避免网络安全术语常见误区：关键概念辨析

词语很难。英语很难。我们能沟通简直是奇迹。

有时我真希望自己是奥斯卡·王尔德或马克·吐温，或其他能轻松描绘人物场景、让读者完美领会意图的大文豪。

相反，我恐怕更像莎士比亚——发明词汇、扭曲词义以适应疯狂韵律，让像我这样普通人难以理解原意（顺便说，我爱莎士比亚）。

不幸的是，我所在领域似乎充满同类“莎士比亚”——他们像把字母汤扔墙上再读结果，像读茶叶占卜，只是准确度更低。

这些词到底什么意思？

当我创建网络安全术语数据库（NIST网络安全词汇表的基石）时，惊讶于即使像“风险”和“安全”这种普遍术语也存在巨大困惑。至今对“网络安全”一词仍无真正共识！

因此我整理了一份网络安全领域常被误用术语清单（这些非官方描述旨在提供信息参考）：

数据 vs. 信息 vs. 知识

数据通常指构成信息的比特和字节。信息将多个比特字节转化为有用内容。例如温度传感器读数“102”，但信息告诉我们这是放在人嘴里的温度传感器读出的102华氏度。知识让信息转化为行动——它指出102华氏度对人体过高。数据、信息和知识界限模糊，但有人激烈争辩这些界限。

威胁 vs. 风险

威胁指可能发生的坏事，或可能导致坏事的实体（也称“威胁行为体”）。风险包含坏事发生的概率和潜在后果。人们常（错误地）互换使用这两词。

风险管理

应对潜在坏事发生可能性的过程。通常有四种选择：接受风险、转移风险、规避风险或缓解风险。视交谈对象不同，至少有八种选择，但这四种是传统分类。当网络安全人员谈风险管理，可能指风险管理框架规定的流程。

网络安全

基本指保护计算机系统（含网络、互联网和一切“智能”设备）。但常被用作涵盖信息保障、数据保护和隐私的统称。这词可能持续变化，直到有人能充分解释何为“网络”。

信息保障（或安全）

保护任何事实、新闻、知识、有时也指数据，无论何种形式——纸质、电子、石碑、信号、记忆等。常与网络安全混淆并置于其统称下。

标准

许多人误称NIST特别出版物为标准，实则更复杂。NIST确实制定正式标准——联邦信息处理标准(FIPS)，如FIPS 200和FIPS 140-3。NIST也参与行业和国际标准制定。“标准”一词也可指质量水平或公认规范。此种情况下，NIST出版物常被用作“标准”。差别微妙但重要。总体上，最好避免将NIST特别出版物(SP)、内部/机构间报告(IR)、白皮书或除FIPS外任何文件称为“标准”，而用“出版物”、“文件”或“指南”。

要求 vs. 控制

两词均可识别组织为管理网络安全风险可能拥有或执行的特定活动、流程、实践或能力。控制未必强制，要求通常强制。最好核对文件使用的术语。例如，许多人将NIST SP 800-171 要求称为控制，这是不正确的。

审计 vs. 评估

网络安全中审计常比其他学科更具正式和负面色彩。审计通常在事件后（如数据泄露，一般内部审计）、应客户要求（通常客户执行外部审计）、或为获取认证（第三方审计）时进行。评估通常更像友好的健康检查。涵盖任意数量活动，范围可窄可宽，严谨程度视被评估公司意愿或情境适宜性而定。CMMC(网络安全成熟度模型认证)计划例外，其用评估作为评价公司的正式方法。

合规

合规通常指满足要求（内部或外部、有时为法规），常以认证或证明形式展示。人们常用“NIST合规”等短语。这可能误导，因许多人理解为NIST在强制执行要求或认证/证明公司产品或流程安全。通常“NIST合规”意指公司采用NIST出版物中的实践程序，常为满足某要求。虽可视为合规活动，但为避免混淆，最好明确说明合规的主体规则或要求。例如，遵循NIST SP 800-171以符合DFARS。例外情况是加密算法和模块，此时正确术语是“已验证”，“合规”指整体产品未正式评估。

英语单词演变速度堪比网络迷因——百万莎士比亚将英语拖出去屠宰、操纵、折叠成难以辨认的脚本。网络安全领域似乎肆无忌惮地如此。但理解这些关键术语及其用法，将助您理解和沟通网络安全需求。