互信互认的5G安全评估认证体系建设思路研究

王凤娇 宋 扬 王 磊

(中国网络安全审查技术与认证中心 北京 100020)

(wangfj@isccc.gov.cn)

第5代(5G)无线通信技术代表着电信网络的深刻变革.5G将改变数字格局，成为创新、新市场和经济增长的催化剂.随着数百亿台设备通过5G连接到互联网，这些连接将为大量新的和增强的关键基础设施服务提供支持，真正意义上使万物互联成为可能，将深刻改变社会和生活.作为“新基建”之首，5G是新一轮科技革命和产业革命的代表性、引领性技术，是支持未来经济社会发展的战略资源和公共基础设施，关乎国计民生、社会生产和国家安全，是实现经济社会可持续发展的关键要素和重要基础.因此，5G网络一旦出现安全问题，可能会波及工业、交通等关系国家命脉的重要行业领域，将给国家和社会造成严重影响，这也意味着5G网络安全的重要性将超过以往任何一代网络.

当前，5G安全问题已成为全球各国面临的共同挑战[1].我国作为5G技术全球领先的国家，在加速推进5G发展和应用部署的同时，急需构建客观、开放的5G安全保障体系，以此确保5G的持续快速健康发展[2].

1 5G安全评估认证体系是5G安全保障体系的重要组成

随着5G的快速发展和应用，美欧等西方发达国家对5G安全的重视程度不断提高，不惜将其上升到国家战略层面予以关注.近年来，美欧等国家和地区密集出台了一系列的战略[3]、政策、立法和风险缓解措施，其中标准与评估认证作为支撑政策法规落地实施的重要支撑和通用技术性风险缓解措施被广泛提出和采用.

究其原因，随着网络安全问题越来越复杂，网络安全“牵一发而动全身”的系统性风险本质愈发凸显，越来越多的国家在网络安全保障和信息技术利用中反复强调“安全”“可信”的概念.这意味着在底层设计中要强调“信息系统所部署的技术和产品满足特定的国家要求”，这种要求的实现依赖于相关的政策、立法、标准和评估认证.严格来讲，“可信”是带有强烈主观色彩的政策术语，其体现为对客观安全环境进行的主观判断，这种主观性在ICT供应链全球化的背景下表现得尤为明显.因此，在网络安全保障及新兴技术利用中出现了一个迫切需要解决的问题，即如何实现对ICT技术与产品安全性的客观评价，在用户与供应商之间建立信任关系，达到国家安全与经济发展及技术利用之间的平衡.

网络安全标准与评估认证即是在这种背景与需求下进入各国网络安全保障的视野并逐步发展成为一项重要的制度措施.随着ICT供应链风险的持续攀升及国家网络安全审查制度的兴起，标准与评估认证在国家网络安全保障和新兴技术利用中的功能和价值进一步得到强化.5G作为关乎国家安全和经济发展的重要新型基础设施，其安全保障的目标与国家网络安全保障的核心战略目标高度一致，因此，5G安全标准与评估认证也自然成为各国5G安全保障体系建设中的重要组成部分，可以为5G产品和服务在技术层面的“可信性”提供客观依据，将在5G安全保障中得到进一步重视、关注和应用.

2 美欧等主要发达国家5G安全评估认证的进展

美欧等国已在5G安全标准与评估认证方面进行了一系列的部署和推进，在全球具有风向标作用.

2.1 美国5G安全评估认证相关举措

美国早已扬言5G是一场美国“必须取胜”的竞赛，绝不允许有任何挑战者.近几年来，美国对我国5G、人工智能等高技术发展的担忧和遏制达到了前所未有的程度，频繁地以“国家安全”为由，通过各种政策措施和手段建立针对我国技术“冷战”的机制壁垒，成为中美贸易冲突的焦点.在5G安全方面，美国通过密集制定出台的一系列战略、立法、政策、标准、审查与评估等政策措施和手段，形成了联邦机构和部门、SLTT政府机构(州、地方、部落和地区政府机构)、私营行业、非政府组织(协会、学术界和非营利组织)及国际合作伙伴多方关注和参与，覆盖从设备、频谱、国际协调和标准，再到国家安全和供应链等问题的一整套5G安全监管和保障体系.在加快国内5G研发部署的同时，也通过“拉拢”“联盟”“理念和标准输出”等方式试图影响5G全球的发展和部署，其中评估、审查、标准、认证及测试等措施被作为重要的5G安全保障和监管手段[4]：

一是在战略、政策法规方面高度重视.2020年1月，美国众议院投票通过了《促进美国在5G领域的国际领导地位法案》，旨在加强美国在5G领域的国际领导地位，明确了美国及其盟国、合作伙伴应在第5代及下一代移动电信系统和基础设施的国际标准制定机构中保持参与和领导地位；美国应与其盟国、合作伙伴密切合作，促进第5代及下一代移动通信系统和基础设施的供应链和网络安全等.2020年3月，又发布了《2019安全和可信通信法案》和《5G安全国家战略》.《2019安全和可信通信法案》要求“禁止使用联邦补贴购买构成国家安全风险的通信设备或服务，并建立10亿美元的补偿计划帮助小型偏远电信运营商更换“可疑的网络设备”.《5G安全国家战略》所提出的加快美国5G国内部署、评估5G基础设施相关风险并确定其核心安全原则、解决全球5G基础设施开发和部署过程中对美国经济和国家安全的风险，以及推动负责任的5G全球开发和部署4条战略路线，均有具体的法律法规和政策文件支撑，其中，《2018年联邦采购供应链安全法案》《布拉格提案》及第13837号行政命令等法案提案中均将标准、评估、审查等作为5G安全保障的重要举措.

二是成为多个联邦机构政策措施落实的有效支撑手段.以联邦通信委员会、国土安全部、商务部、国务院及白宫国家安全委员会为首的众多联邦机构对探索和如何过渡到5G网络都高度关注.

在政策和标准领域，正在努力解决制定和实施问题.白宫成立了5G政策协调委员会，以协调联邦机构与3GPP的合作.联邦通信委员会(Federal Communications Commission, FCC)和内政部(Department of Interior, DOI)的职责是5G部署和安全工作.DOI率先执行农村宽带部署行政命令，FCC正在推行一项全面的计划，旨在提升美国在5G技术方面的优势，将更多的频谱推向市场，更新基础设施政策，并使过时的法规现代化.美国国家标准与技术研究所(National Institute of Standards and Technology, NIST)正致力于保护移动设备和数据的安全，并就蜂窝技术的安全性提供指导.国防部已经建立了技术团队来处理各种5G标准问题，以帮助在整个国防部建立统一的标准.国防部还与五眼联盟合作，协调标准的实施和统一.

在安全方面，5G系统的每个元素(核心、硬件、软件等)都代表着独特的安全挑战.因此，安全主题必然与其他行动领域交叉重叠.FCC、商务部和国防部等机构都成立了专门处理安全问题的工作组.作为联邦通信主管部门，FCC对进入美国电信市场的5G设备和装置设置了一系列的授权规则和程序.任何发射射频辐射的产品都要遵守FCC的设备授权制度.大多数情况下，在射频设备上市(即出售、租赁、广告出售或租赁或进口)之前，必须获得FCC设备授权，由FCC指定的电信认证机构(TCB)执行.所需的授权程序可以是称为认证的严格批准程序，也可以是称为供应商符合性声明的不太详细的程序.尽管供应商符合性声明的方式允许使用电子卷标并减少了繁琐的进口声明要求，但认证程序同样需要出具测试报告.许多设备在这2种方法下都要经过批准.此外，FCC的规则还规定了详细的标签和进口要求.

作为负责网络安全的主要联邦机构，国土安全部网络安全和基础设施安全局(Cybersecurity and Infrastructure Security Agency, CISA)正通过战略风险缓解计划，帮助塑造这一新兴关键基础设施的推出，全面落实《5G安全国家战略》中提到的4条工作线，确保5G技术和基础设施的安全性和弹性，领导风险缓解工作.2020年8月，CISA发布了其5G战略，确立了5项战略举措，以应对5G部署安全的关键风险.CISA利用其作为国家风险顾问的特殊身份和独特的权威机构——国家风险管理中心，正在与跨机构、行业和国际合作伙伴合作，以确保相关的政策、法律、安全和安全框架到位，以减轻重大5G风险，并推动所有16个部门的关键基础设施系统在依赖ICT(包括部署时的5G组件)来运行国家关键功能(national critical functions，NCF)时将5G安全作为优先事项.

在供应链方面，联邦机构正在推行多种战略，以促进在全国推广更安全、更可靠的5G网络.5G的供应链完整性一直是包括白宫、商务部、FCC和国会在内的利益相关者关注的中心问题，其中中国的设备是一个特别的重点领域.这种担忧已经在整个联邦政府中表现出来，包括：通过特朗普总统2019年的供应链行政命令，针对中国企业，建立了一个新的监管制度，对某些交易进行审查；商务部将华为列入实体名单；成立联邦采购安全委员会，帮助政府机构评估供应商安全； FCC限制拥有某些中国制造商设备的实体使用普遍服务基金的程序；国土安全部正在进行5G安全风险评估，由CISA的国家风险管理中心牵头；国防部和国防创新委员会对5G生态系统风险和机遇的审查；NIST一直在研究其网络安全框架中的供应链风险管理；美国国务院“5G清洁网络”倡议下的第1项努力“5G清洁路径”，要求所有进出美国外交设施的5G网络流量都有一条“清洁路径”.5G 清洁路径设想了一种端到端通信路径，不使用来自不受信任的IT供应商的传输、控制、计算或存储设备.出于对全球电信供应链的安全担忧，美国对5G等电信设备实施了多项限制，不断加强对感知风险的审查和评估.

在5G测试方面，成立了跨部门联合的联邦移动测试工作组(Federal Mobility Group, FMG).FMG成立于2019年，由总务管理局(General Services Administration, GSA)、国土安全部(Department of Homeland Security, DHS)和NIST的代表共同领导，团队包括250名合同制员工和项目经理，以及来自联邦和技术方面45个机构和局的领导，每2周见面1次.工作组的5G测试工作符合《5G安全国家战略》中“促进国内5G推广”的工作路线，其目标是促进新技术和架构的研究、开发、测试和评估，这些新技术和架构通过访问共享测试资源推进5G技术.为了避免重复和促进共享测试资源的使用，FMG的5G和移动网络基础设施组对5G的测试方法进行了评估，以了解美国的5G测试能力.2020年11月，FMG发布了《联邦5G测试框架》，通过对全国范围内一组4G和5G实验室和测试平台的调查，得出了关于实验室能力及其适用性的结论，以供联邦政府使用.该框架报告提供了有关所访问实验室现有和计划的5G测试能力的信息，细化了5G的联邦用例，并定义了进行5G测试的框架，确定了进行5G测试所需的模块化能力和要素.框架分为4个阶段，理论上基于3GPP 5G标准发布和5G设备/设备供应商产品的时间表.该框架不仅有助于5G项目经理或测试经理了解进行用例测试所需的测试元素，还可以支持联邦5G用例的不同需求，以及联邦政府5G测试活动的协调.

2.2 欧盟5G安全评估认证进展

欧盟作为标准与认证认可的发源地，历来高度重视标准与认证的研究及运用，在标准的研究制定、认证认可机制的应用方面始终走在世界前列.近2年来，欧盟提出一系列具有操作性的步骤和措施来整体推动5G安全部署，其中评估、标准与认证是重要方面：

1) 2019年3月，欧盟通过的《欧盟网络安全法》将为特定的信息和通信技术(ICT)流程、产品和服务建立统一的认证框架.从法律层面为欧盟统一的网络安全认证框架的实施推动提供了保障，并提出将在物联网、5G设备和网络以及数据和隐私保护等新兴技术、新产品的应用和新的安全需求中将安全认证作为一项重要的评估手段.

2) 2019年3月，欧盟委员会宣布了在5G网络安全方面的法律建议，包括敦促欧盟委员会授权欧盟网络与信息安全局(European union agency for cybersecurity, ENISA)优先开展5G设备认证方案的研究，特别注意有一定规模的、可对公民的日常生活和经济有重大影响的广泛使用的过程、产品和软件；要求成员国应在年底前向欧盟委员会和ENISA提交国家风险评估报告.法律建议还规定，一旦欧盟制定了与5G网络相关的网络安全认证计划，成员国应根据欧盟法律通过国家技术条例，对这些计划所涵盖的信息和通信技术产品、服务或系统进行强制性认证.

3) 2019年10月，欧盟内部达成安全共识并发布《欧盟 5G 安全风险评估报告》，明确了网络威胁和攻击者、敏感资产、关键漏洞和包括供应链安全在内的多种战略安全风险.

4) 2019年11月，ENISA发布了《欧盟5G网络威胁场景分析报告》，对5G网络架构、敏感资产、影响资产和威胁主体的网络威胁进行了系统分析.2020年12月，ENISA发布了更新版报告，捕捉了5G架构的发展，包含所有引入的新功能，并总结了5G相关标准化文件中的信息[5].

5) 2020年1月，欧盟制定并发布了《欧盟5G网络安全风险应对工具箱》[6]，重点围绕5G安全风险提出战略和技术措施.欧盟委员会将支持实施关于5G网络安全的欧盟方法，并将根据成员国的要求，酌情使用所有可用工具以确保5G基础架构和供应链的安全性，包括：电信和网络安全规则；协调标准化以及欧盟范围内的认证(作为4项技术措施之一)；外国直接投资审查框架保护欧洲5G供应链等等.

6) 2020年7月1日，ENISA发布了欧盟网络安全认证候选方案[7]，规定的原则和要素也适用于5G认证.

7) 2020年12月10日，ENISA发布了新的指导方针《欧洲电子通信规范安全措施指南》和《5G补充文件：欧洲电子通信规范下的安全措施指南》[8]，以支持欧洲电信安全部门实施欧洲电子通信规范(EECC)和欧盟5G工具箱的安全要求.指南和相关的5G补充文件强调了数字单一市场电信安全通用方法的重要性.5G补充文件包含5G技术概要，补充了EECC下安全措施的技术中立指南，就如何确保移动网络运营商实施和加强安全措施，以减轻5G网络的风险，向国家主管部门提供了额外的指导.

8) 2021年2月初，欧盟委员会要求ENISA制定欧盟5G网络安全认证方案.根据欧盟委员会的要求，ENISA将着手制定新的5G候选网络安全认证计划.这项工作基于欧盟5G安全工具箱，预计将进一步加强5G网络的网络安全，因为它有助于应对某些风险，作为更广泛的风险缓解战略的一部分.欧盟委员会这一要求符合建立欧盟网络安全认证框架的《网络安全法》.同时，5G网络安全认证是新版欧盟数字10年网络安全战略的下一步举措，这项新举措建立在已经采取的行动的基础上，以减轻5G技术的网络安全风险.

9) 2021年2月，ENISA发布了《5G规范中的网络安全：3GPP中的安全控制报告》[9]，为主管部门提供有关5G工具箱措施的技术指导，以满足现有5G标准中的安全要求.这份新的报告是由欧盟5G安全工具箱中设定的目标(主要技术措施“TM02”)直接驱动的.这项技术措施要求欧盟成员国的相关主管部门确保并评估运营商及其供应商在现有5G标准(具体为3GPP)中实施安全措施的情况.

与美国频繁以“国家安全”为由出台多种安全措施不同，欧盟对5G安全的评估和监管相较而言更加客观，思路更加简明、清晰.在风险评估和威胁场景分析的基础上，围绕5G网络安全风险制定发布了5G网络安全工具箱，提出了战略性和技术性2类风险缓解措施，并逐步推动各项措施(包括标准、评估和认证)的落地实施.特别是在5G安全标准、评估、认证方面的差距分析、方案准备及通过立法推动等做法更具参考借鉴意义.

3 对建立互信互认的5G安全评估认证体系的思考

目前，我国5G发展在技术标准、产业体系、部署应用等方面已经具有领先优势，但同时也面临着一些挑战，比如国际“信任环境恶劣”、端到端产业链尚未完全成熟、5G网络新技术新业态导致网络安全和数据安全的风险点增多等[10].特别是鉴于当前5G国际信任环境恶劣、产业链供应链风险持续攀升等形势，急需立足国内国外2个市场观，从我国5G安全和产业发展的双重需求出发，系统地作出战略评估并采取切实的应对措施.在加强对5G产业链供应链各环节安全问题和风险的全面、客观认识和评估的基础上，加快制定5G安全相关标准，以5G安全评估认证体系建设推动建立信任机制，并推动在多边领域乃至全球的互认.需要从如下2方面着手推动：

一方面，需正确认识5G安全评估认证体系建设在5G安全保障和供应链优化中的必要性和意义.从国内外5G安全评估认证的进展和实践、我国5G发展和安全保障的需求以及当前国际国内的环境形势需要等来看，建立互信互认的5G安全评估认证体系非常必要，是当前5G产业快速发展的迫切需求，也是我国完善现代化产业链供应链的必要举措.因此，应立足现代化的全球供应链理念，明确界定我国5G产业的全球供应链定位，主动对接国际标准组织与相关认证组织，运用通用的国际标准全面优化供应链结构要素，提升供应链安全水平，构建统一、客观、独立、公正、可验证的5G安全评估认证体系，利用主流国际认证机制，建立与外国市场和用户的远期信任，为5G产业新生态和数字经济发展保驾护航.

另一方面，在完善顶层设计、明确推动思路的基础上，以“4个体系”的构建有计划有步骤地推动落实：一是完善制度体系.以网络安全法为基本依据，基于深度防御和广度防御的理念，完善制度体系，做好顶层设计，在5G安全保障中，综合运用风险识别、审查、评估、认证等制度和手段，推进代表国家行为的网络安全审查与控制市场准入的安全认证有效衔接，防范风险，传递信任，共筑网络安全防线.二是建立5G安全认证评价体系.结合5G产业链中重点产品、系统、服务、关键人员的安全评价需求，及5G运营商、服务提供商的网络安全管理需求，建立覆盖完整的安全认证、评价体系.三是加强5G安全评价的核心能力体系建设.当前我国对ICT产品和服务的安全性评价能力整体不足，存在评价不了、评价不准、评价效果不明等几个突出的问题，需要突破核心能力建设，深入开展安全评价关键支撑技术研究与应用.四是建立5G安全评价生态体系.安全评价不仅是产品、服务等使用前的评价和把关，它与产业链、生态链的各个环节都密切相关.因此，需要推进产学研用的联合，集合优秀的企业、实验室、服务机构等各方力量，共同推进协同配合的5G安全评价生态体系建设，促进我国5G安全可控能力的整体提升，保障国家安全、公共利益，提升广大人民群众的使用信心.