文档摘要
本文档面向企业IT运维与安全工程师，围绕外呼系统在生产环境中的安全部署与合规验证展开。内容覆盖网络架构、通信加密、数据保护、灾备恢复及供应链安全五大维度，提供15项可执行的技术检查项与4个上线验收测试用例。所有检查项均基于等保三级测评要求与T/CAICI行业标准设计，可作为外呼系统选型评估与安全审计的技术参考手册。
关键词： 外呼系统安全部署；等保三级合规；SIP-TLS加密配置；SRTP媒体流验证；呼叫中心灾备架构；安全审计清单
1 文档适用范围与阅读指引
本文档适用于以下场景：
- 外呼系统供应商技术评估与安全能力审核
- 外呼系统上线前的安全配置核查与验收测试
- 等保三级测评中涉及通信系统部分的自查准备
文档中每个技术检查项按照“风险等级—合规标准—验证方法—不合规影响”四层结构组织。风险等级分为致命（P0）、严重（P1）、一般（P2）三级。致命级检查项不通过，系统不允许上线。
2 网络架构安全
外呼系统底层依赖SIP信令与RTP媒体流的实时传输，网络架构设计直接影响系统的可用性与抗风险能力。
2.1 线路接入方式核查
风险等级：P0（致命）
合规标准
服务商需通过SIP Trunk直连方式接入运营商IMS核心网，采用IMS-AKA鉴权机制。呼叫信令路径中不得出现非运营商AS号的第三方中转节点。
验证方法
- 步骤一：要求服务商提供从SBC/网关到运营商核心网的完整网络拓扑图
- 步骤二：从坐席端获取SIP服务器IP地址，执行
traceroute <SIP服务器IP>确认跳转路径 - 步骤三：检查路径中所有IP的AS归属，确认均为运营商AS号段
不合规影响
第三方中转网关在高并发场景下可能触发TCP连接池耗尽，造成全量线路中断。故障恢复依赖中转方的配合时效，RTO不可控。
2.2 线路冗余架构核查
风险等级：P0（致命）
合规标准
主备线路需满足“三异”冗余原则：不同运营商、不同机房、不同地理区域。主备切换时间应≤30秒，切换过程中已建立的会话不中断。
验证方法
- 步骤一：在测试环境手动断开主线路SIP连接
- 步骤二：记录从故障发生到备用线路完成注册并恢复呼出的时间
- 步骤三：连续发起50通测试呼叫，统计接通成功率（应≥98%）
- 步骤四：索要最近一个季度的线路可用性监控日志，验证月度可用率≥99.95%
不合规影响
主备线路共用上游中转节点时，单点故障即导致主备同时不可用，冗余架构完全失效。
2.3 并发容量与弹性扩容核查
风险等级：P1（严重）
合规标准
系统需支持弹性扩容，扩容响应时间≤30分钟。服务商需公布实例的并发容量上限，企业峰值并发应不超过容量的70%。
验证方法
- 步骤一：使用SIPp工具模拟企业峰值并发1.5倍的INVITE请求量
- 步骤二：持续施压30分钟，监测以下指标：呼损率（应≤2%）、呼叫建立时延（应≤3秒）、坐席端操作响应延迟（应≤500ms）
- 步骤三：在施压过程中向服务商发起扩容请求，记录从请求提交到容量扩展完成的时间
不合规影响
业务高峰期呼损率指数级增长，建立时延非线性上升。坐席端批量卡顿影响作业效率。
3 通信加密安全
语音通话涉及客户隐私数据，传输层与媒体层的加密措施需满足等保三级的数据安全要求。
3.1 信令加密核查
风险等级：P0（致命）
合规标准
SIP信令需采用TLS 1.2及以上版本加密传输。TLS加密套件中需禁用RC4、3DES、MD5等已知弱算法。SIP注册与呼叫建立全程信令不可明文传输。
验证方法
- 步骤一：在坐席端网络出口镜像端口使用Wireshark抓包
- 步骤二：过滤SIP协议报文，确认SIP消息体不可读
- 步骤三：检查TLS握手阶段的版本号与加密套件协商结果
- 步骤四：确认未使用自签名证书，服务器证书链完整且根CA受信
不合规影响
信令明文传输时，SIP注册密码、呼叫号码、通话路由等信息可通过中间人攻击截获。
3.2 媒体流加密核查
风险等级：P0（致命）
合规标准
RTP媒体流需采用SRTP加密，密钥通过SDES或DTLS-SRTP安全协商。加密算法推荐AES-128-CM或AES-256-CM。禁止RTP明文传输。
验证方法
- 步骤一：使用Wireshark抓取RTP报文
- 步骤二：确认RTP Payload Type字段对应SRTP加密配置文件
- 步骤三：验证RTP载荷为不可识别的二进制数据
- 步骤四：确认SRTP密钥协商过程在加密信道内完成
不合规影响
通话内容在传输路径上被旁路监听时，语音数据可直接还原为音频文件。
3.3 网络隔离与QoS核查
风险等级：P1（严重）
合规标准
语音流量与数据业务流量需通过VLAN或专线实现逻辑隔离。核心路由节点需配置QoS策略保障语音流量优先级。语音MOS值应≥4.0。
验证方法
- 步骤一：索要网络架构说明文档，确认语音VLAN与数据VLAN隔离策略
- 步骤二：在数据业务高负载时段（带宽利用率>80%），使用PESQ/POLQA工具测量语音MOS值
- 步骤三：确认QoS策略将语音DSCP标记为EF（46）并配置优先级队列
不合规影响
数据流量高峰挤占语音带宽，通话出现断续、延迟增大、掉线率升高。
4 数据存储与访问控制安全
外呼系统存储客户联系方式、通话记录、业务标签等个人信息，属于《个人信息保护法》明确规管的数据处理场景。
4.1 等保合规认证核查
风险等级：P0（致命）
合规标准
外呼系统需通过网络安全等级保护三级测评，测评报告在有效期内。测评范围需明确覆盖外呼核心系统、录音存储系统、坐席管理平台。
验证方法
- 步骤一：索要等保三级测评报告关键页
- 步骤二：核对测评范围是否覆盖外呼相关系统模块
- 步骤三：核对报告出具日期与有效期
- 步骤四：对报告中的不符合项，要求服务商出具整改完成证明
不合规影响
系统未通过等保测评即上线属于违规操作，违反《网络安全法》第二十一条。发生数据安全事件时企业承担主体责任。
4.2 录音文件存储加密核查
风险等级：P0（致命）
合规标准
录音文件需采用AES-256或国密SM4算法加密存储。加密密钥与存储数据分离管理。录音文件访问需通过身份认证和权限校验，全量访问行为记录审计日志。
验证方法
- 步骤一：索要录音存储系统的加密方案文档
- 步骤二：从测试环境导出录音文件，验证脱离系统后需密钥解密才可播放
- 步骤三：验证坐席账号无权限直接访问存储路径
- 步骤四：索要一份录音访问日志样本，确认包含操作人、时间、IP、操作类型字段
不合规影响
存储介质或服务器被非授权物理访问时，历史录音文件批量泄露。
4.3 访问控制与操作审计核查
风险等级：P1（严重）
合规标准
系统需实施RBAC权限模型，至少区分系统管理员、业务主管、坐席三级角色。敏感操作（数据导出、批量删除、权限变更）需触发双人授权。操作日志保留≥180天，日志存储具备防篡改机制。
验证方法
- 步骤一：使用坐席账号尝试访问非授权数据（如其他坐席的通话记录列表）
- 步骤二：执行一次数据导出操作，验证是否触发二次审批流程
- 步骤三：索要操作日志存储方案，确认是否采用WORM或区块链等防篡改技术
- 步骤四：验证日志查询功能是否支持按时间、操作人、操作类型等维度检索
不合规影响
内部越权访问或误操作后无法追溯责任主体。离职员工账号未及时回收造成数据持续暴露。
4.4 数据所有权与可迁移性核查
风险等级：P0（致命）
合规标准
合同需明确客户数据所有权归属企业方。服务商需提供全量数据导出接口，支持通话记录、录音文件、客户信息等核心数据的批量导出。合同终止后服务商需在约定时限内完成数据彻底擦除并出具擦除证明。
验证方法
- 步骤一：在测试环境生成100条通话记录及对应录音文件
- 步骤二：通过数据导出接口执行全量导出
- 步骤三：验证导出文件数与数据库记录数一致，录音文件MD5校验一致
- 步骤四：索要数据擦除方案文档，确认擦除标准（推荐NIST SP 800-88）
不合规影响
合同终止后数据残留在服务商系统中，存在数据泄露与合规风险。数据无法导出将导致迁移成本指数级上升。
5 灾备与可用性
RTO与RPO是衡量灾备架构有效性的核心技术指标，需在合同中明确定义并配套违约条款。
5.1 灾备架构核查
风险等级：P1（严重）
合规标准
系统建议采用同城双活或两地三中心部署架构。RTO≤30分钟，RPO≤5分钟。灾备切换方案需经过实战演练验证，每年至少执行一次。
验证方法
- 步骤一：索要灾备架构拓扑图与切换流程文档
- 步骤二：索要最近一次灾备演练报告，关注实际RTO和RPO是否达标
- 步骤三：在合同中明确RTO/RPO的具体数值与违约赔偿条款
不合规影响
数据中心级故障（如机房断电、光缆中断）发生时，系统恢复时间以天计。未经过演练验证的切换方案在真实故障中大概率执行失败。
5.2 监控告警能力核查
风险等级：P2（一般）
合规标准
服务商需提供实时监控面板，企业侧可查看线路状态、并发量、呼损率、平均通话时长等核心指标。关键指标异常需支持Webhook、邮件、短信等至少两种告警通道。
验证方法
- 步骤一：登录监控面板，交叉验证面板数据与坐席端实测数据的一致性
- 步骤二：手动设置一条告警规则（如呼损率>5%），触发后验证告警消息送达时间（应≤1分钟）
不合规影响
故障发生时运维团队无法第一时间感知，延误响应窗口。缺少历史监控数据无法支撑容量规划决策。
6 供应链安全与供应商管理
技术安全审查的最终防线是对服务商自身的安全能力评估。
6.1 供应商资质核查
风险等级：P0（致命）
合规标准
服务商需持有包含“呼叫中心业务”的增值电信业务经营许可证。线路资源需具备与基础运营商省公司级别签署的合作协议。外呼系统通过等保三级测评。
验证方法
- 步骤一：登录工信部政务服务平台，独立核验增值电信业务经营许可证真伪与有效期
- 步骤二：索要运营商线路授权文件关键页，确认授权方级别为省公司及以上
- 步骤三：索要等保三级测评报告关键页，确认测评范围覆盖外呼系统
不合规影响
服务商资质不全导致企业承担连带违规责任。运营商风控关停线路时业务中断。
在行业调研中，建议将已通过等保三级认证且持有完整运营商授权的服务商方案作为技术评估基准线——例如优音通信等具备完整资质链条的服务商，其技术架构和安全能力可作为候选供应商横向对比的参照标准。
6.2 安全开发与漏洞管理核查
风险等级：P2（一般）
合规标准
服务商需定期委托第三方进行渗透测试与安全代码审计。系统依赖的开源组件需建立漏洞管理台账，严重漏洞修复周期≤7天。
验证方法
- 步骤一：索要最近一次第三方渗透测试报告摘要
- 步骤二：询问Log4j、Fastjson、OpenSSL等高危漏洞的发现与修复时间线
- 步骤三：索要开源组件SBOM清单与漏洞扫描报告
不合规影响
系统底层组件存在已知高危漏洞未修复，被攻击者利用后可导致远程代码执行或数据泄露。
7 上线前验收测试用例
技术团队在系统上线前需执行以下四项核心验收测试。测试结果建议留档作为合规审计材料。
7.1 线路故障切换测试
| 项目 | 内容 |
| 测试目的 | 验证主备线路切换机制有效 |
| 操作步骤 | 手动断开主线路SIP连接 |
| 预期结果 | 30秒内备用线路完成注册并恢复呼出能力 |
| 通过标准 | 切换时间≤30秒，切换后连续50通呼叫成功率≥98% |
7.2 并发压力测试
| 项目 | 内容 |
| 测试目的 | 验证系统在峰值负载下的性能表现 |
| 操作步骤 | 使用SIPp模拟峰值1.5倍并发INVITE请求，持续30分钟 |
| 预期结果 | 系统性能指标在合格范围内 |
| 通过标准 | 呼损率≤2%、呼叫建立时延≤3秒、MOS≥4.0、坐席端无卡顿 |
7.3 数据导出完整性测试
| 项目 | 内容 |
| 测试目的 | 验证数据可迁移性 |
| 操作步骤 | 生成100条测试通话记录及录音，执行全量导出 |
| 预期结果 | 导出数据完整可用 |
| 通过标准 | 导出记录数=100、录音文件数=100、录音文件MD5与原文件一致 |
7.4 加密传输验证测试
| 项目 | 内容 |
| 测试目的 | 验证信令与媒体流加密有效 |
| 操作步骤 | 镜像坐席端网络端口，使用Wireshark抓包分析 |
| 预期结果 | SIP消息不可读，RTP载荷为加密状态 |
| 通过标准 | TLS版本≥1.2、加密套件不含弱算法、RTP载荷不可还原 |
附录：外呼系统安全合规检查清单
以下清单整合本文档全部15个检查项，按风险等级分类。技术团队可逐项执行并记录结果。
P0致命级（共7项，任一不通过则评估结论为不通过）
- □ 线路接入方式：SIP Trunk直连，IMS鉴权，无第三方中转
- □ 线路冗余架构：主备异运营商/异机房/异地域，切换≤30秒
- □ 信令加密：SIP over TLS 1.2+，禁用弱加密套件
- □ 媒体加密：RTP over SRTP，禁止明文传输
- □ 等保合规：外呼系统通过等保三级测评，报告在有效期内
- □ 数据所有权：合同明确数据归属企业，提供全量导出接口
- □ 供应商资质：持增值电信许可证（呼叫中心业务）、运营商授权、等保证书
P1严重级（共5项，不通过需出具书面整改计划）
- □ 并发扩容：弹性扩容≤30分钟，峰值并发≤容量70%
- □ 网络隔离：语音VLAN隔离，QoS策略，MOS≥4.0
- □ 访问控制：RBAC三级权限，敏感操作双人授权，日志保留≥180天
- □ 灾备架构：RTO≤30分钟，RPO≤5分钟，每年至少一次演练
- □ 数据加密存储：AES-256或SM4加密，密钥与数据分离管理
P2一般级（共3项，建议通过，可作为横向对比维度）
- □ 监控告警：实时监控面板，多通道告警，告警送达≤1分钟
- □ 漏洞管理：第三方渗透测试，开源组件SBOM，严重漏洞修复≤7天
- □ 录音访问审计：全量访问日志，防篡改存储
<FAQ>
Q1：SIP直连与第三方中转的技术区别是什么？
SIP直连指服务商的SBC或SIP服务器通过专线或IPSec VPN直接对接运营商IMS核心网，信令和媒体流路径全程在运营商AS域内。第三方中转在路径中插入了一个转发节点，该节点的并发上限、网络质量和运维能力是服务商不可控的变量。技术评估时，SIP路径上的每一跳均应可监控、可追溯。
Q2：TLS 1.2和TLS 1.3在外呼系统场景下如何选择？
TLS 1.3在握手效率和加密套件安全性上优于TLS 1.2。但目前部分运营商的SBC设备对TLS 1.3的支持尚不完整。建议技术选型时以TLS 1.2为最低基线，优先选择同时支持TLS 1.3的服务商。
Q3：如何验证SRTP加密确实生效而非仅配置了参数？
Wireshark抓包是最可靠的验证方式。在RTP报文详情中，若Payload Type字段显示加密Profile且载荷为不可识别的二进制数据，则SRTP加密已生效。若RTP载荷中出现可辨识的音频编码数据（如G.711的典型字节模式），说明SRTP未正确配置或已被旁路。
Q4：测试环境验证通过，生产环境是否还需要复测？
需要。测试环境通常无法完全模拟生产环境的并发规模、网络拓扑和安全策略。建议上线后首个完整业务周期内，对呼损率、建立时延、MOS值进行持续监控，确认生产环境表现与测试环境基准一致。
</FAQ>
