NESAS je společný bezpečnostní rámec pro posuzování zabezpečení (security assurance framework) od 3GPP a GSMA, který standardizuje bezpečnostní požadavky a procesy hodnocení pro výrobce mobilních síťových zařízení a poskytuje operátorům ověřený benchmark pro zabezpečení dodavatelského řetězce.

Popis

Network Equipment Security Assurance Scheme (NESAS) je komplexní rámec pro celé odvětví, navržený k zajištění posouzení zabezpečení (security assurance) pro mobilní síťová zařízení. Je výsledkem spolupráce mezi 3GPP, které vyvíjí technické specifikace prostřednictvím své skupiny NESAG, a GSMA, která spravuje správu (governance), akreditaci a procesy dodržování předpisů (compliance) tohoto schématu. NESAS hodnotí jak vývojový cyklus zabezpečení (security development lifecycle) výrobce, tak bezpečnostní schopnosti finálního síťového produktu, čímž nabízí dvouvrstvý přístup k posouzení zabezpečení.

Schéma funguje prostřednictvím definovaného procesu zahrnujícího více zainteresovaných stran. Nejprve skupina NESAG v rámci 3GPP definuje Bezpečnostní požadavky (Security Requirements) a Specifikace bezpečnostních testů (Security Test Specifications), které jsou dokumentovány v TS 33.916. Tyto požadavky pokrývají kritické oblasti jako zabezpečení vývoje produktu a jeho životního cyklu (např. analýza hrozeb, správa zranitelností, zabezpečení řetězce nástrojů) a testování zabezpečení produktu (např. testování robustnosti, fuzzing, penetrační testy). Výrobce, který pro svůj produkt usiluje o posouzení NESAS, musí projít dvěma nezávislými hodnoceními. Akreditovaný auditor provede audit postupů výrobce v oblasti zabezpečení vývoje a životního cyklu podle definovaných požadavků. Současně akreditovaná bezpečnostní testovací laboratoř provede nezávislé testování výrobkova produktu pomocí standardizovaných testovacích případů.

Výsledky těchto hodnocení jsou zpracovány do Zprávy o posouzení zabezpečení (Security Assurance Report). Úspěšné vyhodnocení umožňuje výrobci vydat prohlášení o shodě (statement of compliance) pro konkrétní verzi produktu. GSMA udržuje dohled nad akreditovanými auditory a testovacími laboratořemi, aby zajistila konzistenci a integritu procesu. Pro síťové operátory představuje NESAS klíčový nástroj pro řízení rizik dodavatelského řetězce. Nabízí objektivní, standardizované měřítko stavu zabezpečení (security posture) výrobce, což přesahuje rámec marketingových tvrzení a poskytuje posouzení založené na důkazech. To je obzvláště důležité v prostředích sítí s více dodavateli a pro splnění různých národních regulačních požadavků týkajících se síťové bezpečnosti.

K čemu slouží

NESAS byl vytvořen v reakci na rostoucí globální obavy o integritu a zabezpečení telekomunikačního dodavatelského řetězce, zejména v souvislosti s geopolitickým napětím ohledně infrastruktury 5G. Před zavedením NESAS operátoři postrádali konzistentní, celoodvětvově dohodnutou metodu pro ověření zabezpečení síťových zařízení. Hodnocení byla často proprietární, netransparentní nebo vázaná na konkrétní národní bezpečnostní rámce, což vedlo k fragmentaci trhu a zvýšené složitosti pro globální výrobce a operátory.

Schéma řeší tyto problémy vytvořením společného, ověřitelného základu (baseline) pro posouzení zabezpečení. Jeho cílem je budovat důvěru v celém mobilním ekosystému poskytováním standardizovaného měřítka. Pro výrobce nabízí jasnou sadu požadavků, podle kterých mohou navrhovat své produkty, což potenciálně snižuje potřebu více certifikací specifických pro jednotlivé země. Pro operátory poskytuje spolehlivý, nezávisle ověřený benchmark pro informování rozhodování o zadávání zakázek a hodnocení rizik. Společný model 3GPP-GSMA zajišťuje, že je schéma technicky robustní (díky standardizaci 3GPP) a má široké přijetí v odvětví a funkční správu (díky GSMA). Podporou transparentnějšího a bezpečnějšího dodavatelského řetězce si NESAS klade za cíl zvýšit celkovou odolnost mobilních sítí vůči vyvíjejícím se hrozbám.

Klíčové vlastnosti

• Standardizované bezpečnostní požadavky pro vývoj a testování síťových zařízení
• Nezávislý audit postupů výrobce v oblasti zabezpečení vývojového cyklu (security development lifecycle)
• Nezávislé bezpečnostní testování síťových produktů akreditovanými laboratořemi
• Hodnocení na dvou pilířích pokrývající jak procesy, tak zabezpečení produktu
• Globálně uznávaný rámec spravovaný společně organizacemi 3GPP a GSMA
• Poskytuje zprávy o posouzení zabezpečení založené na důkazech pro zadávání zakázek operátory a řízení rizik

Související pojmy

• NESAG – Network Equipment Security Assurance Group

Definující specifikace

• TR 33.916 (Rel-19) — 3GPP Security Assurance Methodology (SECAM)

📖 Anglický originál a plná specifikace: NESAS na 3GPP Explorer