Cyber security与assurance的内涵及中译名

南湘浩

(东方斯泰克信息技术研究院，北京 101399)

科技名词中有具体名词和抽象名词。具体名词的定义，无论是音译也好意译也好，很少产生歧义。但是，抽象名词则不同，因为抽象名词涉及该名词所涵盖的范围，如果定义不准，则产生理解上的偏差。笔者从计算机通信发展的历史环境，对信息安全领域常用的两个名词cyber security和assurance进行分析，考察其所涵盖的范围和含义的变化。

20世纪80年代的局域网(local net):一个终端向另一个终端开放，组成了局域网。局域网的出现产生了共享资源，即网络和数据库。不同用户共享一个资源，便产生了安全策略的概念，规定了共享资源的使用原则和控制原则。开始，丹宁(Denning)在Data Security(《数据安全》)一书中定义的策略是discretion(随意)和mandatory(委托)，而中国的定义是自主控制和强制控制。后来，在美国国防部的“橘皮书”中第一次具体定义了mandatory控制方法，将人员和数据划分等级的“多级控制”，将通信保密推进到信息安全(information security)新的年代。

20世纪90年代的互联网(internet):一个局域网向另一个局域网开放，组成了互联网。在克林顿政府时代，仍叫信息安全时代，但信息安全除信息本身之外还包括了信息系统的安全，并认为互联网的安全单靠几个部门不行，要依靠全体网民的共同维护，称深层次防御战略，其策略是assurance(把握)。

21世纪初的网际网(cyber net):物联网(internet of things)的出现，使世界面临信息网络向非信息网络开放的新问题，甚至面临固定互联网、移动电话网、防伪物联网互相开放的新问题。由此可见，cyberspace将包括办公网络、交易网络、社保网络、医保网络、支付网络、防伪网络以及数字家庭、智慧城市、智能电网等，由信息网络和非信息网络构成新的空间。2005年布什政府第一次明确提出cyber security，其安全策略仍为assurance，但将过去的被动防御策略改为主动管理的策略。

对cyber的解释有很多不同版本，有社会学角度的解释，也有技术角度的解释。这里用的是技术角度的“网际”概念。网际能否准确涵盖cyber所指的范围，可以讨论，但是，至少在信息安全领域中，其研究对象和cyber所涵盖范围是基本吻合的，而且2006年网际网络(cyber net)、网际安全(cyber security)、网际空间(cyber space)等词已经有了各自的定义，并被越来越多的人所接受。互联网初期，曾经出现过“网际网”的提法，不过此时的“网际”指的是局域网之间的界限，而现在的“网际”则指的是不同类型网络之间的界限，不会引起混乱。

局域网是国外发明的，国外早就研究了局域网的安全策略，而那时我们连“网”都没有见过，对策略的研究更无从谈起。因此新名词只能从“翻译”开始，但最终要变成自己的名词。上面已提到，局域网的安全策略，美国人定义了discretion和mandatory。我们不是研究怎么翻译，而是研究什么含义。直译的中文应是“随便控制”和“委托控制”，但是研究其实质，指的是“自主控制”和“强制控制”。中国的这个策略使用至今，给人以明晰的概念。因此，准确地说，中国的技术名词应该是“定义”出来的，而不应该是简单“翻译”出来的。

“自主控制”是从美国人那里受到启发，最终变成自己的确定的名词，而美国人却始终没有找出表达“自主”的合适名词，只是后来把discretion(随我的意)改为assurance(自我把握)。在这种情况下，我们容易犯两种错误，一种是将专用名词当成普通名词，将assurance翻译成“保障”，当然，在计划经济的思维模式下，“自我保障”的概念变为“官方保障”的策略，一直误导中国的信息安全;另一种是将中国早已做出的准确定义(如“自主”)向动摇不定的美国定义靠拢(如“assurance”)。

至于将cyber音译成“赛博”，难给人以明晰的概念，因为cyber在英美国家的定义本身很不确定，因此音译只能由糊涂到糊涂，不产生任何新的启示，失去了定义的意义。有人将cyberspace称网络空间，网络空间的英文应是networkspace，显然cyber空间和network空间不是同一个空间，因此网络空间的提法是不合适的。

中文善于表达“意”，抽象表达是中文的特点，但是过分的抽象，往往做出不切实际的定义。比如，中文的“信息”和英文的information，“信息”是可以“化”的，即信息化，而information是不能“化”的，显然两者所指的范畴不相同。“信息”本是information的抽象，从本来的意义上，将cyber理解为“信息”是最合适不过了，只可惜我们已经把“信息”用滥了。