5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障模型研究

(四川省工業(yè)和信息化研究院,四川成都 610017)

0 引言

5G,即第五代移動(dòng)通信技術(shù)是最新一代蜂窩移動(dòng)通信技術(shù)[1]。5G的性能目標(biāo)是高數(shù)據(jù)速率、減少延遲、節(jié)省能源、降低成本、提高系統(tǒng)容量和大規(guī)模設(shè)備連接[2]。5G采用了超密集異構(gòu)網(wǎng)絡(luò)、自組織網(wǎng)絡(luò)、內(nèi)容分發(fā)網(wǎng)絡(luò)、D2D 通信、M2M通信和信息中心網(wǎng)絡(luò)等關(guān)鍵技術(shù)[3]。

在國家總體戰(zhàn)略部署下,各地紛紛推出了各自的政策,推進(jìn)5G產(chǎn)業(yè)快速發(fā)展。5G網(wǎng)絡(luò)建設(shè)和應(yīng)用系統(tǒng)建設(shè)得到了迅猛發(fā)展,與此同時(shí),5G安全問題也逐漸凸顯出來。一方面,5G網(wǎng)絡(luò)的新特性,給5G信息系統(tǒng)在不同應(yīng)用場景帶來了千差萬別的挑戰(zhàn)和安全威脅;另一方面,5G網(wǎng)絡(luò)系統(tǒng)暴露出的安全問題,也直接威脅著5G信息系統(tǒng)的安全;最后,信息系統(tǒng)自身的安全問題,也會(huì)反過來給5G通信網(wǎng)絡(luò)帶來沖擊,威脅著5G通信網(wǎng)絡(luò)的安全穩(wěn)定[4]。

總體上來看,目前的5G 應(yīng)用系統(tǒng)建設(shè)都針對(duì)系統(tǒng)的各個(gè)層面從技術(shù)上采取了安全措施,給出了具體的安全解決方案。但尚未建立全面的安全保障體系?；谏鲜鰡栴},本論文提出的保障體系包括了國家戰(zhàn)略、政策法規(guī)、標(biāo)準(zhǔn)規(guī)范、人力資源、認(rèn)證認(rèn)可與質(zhì)量監(jiān)督、產(chǎn)品測評(píng)、技術(shù)與信息等保障要素。

1 CISAW安全模型

目前,針對(duì)5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障尚無統(tǒng)一的安全架構(gòu)和框架。值得參考的是5G 推進(jìn)組IMT 提出的安全框架、5G 醫(yī)療行業(yè)應(yīng)用安全架構(gòu)以及中國移動(dòng)在《5G智慧城市白皮書》中給出的安全架構(gòu)和CISAW安全模型[5]。

CISAW(Certification of Information Security Assurance Worker,信息安全保障人員認(rèn)證)信息安全保障模型,是中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心(CCRC)于2015年,在我國863專家組的WPDRRC安全模型的基礎(chǔ)上提出的[6-10]。

CISAW 模型在WPDRRC 模型的基礎(chǔ)上,明確信息安全保障的本質(zhì)對(duì)象,抽象出數(shù)據(jù)、載體、環(huán)境與邊界4個(gè)實(shí)體對(duì)象,增加管理和資源兩大基本要素。具體內(nèi)容請(qǐng)參看圖1。模型中的資源具體包括了人、財(cái)務(wù)、信息、技術(shù)4類資源[11-15]。這些資源在管理的基礎(chǔ)上服務(wù)于信息安全保障模型中的各個(gè)要素。

圖1 CISAW 安全模型Fig.1 CISAW security model

2 5G安全保障模型

本課題將CISAW安全保障模型與5G環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障相結(jié)合,提出5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障模型,如圖2所示。

圖2 5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障模型Fig.2 Network security guarantee model of information system in 5G environment

本質(zhì)對(duì)象:5G環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障的最終目的還是為了保障該信息系統(tǒng)所支撐5G 應(yīng)用業(yè)務(wù)的正常開展。這些業(yè)務(wù)包括5G應(yīng)用的千行百業(yè)的應(yīng)用系統(tǒng)。保障工作的開展,從管理和技術(shù)角度而言需從具體實(shí)體對(duì)象入手。

實(shí)體對(duì)象:5G 環(huán)境下信息系統(tǒng)實(shí)體對(duì)象可從業(yè)務(wù)數(shù)據(jù),以及構(gòu)成系統(tǒng)的云、網(wǎng)、端入手,確保其全生命周期安全屬性的實(shí)現(xiàn),以支撐業(yè)務(wù)的正常開展?！霸啤敝概c應(yīng)用系統(tǒng)相關(guān)的云計(jì)算、數(shù)據(jù)中心、機(jī)房等軟硬件設(shè)備設(shè)施;“網(wǎng)”指與該信息系統(tǒng)相關(guān)的5G網(wǎng)絡(luò)、專網(wǎng)、局域網(wǎng)等不同類型的傳輸環(huán)境;“端”指5G網(wǎng)絡(luò)接入終端及相關(guān)應(yīng)用系統(tǒng)。

保障環(huán)節(jié):為了實(shí)現(xiàn)實(shí)體對(duì)象的安全屬性,需要在合規(guī)要求、風(fēng)險(xiǎn)評(píng)估、建設(shè)實(shí)施、安全運(yùn)維、應(yīng)急處理和持續(xù)改進(jìn)環(huán)節(jié),采取相關(guān)的安全措施和管理。

保障資源:5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全的保障需要提供充足的資源,這些資源包括人力資源、財(cái)務(wù)資源、技術(shù)資源和信息資源。人力資源涉及到5G 環(huán)境下信息系統(tǒng)建設(shè)各個(gè)環(huán)節(jié)的人才,包括架構(gòu)師、設(shè)計(jì)師、工程師、分析師等;技術(shù)資源涉及到安全保障產(chǎn)品、技術(shù)研發(fā)、技能培訓(xùn)等;信息資源涉及到信息共享平臺(tái)、知識(shí)庫等。

管理:5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障體系建立在管理之上,5G業(yè)務(wù)連續(xù)性,數(shù)據(jù)、云、網(wǎng)、端等實(shí)體對(duì)象,保障環(huán)節(jié)的安全措施乃至5G信息系統(tǒng)網(wǎng)絡(luò)安全保障資源都需要有效、高效的管理。

2.1 合規(guī)要求

實(shí)施安全保障必須符合相關(guān)法律法規(guī)、標(biāo)準(zhǔn)規(guī)范和監(jiān)管部門的要求。分析合規(guī)要求,是實(shí)施5G環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障的首要工作。同時(shí),分析合規(guī)要求應(yīng)兼顧兩個(gè)方面的要求:一方面要分析國家對(duì)5G 安全保障的一般性安全要求;另一方面還要分析相關(guān)部門對(duì)相應(yīng)5G 安全保障的特殊性安全要求?！毒W(wǎng)絡(luò)安全法》體現(xiàn)出國家對(duì)5G安全保障的一般性要求,其十分注重公共通信和信息服務(wù)、能源、交通、電力、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)的數(shù)據(jù)安全,分別對(duì)電子政務(wù)安全支持與促進(jìn)、網(wǎng)絡(luò)運(yùn)行安全、網(wǎng)絡(luò)信息安全、監(jiān)測預(yù)警與應(yīng)急、法律責(zé)任等做出規(guī)定。在網(wǎng)絡(luò)安全和促進(jìn)方面,其規(guī)定國家要制定網(wǎng)絡(luò)安全相關(guān)策略,堅(jiān)持網(wǎng)絡(luò)安全與信息化發(fā)展并重,支持培養(yǎng)網(wǎng)絡(luò)安全人才,建立健全網(wǎng)絡(luò)安全保障體系,提高網(wǎng)絡(luò)安全保護(hù)能力。同時(shí),其明確提出國家網(wǎng)信部門負(fù)責(zé)統(tǒng)籌協(xié)調(diào)網(wǎng)絡(luò)安全工作和相關(guān)監(jiān)督管理工作,建設(shè)、運(yùn)營網(wǎng)絡(luò)或者通過網(wǎng)絡(luò)提供服務(wù),應(yīng)當(dāng)依照法律、行政法規(guī)的規(guī)定和國家標(biāo)準(zhǔn)的強(qiáng)制性要求,采取技術(shù)措施和其他必要措施。除此之外,醫(yī)療、能源、交通等具體行業(yè)都對(duì)其相應(yīng)的5G 安全問題提出了特殊性的要求。

2.2 風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)應(yīng)對(duì)的基礎(chǔ),開展風(fēng)險(xiǎn)評(píng)估能夠全面識(shí)別所在領(lǐng)域面對(duì)的潛在安全風(fēng)險(xiǎn),為制定完善的安全保障措施奠定堅(jiān)實(shí)基礎(chǔ)。開展風(fēng)險(xiǎn)評(píng)估應(yīng)采用科學(xué)的方法和先進(jìn)的工具,并遵循規(guī)范的流程。同時(shí),風(fēng)險(xiǎn)評(píng)估一定要5G 應(yīng)用領(lǐng)域具體的實(shí)際情況出發(fā),全面分析所擁有的5G 環(huán)境下信息系統(tǒng)可能面臨的各種風(fēng)險(xiǎn)。要對(duì)物理環(huán)境、邏輯環(huán)境、載體、技術(shù)及管理人員等多個(gè)層面的風(fēng)險(xiǎn)進(jìn)行評(píng)估。首先,要關(guān)注對(duì)物理環(huán)境的風(fēng)險(xiǎn)評(píng)估,要定期對(duì)機(jī)房安全及設(shè)備安全進(jìn)行風(fēng)險(xiǎn)評(píng)估。其次,要注重對(duì)載體的分析概念評(píng)估和維護(hù),為數(shù)據(jù)安全提供支撐。再次,在技術(shù)層面,要注重對(duì)技術(shù)脆弱性的風(fēng)險(xiǎn)評(píng)估,要針對(duì)服務(wù)器、操作系統(tǒng)、網(wǎng)絡(luò)機(jī)構(gòu)、操作系統(tǒng)等設(shè)置不同的數(shù)據(jù)防護(hù)技術(shù),同時(shí)針對(duì)數(shù)據(jù)建設(shè)和運(yùn)行的全生命周期采取不同的技術(shù),隨時(shí)檢測,隨時(shí)更新。一旦發(fā)現(xiàn)某一環(huán)節(jié)或某一部分的技術(shù)防護(hù)薄弱環(huán)節(jié)就要 立即采取優(yōu)化措施。最后還要注重對(duì)管理和人員風(fēng)險(xiǎn)的評(píng)估。例如關(guān)注日常安全管理是否落實(shí),是否規(guī)范,關(guān)注管理人員是否惡意使用數(shù)據(jù),是否跨越職權(quán),濫用權(quán)力。除此之外,還要對(duì)黑客攻擊、信息泄密等情況進(jìn)行風(fēng)險(xiǎn)評(píng)估,為制定相應(yīng)的防護(hù)措施和保障體系奠定堅(jiān)實(shí)的全方位的基礎(chǔ)。

2.3 建設(shè)實(shí)現(xiàn)

5G 環(huán)境下信息系統(tǒng)建設(shè),應(yīng)在充分開展風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上,確認(rèn)系統(tǒng)建設(shè)的功能、性能及安全性需求,從系統(tǒng)結(jié)構(gòu)、構(gòu)成要素(如軟件、硬件、設(shè)備、設(shè)施等)出發(fā),編制系統(tǒng)建設(shè)的技術(shù)方案和實(shí)施方案,并開展方案的評(píng)審,確保方案的合規(guī)、規(guī)范,以及與系統(tǒng)建設(shè)需求的一致性。在建設(shè)實(shí)施過程中,詳細(xì)記錄實(shí)施過程,并嚴(yán)格按照安全規(guī)范進(jìn)行安裝、調(diào)試和測試,同時(shí)開展系統(tǒng)安全態(tài)勢(shì)監(jiān)視,及時(shí)發(fā)現(xiàn)系統(tǒng)及過程風(fēng)險(xiǎn)并進(jìn)行處置。開展安全測試,確保測試方案與技術(shù)方案的一致性;確保測試工具的安全性,確保測試人員的安全性和勝任度。開展項(xiàng)目試運(yùn)行,以驗(yàn)證系統(tǒng)運(yùn)行的穩(wěn)定性。

2.4 安全評(píng)價(jià)

實(shí)施5G應(yīng)用信息系統(tǒng)安全保障工作的成效應(yīng)定期開展安全評(píng)價(jià)工作,應(yīng)結(jié)合5G 應(yīng)用信息系統(tǒng)的目標(biāo)和相應(yīng)的應(yīng)用領(lǐng)域?qū)嶋H情況,采用科學(xué)的方法,借助先進(jìn)的工具,從保障對(duì)象、保障資源、合規(guī)要求、安全策略、風(fēng)險(xiǎn)評(píng)估、保障措施、安全監(jiān)控等方面出發(fā),評(píng)價(jià)5G應(yīng)用信息系統(tǒng)安全保障工作的成效。需要注意的是,開展安全評(píng)價(jià)應(yīng)充分結(jié)合自評(píng)和他評(píng),不僅要開展自身安全評(píng)估,還要邀請(qǐng)第三方機(jī)構(gòu)開展安全評(píng)估。很多時(shí)候,第三方機(jī)構(gòu)的安全測評(píng)更為重要。5G 應(yīng)用信息系統(tǒng)評(píng)價(jià)的目的是全面評(píng)價(jià)信息系統(tǒng)和網(wǎng)絡(luò)安全保障的完備性、管理組織的有效性、業(yè)務(wù)運(yùn)營保障能力的有效性、技術(shù)保障及大數(shù)據(jù)安全的長效性。此時(shí)要以應(yīng)用領(lǐng)域數(shù)據(jù)特殊性,對(duì)其數(shù)據(jù)、載體、環(huán)境與邊界分別進(jìn)行安全評(píng)價(jià)。在進(jìn)行安全評(píng)價(jià)時(shí),可以從其內(nèi)部機(jī)構(gòu)成立專門的評(píng)價(jià)小組和機(jī)構(gòu),也可以聘請(qǐng)專業(yè)人員或第三方組織進(jìn)行客觀專業(yè)的評(píng)價(jià)。除此之外,應(yīng)該注重評(píng)價(jià)方法的科學(xué)性和可靠性,借助評(píng)價(jià)量表等工具,對(duì)應(yīng)用領(lǐng)域系統(tǒng)建設(shè)、運(yùn)維和管理的全過程進(jìn)行安全評(píng)價(jià)。最后得出安全保障措施和安全保障體系的成效,為更好的優(yōu)化保障提供基礎(chǔ)。

2.5 安全運(yùn)維

建立安全運(yùn)維團(tuán)隊(duì)或外包給信息安全服務(wù)公司開展5G環(huán)境下信息系統(tǒng)的安全運(yùn)維。充分調(diào)研運(yùn)維需求,設(shè)計(jì)安全運(yùn)維方案,明確安全運(yùn)維的范圍、內(nèi)容、方式和服務(wù)級(jí)別。開展日常巡檢,記錄5G環(huán)境下信息系統(tǒng)中軟硬件系統(tǒng)、設(shè)備、設(shè)施的日常運(yùn)行情況,及時(shí)解決發(fā)現(xiàn)的問題和故障。建立應(yīng)急響應(yīng)團(tuán)隊(duì),編制應(yīng)急預(yù)案,定期開展應(yīng)急演練。定期對(duì)5G環(huán)境下信息系統(tǒng)中關(guān)鍵的信息資產(chǎn),依據(jù)安全基線,進(jìn)行健康檢查,發(fā)現(xiàn)問題及時(shí)處理。依據(jù)安全基線,對(duì)5G環(huán)境下信息系統(tǒng)安全保障措施進(jìn)行定期檢查,更新檢測特征庫、病毒庫,更新系統(tǒng)版本、安裝補(bǔ)丁,開展安全監(jiān)測和病毒掃描,對(duì)關(guān)鍵信息資產(chǎn)進(jìn)行優(yōu)化和加固。定期報(bào)告安全運(yùn)維的總體情況。

2.6 安全監(jiān)控

針對(duì)5G應(yīng)用系統(tǒng)安全存在的潛在威脅應(yīng)進(jìn)行全方位的實(shí)時(shí)監(jiān)控,通過實(shí)時(shí)監(jiān)控分析用戶和系統(tǒng)的行為審計(jì)系統(tǒng)配置和漏洞。評(píng)估電子政務(wù)系統(tǒng)和數(shù)據(jù)的完整性,識(shí)別攻行為對(duì)異常行為進(jìn)行統(tǒng)計(jì)和跟蹤盡可能早地發(fā)現(xiàn)可能存在的風(fēng)險(xiǎn)實(shí)施安全監(jiān)控是啟用相應(yīng)安全保障措施的基礎(chǔ),只有及時(shí)發(fā)現(xiàn)可能存在的風(fēng)險(xiǎn),相應(yīng)的安全保障措施才能最大限度地發(fā)揮作用。安全監(jiān)控是電子政務(wù)安全保障的基礎(chǔ)性工作,也是日常工作中最為重要、最為繁重的一部分工作。在5G應(yīng)用系統(tǒng)安全監(jiān)控環(huán)節(jié),主要是感知并5G 應(yīng)用系統(tǒng)安全存在的風(fēng)險(xiǎn)和威脅,發(fā)現(xiàn)和審計(jì)物理環(huán)境和邏輯環(huán)境可能存在的安全風(fēng)險(xiǎn),對(duì)5G 應(yīng)用系統(tǒng)安全風(fēng)險(xiǎn)進(jìn)行及時(shí)的追蹤和預(yù)防。在這個(gè)過程中,首先要注意運(yùn)用人工智能和機(jī)器學(xué)習(xí)等技術(shù),初步實(shí)現(xiàn)智能判斷和預(yù)測,快速捕捉安全風(fēng)險(xiǎn),對(duì)事態(tài)進(jìn)行分析和走勢(shì)判斷。其次,提升人員敏感捕獲信息和分析信息的素質(zhì),要借鑒以互聯(lián)網(wǎng)為基礎(chǔ)的信息收集技術(shù)、數(shù)據(jù)分析技術(shù)、趨勢(shì)研判技術(shù)、情報(bào)追蹤技術(shù)、案例搜索技術(shù)、決策輔助技術(shù)等作為安全監(jiān)控和分析的基礎(chǔ)。

2.7 保障資源

5G環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障資源是指保障5G環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全的資源,它服務(wù)于5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障對(duì)象生命周期的各個(gè)安全環(huán)節(jié),具體可分為5G環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全人力資源、信息資源、技術(shù)資源和財(cái)務(wù)資源,如下圖所示。其中人力資源是最有“活力”的資源,是推進(jìn)5G環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障的主要?jiǎng)恿?技術(shù)資源是推進(jìn)5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全的根本保障,信息資源和財(cái)務(wù)資源則是5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全的重要保障。

3 結(jié)語

本報(bào)告從5G網(wǎng)絡(luò)相關(guān)技術(shù)、戰(zhàn)略布局、安全風(fēng)險(xiǎn)的基本情況分析出發(fā),結(jié)合5G網(wǎng)絡(luò)帶來的新特性,調(diào)研分析了5G環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全面臨的威脅、風(fēng)險(xiǎn),分析了5G網(wǎng)絡(luò)及應(yīng)用的安全架構(gòu),提出了5G 環(huán)境下信息系統(tǒng)網(wǎng)絡(luò)安全保障模型。