核心观点
本报告旨在为关注移动产品和服务的开发或采购中安全方面的读者提供参考。报告提出了一系列“工具”，供供应商展示其安全资质，或供移动网络运营商在采购阶段考虑供应商时使用。这些工具包括 GSMA 服务和最佳实践以及更广泛的安全考虑，每个工具均在示例生命周期中进行介绍。
移动电信供应链
移动电信供应链可以分解为构成网络并共同提供弹性运营服务的各个组件。运营和支持 IT 基础设施网络由从各种供应商处采购的各种产品和服务组成。完整的供应链评估可能包含技术合规性以及更商业化的考虑因素，例如性价比、预算分配、商业条款的商定、邀请投标 (ITT)、短名单、最佳和最终报价 (BAFO)、供应商尽职调查和财务风险。然而，供应链工具箱仅关注与供应商选择相关的安全方面。
产品和开发生命周期
了解产品和服务的开发、构建、采购、运营和报废对于理解和加强供应链安排至关重要。在整个生命周期中进行供应链干预可以：
- 告知开发流程的强度
- 了解内置安全控制和保证的充分性
- 明确在生命周期中安全维护安排的安全性
- 提高应对新安全漏洞的速度
- 确保以受控和安全的方式进行报废
采购阶段
在采购阶段，移动网络运营商可以通过多种方式对潜在供应商的安全性进行评估，包括：
- 安全设计 (SBD): 一种在整个开发生命周期中应用的系统方法，将安全置于产品开发的核心。
- 安全软件开发: 评估软件开发流程，以了解其安全性和可靠性。
- 开源软件 (OSS): 评估 OSS 的使用，并了解其潜在的安全风险和收益。
- 软件成分分析 (SCA): 使用 SCA 技术评估代码，以识别潜在的安全漏洞。
- 工具链保护: 评估供应商工具链的安全性，以防止恶意代码的引入。
- DevSecOps: 采用 DevSecOps 方法，将安全考虑因素更紧密地集成到软件构建中。
- 软件物料清单 (SBOM) 和硬件物料清单 (HBOM): 利用 SBOM 和 HBOM 跟踪和维护更清晰设备和软件供应链。
- 监管: 了解与移动设备相关的监管要求，例如欧盟网络设备指令 (NIS2) 和数字运营弹性法案 (DORA)。
- GSMA 安全保证体系结构 (NESAS): 评估网络设备供应商及其产品是否符合安全基线。
- GSMA 安全认证体系结构 (SAS): 评估 UICC 和 eUICC 供应商以及 eUICC 订阅管理服务提供商的安全性。
- GSMA eUICC 安全保证 (eSA): 评估嵌入式 UICC (eUICC) 是否符合 eUICC 保护配置文件的要求。
- 云安全: 了解云和虚拟化服务的安全性，并采取措施保护虚拟化基础设施。
- 远程访问: 评估远程访问安排的安全性，并采取措施防止未经授权的访问。
生命周期中期的运营和维护
在生命周期中期，移动网络运营商可以采取多种措施来增强已部署产品和服务的安全性，包括：
- 实施最小权限控制和支持基于角色的访问控制
- 实施漏洞管理计划并参与 GSMA 协调漏洞披露 (CVD) 计划
- 安全事件和事件管理
- 跟踪和响应威胁情报，并通过 GSMA T-ISAC 服务保护更广泛的生态系统
- 进行红队演练，以更好地了解高级持续性威胁行为者的策略和攻击向量
报废阶段
在报废阶段，移动网络运营商需要确保以受控和安全的方式进行设备和服务的报废，包括：
层层防御
单一或基本的安全防御只能提供有限的保护，而多层防御可以协同工作，提供更有效的防御。一个全面的和有效的安全策略可能由多个层组成，每个层都包含不同的安全控制，以针对不同的威胁。
关键数据
- 5G 连接预计到 2030 年将为全球经济贡献近 1 万亿美元。
- 近一半的增长将来自金融、医疗保健和教育等各个领域的新企业服务和应用程序。
研究结论
本报告强调了移动电信供应链安全的重要性，并提供了各种工具和最佳实践，以帮助移动网络运营商和供应商加强其安全防御。通过在整个生命周期中采取积极主动的措施，移动生态系统可以更好地抵御不断发展的网络安全威胁，并确保安全可靠的服务。
