面向垂直行业的5G网络安全分级技术

（中国信息通信研究院，北京 100191）

0 引言

作为新一轮科技革命的核心技术之一，5G 发展受到国家和相关部委高度重视。2019 年11 月，工信部印发《“5G+工业互联网”512 工程推进方案》，明确提出到2022 年突破一批面向工业互联网特定需求的5G 关键技术；2020 年3 月，发改委、工信部印发《关于组织实施2020 年新型基础设施建设工程（宽带网络和5G 领域）的通知》，指出将重点支持7 大领域5G 创新应用提升工程；2020 年3 月，工信部印发《工业和信息化部关于推动5G加快发展的通知》，明确全力推进5G 网络建设、应用推广、技术发展和安全保障；2020 年5 月，国资委明确提出加快以5G 网络为首的七大“新基建”政策要求，“加强新型基础设施建设，发展新一代信息网络，拓展5G 应用”被写入2020 年政府工作报告。

自2019 年6 月正式发放5G 商用牌照以来，我国5G商用进程进展迅速。5G 超大带宽、超低时延、海量连接的特性，为工业互联网、车联网等新型基础设施建设和融合创新应用提供了关键支撑和重要机遇，为行业数字化带来了广阔的发展空间。不过，垂直行业应用的高业务价值、行业应用多样化等特征，使得5G 与垂直行业深度融合发展的同时也面临着新的安全风险与挑战，需要通过5G 安全分级技术来应对，以便提升行业网络整体安全能力。

1 5G行业应用安全挑战及需求

1.1 5G行业应用安全挑战

垂直行业高业务价值可能会引发更多攻击风险。在行业领域，数据信息涉及企业商业秘密、个人隐私，被非法获取、利用后，对社会秩序、公共利益乃至国家安全可能带来严重损害。行业应用需要面对的安全威胁由传统的个人黑客技术性单点攻击逐步向商业性、有组织的高级持续攻击转变，部分攻击可能以国家安全数据、商业机密等为目标，以操纵市场、取得战略优势，损害关键基础设施为出发点。

同时，5G 新技术应用于行业领域，需要满足前所未有的海量连接场景需求，也面临新的安全挑战，主要包括：云办公、云游戏、增强现实、3D 视频等增强移动宽带场景下，网络边缘数据流量大幅提升，边缘部署增多，导致传统安全边界设备面临较大挑战，边缘计算成为新的安全焦点；工业控制、远程手术、自动驾驶的实时控制、人机交互等场景要求5G 网络和设备高度可靠；大规模物联网场景下，存在海量低功耗终端，限制了安全特性的部署，易被攻击利用。因此，5G 新技术驱动行业变革的同时也迎来新的安全挑战。

再者，5G 承载的行业应用因需求的多样化，针对信息安全三要素CIA（机密性、完整性和可用性）的安全策略也存在差异化需求，例如工业制造要求高可用性，数据不出园区；远程医疗要求高度的用户隐私数据保护；而车联网要求匿名认证、防跟踪等。

1.2 5G行业应用安全需求

5G 行业应用安全需求可以分为两大类：一类是基本安全需求，主要是指工作场景、安全保障目标与传统公众通信网络相同的安全需求，通过继承当前通信网络安全保障技术即可满足；另一类是高级安全需求，主要是指为应对新的行业应用场景、高资产价值带来的安全风险，在基本需求基础之上的安全需求，需提供更高保障的安全能力才能满足。

3GPP 5G 面向公众通信网络的安全目标和4G 是一致的，都是保证网络和数据的机密性、完整性和可用性，基于这个目标能够满足行业通用安全需求。5G 网络面临的主要威胁和挑战也和4G 网络基本一致，不过还需要额外考虑新业务、新架构、新技术给5G 网络带来的新安全挑战。5G 网络安全继承了4G 网络分层分域的安全架构，并基于4G 网络存在的安全脆弱点进行了增强，面向5G网络的3GPP 安全通用技术要求[1]（3GPP TS 33.501）在空口数据传输、隐私保护、认证授权等方面定义了更强、更加灵活的安全保障机制。

行业应用对5G 网络提出了九大安全需求，分别是：终端身份安全和访问授权、网络分域、安全隔离、数据机密性和完整性、空口通信安全、隐私保护、网络韧性和安全态势感知、网络设备安全可信、技术自主可控和产品生命周期安全。这九大安全需求均可进一步细分出基本安全需求和高安全需求。

2 面向垂直行业提供5G安全分级能力

2.1 5G安全分级依据及目标

无论是在国家监管层面还是垂直行业自身安全保障层面，相关法律法规和行业标准均对信息网络和系统定义了分级要求，例如等级保护2.0[2]、电信网和互联网网络安全防护分级相关标准等。垂直行业网络的运营者应当按照相关分级要求，履行法律法规和行业标准中规定的安全保护义务，部署与之匹配的安全能力，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

“电信网和互联网安全防护体系”系列标准，针对电信网和互联网网络安全防护体系中的网络和系统，结合各类业务系统特点，根据社会影响力、规模和服务范围、所提供服务的重要性三个相互独立的定级要素将网络/系统单元划分为5 个安全等级，并提出了针对性的安全防护要求。

等级保护2.0 面向网络基础设施、重要信息系统、云计算平台、大数据系统、物联网系统、工业控制系统、采用移动互联技术的系统等，对信息网络、信息系统、网络上的数据和信息，按照重要性和遭受损坏后的危害性分成五个安全保护等级，从第一级到五级，逐级增高。

国际电工委员会（IEC）的工控系统安全标准（IEC 62443），也定义了分级安全策略，将安全级别分为4 个等级，分别是S1（抵御偶然的攻击，非主动泄密）、S2（抵御简单的故意攻击）、S3（抵御简单的调用中等规模资源的故意攻击）和S4（抵御复杂的调用大规模资源的故意攻击，对应持续的国家层面攻击），并对每个级别定义了特定的安全要求，例如S2 级要求如果行业网络部署公钥基础设施（PKI），ICT（信息通信技术）设备需要对接行业的PKI 系统，S3、S4 级要求有硬件可信根。5G-ACIA（5G 互联产业与自动化联盟）在工业系统安全防护中引用了该系列标准。

需满足分级要求的垂直行业应用如果使用5G 网络来承载，则在保证行业自身的信息系统网络满足安全要求的基础上，还需要作为基础网络的5G 网络能够提供支撑行业满足相应分级要求的安全能力。

5G 安全分级有助于运营商和行业用户加强理解、拉通安全需求、在安全语言和安全能力上对齐，有助于用最佳性价比的安全方案满足行业要求，有助于给行业提供模板化的安全能力集合，促进基础网络和业务系统安全地快速集成部署。

向垂直行业提供5G 网络安全分级能力的目标是：拉通通信网络、行业应用网络安全需求，满足行业网络的差异化安全需求，使能行业5G 网络快速部署和推广应用。

2.2 5G安全分级原则及策略

5G 网络安全定级的原则是作为基础设施的5G 网络之安全要求不低于其承载的行业网络安全定级。同时，依据《网络安全法》第三十一条要求，针对国家关键信息基础设施实行重点保护。

5G 安全能力分级策略如图1 所示，面向行业的5G 网络安全能力可分为5 个级别的安全能力集，其中依据安全等级三级系统/网络是否为关键信息基础设施，细分为安全等级3 级—非关键信息基础设施和安全等级3 级—关键信息基础设施。5G 网络作为垂直行业网络基础，需要支持行业满足安全分级保护要求，提供充分的安全保障能力。

图1 5G安全能力分级策略

图1 中，将5G 网络安全能力分为5 个级别的安全能力集，分别为SL1～5，形成对应的映射关系。其中，一级（SL1）提供基本安全能力，之后每一级都在前一级的基础上进行安全能力增强。具体如下：SL1 级安全能力集，提供基本安全能力，初步的信息安全认证授权和访问控制措施，基本的安全入侵检测能力，采取多种方式保护系统和数据信息安全属性；SL2 级安全能力集，在SL1 级基础上，增强安全事件监测和审计，根据监测审计结果进行异常处置的能力，增加敏感数据保护的基本能力；SL3级安全能力集，在SL2 级基础上，构建较为完善的态势感知系统，采用包括硬件可信根、高强度密码算法在内的增强技术措施，增加支持产品生命周期基本安全要求等；SL4 级安全能力集，在SL3 级基础上，提升空口安全检测能力，增加支持行业可控的认证管理和访问权限控制，提升安全风险自动化检测、响应和恢复处置能力；SL5 级安全能力集，在SL4 级基础上，强化技术自主可控要求，增加运行期应用动态可信和网络隔离强度要求，对威胁实现动态关联感知，主动分析决策和联动响应。

作为基础网的5G 网络提供支撑行业满足相应分级要求的安全能力，使能行业5G 网络快速安全部署。例如，对于定级为安全等级三级及以下的网络，可以通过提供5G SL3 安全能力集承载；定级为安全等级三级同时是关键信息基础设施的网络，需要提供5G SL4 安全能力集，定级为安全等级四级的行业网络，需要采用5G 网络的SL5 安全能力集以满足其安全要求。

3 5G网络安全能力分级模型

3.1 5G网络安全需求模型

在国家相关安全法律法规框架内，基于成熟的通信标准体系，综合考虑安全分级保护要求和行业特定安全需求，基于网络运行保障、生命周期保障、核心技术自主可控保障三个维度，将5G 安全需求分为5G 网络安全、产品开发和生命周期安全、技术自主可控三大类。如图2 所示：

图2 5G网络安全需求模型

图2 中，5G 网络安全根据信息系统需要具备的基础安全能力（CIA）、数据保护能力和面对攻击的业务保持/业务恢复能力，进一步细分为基础安全、数据安全和网络韧性三个方面。

3.2 5G网络安全能力域

5G 网络作为使能垂直行业应用的基础网络，主要承担无线通道、支持终端通过空口进入5G 网络、对接数据网络（Internet 或者企业内部网络），最终实现从终端到行业应用的端到端通信连接。因此，5G 网络安全能力范围涵盖终端、5G RAN（无线接入网）、MEC（移动边缘计算）、承载网络以及5GC（5G 核心网）组成的基础通信网络。

5G 网络安全能力域划分如图3 所示。根据5G 网络中各域承担的业务功能和业务特征不同，提供的差异化安全能力，将5G 网络提供的安全能力分为终端安全、RAN（无线接入网）安全、MEC 安全、承载网络安全和5GC（5G 核心网）安全五个域进行定义。

图3 5G网络安全能力域

3.3 5G网络分级安全能力集构建

在安全分级框架和策略的指导下，基于5G 网络安全需求模型，依据分域定义安全的方法要求，构建5G 网络分级能力集。下面以终端安全为例描述安全能力集构建方法，5G 终端安全能力集（SL1～SL5）如表1 所示。

表1 5G终端安全能力集

表1 中，纵向表示5G 网络安全需求，包含5G 网络安全（基础安全、数据安全、网络韧性）、产品开发和生命周期安全、技术自主可控，每一类安全需求又细分为多个子需求；横向表示基于每个安全能力级其对应需求的安全能力强度。

以此类推，依据分域定义安全的方法要求，针对其他4 个安全域（RAN 安全、MEC 安全、承载网络安全和5GC 安全）分别定义其安全能力集，从而构建出全套5G网络分级安全能力集。

4 行业应用5G网络安全分级能力建议

对于安全等级三级以上的行业系统来讲，认定为关键信息基础设施和安全等级三级的行业应用系统，根据具体行业场景要求参考5G 安全SL4 级安全能力集。安全等级四级的行业业务系统，建议使用5G 安全SL5 级能力集进行保障。

对于安全等级一级和二级行业系统来讲，综合考虑业务属性要求和安全能力的平衡，使用运营商5G 网络承载时，可对其安全能力进行裁剪。

另外，建议考虑与安全认证标准的协同，GSMA（全球移动通信系统协会）提出的网络设备安全保障计划（NESAS）规定了通信设备的安全能力基线要求，在面向行业的5G 安全分级体系中，中高级的安全等级（SL3级及以上）设备相关测评可参考和引用NESAS/SCAS（安全保障规范）相关标准。

5 结束语

5G 应用场景正在从移动互联网拓展到工业互联网、车联网、医疗健康等更多领域，其价值在垂直行业的应用中逐步得到体现。3GPP 5G 能够满足行业通用安全需求，但面向行业的网络安全能力还需分级进行差异化提供。基于本文提出的5G 网络安全能力分级模型，提供分级的5G 安全能力，可以有效地支撑行业网络遵从安全等级保护、安全防护等相关规范的要求，满足5G 行业网络规划、建设、部署和运行的全生命周期安全需求，从而推动5G+行业应用的落地和安全发展。