海康威视网络安全白皮书_39页_1mb

海康威视网络安全白皮书总结

核心内容概述

海康威视作为全球领先的视频监控与物联网解决方案提供商，始终将网络安全视为其业务发展的重要组成部分。公司致力于构建全方位的网络安全保障体系，涵盖产品安全生命周期管理、供应链安全、安全合规、人员管理、安全研究与技术合作等多个方面，以确保其产品与服务在物联网时代的安全性与可靠性。

主要观点

• 网络安全是全球性挑战：海康威视认为网络安全不仅是技术问题，更是管理问题，需要所有利益相关方共同努力。
• 安全是系统性工程：系统安全需要多层级、多维度的协同保障，不能依赖单一安全措施。
• 安全生命周期管理：海康威视在产品研发、测试、交付、运维等全生命周期中融入安全活动，确保产品从设计到使用全过程的安全性。
• 安全研发流程HSDLC：公司制定了安全研发流程（HSDLC），融合了安全设计、开发、测试等环节，以提升产品安全性。
• 安全合规是重要保障：公司积极应对全球不断变化的网络安全法规，通过ISO/IEC 27001、CMMI5、信息安全等级保护等认证体系，确保产品符合法律与行业标准。
• 持续安全改进：海康威视通过漏洞挖掘、态势感知、蜜罐等技术手段，持续提升其产品的安全能力，并通过与第三方机构的合作，构建安全生态系统。

关键信息

公司概况

• 海康威视是全球视频监控数字化、网络化、高清智能化的重要推动者。
• 全球员工超25000人，其中研发人员超10000人，研发投入占销售额的7%-8%。
• 产品应用于150多个国家和地区，在重大安保项目中发挥了重要作用。
• 2010年在深圳证券交易所上市，股票代码：002415。

产品安全生命周期管理

• 组织架构：

  • 产品安全委员会：制定战略、政策、流程与标准。
  • 网络安全部：负责产品安全的日常管理与实施。
  • 网络与信息安全实验室：专注于物联网安全技术研究与实践。
  • 安全应急响应中心（HSRC）：负责漏洞接收、处理与披露。
  • 产品线安全办公室：协同网络安全部建立安全基线与技术标准。
  • 安全测试部：独立进行安全测试，确保产品安全策略有效执行。
  • 支持部门：提供内控、法务、品牌宣传、审计及公共关系支持。

• 流程与标准：

  • 制定通用安全基线、安全编码、安全密码应用、安全密钥管理等规范。
  • 强调安全活动应贯穿产品全生命周期，从概念设计到交付维护。

• 安全研发流程HSDLC：

  • 包括概念、设计、开发、验证、配置管理、安全交付、应急响应等阶段。
  • 引入代码扫描、交叉评审、协议安全测试等手段提升代码质量与系统安全性。

供应链安全

• 采取防篡改、防植入、防调包等措施，确保产品在生产环节的安全性。
• 实施严格的软件烧录、加载、测试流程，确保产品完整性与可追溯性。

安全合规

• 遵循国内外法律法规，如《网络安全法》、GDPR等。
• 获得ISO/IEC 27001、CMMI5、信息安全等级保护三级、SOC2等多项国际认证。
• 积极参与行业标准制定，如TC260、TC100、CSA、ONVIF等。

人员管理

• 实施全员网络安全意识教育，提升员工安全技能与责任意识。
• 对关键岗位人员进行背景调查、任职资格审核、在岗行为监控与离岗审查。
• 建立安全能力提升计划，包括培训、案例学习、专家讲座等。

交流合作

• 与EY、Cisco、Synopsys、IBM等国内外知名机构合作，提升安全能力。
• 与客户、安全研究人员、第三方平台保持紧密联系，共同应对安全威胁。
• 推出“安全白帽子奖励计划”，鼓励外部安全研究者参与产品安全研究。

产品安全研究

• 漏洞挖掘：

  • 嵌入式设备漏洞挖掘：使用固件逆向、静态分析等手段。
  • 协议漏洞挖掘：集成模糊测试工具，对主流安防协议进行漏洞挖掘。
  • 无线安全研究：测试无线攻击方式，如信号窃听、重放、欺骗等。
  • Web安全：通过爬虫与代理技术检测SQL注入、XSS等Web安全问题。

• 安全态势感知：

  • 构建端云协同的智能大数据安全分析系统，实现对系统状态的全面感知。
  • 利用漏洞库与数据分析模型，对安全威胁进行关联分析与趋势预测。

• 安全可视化：

  • 通过深度包检测、全流量分析等手段，将安全数据以可视化方式呈现，便于用户理解与响应。

• 蜜罐技术：

  • 部署高交互与低交互蜜罐，用于捕获与分析攻击行为。
  • 主要部署操作系统蜜罐、工控蜜罐、Mirai、Struts2等热点蜜罐，以增强攻击识别与防御能力。

安全性承诺

海康威视承诺：

• 使用领先的安全及隐私保护技术，帮助客户保护其个人信息。
• 采用全面的方法保护用户数据，确保其在整个视频物联网生态系统中的安全性。
• 持续改进安全体系，积极监控新增安全问题与威胁。
• 为用户提供安全公告、漏洞修复、安全培训等服务，确保客户能够及时了解并应对安全风险。

海康威视通过持续的技术创新与管理优化，致力于构建一个更加安全、可靠的物联网环境，保障用户数据与系统的安全。