术语解读：GB/T 25069-2022 信息安全技术术语（二）

术语定义

101 大数据平台 big data platform

采用分布式存储和计算技术，提供大数据的访问和处理，支持大数据应用安全高效运行的软硬件集合，包括监视大数据的存储、输入/输出、操作控制等大数据服务软硬件基础设施。

 

102 大数据使用者 big data user

使用大数据平台或应用的末端用户、其他信息技术系统或智能感知设备。

 

103 大数据系统 big data system

实现大数据参考架构的全部或部分功能的系统。

 

104 大数据应用 big data application

执行数据生存周期相关的数据采集、数据传输、数据存储、数据处理（如计算、分析、可视化等）、数据交换、数据销毁等数据活动，运行在大数据平台，并提供大数据服务的应用系统。

 

105 带外 out-of-band

在事先建立的通信方法或信道之外发生的通信或传输。

 

106 担保 warranty

当可交付件的操作（部署、执行或交付）不满足其安全策略时，一种对其纠正或减轻影响的安全服务。

 

107 单边鉴别 unilateral authentication

两个实体之间仅一方向另一方而不反向提供身份保证的实体鉴别。

 

108 单边匿名鉴别 unilateral anonymous authentication

两个实体之间仅一方向另一方而不反向提供身份保证的匿名鉴别。

 

109 单 边 匿 名 互 鉴 别 unilateral-anonymous mutual authentication

在两个实体之间，一方对另一方进行匿名实体鉴别，同时另一方对前者进行实体鉴别的过程。

 

110 单点登录 single sign on；SSO

用户一次性进行身份鉴别之后就能够访问多个授权应用的登录机制。

 

111 单点故障 single point of failure

系统中的某一元件或组件、系统中的某一通路或者某一系统本身的故障，该故障导致整个系统或一系列系统都将无法执行其基本功能。

注：单点故障通常被认为是与关键元件相关的设计缺陷。

 

112 单向函数 one-way function

具有如下性质的函数：易于计算出给定输入的输出，但找到映射到给定输出的输入在计算上不可行。

 

113 导出测度 derived measure

定义为两个或两个以上基本测度值的函数的测度。

 

114 登记 enrolment

使某一实体在某一特定域中为人所知的过程。

注：登记过程通常包括收集和确认身份信息以识别某一实体并收集身份注册所需的身份信息；然后是身份注册本身。

 

115 抵赖 repudiation

当事实体之一对已经参与全部或部分行动的否认。

 

116 第三方 third party

就所涉及的问题而言，公认与相关各方均独立的个人或团体。

 

117 第三方评估 third party assessment

由信息系统所有者委托商业评估机构或其他评估机构，依据国家有关法规与标准，对信息系统安全管理进行的评估活动。

 

118 电码 本工作 模式 electronic codebook operation mode；ECB

在分组密码算法中，直接将明文分组作为算法的输入，对应的输出作为密文分组的工作模式。

 

119 电子签名 electronic signature

数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。

 

120 电子签章 electronic seal signature

使用电子印章签署电子文件的过程。

 

121 电子印章 electronic seal

一种经制作者签名，包括持有者信息和图形化内容，可用于签署电子文件的数据。

 

122 电子印章系统 electronic seal system

由电子印章管理系统和电子签章软件两部分组成的系统。

注 1：电子印章管理系统具有印章管理员管理、电子印章制作与管理、电子印章验证服务以及安全审计等功能。

注 2：电子签章软件是一种利用电子印章对各类电子文档进行签署的软件。

 

123 顶级域 top level domain

域名系统名字空间中根节点下最顶层的域。

 

124 订户 subscriber

从电子认证服务机构接收证书的实体。

 

125 订户协议 subscriber agreement

电子认证服务机构与订户共同签署，规定了双方在证书使用和管理过程中各自承担的责任和义务的文件。

 

126 定时炸弹 time bomb

在预定时间被激活的逻辑炸弹。

 

127 动态口令 dynamic password

基于时间、事件等方式随机生成的一次性口令。

 

128 动态口令令牌 dynamc password token

生成并显示动态口令的媒体。

 

129 度量 metric

为完成对一个或多个属性的测量而界定的测量形式(测量方法、计算函数或分析模型)和尺度。

 

130 端口 port

连接的端点。

注：在互联网协议的语境下，端口是传输控制协议(TCP)连接或用户数据报协议(UDP)消息的逻辑信道端点。基于 TCP 或 UDP 的应用协议，通常已分配默认端口号，如为超文本传输协议(HTTP)的端口号是 80。

 

131 断言 assertion

验证方所作出的不包含有效证据的声明。

 

132 对称加密系统 symmetric encryption system

基于对称密码技术，加密和解密采用同一秘密密钥的系统。

 

133 对称密码技术 symmetric cryptographic technique

加密和解密变换采用同一密钥的密码技术。

 

134 对称密码算法 symmetric cryptographic algorithm

加密和解密采用同一密钥的密码算法。

 

135 对称密钥 symmetric key

对称密码算法的密钥。

 

136 对象〈计算机安全〉object〈computer security〉

客体〈计算机安全〉

一种实体，对该实体的访问是受控。

示例：文件、程序、主存区域；收集和维护的有关个人的数据。

 

137 对象〈人工智能〉object〈in artificial intelligence〉

客体〈人工智能〉

具有一种或多种属性的物理或概念实体。

注：对象一般借助符号推理或关系与其他存储对象相关联。

 

138 对象标识符 object identifier；OID

客体标识符

用于无歧义地标识对象的全局唯一值。

 

139 多因素鉴别 multi-factor authentication

采用以下两个或多个因素的鉴别：

——知晓因素，“个人知道的”；

——拥有因素，“个人持有的”；

——生物因素，“个人是什么或能够做什么的”。

 

140 多用途互联网邮件扩展 multipurpose internet mail extensions；MIME

一种利用电子邮件提供安全传送文件手段的适用性协议。

 

141 恶意软件 malware

被专门设计用于损坏或中断系统、破坏保密性、完整性和/或可用性的软件。

注：病毒和特洛伊木马都是恶意软件。

 

142 二元序列 binary sequence

由“0”和“1”组成的位串。

 

143 发起方 initiator

按某一协议运行时发送首轮交换信息的用户。

 

144 发送抗抵赖 non-repudiation of sending

旨在防范发送者不实否认其已经发送某一消息的服务。

 

145 反射攻击 reflection attack

将以前传输的消息发回给其原发者的一种冒充攻击手段。

 

146 防火墙 firewall

设置在网络环境之间的一种安全屏障，它由一台专用设备或若干组件和技术的组合组成，网络环境之间两个方向的所有通信流均通过此屏障，并且只有按照本地安全策略定义的、已授权的通信流才允许通过。

 

147 访问控制 access control

一种确保数据处理系统的资源只能由经授权实体以授权方式进行访问的手段。

 

148 访问控制（列）表 access control iist；ACL

由实体以及实体对资源的访问权限所组成的列表。

 

149 非对称加密系统 asymmetric encryption system

基于非对称密码技术的系统，其公开变换用于加密，而私有变换用于解密。

 

150 非对称密码算法 asymmetric cryptographic algorithm

公钥密码算法 public key cryptographic algorithm

加密和解密使用不同密钥的密码算法。其中一个密钥（公钥）可公开，另一个密钥（私钥）必须保密，且由公钥求解私钥是计算不可行的。

 

151 非对称密钥对 asymmetric key pair

非对称密码算法中相关联的公钥和私钥。

 

152 非对称签名系统 asymmetric signature system

在基于非对称密码技术中，私有变换用于签名，公开变换用于验证的系统。

 

153 非法控制 illegal control

使系统或网络按非法控制者的意愿运行的行为。

 

154 非军事区 demilitarized zone；DMZ

屏蔽子网

介于网络之间作为“中立区”的边界网络。

 

155 非入侵式攻击 non-invasive attack

一种针对密码模块，对其边界内的组件不直接物理接触，也不更改其状态的攻击。

 

156 非易失性存储 non-volatile storage

断开电源后仍保有其内容的存储。

 

157 分布式拒绝服务攻击 distributed denial-of-service attack；DDoS

通过洪水攻击带宽或目标系统的资源，破坏多个系统的方式来未授权访问系统资源或者延迟系统操作和功能，导致经授权用户失去可用性。

 

158 分布式控制系统 distributed control system；DCS

以计算机为基础，在系统/单位内部对生产过程进行分布控制、集中管理的系统。

注：DCS 系统一般包括现场控制和控制管理两级，前者主要是对单个子过程进行控制，后者主要是对多个分散的子过程进行数据采集、集中显示、统一调度和管理。

 

159 分析攻击 analytical attack

密码分析攻击 crytanalytical attack

运用分析方法解开代码或找到密钥的企图。

 

160 分析模型 analytical model

将一个或多个基本测度和/或导出测度关联到决策准则的算法或计算。

 

161 分组密码 block cipher

加密算法在明文分组（即界定了长度的位串）上运算，以此产生密文分组的对称加密系统。

 

162 分组密码算法 block cipher algorithm

将输入数据划分成固定长度的分组来加解密的对称密码算法。

 

163 分组密码算法工作模式 block cipher algorithm operation mode

采用分组密码算法的如下主要工作模式：电码本（ECB）、密文分组链接（CBC）、密文反馈（CFB）、输出反馈（OFB）、计数器（CTR）等。

 

164 风险 risk

对目标的不确定性影响。

注 1：影响是指与期望的偏离（正向的或反向的）。

注 2：不确定性是对事态及其结果或可能性的相关信息、理解或知识缺乏的状态（即使是部分的）。

注 3：风险常被表征为潜在的事态和后果，或者它们的组合。

注 4：风险常被表示为事态的后果（包括情形的改变）和其发生可能性的组合。

注 5：在信息安全管理体系的语境下，信息安全风险可被表示为对信息安全目标的不确定性影响。

注 6：信息安全风险与威胁利用信息资产或信息资产组的脆弱性对组织造成危害的潜力相关。

 

165 风险处置 risk treatment

改变风险的过程。

注 1：风险处置可能涉及如下方面：

——通过决定不启动或不继续进行引发风险的活动来规避风险；

——承担或增加风险以追求机会；

——消除风险源；

——改变可能性；

——改变后果；

——与另一方或多方共担风险（包括合同和风险融资）；

——有根据地选择保留风险。

注 2：处理负面后果的风险处置有时称为“风险缓解”“风险消除”“风险防范”“风险降低”。

注 3：风险处置可能产生新的风险或改变现有风险。

 

166 风险分析 risk analysis

理解风险本质和确定风险级别的过程。

注 1：风险分析提供风险评价和风险处置决策的基础。

注 2：风险分析包括风险估算。

 

167 风险沟通与咨询 risk communication and consultation

组织就风险管理所进行的，提供、共享或获取信息以及与利益相关方对话的持续和迭代过程。

注 1：这些信息可能涉及风险的存在、性质、形式、可能性、重要性、评价、可接受性和处理。

注 2：咨询是对问题进行决策或确定方向之前，在组织和其利益相关方之间进行知情沟通的双向过程。

咨询是：

——通过影响力而不是权力来影响决策的过程；

——决策的输入，而非联合决策。

 

168 风险管理 risk management

指导和控制组织相关风险的协调活动。

 

169 风险管理过程 risk management process

管理策略、规程和实践在沟通、咨询、语境建立以及识别、分析、评价、处理、监视和评审风险活动上的系统性应用。

注：GB/T 31722 使用术语“过程”来描述全面风险管理。风险管理过程中的要素称为“活动”。

 

170 风险规避 risk avoidance

不卷入风险处境的决定或撤离风险处境的行动。

 

171 风险级别 level of risk

以后果和其可能性的组合来表示的风险大小。

 

172 风险降低 risk reduction

为降低风险的可能性和/或负面结果所采取的行动。

 

173 风险接受 risk acceptance

承担特定风险的知情决定。

注 1：可不经风险处置或在风险处置过程中做出风险接受。

注 2：接受的风险要受到监视和评审。

 

174 风险评估 risk assessment

风险识别、风险分析和风险评价的整个过程。

 

175 风险评价 risk evaluation

将风险分析的结果与风险准则比较，以确定风险和/或其大小是否可接受或可容忍的过程。

注：风险评价辅助风险处置的决策。

 

176 风险识别 risk identification

发现、识别和描述风险的过程。

注 1：风险识别涉及风险源、事态及其原因和潜在后果的识别。

注 2：风险识别可能涉及历史数据、理论分析、知情者和专家的意见以及利益相关方的需要。

 

177 风险责任者 risk owner

具有责任和权威来管理风险的个人或实体。

 

178 风险转移 risk transfer

与另一方对风险带来的损失或收益的共享。

注：在信息安全风险的语境下，对于风险转移仅考虑负面结果（损失）

 

179 风险准则 risk criteria

评价风险重要性的基准。

注 1：风险准则是基于组织的目标以及外部语境和内部语境。

注 2：风险准则可源自标准、法律、策略和其他要求。

 

180 封闭安全环境 closed-security environment

以授权、安全许可、配置控制等形式，特别关注于保护数据和资源，使其免受偶然或恶性操作的环境。

 

181 服务 service

给定层及其以下各层为其高一层的实体提供的能力。

注：对给定层的服务，在该层与其高一层之间的边界处提供。

 

182 服务变更 service change

任何可能对服务产生影响的新增、修改或解除的活动。

注：服务变更可能涉及服务的范围、人员、内容、形式、价格、时间、方案、流程、工具、服务级别等。

 

183 服务方案 service plan

基于服务目标，对服务各阶段中所需执行的过程、任务、活动以及相关服务要素、服务级别进行详细 描述的文档。

 

184 服务工具 service tool

为达成服务目标或提高服务质量和效率所需要的设备、软件、模板、知识库等。

 

185 服务级别 service level

在服务协议中对服务交付成果明确约定，可测量和文档化的一系列服务差异化指标。

 

186 服务级别协议 service level agreement；SLA

规定技术支持或业务性能目标的文件，包括服务提供方能为其客户提供保证性能和承担失败后果的措施。

 

187 服务目录 service catalogue

在服务协议中明确展示服务内容、服务形式、服务价格、服务交付成果和服务级别等的列表。

 

188 服务器 server

在计算机网络中的，一种为工作站、微型计算机或为其他功能单元提供服务的功能单元。示例：文件服务器，打印服务器，邮件服务器。

注：服务可为专用的或共享的。

 

189 服务协议 service agreement

服务需求方和服务提供方在服务开始前共同签署，在服务过程中共同遵守的约定。

注：通常包含服务原则、服务形式、服务级别、服务价格、服务安全要求等，在形式上可为服务合同及其附属的工作说明书。

 

190 服务要素 service element

设计和实施服务的关键要素，包括服务人员、服务流程、服务工具、规章，以及其他服务所需的资源。

 

191 服务组合 service portfolio

多个服务类别或服务项目以及其他工作的集合。

 

192 符合性 conformity

对要求的满足。

 

193 复制保护 copy protection

使用特殊技术检测或防止未授权复制数据、软件或固件的安全措施。

 

194 个人标识码 personal identification number；PIN

用于鉴别某一身份的数字代码。

 

195 个人敏感信息 personal sensitive information

一旦泄露、非法提供或滥用就有可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害 或歧视性待遇等的个人信息。

注 1：个人敏感信息包括公民身份号码、个人生物特征信息、银行账号、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14 岁以下（含）儿童的个人信息等。

注 2：个人信息控制者通过个人信息或其他信息加工处理后形成的信息，如一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的，也属于个人敏感信息。

 

196 个人信息 personal information

以电子或者其他方式记录的能够单独或者与其他信息结合来识别特定自然人身份或者反映其活动情况的各种信息。

注 1：个人信息包括姓名、出生日期、公民身份号码、个人生物特征信息、住址、联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

注 2：个人信息控制者通过个人信息或其他加工处理后形成的信息，例如，用户画像特征标签，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，也属于个人信息。

 

197 个 人 信 息 安 全 影 响 评 估 personal information security impact assessment

针对个人信息处理活动，检验其合法合规程度，判断其对个人信息主体合法权益有可能造成损害的各种风险，以及评估保护个人信息主体各项措施有效性的过程。

 

198 个人信息处理 personal information processing

对个人信息执行的操作或一组操作。

注：个人信息处理操作包括但不限于收集、存储、变更、检索、咨询、披露、匿名化、假名化、传播或以其他方式提供、删除或销毁。

 

199 个人信息处理者 personal information processor

代表并按照个人信息控制者的指示处理个人信息的利益相关方。

 

200 个人信息控制者 personal information controller

有能力决定个人信息处理目的、方式等的组织或个人。

 

未完，见《术语解读：GB/T 25069-2022 信息安全技术术语（三）》