跳至内容
术语表
- 《实施条例（欧盟）2024/2690》
- 欧盟委员会条例，针对DNS、云、数据中心、托管服务及其他数字服务提供者，详细规定NIS2第21条的风险管理措施。ControlMapping 的NIS2要求即其附件中的各项要点。
- 编辑说明映射
- 在不存在已发布对照映射的情况下，ControlMapping 所作的链接，并始终附有简短理由。以空心方块显示。本站每一条SOC 2、GDPR和Essential Eight链接均为编辑说明。
- 补偿性控制
- 当主要控制无法实施时采用的替代安全措施。补偿性控制必须满足原始要求的意图，提供相近水平的防护，并予以记录。
- 补丁管理
- 识别、测试并部署软件更新以修复安全漏洞的过程。有效的补丁管理需要准确的资产清单、基于风险的优先级排序，以及明确的修复时限SLA。
- 差距分析
- 将您已有的做法或已符合的框架，与另一框架的要求进行比较，以找出缺失的工作。ControlMapping 的差距分析在任意两个框架之间逐条要求进行比对。
- 成熟度等级
- 在ASD的Essential Eight中，针对日益强大的攻击者提供递增防护的三个等级之一（一级至三级）。只有当某一策略满足该等级及以下所有要求时，才算达到该等级。
- 对照映射
- 已发布的两个框架要求之间的映射，例如NIST发布的从SP 800-53到ISO 27001的映射。对照映射表明各项要求针对相关成果，并不意味着满足其中一项即满足另一项。在本站，来自对照映射的链接标注为“对照映射”，并以实心方块显示。
- 访问控制
- 用于规范谁或什么可以查看或使用计算环境中资源的安全措施。访问控制包括身份认证（验证身份）、授权（授予权限）和审计记录（跟踪访问）。
- 分包服务机构
- 其控制措施对SOC 2报告有影响的供应商，例如托管服务的云服务商。在剥离法下，报告不包括其控制措施，而是依赖其自身的保证报告。
- 风险登记册
- 已识别风险的书面清单，包括其发生可能性、影响、现有控制措施、风险负责人和处置计划。风险登记册是支持持续风险管理的动态文件。
- 风险评估
- 系统性识别威胁和脆弱性、分析其发生可能性及潜在影响，并确定适当缓解措施的过程。风险评估应定期开展，并在发生重大变更时进行。
- 个人数据
- 根据GDPR，指与已识别或可识别自然人有关的任何信息。包括姓名、电子邮件地址、IP地址、位置数据和在线标识符。
- 供应链风险
- 因供应商、供应方或服务提供者的漏洞而导致组织安全受损的风险。供应链攻击利用可信关系绕过直接防御。
- 观察期
- SOC 2 Type II报告所涵盖的期间，通常为3至12个月，审计师在此期间测试控制措施是否有效运行。
- 互补用户实体控制（CUEC）
- SOC 2报告中指出的、服务机构的客户必须自行执行的控制，以使所述控制措施有效运行，例如管理其自身用户账户。
- 加密
- 将数据转换为编码形式（密文）以防止未经授权访问的过程。数据应在静态（存储时）、传输中（网络传输时），并日益在使用中加以加密。
- 鉴证
- 独立从业者就某一主题发表的意见，例如注册会计师事务所就公司在 SOC 2 报告中所述控制措施发表的意见。鉴证不等同于认证：没有证书，也没有合格分数线。
- 可选实施规范
- 《HIPAA安全规则》中的一项规范。组织必须在合理且适当的情况下评估并实施该规范；若不实施，则须记录原因并采用同等措施。这并不意味着可选。标记为“必需”的规范必须实施。
- 控制措施
- 旨在保护信息系统和数据机密性、完整性和可用性的保障措施或对策。控制措施可以是技术性的（防火墙、加密）、管理性的（政策、培训）或物理性的（锁、门禁卡）。
- 框架
- 结构化的安全要求或成果集合。部分属于法律（HIPAA、GDPR、NIS2），部分属于合同性质（通过卡组织协议约束的PCI DSS，通过国防合同约束的CMMC），部分为自愿性质（NIST CSF、CIS Controls），还有部分可以认证（ISO 27001）。
- 零信任
- 基于“永不信任，始终验证”原则的安全模型。零信任要求对每一次访问请求持续验证身份和授权，无论网络位置如何。实施涉及微分段、身份感知代理和设备状态检查。
- 漏洞
- 系统、应用程序或流程中可能被威胁行为者利用以获取未经授权访问或造成损害的弱点。漏洞使用CVSS（通用漏洞评分系统）进行评分。
- 认证机构
- 依据ISO 27001等标准审核管理体系并颁发证书的组织。客户通常期望其获得认可。
- 认证机构认可
- 正式承认认证机构有能力依据某项标准开展认证的资质。对于 ISO 27001，应选择由加入国际认可论坛（IAF）的国家认可机构认可的认证机构。
- 身份认证
- 验证用户、设备或系统身份的过程。常见方法包括密码、多因素认证（MFA）、生物识别和数字证书。
- 审计追踪
- 按时间顺序记录的系统活动，为事件发生顺序提供书面证据。审计追踪用于发现安全违规、性能问题和应用缺陷。
- 渗透测试
- 经授权对系统进行的模拟攻击，用以评估其安全性。渗透测试可发现攻击者可能利用的漏洞，并验证现有控制措施是否有效。
- 事件响应
- 对网络安全事件进行检测、遏制、根除和恢复的有组织方法。事件响应计划明确角色、程序、沟通协议和升级路径。
- 适用性声明（SoA）
- ISO 27001的文件，列出所有附录A控制措施，说明是否适用及原因，是风险处置与现行控制措施之间的联系。审计师会仔细审查该文件。
- 受涵盖实体
- 根据HIPAA，必须遵守《隐私规则》和《安全规则》的组织：包括健康计划、医疗信息清算机构，以及以电子方式传输健康信息的医疗服务提供者。
- 授权
- 判断已通过身份认证的用户是否有权访问特定资源或执行特定操作的过程。通常通过基于角色的访问控制（RBAC）或基于属性的访问控制（ABAC）实现。
- 数据保护影响评估（DPIA）
- GDPR第35条所要求的一项流程，用于识别并降低可能对个人权利和自由造成高风险的项目或系统中的数据保护风险。
- 数据处理者
- 根据GDPR，代表数据控制者处理个人数据的实体。处理者必须遵循控制者的指示，并实施适当的安全措施。
- 数据分类
- 根据数据的敏感级别及未经授权披露可能造成的影响，将数据归入不同类别的过程。常见级别包括公开、内部、机密和受限。
- 数据控制者
- 根据GDPR，决定个人数据处理目的和方式的实体。控制者对遵守数据保护原则承担主要责任。
- 数据泄露
- 敏感、受保护或机密数据被未经授权的一方访问、披露或窃取的事件。泄露通报要求因法规而异（GDPR要求72小时内通报，HIPAA要求60天内通报）。
- 威胁情报
- 从多种来源（ISAC、政府信息源、商业平台、OSINT）收集的有关当前及新兴网络威胁的信息。威胁情报为检测规则、漏洞优先级排序和事件响应提供依据。
- 系统安全计划（SSP）
- 描述系统边界、运行环境以及各项安全要求如何落实的文件。为NIST SP 800-171（CMMC二级实践 CA.L2-3.12.4）和NIST风险管理框架所要求。
- 信任服务标准
- SOC 2报告所用的AICPA标准，分为五类：安全性（始终包含）、可用性、机密性、处理完整性和隐私性。
- 信息安全手册（ISM）
- 澳大利亚信号局发布的网络安全控制框架，依据 CC BY 4.0 发布。Essential Eight 要求即标注了成熟度等级的ISM控制措施。
- 行动计划与里程碑（POA&M）
- 记录安全缺陷及其整改措施和期限的台账，用于NIST SP 800-53、SP 800-171和CMMC评估。
- 业务伙伴
- 根据HIPAA，代表受保护实体创建、接收、维护或传输受保护健康信息的个人或组织，例如云服务商或账单服务商。业务伙伴必须遵守《安全规则》，并签署业务伙伴协议。
- 业务连续性
- 组织在发生破坏性事件后，能够以可接受的预定水平继续提供产品或服务的能力。业务连续性规划（BCP）用于识别威胁并制定确保韧性的程序。
- 治理
- 确保网络安全活动与业务目标和监管要求保持一致的政策、流程和组织架构体系。治理确立问责机制、界定角色并设定战略方向。
- 重要实体与关键实体
- NIS2规定的两类实体。两类实体均须履行相同的风险管理和报告义务；关键实体接受主动监管并面临更高的最高罚款，重要实体则在事后接受监管。
- 纵深防御
- 一种在整个IT系统中部署多层控制措施的安全策略。若某一层失效，其他层仍可继续提供保护。也称为分层安全。
- 最小权限
- 用户、系统和进程仅应被授予履行其授权职能所需的最低访问权限的原则。可减少攻击面，并限制被攻陷账户的影响范围。
- C3PAO
- CMMC第三方评估组织：经授权对国防承包商开展CMMC二级认证评估的组织。
- CIA三要素
- 信息安全的三项核心原则：机密性（防止未经授权的披露）、完整性（防止未经授权的修改）以及可用性（在需要时确保授权访问）。
- CSF子类别
- NIST网络安全框架中最具体的层级：一项成果，例如 PR.AA-03（用户、服务和硬件已通过身份认证）。CSF 2.0 在22个类别下包含106个有效子类别，并划分为六项功能。ControlMapping 以其作为枢纽，所有框架均与之关联。
- CUI
- 受控非密信息：政府创建或拥有、需要保护但未定密的信息。CUI的保护要求由NIST SP 800-171定义，并通过CMMC实施。
- DLP
- 数据防泄漏：用于检测并阻止敏感数据未经授权传输至组织外部的技术和政策。DLP解决方案监控电子邮件、网页、终端和云服务。
- EDR
- 端点检测与响应：部署在终端上的安全解决方案，持续监测并响应网络威胁。EDR提供超越传统杀毒软件的行为分析、威胁狩猎和取证能力。
- ePHI
- 电子受保护健康信息：以电子方式创建、存储、传输或接收的、可识别个人身份的健康信息。HIPAA安全规则专门针对ePHI的保护作出规定。
- FedRAMP
- 联邦风险与授权管理计划：美国政府的一项计划，为联邦机构使用的云产品和服务提供标准化的安全评估与授权。以NIST SP 800-53控制措施为基础。
- FISMA
- 《联邦信息安全现代化法案》：美国立法要求联邦机构制定、记录并实施信息安全计划。FISMA合规性依据NIST SP 800-53控制措施进行衡量。
- IDS/IPS
- 入侵检测系统/入侵防御系统：监测流量以发现可疑活动的网络安全工具。IDS负责检测并告警；IPS负责检测并阻断。可以是基于网络的（NIDS/NIPS）或基于主机的（HIDS/HIPS）。
- ISMS
- 信息安全管理体系：以系统化方式管理敏感信息，使其保持安全的体系。ISO 27001认证要求建立并维护ISMS。
- MFA
- 多因素认证：要求两种或以上验证因素（您所知、所持或所具）方可获得访问权限。相较于基于短信的验证码，优先采用FIDO2和通行密钥等防钓鱼的MFA方法。
- MITRE ATT&CK
- 基于真实世界观察的、可公开访问的对手战术、技术和程序（TTP）知识库。安全团队用其改进检测、威胁狩猎和红队演练。
- OLIR
- NIST在线参考信息计划：收录NIST框架与其他标准之间对照映射的目录，由NIST或第三方提交。NIST核查第三方提交内容的格式，而非其正确性。
- QSA、ROC、SAQ和AOC
- PCI DSS评估相关术语。合格安全评估师（QSA）编写合规报告（ROC）；小型商户可改为填写自评估问卷（SAQ）。两者均以合规性证明（AOC）结束。
- SIEM
- 安全信息与事件管理：汇总并关联整个IT环境日志数据的平台，用于提供集中可视化、威胁检测和合规报告。
- SOC 2 Type I与Type II
- Type I报告涵盖控制措施在某一时点是否设计得当并已落实。Type II报告还涵盖这些控制措施在一段时期内是否有效运行，也是大多数客户所要求的报告类型。
- SOC（安全运营中心）
- 通常配有专门场所的团队，负责监测、检测并响应安全事件。不应与SOC 2混淆，后者是一份审计报告。
- WAF
- Web应用防火墙：检查往返Web应用的HTTP/HTTPS流量，阻断SQL注入、XSS和远程文件包含等常见攻击的安全解决方案。