战略与国际研究中心-Telecom-and-National-Security_31页_297kb

HUAWEI CYBER SECURITY EVALUATION CENTRE (HCSEC) OVERSIGHT BOARD ANNUAL REPORT SUMMARY (2017)

核心内容

本报告是华为网络安全评估中心（HCSEC）监督委员会的第三份年度报告，旨在向英国国家安全顾问汇报HCSEC在2016-2017年度的工作进展和成果。报告内容涵盖了HCSEC的技术和运营情况、独立性保障措施、以及其在英国电信市场中的网络安全评估职能。

主要观点

• HCSEC的设立背景：HCSEC成立于2010年，位于英国牛津郡的巴纳比，是华为英国公司的一部分。其设立是为了应对华为参与英国关键基础设施带来的潜在网络安全风险。
• 监督委员会的组成与职责：监督委员会自2014年成立以来，一直由NCSC首席执行官Ciaran Martin担任主席。委员会的职责是确保HCSEC的独立性、专业性和有效性，并向国家安全顾问提供建议。
• HCSEC的运作进展：
  • 2016年12月，HCSEC新任首席执行官David Francis上任，其具备GCHQ DV清查背景，确保了HCSEC的独立性。
  • HCSEC已获得新办公场所，预计在2017年4月签署租约协议，新空间将支持其进一步扩展评估工作。
  • HCSEC与华为研发团队之间的合作机制已优化，华为研发将承担更多关于二进制等价性的任务，而HCSEC则专注于验证工作，以提高其独立性和效率。
  • HCSEC的技术能力在2016年有所提升，员工素质未下降，能够为英国电信运营商提供大规模的网络安全保障。

关键信息

一、HCSEC的运营与人员情况

• 人员变动：2016年12月，David Francis接替David Pollington担任HCSEC首席执行官，其具备GCHQ DV清查背景。
• 人员配置：HCSEC在2016年完成了预期的人员招聘，仅有一个职位未填补。新员工需在通过DV清查前接受监督。
• 人员培训与管理：部分新员工在清查过程中未能通过，但其风险已被有效管理。监督委员会认为HCSEC在人员配置和技能方面没有问题。
• 办公场所：新办公场所的建设仍在进行中，预计2017年4月完成租约签署，为HCSEC提供更多空间以支持评估和研发工作。

二、技术保障与评估工作

• 评估流程：2016年，HCSEC完成了20项产品评估和4项解决方案评估，覆盖了五家英国电信运营商的产品和架构。
• 二进制等价性问题：HCSEC在二进制等价性方面遇到挑战，无法从提供的源代码中完全复现网络元素中的二进制文件。这导致评估结果不完整，影响了对潜在风险的判断。
• 问题解决：通过与华为研发团队的深入讨论，明确了源代码交付过程中的问题，并达成一致的改进计划。华为研发将承担更多源代码交付和分析任务，而HCSEC将专注于验证工作。
• 技术能力提升：NCSC认为HCSEC的技术能力在2016年有所提升，能够提供大规模的网络安全保障，并具备创建自动化评估指标的能力。

三、独立性保障

• 独立性审计：监督委员会委托埃森哲（Ernst & Young）进行独立审计，以确认HCSEC在运营上是否保持独立于华为总部。
• 审计结果：审计结果显示，HCSEC在独立性方面没有重大或中等风险，仅发现一项低优先级问题和两个建议性问题，均与可审计信息的保留有关。
• 改进计划：所有问题均制定了整改计划，监督委员会对HCSEC的独立性安排表示满意。

四、监督委员会的结论

• 技术保障：监督委员会认为，HCSEC在2016-2017年度履行了其职责，提供了足够的网络安全保障，能够满足当前英国对华为参与电信基础设施的评估框架要求。
• 独立性：审计报告提供了外部保障，确认HCSEC在运营上保持独立性，符合2010年政府与华为达成的安排。
• 未来展望：监督委员会期待HCSEC继续推进源代码的完整交付和分析工作，并在必要时增加人员以确保评估工作的可持续性。

总结

2016-2017年度，HCSEC在技术能力和独立性方面均取得积极进展，尽管在二进制等价性方面仍存在挑战，但已通过改进措施加以应对。监督委员会对HCSEC的表现表示满意，并确认其在保障英国网络安全方面发挥了重要作用。