发布于 由历史地图研究

华为网络安全评估中心（HCSEC）监督委员会 2018年年度报告

点击打开微信，马上办理ETC

谷歌翻译

 

2018年7月向英国国家安全顾问提交的报告

华为网络安全评估中心监督委员会年度报告

 

第一部分：总结

 

  1. 这是华为网络安全评估中心（HCSEC）监督委员会的第四份年度报告。HCSEC是牛津郡班伯里的一家工厂，隶属于华为技术（英国）有限公司，其母公司是一家总部位于中国的公司，现在是全球最大的电信提供商之一。
  2. HCSEC已经运行了七年。它于2010年11月根据华为与HMG之间的一系列安排开放，旨在减轻华为参与英国部分重要国家基础设施所带来的任何风险。HCSEC为英国电信市场中使用的一系列产品提供安全评估。通过HCSEC，英国政府可以深入了解华为的英国战略和产品系列。英国国家网络安全中心（NCSC和以前的GCHQ）作为国家信息保障技术机构和政府网络安全运营机构，领导政府与HCSEC和华为进行更广泛的技术安全事务处理。
  3. HCSEC监督委员会成立于2014年，由NCSC首席执行官Ciaran Martin担任主席，并担任GCHQ董事会执行委员，负责网络安全。监督委员会继续邀请华为的高级主管担任副主席，以及来自政府和英国电信部门的高级代表。监督委员会的结构没有发生重大变化，但2017 – 18年的成员资格发生了变化。主要是由于HMG和华为职位的员工轮换。

 

  1. 监督委员会现已完成第四个全年工作。在这样做的过程中，它涵盖了HCSEC在一年中的许多工作领域。这项工作的全部细节载于本报告第二部分和第三部分。在本摘要中，主要亮点是：

1.    HCSEC的新安全场所正在进行中; 先前报道的为HCSEC收购新房地产已经出现了一些商业延误，但仍有望在2018年底完成;

 

2.    华为的工程流程已经发现技术问题，导致英国电信网络面临新的风险;

 

3.    GCHQ技术能力评估发现，HCSEC的能力在2017年有所改善，员工素质并未降低，这意味着与整体缓解策略相关的技术工作可以大规模，高质量地进行;

 

4.    对HCSEC独立于华为总部运营的能力的第四次独立审计已经完成，再次 – 没有高优先级或中等优先级的调查结果。审计报告确定了两个低评级的发现和两个咨询问题，涉及记录保存和可审计信息的保留。每个问题都有一个商定的整改计划，安永认为没有重大问题，监督委员会认为HCSEC的运作符合政府与公司之间的2010年安排。

 

  1. 监督委员会第四年工作的三个主要结论是：

 

  1. 很明显，HCSEC继续提供独特的，世界一流的网络安全专业知识和技术保证，其范围和质量足以适应英国华为保障框架的现阶段。

 

  1. HCSEC监督委员会确信，安永会计师事务所审计报告提供了重要的外部保证，即HCSEC从华为总部的运营独立安排运行稳健有效，并且符合政府与公司2010年的安排。
  2. 然而，鉴定华为工程流程中的缺点，已经暴露出英国​​电信网络面临的新风险以及缓解和管理方面的长期挑战。

 

  1. 监督委员会的结论是，在2017 – 18年度，HCSEC履行了NCSC所要求的技术工作的义务。

 

  1. 由于缓解战略和相关监督机制的正常运作所引起的关注领域，监督委员会只能提供有限保证，即华为参与英国关键网络对英国国家安全的所有风险已得到充分缓解。我们在此基础上为国家安全顾问提供咨询。

 

 

此页有意留为空白

华为网络安全评估中心监督委员会2017年度报告

 

第二部分：技术和运营报告

 

这是华为网络安全评估中心监督委员会的第四份年度报告。该报告可能包含一些更广泛的华为公司战略和非英国利益的参考。值得注意的是，监督委员会在这些问题上没有直接的位置，只有它们可以影响与HCSEC英国业务保证直接相关的结论。英国政府对这些非英国安排的兴趣仅限于确保HCSEC有足够的能力履行其对英国的商定义务。无论是英国政府还是整个董事会，在这个过程中都没有任何其他地方。

 

介绍

 

  1. 这是华为网络安全评估中心（HCSEC）监督委员会的第四份年度报告。HCSEC是牛津郡班伯里的一家工厂，隶属于华为技术（英国）有限公司，其母公司是一家总部位于中国的公司，现在是全球最大的电信提供商之一。

 

  1. HCSEC已经运行了七年。它于2010年11月根据华为与HMG之间的一系列安排开放，旨在减轻华为参与英国部分重要国家基础设施所带来的任何风险。HCSEC为英国市场上使用的一系列产品提供安全评估。通过HCSEC，英国政府可以深入了解华为的英国战略和产品系列。英国国家网络安全中心（NCSC和以前的GCHQ）作为国家信息保障技术机构和政府网络安全运营机构，领导政府与HCSEC和华为进行更广泛的技术安全事务处理。
  2. HCSEC监督委员会成立于2014年，由NCSC首席执行官Ciaran Martin担任主席，并担任GCHQ董事会执行委员，负责网络安全。监督委员会继续邀请华为的高级主管担任副主席，以及来自政府和英国电信部门的高级代表。监督委员会的结构没有发生重大变化，但2017 – 18年的成员资格发生了变化。主要是由于HMG和华为职位的员工轮换。

 

  1. 第四份年度报告已得到监督委员会成员的一致同意。与去年的报告一样，理事会同意不需要机密附件，因此本报告中的内容代表了全面的分析和评估。

 

  1. 报告载列如下：

 

  1. 第一节规定了监督委员会的职权范围和成员资格;
  2. 第二节描述了HCSEC的人员配备，技能，招聘和住宿;
  3. 第三节涉及HCSEC技术保证，优先排序和研发;
  4. 第四节总结了2016-17独立审计的结果;
  5. 第五节汇总了一些结论。

第一部分：HCSEC监督委员会：职权范围和成员资格

 

  1. HCSEC监督委员会于2014年初成立。它每季度召开一次会议，由英国国家网络安全中心（NCSC）首席执行官Ciaran Martin和GCHQ总干事董事会执行成员担任主席。Martin先生直接向GCHQ的董事Jeremy Fleming报告，并负责该机构的网络安全工作。

 

  1. 监督委员会的职责是监督和确保HCSEC的独立性，能力和整体有效性，并在此基础上向国家安全顾问提供建议。然后，国家安全顾问将向部长，议会和最终公众保证风险是否得到妥善管理。

 

  1. 监督委员会的范围仅涉及与英国国家安全风险相关的产品。它的职责是双重的：
    • 首先，HCSEC对部署或签约部署在英国的华为产品的评估与英国国家安全风险相关，该风险由NCSC自行决定; 和
    • 第二，HCSEC在履行职责方面的独立性，能力和整体效力。

 

  1. 董事会有一个商定的职权，其副本的连接在附录A中。今年的职权范围没有变化，监督委员会的主要目标仍未改变。监督委员会负责向国家安全顾问提供年度报告，国家安全顾问将向国家安全委员会和国际科学委员会提供副本。

 

董事会的目标是HCSEC

 

  1. 监督委员会对HCSEC的四个高级目标与之前报告的目标保持一致，并且：
    • 为年度HCSEC评估计划中定义的一系列英国客户部署提供安全评估;
    • 通过确保对政府和英国客户安全问题的公开性，透明度和响应能力，继续向英国政府提供保证;
    • 通过提高评估产出的质量或开发定制的安全相关工具，技术或流程来证明技术能力的提高;
    • 为HCSEC支持华为研发，继续发展和提升华为的安全性和工程能力。

 

HCSEC监督委员会：2017年4月至2018年3月

 

  1. 在自2017年年度报告发布以来的两次会议中，监督委员会：
    • 提供华为英国的定期公司更新
    • 讨论了未来的技术趋势以及它们如何影响监督委员会的工作;
    • 提供有关HCSEC招聘，人员配备和住宿计划的定期更新;
    • 收到HCSEC技术工作计划及其进展的最新情况，并收到NCSC技术总监和技术团队（一些与英国运营商）在深圳对华为总部进行技术访问的详细报告，以讨论技术问题;
    • 采取证据证明实现二元对等问题的根本原因，并商定了一项修复工作方案;
    • 获取源代码包重新传递的证据，其基础在上一份报告中有详细说明;
    • 采用华为关键部件生命周期管理产生的安全风险证据，并在此基础上写入国家安全顾问;
    • 委托第四次HCSEC管理层审核中心的独立性。

~~~~~

第二部分：HCSEC人员配备

 

  1. 本节介绍了HCSEC的人员配置和技能，包括招聘和保留。

 

人员和技能

 

  1. 对HCSEC的高级​​管理团队进行了更改。HCSEC团队的长期服务成员在其任职期间表现出了出色的技术知识，被任命为董事会解决方案和计划，负责监督HCSEC技术运营的执行。他被任命为高级管理团队受到董事会的欢迎。领导团队继续齐心协力，领导HCSEC并以建设性的方式与华为合作。

 

  1. NCSC领导政府与HCSEC及公司打交道，更广泛地处理技术安全问题。非公务员合约代表政府，赞助HCSEC员工的安全许可。一般要求是所有工作人员必须具有开发审查（DV）安全许可，这与政府要求频繁，不受控制地访问机密信息所需的级别相同，并且对于情报部门的成员是强制性的。HCSEC的新招募人员在试用期间受到护送管理，等待其DV清除期（通常为六个月）完成。

 

  1. HCSEC的人员配置增加与2017年的预期一致。截至本日历年年底，员工人数几乎与预期一致，只有一个职位未填补（以“接受报价”为就业点） ）。由于二元等价工作的不确定性，不清楚究竟需要哪些技能来支持这项工作，因此有意识地决定不填补华为承诺的三个额外职位并保留2018年的员工人数。

 

  1. HCSEC继续招聘技术网络安全专家来管理自然减员和继任仍然至关重要。HCSEC领导层持续的个人参与推动了这一持续的良好进展，并代表了大量的工作。
  2. 同样，由于许可要求，大量潜在的新兵被筛选出来。此外，三名通过初步筛选并被HCSEC聘用的候选人随后未能通过DV检查并被从中心移除。通过在试用期内提供的监督和监督，充分管理与这些工作人员相关的小风险。

 

住所

 

  1. 2017年的报告谈到成功寻找HCSEC的新住宿，以应对HCSEC运营的扩展。由于与建筑配置和搬迁后勤相关的原因，该报告中提到的延误得以实现。但是，该过程已成功结束，并且应在2018年第四季度完成搬迁至新房舍的工作。这些延迟绝不是华为总部无所作为或干扰的结果。

 

  1. 新的住宿将允许并行参考网络到位，使解决方案评估能够按计划进行。它还允许增加开发活动，以帮助管理大量需要评估的产品。

 

  1. 总体而言，2017年人员配置和技能方面取得了良好进展。监督委员会的季度监测表明，工作人员及其技能的数量没有引起关注。新住宿的延误是不幸的，但并未影响HCSEC今年履行其职能的能力。

 

~~~~~

第三节：HCSEC技术保证

 

2017年是政府扩展风险管理计划的第七年，该计划涉及华为参与英国电信市场。在过去两年中，监督委员会选择特别公布作为该计划一部分的技术保证工作的更多细节。本报告以前三份报告为基础。监督委员会的意图是仅定期提供详细的技术评估，并在问题特别保证时提供。今年，由于直接影响监督委员会向国家安全顾问提供保证的能力，因此再次出现技术问题，特别值得列入报告。尽管有困难，但仍欢迎

 

评估过程

 

  1. 2017年HCSEC的评估计划继续进行产品和解决方案评估，这在过去几年中取得了成功。2017年，完成了27项产品评估，开始了5项解决方案评估，其中3项在报告期内完成。评估涵盖了4家英国运营商的产品和架构。

 

  1. 最后一个监督委员会报告了有关虚拟化SMSC的特定评估的详细问题。无论出现什么问题，运营商都选择部署解决方案，期望他们升级到下一个版本，由HCSEC进行评估。运营商尚未选择将系统升级到可由HCSEC评估的版本。

 

  1. NCSC明确表示HCSEC至少每两年对英国的所有相关产品进行产品评估。HCSEC的产品评估管道配置为实现此目的。华为为评估和基础设施建设团队提供了长期人员，监督委员会相信，HCSEC老年人的持续关注将确保有足够的技术熟练的员工来维持NCSC的意图。HCSEC的员工必须有能力

实现安全许可并拥有必要的技能，这意味着可用人才库很少。

 

  1. 之前的监督委员会报告描述了由NCSC设立的一个小组，讨论围绕英国华为移动虚拟网络运营商（MVNO）解决方案的风险管理。2017年，这已经扩大，其范围扩大到涵盖整个电信行业更广泛的供应链风险管理问题。

 

  1. 评估过程继续发现大量的点漏洞和更具战略性的架构和流程问题。华为继续进行整治工作; HCSEC为华为研发提供的反馈意见继续保持高质量，HCSEC技术人员继续协助华为研发团队进行整治。

 

优先级和程序构建

 

  1. 以前的监督委员会报告中详述的基于风险的优先排序计划在2017年继续得到应用。

 

  1. 程序构建过程与前几年一样广泛。运营商，NCSC和HCSEC合作优先考虑HCSEC的工作。这对于有时竞争的约束和对英国最佳利益的要求进行平衡是必要的，例如，由于商业压力，不允许特定运营商主导工作计划。最终计划由NCSC技术总监或NCSC电信技术总监代表监督委员会签署，并在年内由HCSEC进行审查。如果HCSEC认为有必要对计划进行修改，则使用涉及NCSC和相关运营商的轻量级流程来管理和批准任何修改。

 

  1. 尽管华为参与英国电信行业的规模和范围意味着HCSEC需要管理大量工作，但在设备的高级优先级方面几乎没有变化。目前，HCSEC管理

管道很好。HCSEC的工作成果直接向运营商报告，他们希望将其纳入公司风险管理流程。

 

配置管理和二进制等价

 

  1. 以前的监督委员会报告谈到了两个重要问题。第一个是华为总部从配置管理存储库中提取源代码子集，以便向HCSEC提供。第二个问题是华为研发部门未能将产品重复生成一致的二进制文件。如之前的监督委员会报告所述，这意味着整体风险管理战略以及监督委员会提供的任何保证目前都是有限的。

 

  1. 监督委员会同意华为总部重新交付先前交付给HCSEC的产品的所有源代码的时间表，所有代码均已于2017年12月重新交付。代码包的重新交付在截止日期前三个月完成。

 

  1. HCSEC观察到所有新包都包含更多代码。如果二进制等价程序完成并且成功，那么HCSEC应该能够验证所有产品是否构建到在英国网络中运行的二进制文件。重要的是，这项工作很快就完成了。

 

  1. 上一份报告谈到了重新调整HCSEC与华为研发部门之间的分工，华为研发部门预计将采取更多的强制性工作来展示二进制等效性，使HCSEC能够执行验证功能。

 

  1. 此次重新开始，华为研发部门开展了一些工作，以了解HCSEC在为产品执行可重复构建时所观察到的潜在问题。这项工作表明，底层的工程和构建过程是不可重复的。

 

  1. NCSC和HCSEC要求华为研发部门对来自不同产品组的四种特定产品进行分析，结果显示

工程问题，包括未能重现构建，在各种产品线中都是一致的。

 

  1. HCSEC与华为研发部门合作，试图纠正这四种产品的底层构建和编译过程中的不足。这需要各方付出巨大努力，并产生了一个单一的产品，可以从源代码到分布式的通用可用性（GA）版本重复构建。任何英国运营商尚未部署此特定构建，但我们预计未来英国运营商将部署这些构建，作为其正常网络发布周期的一部分。预计该试验的其余三种产品将在2018H1上商业化生产，每种产品都具有可重复的二元化。工程变更尚未纳入更广泛的开发过程。NCSC选择了第二批产品，运营商和HCSEC及其工作应在2018H1年底前完成，其余所有产品均应遵循。假设初步试验取得了持续成功，那就是NCSC和监督委员会期望这将在2020年中期完成。

 

  1. NCSC意图是在英国部署的所有产品都具有可重复的构建，并且HCSEC将能够定期显示安装在英国网络中的二进制文件与可以使用HCSEC持有的源代码构建的二进制文件之间的等效性。对于已由HCSEC评估的英国部署的每个产品版本，应完成此验证。重要的是，所有产品都可以通过这种方式构建，以实现基于风险的HCSEC工作优先级方法。

 

  1. 监督委员会主席此前曾在2月写给国家安全顾问，解释了这个问题。这项工作的下一阶段的详细情况已在3月份的会议上提交给监督委员会，董事会批准了该计划。工作将继续修复在英国部署的其他产品中的工程流程问题，并根据风险配置文件和部署量确定优先级。这项工作应该使我们能够提供端到端的保证，即HCSEC分析的代码是用于构建在英国网络元素上执行的二进制包的组成代码。
  2. 在完成这项工作之前，由于缺乏从HCSEC审查的源代码到英国运营商使用的可执行文件所需的端到端可追溯性，监督委员会只能提供有限的保证。

 

第三方组件支持问题

 

  1. 定于2017年9月对NCSC，HCSEC和英国运营商进行深圳技术访问，与华为总部讨论围绕HCSEC重新获得源代码和二进制等效的进展。之前的技术访问讨论了华为对作为产品构建的一部分导入的第三方组件的管理，包括商业和开源。在审查正在进行的工作计划时，NCSC确定并非所有组件都通过此流程进行管理，特别是，各种产品中使用的安全关键第三方软件未受到充分控制。

 

  1. 现在很明显，包括安全关键组件在内的各种组件板上的第三方软件将在2020年从现有的长期支持中获得，即使华为包含该组件的产品的生命终止日期通常更长。华为已向监督委员会提供了影响英国部署的程度数据。NCSC已确定该问题如何直接影响已部署产品的安全性和可靠性，并为监督委员会提供了这样的观点，即该问题限制了HCSEC以可持续方式为整体保障战略做出贡献的能力。

 

  1. 华为研发与HCSEC之间进行了一系列详细的技术讨论，其中一些包括NCSC。这些讨论正在努力全面了解问题，短期缓解计划以及针对问题根本原因的更具战略性的解决方案。但是，如果华为和运营商无法长期支持这些电路板，则英国电信基础设施存在重大风险。

 

  1. 运营商，NCSC，HCSEC和华为研发部门正在讨论一系列技术和合同解决方案。任何短期缓解显然需要认识到英国电信网络的现实以及运营商的测试和发布周期。
  2. 预计监督委员会将在华为在上海的工厂举行的6月会议上收到最新进展情况，NCSC和HCSEC将与华为技术团队就详细计划进行合作。

 

非公务员合约技术能力检讨摘要

 

  1. 2017年，HCSEC的工作继续在基础工具方面进行能力开发，为英国运营商提供必要的保证和技术安全文物，因为华为在英国市场的地位。到2017年，HCSEC继续在华为产品中发现问题，展示了他们持续发现华为产品缺陷的能力。

 

  1. HCSEC继续拥有世界级的安全研究人员，他们正在创建新的工具和技术，以便在复杂的电信领域提供保证，同时考虑到华为独特的工程和安全流程。

 

  1. HCSEC在二元等效性，构建过程以及对周期性第三方组件管理和支持问题的后续理解方面所做的工作表明，他们在该领域能够胜任独立验证华为研发索赔和满足监督委员会要求所必需的水平。

 

  1. NCSC认为，HCSEC在技术安全领域仍然具备相关能力，可以向运营商，NCSC和监督委员会提供有关华为产品在英国电信基础设施中使用的产品和解决方案风险的建议。NCSC向监督委员会提交的报告是，HCSEC继续提供独特的世界级网络安全专业知识，以协助政府与英国运营商的持续风险管理计划。

 

结论：技术保证

  1. NCSC仍然认为，包括HCSEC在内的保证模式是管理华为参与英国电信行业风险的最佳方式。该模型以华为的行业良好实践安全和工程为基础。总体而言，鉴于此帐户，NCSC已向监督委员会提供建议，NCSC和HCSEC对英国华为的足够范围和质量提供长期技术保证的信心不足。这是由于在华为的工程实践和流程中反复发现严重缺陷，包括但不限于BEP和第三方组件支持问题，这将导致英国长期风险增加。这些风险并非由于HCSEC的人员配备和能力问题。明显，在短期和长期管理这些风险方面需要做大量工作。监督委员会将期待HCSEC继续确保华为正在进行适当的补救，并向监督委员会，英国运营商和NCSC提出任何问题的建议。
  2. 监督委员会必须考虑的另一个中期问题是软件定义网络，虚拟化，MVNO扩散和边缘计算架构（如5G）带来的架构和技术的转变，以及运营模式的变化。许多电信运营商。NCSC将需要重新审视技术评估，包括HCSEC如何为缓解做出贡献，并建议监督委员会建议哪些机制可能适合继续获得在英国电信环境中使用华为设备所需的保证。

 

~~~~~

第四部分：理事会的工作：保证独立性

 

  1. 除了监督HCSEC提供的技术保证之外，本节重点介绍监督委员会的一般性工作。管理委员会连续第四年委托并审议了HSCEC对华为总部所需的运营独立性的审计。在董事会看来，这是最有效的方式，可以确保安排的工作方式与支持英国国家安全的方式相同。审计审查的主要问题是，HCSEC是否具有华为总部所要求的运营独立性，以履行2010年英国政府与公司达成的安排所规定的义务。本节介绍了进行了审计，并对主要调查结果进行了总结。

 

任命安永会计师事务所为审计师

 

  1. 安永会计师事务所（E＆Y）在2014年进行了第一次HCSEC审计，经过严格的程序，GCHQ邀请三家审计机构考虑进行管理审计，并就适当的审计标准和程序寻求建议。紧随其后。E＆Y在2015年进行了第二次审计，2016年，在NCSC的鼓动下，他们被保留为随后的三年提供审计服务，直到2019年11月.E＆Y的年度管理审计是根据国际保证业务标准进行的。 （ISAE）3000。

 

  1. 监督委员会同意采用三阶段审计方法，大致采用前几年的方法：
    1. 评估控制环境的初始阶段，并就审核的范围和关键问题达成一致。这一阶段于2017年11月完成;
    2. 第二阶段对现有控制系统的设计和运行进行排练审核，以支持HCSEC的独立运作。该阶段于2017年11月完成;
    3. 最终审核阶段包括2017年12月的全年末审核，报告于2018年2月提交给NCSC，HCSEC和华为总部，2018年3月提交给完整的监督委员会。

 

审计的性质和范围

 

  1. 审计评估了流程和控制的充分性和运作，旨在使HCSEC的员工和管理层能够独立于华为其他地方的不当影响而运营。范围的主要领域是：财务和预算; 人力资源; 采购; 评估计划规划; 华为其他地方的合作与支持; 和评估报告。对于列出的所有审核区域，E＆Y考虑到HCSEC的运营必须在华为与HCSEC商定的年度预算范围内进行。

 

  1. 监督委员会同意对审计范围进行一些排除。具体而言，他们同意审计不会：
    • 关于为支持英国关键国家基础设施中部署的华为产品的测试所采用的整体治理模式的适当性的说法;
    • 评估HCSEC的技术能力，个人员工的能力或技术测试的表现质量;
    • 评估对HCSEC的物理访问或对其IT基础架构的逻辑访问。它也不会考虑现有基础设施的恢复能力，也不会考虑灾难恢复或业务连续性规划。

 

标题审计结果

 

  • 2018年1月的HCSEC年度管理审计包括对HCSEC流程和程序进行严格的循证审查。审计报告由安永会计师事务所清理工作人员组成; 实地工作由经验丰富的经理进行，由高级经理领导。技术和保证主题知识合作伙伴担任质量审核员，最终报告的第二次审核由安永会计师事务所执行董事执行。

 

  • 总之，安永认为对HCSEC的独立运作没有重大担忧。审计报告的主要结论是：

“除了以下发现[两项评定为’低’的结果]外，根据对照描述和商定的测试程序，评估的对照被认为是有效的。在某些情况下，有人指出，有机会进一步加强控制制度或提高审计过程的效率，下文已将这些建议视为“咨询”建议，而不是确定的控制缺陷。

 

  • 审计报告确定了HCSEC控制环境中的两个控制缺陷，供董事会考虑。这些弱点都被评为“低”，这意味着应该考虑采取行动减少暴露，从而对HCSEC的独立运作的某些方面产生有限的影响，但这本身不太可能损害整个HCSEC的独立性。还有另外两个咨询问题，这些问题被认为是整体控制制度的潜在微小改进。审计结果已于3月份与安永会计师事务所合伙人出席会议时向董事会提交，以向董事会作出简报。监督委员会讨论了审计中发现的每个弱点和咨询说明，并就每一个问题商定了一种方法。

 

控制弱点

 

  • 总之，确定的控制薄弱领域和商定的答复涉及以下领域：

 

1.            请求并保留评估计划签字

 

  • 评估计划概述了哪些产品将在一年中的哪些时间点进行测试，并在创建时与NCSC讨论。与HCSEC管理层的讨论确定该计划是在一次范围界定会议上提交给NCSC的，但没有证据表明该计划已获批准。这是去年的重复发现。

 

  • 在与NCSC一起审查并同意评估计划后，HCSEC应确保他们获得正式确认评估计划符合目的并将其保留在其记录中。这应采取NCSC的书面批准（例如通过电子邮件）或以商定的会议记录的形式

在与HCSEC主办的NCSC会议之后。该进程已进一步更新，以便NCSC电信技术总监现已授权签署评估计划，并在必要时提供升级路线，以期解决该问题。

 

1.            预算设定和持续的财务审查

 

  • 审计发现，尚未完全遵循商定的审查年度HCSEC预算的议定程序。HCSEC SMT（高级管理团队）每个成员的正式签署尚未正式获得。

 

  • 这种控制历来由HCSEC高级领导执行; 值得注意的是，今年高层领导层发生了重大变化。展望未来，应保留关于预算设定的关键决策的可审计记录 – 特别是在最终价值迭代后HCSEC SMT的明确批准。

 

咨询通知

 

  1. 审计发现了两份咨询通知，涉及记录和保留具体的可审计信息：

 

1.    RFI在SLA期间返回

 

  1. 向华为提供的信息请求并不总是在规定的SLA期限内返回。在他们的测试中，审计员发现在规定的12周SLA期间之外完成了4项硬件请求。

 

  1. 在与HCSEC的讨论中，有人指出，尽管在职权范围中有规定，但SLA是“有抱负的”，不遵守不一定会对评估绩效产生不利影响。在实践中，交付中存在“松弛”以适应延迟退货。为了审查目的，澄清RFI

可以更新为包括“必需”日期（不早于SLA期间），意图强烈遵守并在违反时升级。

 

1.    在审计期间，对支出与预算的监测并未得到很好的维持。

  1. 尽管对支出控制的测试未发现任何证据证明HCSEC支出受到限制，因此对其独立运营没有产生不当影响，但很难核实HCSEC在该年度的支出是否在2017年商定的最终预算范围内。

 

  1. 在这一年中，HCSEC对他们追踪的预算价值进行了修订（例如，折旧而不是新房地的现金支出和员工奖金）; 这些变化没有明确记录。

 

  1. 以支出和预算之间的对账形式进行的内部监测是在非正式的基础上进行的，并没有保留这些评价的相关记录。相关的，华为英国财务系统报告的价值与之间也存在差异。由HCSEC维护的那些，在华为财务系统上的支出高于HCSEC内部跟踪的支出。

 

  1. 应记录从提案到批准的预算变更。最终批准的预算应与HCSEC内部监测的数字一致。如果需要进行错误或会计更正，则应记录在案，以便在批准的价值与当年的实际支出金额之间存在可追溯性。

 

上一年度问题和现状

 

4.14 附录B概述了2017年出版的上一年度报告中的问题和意见。

 

总体监督委员会的审计结论

 

4.16 HCSEC监督委员会总体上将审计报告作为结论，该报告提供了全球范围内重要的外部保证。

尊重公司，HCSEC从华为总部的运营独立安排运行稳健有效，并且符合政府与公司2010年的安排。已经确定了四个问题 – 两个低评级发现和两个咨询问题。

~~~~~

 

第五部分：结论

 

  1. 监督委员会现已完成第四个全年工作。它的两次会议及其在委员会之外的工作为HCSEC的治理安排提供了有益的改进。

 

  1. 理事会第四年工作的主要结论是：

 

  1. 很明显，HCSEC继续提供独特的，世界一流的网络安全专业知识和足够范围和质量的技术保证，以适应英国华为保障框架的现阶段。

 

  1. 然而，华为的流程仍未达到行业良好做法，难以提供长期保证。在补救这些方面缺乏进展令人失望。NCSC和华为正在与网络运营商合作开发一个长期解决方案，即围绕第三方组件缺乏生命周期管理，这是英国电信网络面临的新战略风险。需要做大量工作来修复此问题并提供临时风险管理。

 

  1. HCSEC监督委员会确信，安永会计师事务所审计报告提供了重要的外部保证，即HCSEC从华为总部的运营独立安排运行稳健有效，并且符合政府与公司2010年的安排。确定的问题被评为低风险，并确定了两个进一步的咨询问题。

 

  1. 因此，总体而言，监督委员会的结论是，在2017年至2018年期间，HCSEC履行了向NCSC和英国运营商提供安全和工程保障文物的义务，作为管理英国国家安全风险战略的一部分。来自华为参与英国关键网络。但是，该战略的实施暴露了许多风险，需要大量的额外工作和管理。监督委员会需要注意这些问题。
  2. 此外，希望本报告继续增加议会 – 并通过它，公众 – 了解安排的运作及其运作的透明度。

 

~~~~~

附录A：华为网络安全评估中心监督委员会的职权范围

 

1.    目的

 

将成立该监督委员会，以实施国家安全顾问对华为网络安全评估中心（HCSEC）的审查建议二。监督委员会的主要目的是监督和确保HCSEC的独立性，能力和整体有效性，并将在此基础上向国家安全顾问提供建议。它将以协商一致方式运作。但是，如果对监督委员会所涵盖的事项存在分歧，作为主席的GCHQ将有权做出最终决定。

 

董事会负责评估HCSEC与英国产品部署相关的绩效。它不应该参与HCSEC的日常运作。

 

2.    工作范围

 

2.1范围

 

监督委员会将重点关注：

 

  • HCSEC对部署或签约部署在英国并与英国国家安全风险相关的华为产品的评估。

 

  • HCSEC在履行职责方面的独立性，能力和整体效力。

 

2.2超出范围

 

  • 所有与英国国家风险无关的产品;

 

  • 非英国部署的所有产品，工作或资源，包括位于英国境外的任何全球CSP在英国境外部署的产品，工作或资源;

 

  • 华为与CSP之间的商业关系; 和

 

  • HCSEC的基础研究（工具，技术等）将被评估

并由GCHQ执导。

 

3.    监督委员会的目标

 

         年度目标和向国家安全顾问报告

 

每年向HCSEC提交一份关于HCSEC对国家安全顾问的独立性，能力和有效性的报告，明确详细说明HCSEC在多大程度上实现了董事会制定的年度目标。这将利用年度管理审计，技术能力审查，并将专门评估HCSEC资源的现状和长期战略。

 

所有已签约使用HCSEC进行英国国家部署风险管理的英国CSP均应参考。

 

如果HCSEC的运营发生变化，或出现影响HCSEC安全状况的任何其他因素，HCSEC将及时向监督委员会报告。GCHQ [或监督委员会的任何其他成员]也应该通知监督委员会任何似乎影响HCSEC安全态势的因素。

 

         委员会年度管理审计

 

为了确保HCSEC从华为总部继续独立，监督委员会将委托由安全审查的英国审计师进行管理审计; 这将由英国政府资助。审计范围应按照监督委员会同意的华为总部授权（独立运营）授权书（如附件3所述）或其他商定标准的规定进行。这将包括预算执行的独立性以及是否向HCSEC提供及时的信息，产品和代码以开展工作。

 

监督委员会将确保任何此类审计的范围是适当的，审计员应由主席和副主席商定。

 

第3.2和3.3节中提到的审计报告应视为机密信息，并受第8节的约束。

 

 

         委员会技术能力审查

 

确保HCSEC履行的职能适用于GCHQ和CSP规定的更广泛的风险管理战略。监督委员会将委托GCHQ对HCSEC员工的技术能力，HCSEC所采取的流程的适当性和完整性以及华为产品质量和安全性与英国国家安全风险的战略影响进行审核。作为年度规划过程的一部分，GCHQ将向HCSEC提供他们希望在一年内制定的技术能力的任何增强建议。

 

         指定高级管理团队的流程

 

监督委员会将同意GCHQ领导和指导HCSEC高级职员任命的过程。但是，监督委员会不会直接参与，但会收到GCHQ任何发展的最新情况。

 

         及时交货

 

监督委员会将同意华为总部向HCSEC提供的代码，产品和信息的现有安排的正式化，以确保评估的完成不会被不必要地延迟。

 

         影响HCSEC的问题的升级/仲裁员

 

如果出现可能影响HCSEC独立性，有效性，资源配置或安全态势的问题，董事会成员应及时通知监督委员会。在这种情况下，理事会可以召开特别会议。

 

          监督委员会成员

 

董事会最初将由以下成员组成。会员资格将每年进行审核。国家安全顾问将任命理事会主席。然后通过主席的邀请成为会员。

  • GCHQ – 主席（Ciaran Martin，NCSC首席执行官）
  • 华为总部 – 副主席（Ryan Ding，董事会执行董事）
  • 华为英国董事总经理
  • 华为英国通讯总监
  • HCSEC常务董事
  • 内阁办公室主任，网络安全，国家安全秘书处
  • NCSC技术总监
  • 白厅部门代表:(副主任，DCMS电信安全负责人，内政部安全与反恐办公室网络政策中心负责人）
  • 现任CSP代表：BT CEO Security; 沃达丰集团安全总监

 

每次最多可有4名CSP代表。CSP被任命为代表行业对董事会顾问能力的看法1。在实际或感知的商业利益冲突或商业利益前景的情况下，相关的CSP将被要求回避相关的董事会讨论。不参加监督委员会的国别战略计划将定期收到秘书处的最新情况和信息，他们可以通过秘书处提出意见和要求。秘书处将确保不会将CSP之间被视为商业敏感的信息分发给成员CSP。非会员CSP可能会被邀请参加临时会议。

 

          会议频率和主题

 

预计监督委员会每年将召开三次会议，如果需要，会更频繁地举行会议。

 

 

1 “咨询能力”一词用于与个人行业专家有关的CSP成员，而不是代表其公司。他们仍然是监督委员会的正式成员。

  • 第一次会议 – 根据CSP合同确认的HCSEC要求，将HCSEC的高级​​目标设定为与监督委员会的范围相关。

 

  • 会议二 – 年中将评估HCSEC实现目标的进展情况

 

  • 会议三 – 年底将评估目标的实现情况，并审查年度管理审计和技术能力审查的结果，以制定国家安全顾问的年度报告。

 

          报告

 

监督委员会将向国家安全顾问提供年度报告，讨论第3.1段所述的主题。国家安全顾问将向国家安全委员会提供本报告的副本，并向议会情报和安全委员会主席提供关键要点摘要。所有报告将根据其内容的敏感性进行分类，并由国家安全顾问自行决定。

 

          对监督委员会职权范围（TOR）的修改

 

理事会的意图是仅在绝对必要时修改这些职权范围。必要时，应使用以下程序修改职权范围：

 

  • 对职权范围的任何修改都需要有关监督委员会议程的特定主题，并且必须在面对面会议上进行讨论。

 

  • 建议的变更和案文应至少在会议召开前7个工作日分发给OB成员;

 

  • 拟议修正案应在监督委员会会议上讨论，并可在所有成员达成共识后予以修订。
  • 修正案的最终文本应由所有监督委员会成员以书面形式正式确认。

 

经最终协议，更新的职权范围将分发给所有监督委员会成员。

 

          秘书处

 

GCHQ将提供秘书处职能。

 

          不披露义务

 

在不妨碍第6款的情况下，向监督委员会成员或第三方（共同为“接收方”）提供的与监督委员会运作有关的所有信息均应视为机密信息，不得复制，分发或披露。未经信息所有者事先书面同意，不得以任何方式进行。除了违反保密义务之外，此义务不适用于披露时属于公共领域的任何信息。在向该方披露之前，它也不适用于接收方所拥有的任何信息，而且没有保密义务。也不适用于接收方以非保密方式从另一方未收到的任何信息，根据接收方的知识和信念，有义务不向该方披露该信息。也不得阻止任何接收方遵守法院命令或其他法律要求披露信息。

附录B.

 

2016-2017审计中提出的问题和现状

 

2017-2018审计审查了2016 – 2017年报告中强调的解决以下问题的进展情况。该问题被评为“低”。

 

1.        请求并保留评估计划签字

 

NCSC流程已更新，以确保NCSC技术总监及时正式签署该计划。不幸的是，2017 – 2018年的审计中重复了这一发现。该过程已进一步更新，以便NCSC电信技术总监现已授权签署评估计划，并在必要时提供升级路线。

 

通过更新HCSEC内部流程解决了这两个咨询通知。

原文

提供更好的翻译建议

点击打开微信，马上办理ETC

意见反馈

发表评论