本文从风险管理的角度提出5G网络建设存在的三大风险：供应链复杂、攻击面和攻击机会增加、供应商多样性缺乏。我国5G网络的建设与发展需要在推进过程中重视信息安全问题，从而提高国际社会对于我国相关企业的信赖度和使用度。基于此，本文从技术和管理两个角度提出管控5G安全风险的可行策略。

随着5G技术研发和基建工程的不断推进，5G给城市的发展注入新动能的同时，也引发了国际社会对信息安全风险的新一轮热议。从2019年5月美国以“保护国家安全”的名义将华为列入出口管制实体名单，到今年7月英国政府宣布将从2021年起禁止本国移动运营商购买5G设备，技术的推广普及遭到多重阻拦。这其中有政治纠葛，但技术本身的安全风险也是引发政治争议的关键因素。本文拟从风险管理的角度，分析5G网络建设可能面临的三大信息安全风险，并说明如何通过部署相应的安全能力来应对这些风险。

一、5G网络建设面临的三大风险

风险管理过程包含对风险的量度、评估和应变策略。从风险管理角度看商用5G建设，可能存在以下三大信息安全风险。

5G网络组件的供应链长而复杂。5G网络组件的分包商很可能来自多个国家，在产品生命周期的早期阶段，供应商控制质量的能力很低，恶意行动者有更多机会从多点渗入到供应链当中，或是通过一个妥协的供应商潜入，这也就使得部分产品更有可能受到非法入侵，从而加大整个5G网络的信息安全风险。

2）提升攻击面和攻击机会

第二个风险来自5G网络的性质。支持5G网络的天线范围要短得多，因此，在相同的地理区域内将比4G网络分布更多的天线。这些组件的敏感度更高，也可能会较变得更脆弱，更易受到攻击。而更令人担忧的是，5G网络的兴起将推动万物互联时代的到来，有更多设备的接入无形中增加了攻击者破坏系统或泄露数据的机会。

在5G市场上，仅有非常少量的供应商能够提供完整的无线接入网络设备（RAN equipment）。目前在欧洲，仅有华为、爱立信、诺基亚和中兴能够生产5G的运营设备。供应商的缺乏会增加系统单点故障的风险，进而有可能扩散成为系统风险。另外，科技壁垒可能带来通信业的垄断，在缺乏同行监督的情况下会增加信息不合规使用的风险。因此，供应商多样性的缺乏是5G网络面临的一个持久挑战。

二、管控5G风险的方法

5G网络建设不可能完全避免安全风险，但仍然有一些能够管控风险的办法。

在技术层面，需要进一步加强网络入口管理、各层功能的实时测试和监控，并构建有弹性的网络结构。对于5G用户终端到基站之间的空口来说，面临的安全威胁主要有三类，第一类是空口的用户数据窃听篡改，第二类是来自用户的空口DDOS（Distribution Denial of Service）攻击，第三类是伪基站或者其它攻击源对空口的恶意干扰。而对于5G承载网和核心网而言，需要时刻防备外部入侵，并及时修补漏洞。5G运营者需要密切监督供应商对网络的接入，包括监控供应商在网络系统内部的行动，并限制出入时间；同时可以通过多种设计多种加密模式、设置特殊信号源实施频谱干扰、在外部集中部署防火墙、抗DDOS、沙箱等安全设施，有效防御从数据中心外部过来的入侵。同时，通过增加各层之间的隔离性，同样可以给入侵者增加障碍。虽然操作人员不能保证完全阻止攻击者在层之间移动，但不同的隔离设置会使攻击变得更加困难、耗时和耗费资源。此外，攻击者在层与层之间移动时需要跨越的障碍越多，攻击者最终被发现的可能性就越大。

在管理层面，需要设计高效的安全运营管理模式。目前，在信息系统安全保障工作中，一般会通过设置安全运营中心（Safety Operation Center, SOC）来统筹落实安全管理、监控、响应等举措。在未来，可以以行业为单位或以行政区划为单位建设SOC，通过平台SOC的集中监控运营，来保障行业平台及其客户的信息安全。同时，需要制定严格的5G安全使用标准，细化采购环节的安全管理要求、明确供应商的权责边界、设计更严格的市场准入和后期监督等。

我国5G网络的建设与发展需要在推进过程中重视信息安全问题，从而提高国际社会对于我国相关企业的信赖度和使用度。

4.5G智慧城市安全需求与架构白皮书，中国信息通信研究院IMT-2020(5G)推进组，2020年2月

文章信息：原文摘自《人工智能资讯周报》总第89期

刊物信息：《人工智能资讯周报》探讨人工智能对公共政策、治理和政策建议的影响，探索人工智能对商业、政治和社会的影响，以确定潜在的研究领域，探讨可能的合作研究和机构伙伴关系。本刊着重提供中国人工智能发展动态和对人工智能的思考，同时关注全球范围内人工智能相关研究动态。本刊旨在通过可靠的研究，来帮助企业、研究机构和公民预测和适应技术引领的变化。

今天的分享就到这里，想要获取更多精彩内容，欢迎关注“图图知道”！