關(guān)鍵詞：電信運(yùn)營商；ICT供應(yīng)鏈；風(fēng)險(xiǎn)評估

doi：10.3969/J.ISSN.1672-7274.2025.05.065

中圖分類號：TP393.0 文獻(xiàn)標(biāo)志碼：A 文章編碼：1672-7274（2025）05-0194-03

Abstract： As the swift expansion of digital and global 5G services by telecommunications operators accelerates， the integration of new technologies and services through mobile terminals has become ubiquitous in daily life. This widespread adoption brings with itaheightened array of security risks for the telecommunications industry， particularly within the realm of its Information and Communication Technology （ICT） supply chain. Against this backdrop，this paper introducesa suiteofrational and eficacious securityrisk assessment methodologies，specifically tailored to enhance the network and data securityof telecommunications operators' ICT supply chains.The paper meticulously outlines the principal security risks confronting these supply chains，from scoping assessments and risk identification to thorough analysis and the development of strategic responses.It further assesss the vulnerabilities that could give rise to security incidents and provides targeted recommendations to bolster the security posture of telecommunications operators' ICT supply chains.

Keywords： telecomoperators; ICT supplychain security; risk assessment

0 引言

電信運(yùn)營商信息和通信技術(shù)（InformationandCommunicationsTechnology，ICT）供應(yīng)鏈?zhǔn)怯啥鄠€(gè)上下游組織相互連接形成的網(wǎng)鏈結(jié)構(gòu)，電信運(yùn)營商處于產(chǎn)業(yè)鏈的中下游核心位置，其上游主要為通信設(shè)備商、ICT硬件、軟件供應(yīng)商等，最上游的核心供應(yīng)商主要為半導(dǎo)體芯片廠商[]。與傳統(tǒng)供應(yīng)鏈不同，電信運(yùn)營商ICT供應(yīng)鏈產(chǎn)業(yè)整合度高、社會(huì)資源聚集，屬于技術(shù)、人才密集度極高的產(chǎn)業(yè)，容易產(chǎn)生產(chǎn)業(yè)上游的壟斷[2]。此外，重要網(wǎng)絡(luò)和關(guān)鍵信息基礎(chǔ)設(shè)施ICT供應(yīng)鏈安全攻擊逐年增加[3]，傳統(tǒng)安全防護(hù)措施難以防御，供應(yīng)鏈安全事件造成的影響遠(yuǎn)大于普通的黑客攻擊事件。亟須進(jìn)一步深刻分析當(dāng)前電信運(yùn)營商ICT供應(yīng)鏈安全形勢，強(qiáng)化風(fēng)險(xiǎn)預(yù)防研判，全面提升風(fēng)險(xiǎn)評估能力，支撐電信運(yùn)營企業(yè)高質(zhì)量發(fā)展。

1 電信運(yùn)營商ICT供應(yīng)鏈面臨的主要安全風(fēng)險(xiǎn)

電信運(yùn)營商ICT供應(yīng)鏈具有全生命周期性、生產(chǎn)全球分布性、產(chǎn)品服務(wù)復(fù)雜性、供應(yīng)商多樣性等特點(diǎn)[4。供應(yīng)鏈的各個(gè)環(huán)節(jié)都有可能成為攻擊者的攻擊入口。本文從技術(shù)、管理、法規(guī)等多角度分析威脅利用脆弱性的影響[5，提出如表1所示的電信運(yùn)營商ICT供應(yīng)鏈主要安全風(fēng)險(xiǎn)及其影響。

2 電信運(yùn)營商ICT供應(yīng)鏈安全風(fēng)險(xiǎn)評估方法

電信運(yùn)營商ICT供應(yīng)鏈安全風(fēng)險(xiǎn)評估主要差異在于評估的焦點(diǎn)和范圍，ICT供應(yīng)鏈風(fēng)險(xiǎn)評估更側(cè)重于識別和評估供應(yīng)鏈中特有的風(fēng)險(xiǎn)，如供應(yīng)商依賴、供應(yīng)鏈攻擊、數(shù)據(jù)泄漏、合規(guī)遵從等。根據(jù)以上特性，安全風(fēng)險(xiǎn)評估方法主要包括如下6個(gè)過程。

2.1確定評估范圍

電信運(yùn)營商ICT供應(yīng)鏈風(fēng)險(xiǎn)評估根據(jù)評估的目標(biāo)和關(guān)鍵供應(yīng)鏈重要程度確認(rèn)評估范圍，確定評估范圍目標(biāo)如表2所示。

2.2信息收集

獲取電信運(yùn)營商ICT供應(yīng)鏈資產(chǎn)、供應(yīng)鏈關(guān)系流程、供應(yīng)商和現(xiàn)有安全措施的相關(guān)信息，信息收集目標(biāo)如表3所示。

2.3識別風(fēng)險(xiǎn)

通過分析確定電信運(yùn)營商ICT供應(yīng)鏈潛在威脅、脆弱性和可能的影響。識別風(fēng)險(xiǎn)目標(biāo)如表4所示。

2.4分析風(fēng)險(xiǎn)

評估風(fēng)險(xiǎn)的可能性和影響程度，確定ICT供應(yīng)鏈風(fēng)險(xiǎn)等級。分析風(fēng)險(xiǎn)目標(biāo)如表5所示。

2.5制定應(yīng)對策略

為識別的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)規(guī)避、減輕、轉(zhuǎn)移或接受的策略。制定應(yīng)對策略目標(biāo)如表6所示。

2.6實(shí)施與監(jiān)控

執(zhí)行風(fēng)險(xiǎn)應(yīng)對措施，并定期監(jiān)控其有效性。風(fēng)險(xiǎn)管理實(shí)施與監(jiān)控目標(biāo)如表7所示。

3 電信運(yùn)營商ICT供應(yīng)鏈安全建議

加強(qiáng)對電信運(yùn)營商ICT供應(yīng)鏈安全風(fēng)險(xiǎn)管理，可參考表8的建議。

4 結(jié)束語

電信作為關(guān)系國計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)運(yùn)營行業(yè)，其供應(yīng)鏈的安全具有重要的意義，本文構(gòu)建了一套安全風(fēng)險(xiǎn)評估方法指標(biāo)體系，以促進(jìn)安全檢測評估工作的開展，可以作為評價(jià)電信運(yùn)營商ICT供應(yīng)鏈安全風(fēng)險(xiǎn)的依據(jù)，并提出了針對電信運(yùn)營商ICT供應(yīng)鏈的安全建議。

參考文獻(xiàn)

[1]王佳碩，程建寧，朱敏，周天成，胡永俊.通信運(yùn)營企業(yè)ICT供應(yīng)鏈安全風(fēng)險(xiǎn)預(yù)防及應(yīng)對策略研究[A].供應(yīng)鏈管理，2023（7）：25-36.

[2]周天成，程建寧，柳曉瑩，王佳碩，潘孝成.通信運(yùn)營企業(yè)ICT供應(yīng)鏈安全形勢及風(fēng)險(xiǎn)影響研究[A].供應(yīng)鏈管理，2023（6）：72-85.

[3]王博，吳舟婷，吳倩，羅森林.關(guān)鍵信息基礎(chǔ)設(shè)施ICT供應(yīng)鏈安全風(fēng)險(xiǎn)評估指標(biāo)體系研究[J].信息安全與通信保密，2020（12）：103-111.

[4]GB/T36637-2018，信息安全技術(shù)電信運(yùn)營商ICT供應(yīng)鏈安全風(fēng)險(xiǎn)管理指南[S].2018.

[5]GB/T20984-2022，信息安全技術(shù)信息安全風(fēng)險(xiǎn)評估方法[S].2022.

[6]徐海，鐘書棋，胡寧，陳冰泉，陳捷宇.ICT供應(yīng)鏈安全風(fēng)險(xiǎn)研究及建議[A].電子產(chǎn)品可靠性與環(huán)境試驗(yàn)綜述與展望，2024，42（4）：124-128.