摘要：大家知道，安全對于任何構(gòu)建和使用軟件的企業(yè)和個人來說都至關(guān)重要，比如中興通訊采取積極主動的安全舉措，包括采用新思科技的Coverity 靜態(tài)應用安全測試、Defensics 模糊測試、Black Duck 軟件組成分析以及軟件安全構(gòu)建成熟度模型(BSIMM)評估等。

中興通訊無線經(jīng)營部產(chǎn)品安全總監(jiān)楊鐵建指出，中興通訊將產(chǎn)品安全視為產(chǎn)品研發(fā)和交付第一優(yōu)先級。為滿足日新月異的市場需求，產(chǎn)品開發(fā)人員需快速進行產(chǎn)品開發(fā)，但是中興通訊不會犧牲安全來換取交付速度。我們引入業(yè)界安全治理框架、最佳實踐，融入公司HPPD流程中，并進行持續(xù)改進，提升整體軟件開發(fā)安全成熟度，從流程、制度上保障交付的產(chǎn)品和服務的安全性。

同時，楊鐵建也表示：“我們采用了大量先進的安全產(chǎn)品、技術(shù)和方法，同時我們也以更開放的心態(tài)，希望與業(yè)界加強溝通，了解自己在行業(yè)中所處的位置，并不斷識別差距和改進點。中興通訊無線經(jīng)營部希望尋求一種系統(tǒng)的安全評估方案，以判斷我們的5G產(chǎn)品安全研發(fā)和交付能力是否已經(jīng)進入業(yè)界第一梯隊，力證公司有實力幫助客戶應對網(wǎng)絡安全挑戰(zhàn)?！?/p>

什么是BSIMM?

首先它是一個觀察、評估和描述企業(yè)的SSI真實狀態(tài)的一個工具。什么是SSI，就是Software Security Initiative，軟件安全方案的一個真實狀態(tài)。而所謂這個軟件安全方案，大家可以看一下蛛網(wǎng)圖，上面有12項practice(實踐)，而這12項實踐又對應到了4個domains(領(lǐng)域)。

可以看到右上角針對的是比較高high level的一些戰(zhàn)略和指標，合規(guī)政策、培訓、流程等等;右下角會涉及到一些具體的情報的收集，功能的設計，標準的制定;左下角會有一些安全類的測試、滲透測試或者對于代碼的審查;左上角是你在運維部署的過程中，對于你的環(huán)境、漏洞的管理等等，有沒有一些很好的考量。

自2008年起，新思科技每年都會分析不同企業(yè)的實際軟件安全實踐的定量數(shù)據(jù)，并匯總成為年度BSIMM報告，幫助企業(yè)規(guī)劃、執(zhí)行、評估和完善其軟件安全計劃(SSI)。BSIMM是企業(yè)衡量軟件安全的標尺，中興通訊可以參考對比業(yè)界優(yōu)秀的實踐活動，以便更加有針對性地改善自身軟件安全成熟度。

為什么需要進行BSIMM評估?

自2008年以來，新思科技共對200多家企業(yè)開展了約500次測評，對此BSIMM優(yōu)勢可以說明幾點：1、掌握SSI的現(xiàn)狀，提供可視性;2、衡量新的軟件安全方法;3、評估企業(yè)自身的軟件安全方案策略;4、建立一個衡量軟件安全方案進展方法;5、展示軟件安全狀態(tài);6、收集具體細節(jié)，以向公司高層或董事會說明安全方案如何發(fā)揮作用。

2017年，中興通訊開始借鑒BSIMM模型逐步完善軟件安全計劃，將BSIMM定義的軟件安全活動嵌入到HPPD研發(fā)流程中。無線經(jīng)營部又進一步采用BSIMM，在南京、上海、西安、深圳和海外局點開展安全性評估，覆蓋無線主要網(wǎng)絡產(chǎn)品。目前為止，新思科技對中興通訊B8200和8120D兩款5G平臺設備進行了評估服務，主要有：

A 客觀分析現(xiàn)有的SSI

B 剖析不同行業(yè)垂直領(lǐng)域出色的安全實踐

C 基于公司目前的安全現(xiàn)狀，分享其它有關(guān)公司成功和失敗的案例，并介紹業(yè)界應對安全問題的新舉措

另外，包括為期一個月的代碼安全性評估、一周的安全設計文檔評估及三天的BSIMM訪談。訪談期間對與軟件安全相關(guān)的主要負責人進行三輪訪談和多輪溝通會議。評估報告中總結(jié)了中興通訊產(chǎn)品安全狀態(tài)、業(yè)界位置，并根據(jù)實際情況提供了實用的改進建議。

2021年，新思科技為中興通訊無線經(jīng)營部5G RAN(包括BBU、AAU/RRU和統(tǒng)一管理專家UME)和5GC(包括核心網(wǎng)、5G編排管理、5G云)等產(chǎn)品的研發(fā)過程進行為期三天的評估，之后詳細解讀評估報告，并和2019年兩款產(chǎn)品的評估結(jié)果進行比較，更新改進建議。中興通訊此次高分完成評估，在絕大多數(shù)領(lǐng)域遠超平均分，總體上達到業(yè)界領(lǐng)先的水平。對比19年的評估結(jié)果，可以看出中興通訊在軟件安全管控上取得了長足的進步。

新思科技軟件質(zhì)量與安全部門高級安全架構(gòu)師楊國梁介紹道：“這些采訪中涉及的主題與BSIMM軟件安全框架中的121項活動一致，如軟件安全政策、供應商管理和風險評級等等。評估結(jié)果在報告中呈現(xiàn)。BSIMM記分卡提供了精準、簡練的概況和詳細的分數(shù)比較，概述了中興通訊與同類公司執(zhí)行的安全方案之間的對比?！?/p>

BSIMM成果：助力安全能力系統(tǒng)性地改進

經(jīng)過三年多對標BSIMM框架以及BSIMM評估，中興通訊無線經(jīng)營部項目安全能力得到系統(tǒng)性的改進，在安全培訓、需求、設計、編碼、測試、交付領(lǐng)域都得到了提升。

楊鐵建表示：“全面進入5G市場面臨許多挑戰(zhàn)，其中，安全性和數(shù)據(jù)保護尤為重要。新思科技評估團隊專業(yè)、敬業(yè)，對我們的需求能夠快速精準地響應。BSIMM評估模型的評估方式與評估條目緊貼行業(yè)和市場的新動向和新標準，不斷迭代升級，這與中興通訊加速推進全球5G商用規(guī)模部署的戰(zhàn)略不謀而合。與新思科技的合作，是中興通訊致力于為全球客戶提供安全、可靠的5G全系列產(chǎn)品與解決方案的良好實踐?！?/p>

楊國梁總結(jié)道：“發(fā)展5G為整個產(chǎn)業(yè)鏈帶來巨大的機遇，同時，業(yè)界也特別強調(diào)5G網(wǎng)絡建設的安全保障。5G 安全需要考慮多個層面，比如5G 網(wǎng)絡本身的通信安全以及 5G 網(wǎng)絡承載的上層應用安全。但總的來說，通信設備提供商應該在產(chǎn)品設計之初，就必須充分考慮可靠性和安全性。新思科技會繼續(xù)為中興通訊提供測試工具和評估服務等，為構(gòu)建5G時代自主創(chuàng)新核心競爭力提供持續(xù)的安全支持。”

小結(jié)：中興通訊在安全能力的系統(tǒng)性里面得到很好的改進。本次評估，他們也高分完成了評估，在絕大多數(shù)領(lǐng)域其實是高于平均水平，總體上已經(jīng)進入了第一梯隊。而這里所謂的第一梯隊是根據(jù)BSIMM得分一個自然的劃分，羅列出來的幾檔，不難發(fā)現(xiàn)中興已經(jīng)處于最高水位第一梯隊的那一檔。