (вариант SaaS Identity Security Cloud)

Система для централизованного управления идентичностями, их атрибутами и доступом к ресурсам, включая жизненный цикл учётных записей и синхронизацию.

Применение

midPoint: система, которая предоставляет функциональность управления учётными записями и доступом: она управляет пользователями и их доступом к определённым ресурсам в киберпространстве.

Система, которая аутентифицирует пользователей и предоставляет приложениям утверждения об идентичности в рамках федеративного SSO.

Синонимы

• Провайдер идентификационных услуг

Запрещённые варианты

• ⚠ Провайдер идентичности — без пояснения

Применение

midPoint: система, которая предоставляет информацию об учётных записях приложениям (известным в этом контексте как «доверяющая сторона» или «провайдер услуг»).

Источники

• NIST SP 800-63 Digital Identity Guidelines (NIST) ↗ первоисточник

Структурированное хранилище информации об идентичностях, обычно являющееся авторитетным источником данных.

Применение

midPoint: репозиторий (база данных) идентификационных данных, обычно структурированный формальным образом.

Платформа для управления цифровыми идентичностями, включая каталоги, рабочие процессы предоставления доступа и синхронизацию учётных записей.

ГОСТ

СУУЗиПД — система, осуществляющая централизованное автоматизированное управление УЗ и правами доступа (ГОСТ Р 71753-2024, п.3.27)

Синонимы

• **Система управления учётными записями и правами доступа (СУУЗиПД
• СУУЗ)**

Запрещённые варианты

• ⚠ IdM-система — без расшифровки

Применение

Нормативная привязка: ГОСТ Р 71753-2024 «Управление идентификацией и доступом»

midPoint: midPoint

Источники

• ГОСТ Р 71753-2024 (protect.gost.ru) ↗ первоисточник

Идентичность, которая выполняет действия в системе — отправляет запросы на аутентификацию, получает доступ к ресурсам.

Синонимы

• Субъект безопасности

Применение

midPoint: Сущность или пользователь, информация о котором управляется в информационной системе.

Источники

• NIST SP 800-63 Digital Identity Guidelines (NIST) ↗ первоисточник

Поддисциплина IAM, обеспечивающая защиту учётных записей с повышенными правами — администраторов, сервисных и привилегированных пользователей — через хранилище учётных данных, доступ по требованию (JIT), запись сессий и ротацию паролей.

Применение

midPoint: midPoint управляет жизненным циклом привилегированных учётных записей и интегрируется со специализированными PAM-решениями для хранения учётных данных и записи сессий.

Источники

• NIST SP 800-53 AC-6 (Least Privilege) / AC-2 (Account Management) ↗ первоисточник

Приложение или сервис, который использует поставщика идентичности для аутентификации пользователей и получения утверждений об идентичности.

Применение

midPoint: система, которая полагается на другую сторону (провайдер идентификации) для предоставления информации об учётных записях.

Источники

• NIST SP 800-63 Digital Identity Guidelines (NIST) ↗ первоисточник

Базовый доступ, автоматически предоставляемый идентификациям определённого типа при онбординге (например, доступ к почте, интранету, инструментам совместной работы).

Синонимы

• Должностной доступ

Применение

midPoint: Привилегии или доступ, предоставляемые пользователям на основе их присущих характеристик, таких как тип пользователя (сотрудник, подрядчик, студент).

Учётная запись с повышенными привилегиями для использования в экстренных ситуациях (восстановление после сбоев, разблокировка аккаунтов), строго контролируемая и отслеживаемая.

Применение

midPoint: Аварийная учётная запись — это учётная запись (цифровой профиль в информационной системе), используемая для аварийных операций в информационных системах.

Источники

• NIST SP 800-53 Rev. 5 (csrc.nist.gov) ↗ первоисточник

Технологические учётные записи (NHI) — собирательный термин для сервисных учётных записей, API-ключей, OAuth-секретов, машинных сертификатов, workload-идентификаторов (AWS IAM roles, Azure managed identities, GCP service accounts) и AI-агентов. Не имеют человеческого жизненного цикла, требуют отдельной модели governance и lifecycle.

Синонимы

• Технологическая учётная запись
• Машинные идентификаторы
• Сервисные учётные записи (NHI)

Запрещённые варианты

• Нечеловеческая идентичность (Identity ≠ идентичность; калька с EN)
• Нечеловеческий идентификатор (Identity ≠ идентификатор-токен)
• Бесчеловеческий идентификатор (нелепая транслитерация)

Применение

midPoint: Технологические учётные записи (NHI) — это учётные записи, которые представляют сущности, не являющиеся людьми (физическими лицами).

SailPoint: Агрегация сервисных учётных записей + внедрение пользовательского приложения для типов технологических учётных записей (NHI)

Big4 (позиционирование):
• Deloitte — Machine Identity Management — NHI governance discipline
• EY — Workload Identity Security — service account и workload identity controls
• KPMG — Non-Human Identity Risk — NHI as emerging audit category
• PwC — Machine Trust — NHI lifecycle and credential hygiene

Источники

• OWASP Non-Human Identities Top 10 (2025) ↗ первоисточник

Учётная запись с расширенными правами для администрирования систем, изменения конфигураций, доступа к конфиденциальным данным или обхода стандартных ограничений.

Применение

midPoint: Управление через PAM-интеграцию

1IDM: Привилегированная учетная запись — Привилегированная учетная запись предоставляет пользователю расширенные права доступа к ресурсам системы или приложениям, по сравнению с обычным пользователем.

Источники

• NIST SP 800-53 Rev. 5 (csrc.nist.gov) ↗ первоисточник

Учётная запись, используемая приложениями и сервисами для аутентификации при взаимодействии с другими системами, часто с статическими учётными данными, требующими ротации.

Запрещённые варианты

• Сервисный аккаунт

Применение

midPoint: Сервисная учётная запись — это учётная запись (цифровой профиль в информационной системе), связанная с сервисом.

SailPoint: Сервисная учётная запись — управляется через схему Application Account; ручная или коррелируемая учётная запись

1IDM: Служебная учетная запись — Тип учетной записи, которая используется для безопасного взаимодействия приложений между собой.

Учётная запись, используемая несколькими лицами (нежелательная практика)

Запрещённые варианты

• Общий аккаунт

Применение

midPoint: Коллективная учётная запись — это учётная запись, которой пользуются несколько сущностей, например, учётная запись, которой пользуются несколько человек.

1IDM: Коллективная учетная запись — Учетная запись, используемая несколькими пользователями.

Источники

• NIST SP 800-53 Rev. 5 (csrc.nist.gov) ↗ первоисточник

Учётная запись для автоматизированного запуска сервисов и ПО, без возможности интерактивного входа

Синонимы

• Техническая учётная запись (ТУЗ)

Применение

midPoint: Сервисные УЗ в midPoint

База данных, хранящая конфигурации ИТ-активов и связи между ними, интегрируется с IDM для управления доступом и поддержки реагирования на инциденты.

Синонимы

• База данных управления конфигурацией (CMDB)

Запрещённые варианты

• ⚠ Конфигурационная БД — без расшифровки CMDB

Применение

midPoint: midPoint может выступать источником/потребителем CMDB; интеграция через Generic resource

Компонент технологического стека (ОС, middleware, СУБД), обеспечивающий среду выполнения автоматизированных систем

Синонимы

• Информационный ресурс (ИР) — синоним

Применение

midPoint: Целевые ресурсы инфраструктуры (Linux, WildFly, PostgreSQL) подключаемые к midPoint

Целевая, тщательно спланированная и длительная атака профессиональных киберпреступников, часто связанных с государством, с использованием сложных методов и длительного присутствия в системе.

Источники

• NIST SP 800-160 Vol. 2 Rev. 1 (csrc.nist.gov) ↗ первоисточник

Доступность — состояние информации, при котором субъекты, имеющие права доступа, могут реализовывать их беспрепятственно. Одно из трёх свойств информации (доступность, целостность, конфиденциальность), на защиту которых нацелена ИБ-деятельность.

ГОСТ

ГОСТ Р 53114-2008: «доступность (информации [информационных активов]) — состояние информации (информационных активов), характеризующееся способностью обеспечивать беспрепятственный доступ к ним и (или) их использование при предъявлении субъектами соответствующих прав доступа».

Источники

• ISO/IEC 27000:2018 — Information security overview ↗ первоисточник

Контролируемая зона — пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание лиц, не имеющих постоянного или разового допуска. Граница КЗ определяет внешнюю модель угроз для размещённых в ней средств обработки информации.

Источники

• Приказ ФСТЭК России № 117 (fstec.ru) ↗ первоисточник

Диод данных — аппаратное устройство однонаправленной передачи данных.

Технология предотвращения утечки конфиденциальных данных за пределы организации через различные каналы с использованием анализа контента и контекста передачи информации.

Мониторинг активности БД — процесс отслеживания и анализа действий пользователей и системных процессов в базе данных с целью выявления несанкционированных действий и сбора доказательной базы для расследования инцидентов.

Экспертное расследование инцидентов ИБ для восстановления хронологии событий, идентификации атакующих и сбора доказательств с соблюдением цепочки хранения улик для юридической применимости.

Источники

• NIST SP 800-86 — Guide to Integrating Forensic Techniques ↗ первоисточник

Технология обнаружения и реагирования на компьютерные атаки на конечные точки инфраструктуры через сбор телеметрии и анализ поведения с целью выявления угроз и автоматизированного реагирования.

Преднамеренно уязвимый ресурс в инфраструктуре для отвлечения атакующих и сбора данных о методах атак, существует в различных типах: с эмуляцией сервиса, реальной изолированной системой и др.

Средство защиты информации (СЗИ) — техническое, программное, программно-техническое, физическое, криптографическое или иное средство, предназначенное для защиты информации. Сертифицируется ФСТЭК России в соответствии с требованиями к функциям безопасности и уровню доверия.

ГОСТ

ГОСТ Р 50922-2006 п.2.4.1: «средство защиты информации — техническое, программное средство, вещество и (или) материал, предназначенные или используемые для защиты информации».

Источники

• Приказ ФСТЭК России № 117 (fstec.ru) ↗ первоисточник

Событие информационной безопасности — идентифицированное появление определённого состояния системы, услуги или сети, указывающее на возможное нарушение политики ИБ, отказ защитных мер или ранее неизвестную ситуацию, которая может иметь отношение к безопасности. События ИБ агрегируются в SIEM для последующего анализа.

Источники

• ГОСТ Р 53114-2008 (docs.cntd.ru) ↗ первоисточник

Инцидент информационной безопасности — одно или серия нежелательных или неожиданных событий в сфере ИБ, которые могут существенно нарушить бизнес-операции и угрожать ИБ. Отличается от события ИБ наличием подтверждённого или прогнозируемого воздействия на конфиденциальность, целостность или доступность данных.

Источники

• ISO/IEC 27035 — Incident management ↗ первоисточник

Managed Detection and Response (MDR) — сервисная модель, объединяющая технологии обнаружения угроз (EDR/XDR) и экспертизу аналитиков ИБ-провайдера для круглосуточного мониторинга и реагирования на угрозы. Альтернатива/дополнение к собственному SOC для организаций без зрелой ИБ-команды.

Класс решений для централизованного управления и защиты мобильных устройств в корпоративной среде, включая регистрацию устройств, управление политиками безопасности и мониторинг соответствия.

Источники

• NIST SP 800-124 Rev. 2 (csrc.nist.gov) ↗ первоисточник

Метод оценки защищённости информационной системы через имитацию атак в контролируемых условиях, включает различные типы и этапы проведения тестирования.

Источники

• NIST SP 800-115 — Technical Guide to Penetration Testing ↗ первоисточник

Имитация реальной кибератаки опытной командой для проверки эффективности защитных мер и системы реагирования на инциденты, отличается от пентестов длительностью и комплексностью используемых методов.

Источники

• NIST SP 800-53 Rev. 5 (csrc.nist.gov) ↗ первоисточник

Шлюз безопасности — программно-аппаратный комплекс, устанавливаемый между внутренней сетью организации и публичными сетями, выполняющий фильтрацию трафика, инспекцию пакетов и защиту от внешних атак (вирусы, фишинг, DDoS, эксплойты). Сочетает функции межсетевого экрана (FW/NGFW), систем предотвращения вторжений (IPS) и веб-фильтрации.

SIEM (Security Information and Event Management) — класс программных решений для сбора, нормализации, корреляции и анализа событий ИБ в реальном времени из различных источников (СЗИ, сетевое оборудование, серверы, приложения). Используется для выявления угроз, охоты на угрозы и подготовки отчётов о соответствии требованиям (например, 152-ФЗ, GDPR, PCI DSS).

SOC (Security Operations Center) — центр мониторинга и реагирования на инциденты ИБ, объединяющий технологии (SIEM, EDR, SOAR), процессы (детектирование, расследование, реагирование) и команду аналитиков. Модели развёртывания: собственное подразделение, гибридная модель, SOC-as-a-Service (SOCaaS / MSSP).

Источники

• NIST SP 800-172 (csrc.nist.gov) ↗ первоисточник

Охота на угрозы (Threat Hunting) — проактивный поиск признаков вредоносного ПО или компрометации, которые не были обнаружены стандартными средствами (SIEM, EDR, AV). Включает формирование гипотезы, анализ телеметрии, подтверждение или опровержение гипотезы и автоматизацию обнаруженных паттернов в SIEM.

Разведка угроз (Threat Intelligence, TI) — информация о текущих угрозах, тактиках, техниках и процедурах киберпреступных групп. Используется для понимания методов атакующих и разработки защитных мер. Имеет несколько уровней: стратегический, операционный, тактический, технический (IOCs — хэши, IP-адреса, домены).

Недекларированные возможности (НДВ) — функциональные возможности ПО, не описанные в документации, при использовании которых возможно нарушение конфиденциальности, целостности или доступности обрабатываемой информации. Контролируется по 4 уровням контроля (1 — высший, 4 — низший) согласно РД ФСТЭК.

Источники

• Приказ ФСТЭК России № 117 (fstec.ru) ↗ первоисточник

Уязвимость нулевого дня (Zero-Day Vulnerability) — ранее неизвестная уязвимость в программном обеспечении, для которой ещё не разработаны патч или механизмы защиты. Эксплойты, использующие такие уязвимости, особенно опасны для целевых атак (APT), так как отсутствуют сигнатуры и правила обнаружения.

Базель II — документ Базельского комитета по банковскому надзору, содержащий методические рекомендации по международному банковскому регулированию и надзору.

Применение

1IDM: Соглашение Базель II — Документ Базельского комитета по банковскому надзору, содержащий методические рекомендации в области международного банковского регулирования.

Детективный контроль — процедура (в том числе автоматизированная) выявления нежелательных событий, ошибок и других ситуаций, которые руководство считает существенными.

Применение

1IDM: Выявляющий контроль — Процедура (в том числе автоматизированная) выявления событий (желаемых или нежелательных), ошибок и прочих случаев, которые руководство относит к оказывающим существенное влияние на деятельность организации.

Источники

• NIST SP 800-53 Rev. 5 (csrc.nist.gov) ↗ первоисточник

Управление (Governance) — система правил, методов и процессов для управления организацией и её ИТ-активами, включая контроль доступа и соблюдение политик безопасности.

GRC (Governance, Risk Management and Compliance) — интегрированная система, объединяющая управление ИТ, управление рисками и обеспечение соответствия нормативным требованиям для достижения целей организации.

Применение

midPoint: Управление, управление рисками и соответствие требованиям (GRC) — это дисциплина, которая помогает организациям лучше контролировать процессы и повышать эффективность.

Закон Грэма-Лича-Блайли (GLBA) — федеральный закон США, требующий от финансовых учреждений защищать информацию клиентов и раскрывать практику обмена данными. Включает правила о защите конфиденциальной информации и процедурах реагирования на инциденты.

Синонимы

• Financial Services Modernization Act

Источники

• FTC — GLBA Safeguards Rule ↗ первоисточник

Нарушение информационной безопасности — подтверждённый инцидент, при котором нарушена конфиденциальность, целостность или доступность информации. Примеры: кража учётных данных, захват учётной записи, несанкционированный доступ.

ГОСТ

Нарушитель ИБ организации — физическое лицо или логический объект, случайно или преднамеренно совершивший действие с нарушением ИБ (ГОСТ Р 53114-2008, п.3.3.5 (смежный термин «нарушитель ИБ» — лицо, а не событие))

Применение

Нормативная привязка: ГОСТ Р 53114-2008 «Обеспечение ИБ»

midPoint: Выявляется аудитом

Источники

• ГОСТ Р 53114-2008 (docs.cntd.ru) ↗ первоисточник

Избыточное предоставление прав (Over-provisioning) — ситуация, когда пользователь получает больше прав, чем необходимо для выполнения рабочих задач, что увеличивает поверхность атаки и риск нарушений SoD.

Применение

midPoint: ситуация, когда у пользователя больше привилегий, чем необходимо для выполнения задач, которые он должен выполнять.

Устранение нарушений (Remediation) — действия по устранению выявленных рисков или нарушений политик, например, отключение неиспользуемых учётных записей, отзыв избыточных прав, устранение конфликтов SoD. Может быть автоматизированным или ручным.

Синонимы

• Устранение нарушения

Запрещённые варианты

• 🚫 **Ремедиация** — калька

Применение

midPoint: Исправление — это действие, направленное на устранение нарушения политики, несоответствия нормативным требованиям или стандартам.

1IDM: Восстановление — Устранение существующего несоответствия, например, нарушения корпоративной политики.

Риск — вероятность возникновения события, угрожающего безопасности, и величина возможного ущерба. В контексте ИБ риски включают кражу учётных данных, повышение привилегий, внутренние злоупотребления.

Применение

midPoint: Влияние неопределённых, непредвиденных, неизвестных или непознаваемых факторов на достижение целей.

Источники

• NIST SP 800-63 Digital Identity Guidelines (NIST) ↗ первоисточник

Оценка рисков (Risk Assessment) — систематический процесс выявления, анализа и оценки рисков, связанных с ИБ. Результат — реестр рисков с оценкой вероятности и воздействия, рекомендации по снижению рисков и принятие остаточных рисков.

Применение

midPoint: Оценка рисков — это комплексный процесс, состоящий из идентификации рисков, анализа рисков и оценки рисков.

1IDM: Оценка риска — Процесс выявления рисков для безопасности системы, определение вероятности их наступления, величины ущерба, а также дополнительных средств защиты, позволяющих минимизировать ущерб.

Источники

• NIST SP 800-53 Rev. 5 (csrc.nist.gov) ↗ первоисточник

Недостаточное предоставление прав (Under-provisioning) — ситуация, когда пользователь не имеет достаточных прав для выполнения рабочих задач, что приводит к снижению производительности и обходу систем управления доступом.

Применение

midPoint: ситуация, когда у пользователя меньше привилегий, чем необходимо для выполнения задач, которые он должен выполнять.

Автоматизированная обработка персональных данных — обработка ПД с использованием компьютерных систем без непосредственного участия человека.

ГОСТ

Обработка ПД с помощью средств вычислительной техники (ФЗ-152, ст.3, п.4)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Основной режим работы midPoint

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Геолокация клиентского устройства — определение географического местоположения устройства при идентификационных операциях в банковских системах для повышения безопасности аутентификации и выявления подозрительных операций.

ГОСТ

Положение Банка России № 851-П от 30.01.2025 — обязательная регистрация геолокации устройства клиента при идентификационных операциях (с 01.10.2025)

Запрещённые варианты

• Геопозиционирование (близко, но менее точно)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных» · Положение ЦБ РФ (типично 851-П, бывшее 683-П)

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Согласие на обработку персональных данных — это волеизъявление субъекта персональных данных, которое даётся свободно, своей волей и в своём интересе. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 01.09.2025 согласие оформляется отдельным документом (156-ФЗ от 24.06.2025).

Применение

midPoint: Consent management в midPoint

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Критическая информационная инфраструктура — объекты и сети, обеспечивающие функционирование ключевых сфер деятельности государства

Источники

• 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» ↗ первоисточник

Трансграничная передача ПД — передача персональных данных за пределы Российской Федерации, которая регулируется законодательством о защите ПД.

ГОСТ

Передача ПД на территорию иностранного государства органу власти, иностранному физ. или юр. лицу (ФЗ-152, ст.3, п.11)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Актуально при интеграции с зарубежными системами

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку ПД, определяет цели обработки, состав данных и действия с ними (ФЗ-152 «О персональных данных»). В контексте GDPR — Data Controller.

ГОСТ

Оператор — орган или лицо, организующее и/или осуществляющее обработку ПД, определяющее цели обработки, состав ПД и действия с ними (ФЗ-152, ст.3, п.2)

Синонимы

• Оператор (персональных данных)
• Data Controller

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Организация, эксплуатирующая midPoint

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Субъект персональных данных — это определённое или определяемое физическое лицо, к которому прямо или косвенно относятся персональные данные.

Применение

midPoint: Пользователь (UserType) в midPoint

Источники

• GDPR — Regulation (EU) 2016/679 (EUR-Lex) ↗ первоисточник

Логирование идентификационных сессий с фиксацией времени, IP-адреса, порта, идентификатора сессии и статуса

ГОСТ

Положение Банка России № 851-П от 30.01.2025 — обязательная регистрация действий клиентов на этапах идентификации, аутентификации, авторизации (с 01.10.2025)

Запрещённые варианты

• Идентити-сессии (калька)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных» · ГОСТ · Положение ЦБ РФ (типично 851-П, бывшее 683-П)

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Инсайдерская угроза — угроза безопасности информации, связанная с человеческим фактором и действиями инсайдеров, которая может привести к компрометации учётных записей и другим негативным последствиям.

Применение

midPoint: Выявляется аудитом и SoD-контролем

1IDM: Инсайдерская угроза — Потенциальные риски мошенничества, кражи, саботажа или нарушения конфиденциальности, которые происходят от сотрудников, обладающих доступом к конфиденциальным приложениям и данным.

Преобразование ПД таким образом, что невозможно установить принадлежность данных конкретному лицу

ГОСТ

Действия, в результате которых невозможно без доп. информации определить принадлежность ПД конкретному субъекту (ФЗ-152, ст.3, п.9)

Запрещённые варианты

• 🚫 **Деперсонализация** — калька

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Используется при тестировании и аналитике

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

ГОСТ

Временное прекращение обработки ПД, за исключением случаев уточнения (ФЗ-152, ст.3, п.7)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Блокировка учётной записи в midPoint

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Уничтожение персональных данных — это процесс, при котором обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

ГОСТ

Действия, в результате которых невозможно восстановить содержание ПД в ИСПДн и/или уничтожаются материальные носители (ФЗ-152, ст.3, п.8)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Удаление пользователя из midPoint и целевых систем

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Распространение персональных данных — предоставление доступа неограниченного круга лиц к персональным данным, которое осуществляется с отдельного письменного согласия субъекта персональных данных.

ГОСТ

Действия, направленные на раскрытие ПД неопределённому кругу лиц (ФЗ-152, ст.3, п.5)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Контролируется политиками

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

ИСПДн — информационная система, предназначенная для обработки персональных данных. Система может иметь различные уровни защищённости в зависимости от типа угроз и категории обрабатываемых данных.

ГОСТ

Совокупность содержащихся в БД ПД и обеспечивающих их обработку ИТ и технических средств (ФЗ-152, ст.3, п.10)

Синонимы

• ИСПДн (информационная система персональных данных)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: midPoint является ИСПДн

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц (ст. 3 п. 6 152-ФЗ). Не путать с распространением (раскрытие неопределённому кругу лиц, ст. 3 п. 5) и с «ПДн, разрешёнными для распространения» (ст. 3 п. 1.1).

ГОСТ

Действия, направленные на раскрытие ПД определённому лицу или кругу лиц (ФЗ-152, ст.3, п.6)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Предоставление доступа атрибутов в целевые системы

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Любая информация о физическом лице: ФИО, дата рождения, адрес, телефон, email и др.

ГОСТ

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу — субъекту ПД (ФЗ-152, ст.3, п.1)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Данные о человеке, обычно обрабатываемые в информационной системе.

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Информационная система персональных данных (ИСПДн) — система для обработки ПДн с использованием ИТ и технических средств

Источники

• Приказ ФСТЭК России № 117 (fstec.ru) ↗ первоисточник

Обработка персональных данных — действия (операции) с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

ГОСТ

Обработка ПД — любое действие с ПД: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение (ФЗ-152, ст.3, п.3)

Применение

Нормативная привязка: ФЗ-152 «О персональных данных»

midPoint: Основание для обработки персональных данных.

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник

Российская классификация уровней защиты ПДн (УЗ-1, УЗ-2, УЗ-3, УЗ-4) согласно Постановлению Правительства РФ № 1119 от 01.11.2012 «Об утверждении требований к защите ПДн при их обработке в информационных системах персональных данных». УЗ-1 — наивысший уровень (для специальных категорий + актуальные угрозы 1 типа), УЗ-4 — минимальный (общедоступные ПДн). Определяет требования к МЗИ (мерам защиты информации) для ИСПДн.

Запрещённые варианты

• Уровень классификации ПДн (другой концепт — категоризация vs защита)

Применение

Нормативная привязка: Приказ ФСТЭК (типично № 117/№ 21/№ 239) · ФЗ-152 «О персональных данных»

Источники

• Пост. Прав. РФ № 1119 «О защите ПДн в ИСПДн» (pravo.gov.ru) ↗ первоисточник
• ФСТЭК Приказ № 21 (МЗИ для ИСПДн) ↗ регулятор

Комплекс организационных и технических мер защиты ПДн при их обработке в информационных системах персональных данных (ИСПДн), требуемый ФЗ-152 и детализированный ФСТЭК Приказом № 21. Включает: средства идентификации и аутентификации, контроль доступа, регистрацию событий безопасности, обеспечение целостности, антивирусную защиту, СКЗИ для передачи. Состав зависит от УЗ ПДн (1-4).

Запрещённые варианты

• Система обработки ПДн (другой концепт — обработка vs защита)
• ИСПДн (это сама информационная система, не её защита)

Применение

Нормативная привязка: Приказ ФСТЭК (типично № 117/№ 21/№ 239) · ФЗ-152 «О персональных данных»

Источники

• ФСТЭК Приказ № 21 — Меры защиты ИСПДн ↗ первоисточник

Информация, которая позволяет (прямо или косвенно) идентифицировать человека. Выданные государственными органами идентификаторы, биометрические данные, имена, адреса — это персональные данные (PII).

Применение

midPoint: Информация, которая позволяет (прямо или косвенно) идентифицировать человека.

Государственная информационная система (ГИС) — ИС, созданная на основании нормативно-правовых актов РФ для реализации государственных функций и предоставления госуслуг

Источники

• Приказ ФСТЭК России № 117 (fstec.ru) ↗ первоисточник

ГосСОПКА — система для обнаружения, предупреждения и ликвидации последствий компьютерных атак на КИИ РФ, включающая центры мониторинга и реагирования

Источники

• 187-ФЗ «О безопасности КИИ» (garant.ru) ↗ первоисточник

Непрерывный мониторинг соответствия средств управления идентификацией нормативным требованиям и политикам

Запрещённые варианты

• Непрерывный комплаенс

Применение

midPoint: Автоматические политики midPoint

1IDM: Непрерывное соответствие — Непрерывное и прогнозируемое обеспечение соответствия нормативным требованиям с использованием соответствующих средств автоматизации процессов и инструментов (в противовес к эпизодическому (дискретному) принятию мер по обеспечению соответствия).

Механизмы для обеспечения эффективности операций, надёжности отчётности и соблюдения нормативных требований

Применение

midPoint: Политики и сертификация в midPoint

Источники

• NIST SP 800-53 Rev. 5 (csrc.nist.gov) ↗ первоисточник

Процедура восстановления доступа пользователя при утрате или компрометации пароля

Синонимы

• Восстановление пароля

Запрещённые варианты

• 🚫 **Ресет пароля** — калька
• ⚠ Reset — без перевода

Применение

midPoint: Self-service функция midPoint

1IDM: Сброс пароля — Процесс или технология, которая позволяет пользователям, которые забыли свой пароль или утратили его в результате взлома, пройти процедуру аутентификации с использованием альтернативных удостоверений личности и получить новый пароль.

Источники

• NIST SP 800-63 Digital Identity Guidelines (NIST) ↗ первоисточник

Синхронизация паролей между системами при их изменении в одной из них

Запрещённые варианты

• 🚫 **Пасс-синк** — калька

Применение

midPoint: Отображение исходящих паролей

1IDM: Синхронизация паролей — Решение, которое берет за основу пароль пользователя и изменяет его пароли в других целевых системах в соответствии с этим паролем.

Назначение роли пользователю — явное или на основе правил с указанием срока действия

Синонимы

• Присвоение роли

Применение

midPoint: Assignment в midPoint

1IDM: Присвоение роли — Предоставление роли пользователю.

Создание новой роли с определением её названия, описания, прав доступа и требований к утверждению

Применение

midPoint: Создание RoleType в midPoint

1IDM: Создание роли — Процесс определения ролей в ролевой модели и соотнесение этих ролей с набором прав доступа в соответствии с бизнес-процессом или должностными обязанностями.

Удостоверение, подтверждающее аутентификацию или авторизацию, с ограниченным сроком действия и областью применения

Применение

midPoint: Используется для MFA в midPoint

Источники

• JWT RFC 7519 ↗ первоисточник

Принцип, требующий предоставления понятной и доступной информации о обработке идентификационных данных: какие данные собираются, как используются, кто имеет доступ, сроки хранения, права пользователей.

Применение

midPoint: Аудит и отчёты в midPoint

1IDM: Прозрачность — Наличие полной информации, необходимой для ведения учета, управления рисками, и принятия решений.

Электронная подпись (ЭП) — информация в электронной форме, связанная с подписываемыми данными, позволяющая определить лицо, подписавшее информацию. Виды ЭП: простая (ПЭП), усиленная неквалифицированная (УНЭП), усиленная квалифицированная (УКЭП).

Источники

• 63-ФЗ «Об электронной подписи» ↗ первоисточник

Инфраструктура открытых ключей (PKI) — совокупность стандартов, ролей, политик и процедур для управления цифровыми сертификатами, основанная на асимметричном шифровании, которое оперирует парой криптографических ключей, каждый из которых выполняет свою функцию.

Источники

• RFC 5280 — X.509 Public Key Infrastructure ↗ первоисточник

CMMC — фреймворк Министерства обороны США, сертифицирующий кибербезопасность подрядчиков оборонной промышленности (DIB), работающих с информацией FCI и CUI. CMMC 2.0 (2021) — три уровня: базовый, продвинутый (NIST SP 800-171), экспертный (NIST SP 800-172); поэтапное внедрение в контрактах с 2025.

Синонимы

• CMMC 2.0

Источники

• DoD CIO — CMMC Program ↗ первоисточник

FedRAMP — государственная программа США, стандартизирующая оценку безопасности и авторизацию облачных сервисов для федеральных агентств. Три уровня влияния (Low/Moderate/High по FIPS 199) на базе контролей NIST SP 800-53; провайдеры получают Authority to Operate (ATO).

Синонимы

• FedRAMP Moderate
• FedRAMP High
• P-ATO

Источники

• FedRAMP — official portal ↗ первоисточник

HITRUST CSF — сертифицируемый фреймворк для здравоохранения, объединяющий HIPAA, HITECH, NIST, ISO 27001, PCI DSS, GDPR и 40+ источников в предписывающие контроли. Три уровня оценки: e1 (44), i1 (182), r2 (197+ контролей).

Синонимы

• HITRUST Common Security Framework

Источники

• HITRUST Alliance — CSF ↗ первоисточник

SOC 2 (System and Organization Controls 2) — стандарт аудита AICPA для сервисных организаций, оценивающий контроли по пяти критериям Trust Services: безопасность (обязательный), доступность, целостность обработки, конфиденциальность и приватность. Применяется к облачным и SaaS-провайдерам; отчёты Type I (на дату) и Type II (за период).

Синонимы

• AICPA SOC 2
• Trust Services Criteria

Источники

• AICPA — SOC for Service Organizations ↗ первоисточник

Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» регулирует отношения, связанные с обработкой персональных данных в Российской Федерации.

Применение

midPoint: midPoint как ИСПДн обязан соответствовать ФЗ-152

Источники

• ФЗ-152 «О персональных данных» (pravo.gov.ru) ↗ первоисточник
• Роскомнадзор — реестр операторов ПДн ↗ регулятор