NESAS 是 GSMA 提出的网络设备安全规范，定义了一组网络通信设备需要遵循的全生命周期安全流程。原文: GSMA 5G Cybersecurity Knowledge Base
GSMA 网络设备安全保障计划(NESAS, Network Equipment Security Assurance Scheme)是针对设备供应商的研发和产品生命周期定义的一组安全流程需求。
GSMA NESAS 计划受 FS.14、FS.15 和 FS.16 中相关规定管辖，而该计划范围仅限于设备供应商研发和产品生命周期安全需求。
NESAS 的需求数量相对较少，从而保证维持合理的评估成本，并将重点放在关键控制上。
NESAS 强调在整个研发和产品生命周期中通过安全设计(security by design)实现安全性。
此外，还涵盖版本控制、变更跟踪、源代码审查、安全测试、员工教育、漏洞补救流程和漏洞补救独立性。
GSMA NESAS 对 5G 的安全需求如下所示:
需求 1 - 安全性设计(Security "By Design")
网络产品必须在整个研发和产品生命周期中通过设计实现安全性，架构和设计决策必须基于一组在整个研发和产品生命周期中跟踪的安全原则。
5G 安全架构原则包括领域分离、分层和封装。5G 安全设计原则包括最小特权原则、最小化攻击面原则、集中化参数验证和集中化安全功能、为错误和异常处理做好准备，以及通过设计保护隐私。
在设计阶段，必须执行威胁分析流程，以确定潜在威胁以及相关解决措施。
需求 2 - 版本控制系统
在网络产品的整个生命周期内，设备供应商必须在硬件、源代码、构建工具和环境、二进制软件、第三方组件和客户文档上使用版本控制系统，确保明确所有更改的责任明确、获得有效授权以及完整性。
目标是能够在完成的网络产品中跟踪所有上述元素。
需求 3 - 变更跟踪
设备供应商必须建立一个全面、有文件记录的、跨网络产品线的流程，以确保在研发和产品生命周期中随时可能出现的、影响网络产品的所有需求和设计变更都得到管理和跟踪，并以系统、实时的方式管理网络产品中受影响产品组件的生命周期。
目标是确保网络产品中所有受影响网络产品组件的开发流程以一致的方式应用所有变更。
需求 4 - 源代码审查
设备供应商必须确保用于网络产品的新代码或者变更的源代码依据一定的编码标准进行了适当的审查。如果可行，还应该通过使用源码分析工具和自动化来实现评审，目标是降低可能在网络产品中引入软件漏洞的风险。编码标准最佳实践的一个例子是卡耐基梅隆大学的 SEI CERT。
需求 5 - 安全测试
安全测试是对安全功能的验证，包括正向和反向测试，以及网络产品的漏洞测试。网络产品将在公平的操作环境中从安全角度进行测试。漏洞测试应测试网络产品对未定义/意外输入的鲁棒性。目标是确保安全功能已经过验证，并且在网络产品交付之前检测并解决潜在漏洞。
需求 6 - 员工教育
对参与网络产品设计、管理、开发、实施、测试和维护的所有人员进行持续教育，以确保所有人保持最新的角色相关安全知识和意识。目标是确保所有员工都有与其角色相关的安全知识和意识，并保持在高水平上。
需求 7 - 漏洞修复流程
NESAS 的第 7 项需求要求设备供应商必须建立流程，以处理在已发布的网络产品(包括第三方组件)中发现或与之相关的漏洞。
该流程要求以适当的方式解决漏洞，如有必要，应按照现有维护合同的约定，及时向所有受影响的移动网络运营商分发补丁或升级软件。
目标是减少潜在漏洞对网络产品的影响，并防止第三方组件缺乏支持、不可用或易受攻击。
这一需求对于确保及时识别和处理漏洞，降低网络恶意攻击的风险至关重要。
设备供应商需要清楚了解其产品中可能存在的漏洞，并制定修复流程，概述如何解决这些漏洞。
需求 8 - 漏洞补救独立性
NESAS 的第 8 项需求要求设备供应商应能够独立提供补丁或软件升级解决安全漏洞，避免与修改网络产品功能的其他非相关补丁耦合。
目标是确保安全补救措施能够快速交付，并独立于功能交付计划。
该需求认识到需要一种简化的漏洞补救方法，设备供应商需要有能力提供独立于网络产品的其他修改或升级的安全补救措施，以便能够及时有效的交付。
从而确保网络产品无论是否引入新的特性和功能，都能保持安全。
同时降低修改或升级导致网络中断的风险。
你好，我是俞凡，在 Motorola 做过研发，现在在 Mavenir 做技术工作，对通信、网络、后端架构、云原生、DevOps、CICD、区块链、AI 等技术始终保持着浓厚的兴趣，平时喜欢阅读、思考，相信持续学习、终身成长，欢迎一起交流学习。
微信公众号：DeepNoMind
