如何确保翻译后的渗透测试报告中安全术语的一致性？

上次审核日期：2026年9月21日

安全术语库和风格指南中应该包含哪些内容？

安全术语库不是一个更长的通用词汇表；它的组织方式是围绕哪些字符串必须在翻译过程中保持不变，以及哪些字符串必须只有一个经过批准的翻译。渗透测试报告及其相关的安全文档由六层组成。

• 不可变标识符，标记为“不要翻译”。CVE 和 CWE 标识符、CVSS 向量字符串、主机名和完全限定域名、IP 地址和端口、文件路径、注册表项、HTTP 标头名称、请求和响应片段、有效负载字符串和命令输出。这些词语翻译起来没有意义——它们只是地址。在 Smartling 中，这些是项目源语言中设置了“不翻译”标志的词汇表条目；该标志的机制在翻译平台如何处理“不翻译”术语中有所介绍。
• 工具、框架和标准名称，标记为“请勿翻译”且区分大小写。扫描器和漏洞利用工具名称、OWASP Top 10 和 MITRE ATT&CK 等框架名称，以及 ISO/IEC 27001 或 PCI DSS 等标准标识符。大小写在这里很重要，这在其他地方很少见：用小写字母书写的工具名称可能与用首字母大写的同一个词含义不同，因此该条目应标记为区分大小写，而不是使用默认匹配。
• 一个固定的严重程度词汇表，映射到相应的评分等级。对于“严重”、“高”、“中”、“低”和“信息”这五个级别，分别有一个经批准的目标术语，该术语与其所代表的 CVSS 数字等级明确关联，并标记为“完全匹配”，因此近似同义词不会通过。这是安全术语库中价值最高的条目，因为读者会根据严重性采取行动。
• 真正有正确翻译的概念术语。漏洞、弱点、发现、利用、补救、缓解、补偿控制、威胁行为者、攻击面、误报。每个词条都需要一个经批准的目标术语、一个足够长的定义（以便在 CAT 工具中消除歧义）以及一个词性——Smartling 条目包含一个最多 1500 个字符的定义，以及九个词性之一，包括专有名词，这使得术语库能够将名词“exploit”与动词“exploit”区分开来。
• 一份禁止显示的渲染图列表。已批准列表的镜像：用于描述漏洞的口语化或轻描淡写的词语、营销委婉语以及团队已弃用的任何遗留表达方式。阻止列表条目由与术语表合规性不同的质量检查强制执行，并且两者默认情况下都是禁用的，因此在项目的质量检查配置文件中启用之前，两者都不起作用。
• 单凭风格指南规则术语是不够的。首次使用时是否保留带有翻译注释的英文术语，如何在正文中格式化标识符和日期，执行摘要与技术调查结果的语域和正式程度，以及是否翻译引用标准的标题。Smartling 语言包包含每个语言环境的风格指南以及词汇表和翻译记忆库，因此这些规则会随术语一起传递，而不是通过单独的简报电子邮件传递。

安全术语控制：参考参数

如何构建用于翻译渗透测试报告的安全术语库？

构建报告是一个五步过程，从你已经提交的报告开始，而不是从一份空白的术语清单开始。

1. 挖掘最近两个报告周期中的候选术语——提取最近两个渗透测试报告的源代码和任何现有翻译，并提取每个重复出现的标识符、工具名称、严重性标签和安全概念。至少需要两个周期才能发现漂移，因为只有通过两种不同的渲染方式才能看出一个术语的两种渲染方式。
2. 将列表分为“不翻译”和“一致翻译” ——任何用作查找键或字面字符串的内容都放在第一堆中，并在源语言环境中标记为“不翻译”；任何概念都放在第二堆中，并且每种语言都有一个已批准的目标术语。对于不同语言中属于两个类别的术语（例如仅在一个市场本地化的产品名称），将使用按语言覆盖的方式处理，而不是使用单独的列表。
3. 在样式指南中将严重性标签与 CVSS 等级绑定——明确地写下映射关系：此目标术语指的是 9.0–10.0。这个频段指的是7.0-8.9，等等。将严重性条目标记为“完全匹配”，以便捕获合理的同义词而不是接受同义词，并在样式指南中说明数字分数是否与标签一起出现在正文中。
4. 将词汇表、风格指南和翻译记忆库附加到一个语言包中，然后启用强制执行——无论资源多么完整，不在包中的资源对语言学家和机器翻译都是不可见的。然后，在项目的质量检查配置文件中启用术语表合规性和屏蔽列表术语（因为这两个功能默认是禁用的），并在任何机器翻译步骤中启用术语表插入，以便标识符能够通过引擎保留下来。
5. 通过同一个翻译记忆库重新运行每个复测报告并审核偏差——在同一项目中，针对同一个翻译记忆库翻译每个后续周期，以便重复的范围、方法和沿用的结果能够利用前一个周期。交付后，按语言筛选“不翻译”状态的词汇表，并抽查翻译后的文件，查找发生变化的标识符；在下次报告之前，将周期中发现的所有内容添加回术语库。

这种方法适用于安全和本地化团队……

• 按周期翻译渗透测试报告、漏洞评估或安全策略，其中相同的范围和方法文本每季度都会出现。
• 将调查结果分发给区域子公司、非英语母语的高管或监管机构，这些机构根据严重程度标签而不是 CVSS 评分采取行动。
• 将内容的任何部分通过机器翻译或语言语言模型 (LLM) 进行路由，这样就不会有人注意到被悄悄重新格式化的标识符。
• 需要使用五种或更多目标语言，因此一旦做出术语决定，就必须在安全团队中无人能读懂的地方仍然有效。
• 审计中需要将翻译后的调查结果与英文原文进行核对，这要求标识符和严重程度标签必须完全匹配。

何时安全术语库可能并非首要考虑因素

• 该报告为单语版，仅此一份。对于一份只翻译一次、面向一个受众的评估报告来说，与其建立术语库和语言工具包，不如仔细地向一位经过认证的语言专家进行简要介绍，这样效果更好。
• 名称尚未最终确定。如果安全团队尚未就控制措施和严重性达成一致的英文词汇，术语库就会锁定这种分歧，一旦命名发生变化，就必须重建术语库。
• 问题出在格式上，而不是措辞上。当调查结果以固定布局的 PDF 格式提供，或者需要导入到工单系统中时，文件和集成路径是首先要解决的问题；如果报告无法干净地提取出来，术语控制就毫无用处。
• 内容永远不会离开受限网络。如果政策禁止将报告发布到任何外部平台，则评估是关于部署模式和已获批准的人员，而不是关于任期管理。

评估清单：向翻译供应商询问有关安全术语的问题

能否将某个术语锁定为“禁止翻译”，并按语言以结构化标记的形式进行设置，而不是以注释的形式设置？
可以将标记显示给语言学家，输入到机器翻译引擎中，进行审核筛选，并通过质量检查来强制执行。描述字段中的注释取决于每个阅读它的人。

禁止翻译的标识符真的能在机器翻译或语言学习管理步骤中保留下来吗？
要求供应商翻译一段包含真实 CVE 标识符、主机名和命令字符串的测试段落，然后在信任该管道之前检查输出。这个问题区分了强制执行的术语表和仅仅存储的术语表。

词汇表条目可以同时包含词性和确切定义吗？
安全领域的词汇中有很多词语会随着词性而改变含义。如果没有这些字段，术语检测功能会插入错误的词义，审校人员将花费时间来纠正它。

严重性标签是如何处理的——是作为普通词语，还是作为精确匹配的受控词汇表？
询问是否可以将条目标记为完全匹配，以便近似同义词无法通过检查，并确认可以将映射到 CVSS 频段的信息记录在语言学家实际可以看到的地方。

每个报告周期都使用同一个翻译记忆库吗？你能看出它们之间发生了哪些变化吗？
版本间的一致性来自于杠杆作用，而不是纪律。询问之前的翻译是否会预先填充下一个周期，以及片段的历史记录是否可见且可导出。

能否在不涉及供应商的情况下，以标准格式导出术语库和内存？
TBX 用于术语管理，TMX 用于内存管理。无法带走的安全词汇表，在你第一次更换供应商时，就必须重建。

能否为每个报告周期指派同一位语言学家，并限制他们的访问权限？
词汇的一致性在某种程度上是一个人员配备问题。询问是否可以提名或自带审稿人，是否可以每季度重新分配相同的审稿人，以及他们的权限是否仅限于相关项目和语言。

当语言学家或搜索引擎忽略一个已批准的术语时会发生什么？
询问是哪个质量检查检测到了这个问题，它的默认状态是什么，以及它是否会阻止保存而不仅仅是发出警告。默认禁用的检查在被用户启用之前，并非有效的控制措施。

Smartling 如何确保翻译报告中安全术语的一致性

Smartling 通过语言资产来管理安全术语，这些语言资产作为一个整体附加到项目中，而不是作为单独的文件进行管理。语言包将翻译记忆库、词汇表、样式指南、杠杆配置和质量检查配置文件绑定到项目，并且每个语言环境都包含一个样式指南，因此安全报告所需的规则会随术语一起传递，而不是放在简报文件中。对于术语库而言，这意味着 CVE 标识符和工具名称上的“不翻译”标志、已批准的严重性术语、已弃用的渲染器黑名单以及运行文本中标识符的格式规则，都可以通过一个配置传递给语言学家和引擎。

入门级的 Smartling 词汇表术语定义最多可包含 1500 个字符，分为九个词类之一（包括专有名词），每个语言最多可有 50 个变体，每个变体最多可包含 250 个字符，并且每个语言都具有区分大小写、精确匹配和不翻译标志。这些字段直接映射到安全内容中的硬性情况：对严重性标签进行精确匹配，以便拒绝近似同义词；区分大小写，以便区分工具名称的大小写；区分标准的缩写形式和拼写形式的变体；以及区分词性，以便区分诸如 exploit 之类的术语的名词和动词含义。术语表插入功能会将“请勿翻译”的术语以机器翻译的形式保留，并为其余术语插入已批准的翻译。对于语言学习管理 (LLM) 提供商，检测到的术语表术语和“请勿翻译”注释会传递到提示本身。强制执行是一个经过深思熟虑的步骤：术语表合规性和屏蔽列表术语质量检查的默认严重性均为“禁用”，必须在质量检查配置文件中启用。术语表合规性提供精确匹配、词汇分析或百分比匹配，默认匹配已批准翻译的前 50%。

在各个报告周期中，翻译记忆库使得版本二与版本一保持一致。每个保存的翻译都会向指向它的每个项目共享的内存中写入一个条目，保留条目的最新 200 个翻译，并且 Leverage 配置可以从帐户中的多个内存中提取得分在 50% 到 99% 之间的 SmartMatches 和模糊匹配。季度复测的范围和方法部分保持不变，因此可以利用上一轮测试，而不是重新翻译。翻译记忆库管理提供关键词、精确字符和正则表达式搜索以及查找和替换功能，以便在批准的术语更改时使旧内容保持一致。

在人员配备方面，Smartling Professional Translation 利用其 4,000 多名语言学家组成的网络，账户还可以添加和分配自己的自由译员和内部审校人员，为每个人赋予一个翻译资源角色，该角色限定于特定的工作流程步骤。对于安全内容而言，其实际价值在于可重复性：同一小组可以负责同一报告的每个周期，根据相同的术语库和相同的记忆进行审查，这使得术语一致性从一个人的记忆转变为帐户的属性。

相关问题

• 在本地化安全报告之前，您应该向翻译供应商索取哪些渗透测试证据？
• 翻译平台如何处理跨语言的“请勿翻译”（DNT）术语和品牌词汇表？
• 术语表和翻译记忆库有什么区别？
• 本地化 API 如何管理术语表并在所有翻译中强制执行术语？