赵先明 执行副总裁

中兴通讯产品安全白皮书——构造全面的产品安全保障

2014年12月

目录

前言

总裁声明

历程

方针目标

产品安全方针

产品安全目标

产品安全框架

产品安全组织结构

产品安全管理过程

产品安全标准体系

安全基线

管理保障

制定安全标准和规范

产品安全文档

产品安全培训

研发安全

概念阶段

计划阶段

开发阶段

验证阶段

发布阶段

供应链安全

材料和供应商安全管控

供方关系安全控制

制造

安全终端

合规

验证审计

内控安全

法律合规

交付

安全加固

运营维护

安全事件响应

安全事件处理

管理规范

交流合作

Security专栏

展望

03

05

07

08

09

15

17

19

22

23

24

27

30

33

中兴通讯产品安全白皮书

�

这是中兴通讯首份官方的产品安全白皮书，既回顾了中兴通讯在产品安全领域的成果，

也描绘了安全工作的现状。希望这份白皮书能给读者带来有关中兴通讯产品安全的正面的认

识和启发。

随着网络技术深入发展，人类的生活和生存方式都在发生深刻改变，网络的影响已渗

透到全球的社会活动中，网络的重要性与日俱增，但信息网络本身的脆弱性也日益凸显。自

“棱镜门”事件之后，产品安全越加成为客户关注的焦点。客户不仅关注产品的质量，更加

关注产品本身的安全，以及产品的可信性。如今，产品的可信性已经成为产品准入的门槛，

如果产品不可信，客户将不选购该公司的产品。

作为全球领先的综合通信解决方案提供商，中兴通讯通过为全球160多个国家和地区的

电信运营商和企业网客户提供创新技术与产品解决方案，让全世界用户享有语音、数据、多

媒体、无线宽带等全方位沟通。

中兴通讯产品安全的方针是：

聚焦客户，从客户的角度来审视产品安全，意味着更挑剔、更严格，这恰恰符合中兴通讯一

直以来奉行的“客户第一”的根本原则。

全面保障，建立一套统一的产品安全保障体系，服务于产品的整个生命周期。

响应及时，面对危机，第一时间做出响应，为及时处理创造机会。

安全可信，提供安全和可靠的产品和服务，是中兴通讯产品安全的初衷和目标。

前言

中兴通讯产品安全白皮书

�

作为首次尝试，这份白皮书凝聚了多位同事的辛勤工作，需要特别感谢蔡新成、成明

江、顾南山、金斌、李莉、李维春、李维民、林国勇、柳清、吕坚、马致原、潘万鹏、平

立、随煊、陶红、王华刚、王腾飞、王璇、王志辉、韦银星、吴强、解安林、徐国荣、姚翠

峰、殷玲玲、俞婷、袁野、钟宏，以及很多未提及姓名的同事，不仅要感谢你们为呈现这份

白皮书贡献的巧思，更要感谢你们为推进中兴通讯产品安全付出的心血，中兴通讯产品安全

在过去的一年中取得的进步，是你们辛勤付出的成果，正因为有你们的努力，中兴通讯产品

安全的未来之路充满希望。

在公司M-ICT（Mobile - Information Communication Technology）新战略中，安

全已成为组织和产品必不可少的部分。我们编写本白皮书的目的，就是表明中兴通讯愿意与

国际社会一同去面对产品安全挑战，通过构建自己的端到端的产品安全保障体系，努力打造

可信产品，推动各相关利益方制定一个全球性的安全标准，共同打造可信的网络环境和产品

安全，提高客户对产品安全的认可度。

科技改变生活，法规维护秩序。中兴通讯不仅坚决反对任何形式的网络攻击行为，而且

会积极维护网络安全、用户个人数据安全和隐私安全。

为了保证产品的安全，中兴通讯从组织和流程上建立了一套产品安全保障体系，保证产

品安全特性在产品中的落地，对已发布产品的漏洞给出及时的漏洞修补和解决方案，推动安

全技术创新和演进。

特别感谢

中兴通讯产品安全白皮书

�

总裁声明2013年对于信息安全来说是异乎寻常的一年，诸多国际

安全事件引发了全球国家、组织、个人的共同关注和思索。 信

息通讯技术，毫无疑问是全球数字经济的高效助推器，但它在

为我们提供改造物质世界和给我们的工作、生活提供无限便利

的同时，也带来了巨大的网络信息安全的挑战。 比如，当全

世界无比兴奋地展望智慧城市、大数据时代的无比便捷性的同

时，却又看见信息安全、网络犯罪、网络恐怖主义的乌云正在

迫近。消费者、行业、社会公众对于网络信息安全的担忧正在

迅速弥漫，不同利益群体之间的信任危机也在加速酝酿。当如

此多的挑战迅速袭来时，由于来不及培育新的理性，人们可能

会在旧时代习惯的驱使下，机械式地选择了狭隘的自我保护行

为，以求逃避。

作为信息行业的重要参与者，中兴通讯深刻了解并勇于承

担在行业生态和公共安全方面的责任。我们坚信，只有全行业

全社会积极的共同应对，数字经济生态才能够得到持续的健康

发展和维持，人类社会才不至于陷入对信息安全的恐慌而停下

文明前进的脚步。

公司产品安全委员会(Cyber Security Committee)， 建

立了完善的覆盖全生命周期的产品安全保障体系，严格遵循

ISO27001、ISO15408和ITU­T X.805标准。

中兴通讯产品安全白皮书

�

我们通过不断健全产品安全管理结构，聚焦客户，不断完善覆

盖产品研发、供应链、制造、验证、服务交付和安全事件管理等领

域的产品全生命周期的安全保障机制，确保给各界客户提供安全的

产品和解决方案并保障其安全运行。在安全测评领域，中兴通讯产

品安全实验室作为公司内独立的安全验证机构，装备有全球顶尖的

已知漏洞扫描和未知漏洞发掘工具，以客户的视角，验证产品是否

符合安全标准、基线和规范。

在日常经营的重要环节，我们设立了严格的鉴权机制和人员管

理流程，确保了客户信息传播的可追踪性和信息处理运用的适度性。

我们正积极与客户建立共同的业务连续性管理和应急响应机制。

在维护公众安全方面，我们坚守普世的商业伦理，承诺我们的

产品、运营能力不为特定政治目的服务。

我们以开放合作的心态，积极参与国际标准、国际对话。

我们将持续地培育员工的安全意识、责任感，因为高素质的公

民是保障信息安全和社会稳定的最本质的因素。

未来，我们将通过与政府、运营商、供应链伙伴、机构、社会

的合作，拓展网络信息安全生态建设的更多领域，提升自身，回馈客

户，为构建和维护更加良好的信息安全秩序贡献我们的力量和责任。

CEO 史立荣

中兴通讯产品安全白皮书

�

2005年，中兴通讯成为中国首家成功建立并实施ISO27001

（信息安全管理体系）的企业。中兴通讯产品安全工作包括标准建

设，安全保障，安全测评，应急响应等多个方面，外部与国内外安

全服务机构和测评组织进行合作，内部成立产品安全委员会，依托

产品线作为技术支撑，持续改善产品安全质量和提升客户信心。

中兴通讯建立了完善的覆盖全生命周期的产品安全保障体系，

严格遵循ISO27001、ISO15408（信息技术安全性评估通用准则）

和ITU­T X.805（提供端到端通信的系统的安全结构）标准。公司以

中兴通讯产品安全委员会为领导机构，以安全委员会办公室为组织

平台，通过不断健全产品安全管理结构，不断完善覆盖产品研发、

供应链、制造、验证、服务交付和安全事件管理等领域的产品全生

命周期的安全保障机制，确保给各界客户提供安全的产品和解决方

案并保障其安全运行。

2010年，国际领先的安全服务公司atsec完成对中兴通讯的密

码算法测评，UPCL（Unified Platform Cryptographic Library，

统一平台密码库）和UEPCM（UEP Cryptographic Module，

UEP密码模块）两款密码模块通过美国国家标准技术委员会

（NIST，National Institute of Standards and Technology）

的密码模块的测评和验证，达到FIPS 140-2（加密模块的安全

要求）国际水准，中兴通讯是中国第一个获得FIPS（Federal

Information Processing Standard，美国联邦信息处理标准）认证

的通讯设备生产商。公司的CDMA/WiMAX、承载网、核心网、固

网、GSM/UMTS和TD产品等多个产品通过了CC认证。2011年，

CDMA/WiMAX的NetNumen U31获得荷兰CC Scheme颁发的

CC（Common Criteria，即ISO15408标准）证书，是中国厂商第

一个获得CC认证的产品。

中兴通讯产品安全实验室作为公司内独立的安全验证机构，是安

全测评、安全能力开发、安全事件响应、安全知识管理和技术交流的

综合平台。

2005

2010

历程

中兴通讯产品安全白皮书

�

中兴通讯产品安全方针：

聚焦客户，全面保障，响应及时，安全可信。

根据公司发展战略规划，参考国际标准和法律法规，建立健全

的产品安全治理结构，建立起覆盖产品研发、供应链、制造、验证

审计、交付和安全事件管理等领域的产品全生命周期的产品安全保

障机制，具备可信赖的产品安全交付能力，确保中兴通讯产品是安

全的且能安全运行，符合安全基线要求，满足保密性、完整性和可

用性。

2014年，我们继续完善公司产品安全保障体系，健全所有

产品的安全基线和研发标准、完善供应链安全管理，建立符合

ISO28000（供应链安全管理体系）的中兴通讯供应链安全管理体

系和面向供应商的采购安全基线，将关键的产品安全要求融入到所

有采购、制造和交付活动中，同时建立起有效的产品安全信息发布

和应急响应机制，确保对安全问题响应时间不超过24小时。

2014

方针目标

产品安全方针

产品安全目标

中兴通讯产品安全白皮书

�

● 研发：结合ISO15408、ITU­T X.805和ISO27001，建立起“产品安全基

线”和重要产品的产品安全设计标准，基于高效产品开发流程将产品安全作

为产品的一项基本属性落实到产品研发的全过程，确保研发输出安全的通讯

产品与解决方案。

● 供应链：结合ISO27001和ISO28000完善中兴通讯供应商产品安全管理机

制，供应商包含服务供应商和软硬件供应商，建立精确的产品安全追溯和识

别能力，并确保有效运行与持续改进。

● 制造：结合ISO27001和ISO15408建立起从来料、生产到包装、发货的安

全管理机制，确保生产和交付过程中产品信息的一致性和可追溯性。

中兴通讯产品安全保障机制的目标和举措参照以下模型图展开。

产品安全框架

图1 聚焦客户的中兴通讯产品安全保障模型

中兴供应链

中兴制造

中兴研发

中兴安全事件

管理

中兴验证审计

中兴服务交付

客户

●ISO27001●ISO28000●I采购安全基线

●ISO27001●ISO15408●制造安全基线

●ISO27001●ISO15408●设计安全基线●专线审核机制

●ISO27001●客户交流机制●服务交付安全基线

●ZTE-PSIRT●事件管理平台●网站Security专栏

●高效产品开发●设计安全基线●ITU-T X.805●ISO15408●ISO27001

中兴通讯产品安全白皮书

10

● 验证审计：结合ISO15408和ISO27001建立起综合性的产品安全测评能力和

工作流程，及产品安全企业标准的执行情况审核机制，确保交付的产品的信

息安全保障能力有据可依、确保各项产品安全规范能有效运行并持续改进。

● 服务交付：结合ISO27001，通过产品安全要求的强化推进夯实安全交付服

务的作业流程，将关键的产品安全要求融入到所有交付活动中，以重点市场

和重点项目为起点逐步展开。

● 安全事件管理：建立起有效的产品安全信息发布和应急响应机制，能够快速

识别风险做出及时响应，以确保安全事件的初步响应不超过24小时。

从公司战略委员会到产品安全委员会，从产品安全实验室到营销、产品、

平台各部门的产品安全组形成的执行团队，联合各个支持团队，构成了公司的

产品安全组织架构。

产品安全组织结构

图2 公司产品安全组织结构

产品安全事件响应组 产品安全实验室兼安全委员会办公室

法务

IT中心

政府

品牌

财务

审计

人事

行政

产品经营团队产品安全组

研发管理产品安全组

政企事业部产品安全组

国内营销事业部产品安全组

国外营销事业部产品安全组

终端事业部产品安全组

执行团队

制造及供应链产品安全组

支持团队

公司产品安全委员会

公司战略委员会

中兴通讯产品安全白皮书

11

产品安全委员会

负责公司产品安全战略、规划、政策、路标、投资、推动实施、解决有冲突

的战略重心、稽核。配合公司架构与流程平台，结合安全领域的发展和动态，对

公司产品安全进行持续优化。产品安全战略、政策、流程、标准的制定和资源的

配置由产品安全委员会常设的专门机构产品安全实验室负责日常管理。

产品安全实验室

产品安全实验室（兼安全委员会办公室）作为产品安全委员会的常设机构，

负责公司产品安全事件管理、信息披露、产品安全认证与产品安全对外合作、行

业产品安全技术标准的研究和产品安全研发推进、建立公司产品安全基线、实施

产品安全测评，参与产品安全的重大项目评审并为公司领导决策提供建议。

研发管理产品安全组

结合公司产品安全战略和业界要求，建立研发规范，嵌入安全要素到产品

研发流程，并推进在各产品线落地，分析和传递产品安全中与研发管理相关的信

息，参与客户安全专题的交流。

产品经营团队产品安全组

协同产品安全实验室一起建立产品安全基线及相关产品技术标准，并负责安

全要求在产品规划、研发、测试等过程的落地。

各营销事业部产品安全组

负责片区内安全信息收集，牵头或参与客户、政府、合作伙伴及当地安全行

业组织的合作交流，参与安全问题应急响应，包括问题收集、处理与升级。

制造及供应链产品安全组

协同产品安全实验室一起建立供应链管理安全基线及相关技术标准，并负责

安全要求在供应链过程的落地

支持部门

负责提供与产品安全相关的内控、法务、品牌宣传、Security专栏及IT平

台、人事、财务、审计及政府关系支持。

中兴通讯产品安全白皮书

12

建立产品安全规划（Plan）

分析客户的产品安全要求和期望、法律法规标准、安全最佳实践；对产品

安全的风险进行识别和评估；确定产品安全目标、中长期需求，制定产品安全战

略、组织结构和流程；分析产品安全工作范围和内容，制定各个领域的安全基

线。

实施并运行产品安全（Do）

产品安全融入公司的核心流程，如高效产品开发、供应链、问题到解决、工

程与服务等，在流程中设立多个控制点来执行产品安全活动和安全基线。

检查产品安全（Check）

对产品安全的各个里程碑进行评审，通过公司内部独立的产品安全实验室

对安全基线进行验证检查、对产品进行安全测评；对产品安全进行审计与合规检

查。

维护和改进产品安全（Act）

针对产品安全的方针、目标、策略和实践经验，分析产品安全任务的实施结

果，评价已完成的产品安全结果，对安全事件进行评估测量，采取纠正和预防措

施。

公司产品安全管理过程遵循PDCA（Plan-Do-Check-Act）过程模型：

产品安全管理过程

图3 产品安全管理过程

建立产品安全规划（Plan）

维护和改进产品安全（Act） 实施并运行产品安全（Do）

检查产品安全（Check）

中兴通讯产品安全白皮书

1�

公司的产品安全标准体系总体分为四层。

产品安全标准体系

图4 产品安全标准体系架构

第一层：产品安全总则

产品安全总则是公司的产品安全大纲，主要包括产品安全的方针、目标、组

织、管理、流程和活动。产品安全总则是公司产品安全的总纲、蓝图，所有下层

文件以此为基础。

第二层：产品安全程序文件

产品安全融入到公司的核心流程中，根据需求制定安全管理流程，如产品安

全事件响应流程，产品安全考核细则和红线要求。

在产品安全要求总则的指导下，制定产品安全基线技术要求和模板，对各产

品系列制定产品安全基线、供应链安全基线、服务安全基线；建立安全基线的最

佳实践；制定产品安全测试要求和测试模板。

第三层：产品安全作业指导书

制定产品安全需求，产品安全设计方案，产品安全实现方案，产品安全测试

方案，产品安全测试用例，产品安全加固手册，产品安全运行维护手册，安全工

具软件操作指南。

第四层：产品安全记录

记录各种执行结果，如测评记录，测评报告，漏洞报告，漏洞记录。

产品安全总则

产品安全程序文件

产品安全作业指导书

产品安全记录

第一层

第二层

第三层

第四层

中兴通讯产品安全白皮书

1�

公司产品不仅包括自研产品，也包括第三方产品。由于各个产品、系统

的安全水平会不一致，为了保障公司产品安全水平，需要对端到端产品交付的

安全进行计划、实施、检查和加固，使之达到安全基线的要求，以杜绝安全隐

患。安全基线是产品研发、第三方产品采购、系统运维配置、安全加固、安全

测评、安全管理的依据。

安全基线覆盖产品端到端交付全过程，安全功能基线包括产品安全基线、

安全保障基线、渗透测试基线、供应链和采购安全基线、服务安全基线。其中

产品安全基线是安全功能需求的来源之一，作为安全功能需求的输入，公司安

全保障基线要求达到CC （Common Criteria for Information Technology

Security Evaluation, Version 3.1 Release 4）安全保证等级（EAL）三级以

上水平。

我们要求安全基线是可验证的，由公司独立的第三方机构对安全基线进行

检查，验证交付的产品是否满足安全基线项，并要求形成安全基线检查报告。

新产品批量生产前必须完成安全基线检查，确认符合要求后才能批量生

产。对于已投入市场的产品，要求达到服务安全基线的要求。

安全基线

中兴通讯产品安全白皮书

1�

管理保障

研发流程为产品安全提供管理保障，通过梳理现有流程，识别出产品安全

涉及的主要过程，在产品安全的检查节点新增安全活动，并对已定义的过程增

加考虑安全因素。

图5 研发流程安全过程

公司制定、修订涉及产品安全的规范及模板，涵盖了研发的主要过程并进

行过程监控。

内部通用基础标准《产品安全要求总则》于2014年2月正式发布，为建立

公司产品安全治理结构、完善产品安全保障机制、具备可信赖的产品安全交付

能力，确保公司产品是安全的并且能安全运行提供了参考标准。

制定安全标准和规范

规划过程 理解市场

制定业务策略和计划 立项

产品版本规划

定义市场需求

立项管理

绩效评估

定义产品需求 系统设计 软件概要设计 编码 系统

测试

概念 计划 开发 验证 发布 运营维护

安全认证

开发开发过程

定义/更新安全基线

定义/更新安全编程规范

安全事件管理

日常运作

安全总监安全专家研发SE

新增过程，由安全总监/安全专家负责已定义过程但有较大变化

已定义过程，考虑安全相关因素即可可选，视市场要求而定

技术评审图例

用户文档开发

配置管理（含变更、缺陷、版本管理等）

规范/模板制修订点

中兴通讯产品安全白皮书

1�

2014年发布了涉及项目开发、产品规划、产品开发和产品交付过程的多

个企业标准。

通用产品安全基线、各产品线主力产品安全基线、安全编码、安全测试、

安全事件管理等规范正陆续制定和发布。

安全文档综合描述了产品的典型组网方式，指出其面临的安全威胁以及对

哪些安全目标的达成造成影响。安全文档指明为达成安全目标，需采用何种安

全架构及安全措施、漏洞修补和加固策略、安全事件管理策略。安全文档以随

机文档包的形式和产品一起发布。

产品安全文档

本年度在公司范围进行了多场针对产品安全标准与规范，和运营商安全需

求的全员专场培训，安全培训覆盖到系统产品和手机产品的系统、研发、测试

和流程管理骨干。各类安全工具的原厂培训覆盖到了公司各产品线直接负责系

统产品研发和测试的员工。

产品安全培训

中兴通讯产品安全白皮书

1�

研发安全

为具备可信赖的产品安全交付能力，确保产品是安全的且能安全运行，中

兴通讯将“安全性”作为产品的一项基本属性融入到了产品开发生命周期过程

中。安全需求、安全设计、安全开发、安全测试等安全活动融入到了高效产品

开发流程，保证了安全性的有效落地。产品健壮性、隐私保护得到保证，可为

客户提供更安全的产品和解决方案。

图6 产品开发过程中产品安全相关流程

产品规划团队获取并分析市场准入需求（法律法规及行业标准）、客户安

全需求、第三方分析、行业活动、同行经验、公司内部安全要求，将中长期安

全需求纳入产品路标规划， 短期安全需求纳入产品版本规划。产品安全需求主

要包括两部分：

概念阶段

概念 计划 开发 验证 发布运营维护

产品包装需求 系统设计

概要设计详细设计开发测试集成测试系统测试

试生产测试试验局测试外部认证测试验证用户资料

批量生产

产品维护

工程支持

客户支持

法律法规标准

客户安全需求

安全公共模块

安全基线实施指南

开源软件安全

安全开发标准安全基线

供应商产品安全

安全测试报告 试验局测试报告 补丁管理

安全运行监控

安全事件应急响应

产品制造安全

安全证书

用户安全文档

安全文档

渗透性测试报告

脆弱性分析

公司产品安全方针和标准

中兴通讯产品安全白皮书

1�

● 产品安全基线，作为最基本的安全需求必须强制执行；

● 对产品在运营商网络或政企网网络的应用场景进行评估风险，将相关的应对

措施纳入安全需求。

在这一阶段对概念阶段所识别的安全需求进一步细化，并进行产品的安全

架构设计和特性安全设计。公司参考ITU-T X.805、ISO15408安全规范等业

界最佳实践，制定了产品安全设计规范。

确定产品架构和系统方案时，需要分析系统的安全需求和潜在安全威胁，

据此确定产品的安全架构和系统方案，并对关键接口进行说明，检查系统方案

是否满足市场和客户的安全要求，根据安全准入标准验证供应商关键物料的安

全性，评估第三方软件的安全性。

计划阶段

在开发阶段，根据安全架构和安全系统方案、安全模块需求及相关接口说

明，实现安全功能模块的设计和源代码文件规划。根据安全功能模块的详细设

计说明，遵循安全编码规范要求，完成编码实现和安全文档开发。根据项目测

试总体计划，制定安全测试规程和安全测试方案，设计并执行测试用例以验证

安全功能模块，并对产品和系统进行渗透性测试和脆弱性分析。确定产品的安

全加固实施方案，提供产品安全认证需要的证据。

开发阶段

产品测试人员根据安全测试用例进行测试，产品安全实验室独立于产品体

系，验证其是否符合产品安全基线要求。

验证阶段

对软件和硬件进行安全保护和管理，确保产品可追溯可审计，保证生产制

造过程中的安全。

发布阶段

中兴通讯产品安全白皮书

1�

供应链安全

通信制造业的供应链安全风险，体现在产品的软件特性和产品本身涉及的

信息安全。供应链安全的本质，是要将自主研发设计的产品以及外购的安全材

料安全地生产、存储、运输并交付给客户。供应链安全的价值，是实现供应链

环节的相对竞争优势，通过国际认可的供应链安全资质，实现客户对公司供应

链安全的认同。

中兴通讯依照ISO28000供应链安全管理体系，识别和评估产品从生产到

销售全过程的安全风险，通过安全管理流程减少产品可能遭受的安全威胁。

供应链物理安全过程对所有的原材料库及半成品库、生产线、成品库、承

运商及生产过程中的运输商全物流过程进行管控。材料网络技术安全借助技术

依据、材料管理、供应商管理三方面的举措，达成将网络技术安全嵌入到材料

管理及供应商管理流程体系中的目标：

● 以ISO15408标准制定高风险原材料安全基线，根据产品安全依据，制定原

材料和供应商安全管控

中兴通讯产品安全白皮书

20

材料网络技术安全风险等级，对不同的等级进行区别对待，中低风险仅需供

应商进行协议签署，对于高风险需要进行测试；

● 制定依托主产品的高风险材料识别机制、供应商分级机制，优先解决高风

险物料。针对高风险原材料，根据最优的测试场景，分主产品集成测试和

原材料直接测试，对于主产品测试中存在安全问题的原材料及供应商，按

照产品安全协议响应机制修正；针对客户安全需求制定材料管理规则，将

ISO15408标准具体应用到各个材料品类，确定具体的安全风险并测试；

● 将网络技术安全嵌入到材料管理及供应商管理流程体系中；

● 制定供应商管理规则，纳入现行控制流程，加强对海外本地采购供应商的管

理，通过规范供应商绩效考核结果、材料价值分类和供应商分级在供应商管

理中的应用来推动海外本地供应商管理的持续优化，提升数据的准确性和供

应商整体的绩效水平；

● 建立供应商管理基线，签订差异化产品安全协议；

● 制定风险材料在各场景下的响应机制。

供方关系信息安全的控制目标，是保护供方访问的组织资产的安全。安全

策略的控制措施包括：

● 减少供方访问组织资产的相关风险，对供方涉及信息安全的要求应与之协商

并记录；

● 建立所有相关信息安全要求，并与可能为组织信息进行访问、处置、存储、

沟通或提供IT基础设施组件的每个供应商进行协商；

● 与供应商的协议应包括信息和沟通技术服务，以及产品供应链相关的信息安

全风险。

供方关系安全控制

中兴通讯产品安全白皮书

21

供方服务交付管理的安全控制目标，是根据供应商协议，维护信息安全和

服务交付的商定水平。其中：

● 供方服务的监控和评审控制举措是定期组织监控、评审和审计供方服务交

付；

● 供方服务变更管理的控制举措是管理供方服务提供的变更，包括保持和改进

现有的信息安全方针策略、规程和控制措施，要考虑业务系统和涉及过程的

关键程度及风险的再评估。

中兴通讯产品安全白皮书

22

制造

制造安全包括安全功能要求和非技术性的安全保证要求，通过审核开发

类、指导性文档类、生命周期支持类、安全目标评估类、测试类、脆弱性评定

类这6个方面是否符合安全功能要求和安全保证需求，以确保安全功能的正确

性和有效性。

制造安全遵照ISO15408 EAL 3及以上等级的安全保障要求，对研发、生

产环境的物理安全、逻辑安全和人员安全，物流中转，发货与验收及售后的物

理安全进行现场审核。

现场审核的对象包括生产环境、物流中转、发货和售后。

针 对 生 产 环 境 的 现 场 审 核 ， 借 助 S V N （ S u b v e r s i o n ， 版 本 控

制）、EC（Enginering Change，工程变更）、PDM（Product Data

Management，产品数据管理）系统，对研发地点、安全保障措施、信息传递

进行管控，对研发项目人员的加入和释放、IT网络、研发与测试设备及办公设

备的物理安全进行审核。

针对物流中转、发货及售后的现场审核，严格遵守安全控制程序，对半成

品中转、设备的发货与验收、工程安装和升级、设备故障外部响应、故障的内

部流程进行审核。

中兴通讯产品安全白皮书

2�

安全终端

针对日益严重的智能手机安全问题，中兴通讯拥有通信业界最完整的、端到

端的产品线和融合解决方案，通过全系列的无线、有线、业务、终端产品和专业

通信服务，灵活满足全球不同运营商和企业网客户的差异化需求以及快速创新的

追求。中兴通讯多年来十分重视用户隐私保护，一直致力于打造安全终端，充分

利用各种安全机制，全面提升手机的安全性能。中兴通讯认为手机安全，仅仅依

靠终端厂商是远远不够的，更需要微处理器厂商、平台厂商、操作系统厂商、应

用厂商通力合作，才能打造完美的安全终端产品。安全手机，需要从底层到应用

层的全方位安全机制来保证。比如：微处理器厂商ARM公司的TrustZone（可

信区域）安全技术；平台厂商Qualcomm公司的Secure Boot（安全启动）、

Secure File System（安全文件系统）、Secure Execution Environment（安

全运行环境）安全技术；Android系统的进程隔离、应用权限、应用签名安全技

术；以及终端厂商的Secure Download（安全下载）安全技术。安全防护不可

能一蹴而就，需要层层保护，才能抵抗各种网络攻击。中兴通讯利用自身的优

势，联合上下游厂商，一起致力于打造移动智能终端安全产品链。

2013年8月，中兴通讯U988S和N5S两款手机通过国内最高安全等级的五

级安全能力测试，截至2014年11月，中兴通讯是国内首个且唯一通过五级安全

能力测试的厂商。

中兴通讯产品安全白皮书

2�

合规

安全验证检查准备试生产的产品是否满足安全基线，是否存在安全漏洞和

风险，检查安全保障所需的证据是否完备，验证交付的文档是否满足安全保障

基线。

安全审计检查安全策略、安全基线、流程是否有效地得到执行，通过检查

安全活动和规定的执行情况，评估安全风险，对不合规的进行改进。

通常，客户会要求通讯设备制造厂商对产品进行独立的安全验证审计。这

个过程中兴通讯通常由内部独立的产品安全实验室担当完成，受客户要求，有

时也委托外部独立的第三方评估机构对产品进行安全评估。

产品安全实验室负责公司产品的安全测试和评估，具备以下基础能力：

● 完善的实验室基础设施：具备真实的集成化通讯网络测试软、硬件环境；

● 系统性的安全测评工具：配备业界领先的代码扫描、漏洞扫描、漏洞发掘和

渗透测试工具；

● 专业的技术人员：实验室全体人员均具备专业的ICT产品研发背景，其

中超过30%人员为CISSP（Certified Information Systems Security

Professional，(ISC)2注册信息系统安全师）认可资质工程师。

验证审计

中兴通讯产品安全白皮书

2�

● 规范的管理体系：公司制定了产品安全测试管理规范，保障产品发布前必须

通过产品安全实验室测评，实验室严格遵循ISO17025（实验室管理体系）

进行运作，确保了测试的客观、公正和可靠。

公司对内控安全的管理符合ISO27000（信息安全标准体系族）的风险管

理要求：

● 中兴通讯依据ISO27001信息安全管理标准，在整体业务活动和风险的环境

下，建立、实施、运作、监控、评审、维护和改进信息安全管理体系

● 定期输出信息安全标准有效性测量报告，每月通过SOC系统（Security

Operation Center）输出信息安全仪表盘报告体现公司和各部门的安全现

状；

● 定期召开安全大会进行汇报和沟通；

● 对于违反信息安全策略的行为进行记录和整改，对造成的风险会进行记录和

分析，并要求纠正预防措施，通过SOC系统记录和跟进；

● 信息安全管理体系管理单位员工要求具备ISO27001主任审核员或内审员的

资质，信息安全管理体系相关的人员要求接受ISO27001标准培训。

● 公司IT系统开发、日常维护和管理业务要求符合信息安全管理规范，规则覆

盖公司范围内IT基础架构中所有的服务和应用系统、数据恢复和灾难备份系

统、公司内部网络（包括广域网和局域网），以及与这些系统相关的人员、

物理区域和设施。

● 在中兴通讯，公司内部信息被划分成“内部公开”、“秘密”、“机密”和

“绝密”几个等级，通过授权管理，遵守工作相关原则、最小授权和控制原

则，有效保护了客户和用户的信息安全性，例如，产品设计文档的密级不能

低于“秘密”，核心战略项目文档的密级不可低于“机密”；客户信息的安

全配置必须满足高于“机密”级别的安全基线，以防止核心客户信息和数据

泄漏。

内控安全

中兴通讯产品安全白皮书

2�

法律合规是中兴通讯产品安全的底线。包括安全标准、流程和信息系统框

架在内的信息安全策略都必须遵从当地法律，整个公司层面的安全控制必须保

持一致性。中兴通讯对法律合规的做法如下：

● 识别信息安全策略和流程中的相关法律和规范，明确定义相关责任并文档化

保存。

● 对所有员工要求遵循知识产权法的行为准则，以减少版权侵害的风险，保护

版权、设计专利和商标等知识产权相关材料的权益。

● 个人信息的收集、散布和使用要求遵守当地的个人隐私相关法律，由公司的

安全组织负责宣贯给公司所有员工、公司的用户和服务提供商各自的责任，

以及应该遵循的流程，定期审计个人隐私法律的遵守情况，以减少侵害个人

隐私的法律风险。

● 信息设备只用于经营活动，通过建立和遵循信息设备安全使用标准，制定指

导手册并监督其使用，确保信息设备都用于被授权的行为。

● 通过建立和维护标准操作环境（Standard Operation Environment）或者

基线安全标准(Baseline Security Standard)，从技术层面遵守安全策略，

确保标准和实现的一致性。

● 每年定期审计对安全策略的遵守情况，在安全组织批准之下实施审计，以降

低对正常经营活动的影响。

法律合规

中兴通讯产品安全白皮书

2�

交付

交付阶段的安全要求通过 “产品配置指导书”和“产品安全加固手册”体

现，配置指导书和加固手册的制定依据来自研发阶段。

各产品在方案设计阶段考虑系统安全设计，呈现在“产品安全设计方案”

中；接下来，各产品根据产品自身情况，完成“产品安全加固手册”；在测试

阶段，测试方案以“产品安全加固手册”为基础，根据相关安全测试用例进行

测试。

在工程开通维护阶段，售后人员根据“产品安全加固手册”中的相关内

容，细化完成“产品安全工程操作手册”、“产品安全日常维护手册”和“产

品工程验收安全检查单”，操作人员根据以上操作手册和检查单，可获得有关

产品配置、调试、维护和安全加固的详细要求和建议。

安全加固手册应用在项目实施完毕之后，主要涉及安全规范和安全加固检

查两个方面。安全规范是指必须强制要求执行的安全加固规范，安全加固检查

是指对产品进行安全扫描，提早发现安全漏洞。此外，安全加固手册一般还包

括对应产品常见的攻击方法和处理建议。

安全加固

中兴通讯产品安全白皮书

2�

产品会根据自身产品的特性，制定产品安全加固检查单，例如操作系统类

型的产品，可基于运行安全、数据安全和安全管理，针对已知漏洞生成待检查

的漏洞列表，每个检查项都给出漏洞的风险等级，这样对加固检查操作就有更

加明确的指导。

在产品生命周期的最后一个阶段继续关注和处理产品的安全问题，运营维

护阶段的主要工作有：

● 收集客户提交的安全事件、行业协会公布的安全事件

● 关注系统软件提供商发布的漏洞及补丁、专业安全厂商发布的漏洞及补丁

● 分析产品可能存在的漏洞及脆弱性，并按公司产品安全事件响应策略及机制

进行安全事件管理

● 供应商支持漏洞上报和应急响应机制，定期对供应商进行安全审计

● 处理逆向物流的安全

运 维 阶 段 入 口 众 多 的 各 类 运 维 系 统 ， 为 操 作 带 来 难 题 。

AOS(NetNumenTM Advanced Operations Suite)高级运维套件基于“易

用、兼容、安全”的概念，为客户解决运维系统无统一接入点、无法单点登

录、信息分散和系统远程部署的安全性问题。AOS具备统一门户，业务聚合，

优化操作，降低成本，认证鉴权，安全兼容的多重优点：

运营维护

中兴通讯产品安全白皮书

2�

图7 AOS运维架构

● 单点登录，统一的登录门户，登录一次可访问所有互信系统

● 集中展现，对分散系统的信息进行汇聚并用统一的仪表盘展现统计信息

● 应用虚拟化，专利技术的应用虚拟化，低带宽高安全，保证敏感信息不在网

络传输

● 可定制化，针对关注的系统和信息定制化，针对客户需求深度定制

● 安全控制，提供统一的3A安全控制机制和操作录像的审计功能

外网 内网

AOS-Coolbit

AOS-Portal

AOS-Dashboard

网络AOS服务器

服务器

OSS NMS EMS

WEB

WEB

WEB

AOS运维架构

中兴通讯产品安全白皮书

�0

安全事件响应

图8 安全事件响应机制

法律合规

中兴通讯PSIRT（ZTE Product Security Incident Response Team）

是负责接收、处理和披露中兴通讯产品和解决方案与安全相关漏洞的应急响应

组织，是公司披露漏洞信息的唯一出口，其职责还包括：

● 响应和处理客户提交的安全事件

● 响应和处理行业协会公布的安全事件

● 制定公司信息安全事件管理策略和安全事件处理方案

● 分析系统软件提供商和专业安全厂商发布的漏洞及补丁。

安全事件管理公共邮箱psirt@zte.com.cn，是中兴通讯安全事件响应的

窗口，来自外部的安全漏洞报告从运维的角度为产品研发提供了有益的思路。

安全公告

规避方案

信息披露 24小时内响应

发布补丁

开发补丁

安全事件报告

脆弱性报告

第三方

客户

售后

友商

基于中兴产品的安全的网络运行

版本升级

ZTE

PSIRT

中兴通讯产品安全白皮书

�1

《产品安全事件管理规范》规定产品安全事件管理的流程和各部门职责，

保证产品安全事件管理的质量和效率。管理规范覆盖公司产品安全工作的售

前、售中、售后全部过程，包括客户安全专题交流、安全组织合作、应急响应

管理、安全信息发布、信息安全合规、法律合规的流程和实施细则。

对于安全事件的执行效率，管理规范有明确的规定，如安全事件初步确认

时间不超过24小时，高危以上级别的安全漏洞修复期限为30天。

管理规范

作为安全技术交流的平台，产品安全实验室在2014年和客户进行了多次

有关产品安全专题、应急响应工作机制和安全需求的交流，并及时向客户推送

安全进展，了解客户需求。

产品安全实验室与外部安全机构的合作逐步加深，从安全工具、测评方

法、漏洞信息共享和协作处置、以及安全事件响应方面进行了多次深度交流。

公司面向社会推出的“信息安全白帽子奖励计划”对关注中兴通讯信息安

全的白帽子进行奖励；产品安全白帽子奖励已开始试点，回馈推进中兴通讯产

品安全不断进步的优秀安全技术研究者。

中兴通讯通过对外交流与合作，接纳利益相关方的反馈，吸收安全领域先

进技术和管理经验，系统地转换为未来改进的目标。

交流合作

中兴通讯产品安全白皮书

�2

Security专栏是公司发布安全声明、披露安全漏洞、报道安全事件的公共

信息发布平台，Security专栏展示了公司品牌形象以及公司对待产品安全问题

的态度，提高了客户对公司品牌和产品的信心。

Security专栏发布的产品安全总裁声明、中兴通讯PSIRT、漏洞上报以

及漏洞处理流程，有效展现了中兴通讯对产品安全的关注度，公共邮箱psirt@

zte.com.cn和白帽子奖励机制的运行状况达到了阶段性预期。

漏洞通告栏目用于发布和中兴通讯产品相关的漏洞公告，中兴通讯鼓励漏

洞研究人员、业界组织和供应商将与中兴通讯产品相关的安全漏洞主动报告给

中兴通讯PSIRT。

S e c u r i t y 专 栏 地 址 ： h t t p : / / w w w . z t e . c o m . c n / c n / a b o u t /

corporate_citizenship/security/。

漏洞通告栏目地址：http://support.zte.com.cn/support/news/

NewsMain.aspx。

公开发布的安全信息根据客户需求实现定制推送，与客户产品直接相关的

漏洞信息通过客户专有通道直接推送，确保客户在第一时间收到消息，尽早做

出响应处理。

Security专栏

中兴通讯产品安全白皮书

��

建设和平、安全、开放、合作的网络空间，是国际社会的共同期望，作为

全球领先的综合通信解决方案提供商，中兴通讯将依照聚焦客户，全面保障，

响应及时，安全可信的产品安全方针，在产品安全领域继续努力，为客户、行

业和社会带来更多价值。

展望