引言：5G安全合规的关键，不在"逐条对照标准"，而在"安全能力成体系落地"

在5G核心网的建设中，安全合规往往面临"标准多、条目细、落地难"的现实困境。3GPP TS 33.501定义了5G网络安全的基线，工信部相关5G安全要求则进一步明确了运营商和行业用户的责任边界。很多企业以为"参照标准逐条打勾就是合规"，但现实是：

标准给出的是**“应该具备什么安全能力”，不解决"这些能力如何在一个核心网里协同落地"；
安全合规的难点在于"认证、加密、密钥、审计"四大能力如何贯通**，而非单点满足。

本文将基于3GPP TS 33.501的密钥安全要求和工信部5G安全合规要点，详解"核心网安全能力"如何体系化落地，以及KSP（密钥管理平台）在其中承担的角色。

一、明确分工：3GPP管什么，工信部要求什么，KSP支撑什么

首先厘清5G安全合规的职责边界：

标准/要求	规范对象	核心要求	KSP角色
3GPP TS 33.501	5G接入与核心网安全	认证、加密、密钥管理基线	密钥托管与轮换
工信部5G安全要求	运营商/行业用户	网络隔离、数据保护、等保	数据加密+密钥管理
GB/T 39786	密码应用	国密算法、密评	核心密码平台

关键认知：3GPP解决"5G本身安全"，工信部要求"部署运营合规"，KSP解决"密码能力如何统一管理"。KSP的价值在于——让核心网的密钥和密码应用进入"统一、受控、可审计"的状态。

二、3GPP TS 33.501的密钥安全要求

2.1 5G网络的密钥体系

3GPP TS 33.501定义了5G接入安全的密钥层级：

┌─────────────────────────────────────────────────────┐
│  5G网络密钥体系（TS 33.501）                        │
│                                                     │
│  K（根密钥）— 存储在USIM卡中，永不导出              │
│   │                                                  │
│  CK/IK（加密/完整性密钥）— 由K派生                  │
│   │                                                  │
│  KASME（接入安全管理实体密钥）— 中间密钥             │
│   │                                                  │
│  KAMF（AMF密钥）— 由KASME派生                       │
│   │                                                  │
│  KNASenc/KNASint — NAS层加密/完整性密钥              │
│  KUPenc/KUPint — 用户面加密/完整性密钥               │
│                                                     │
│  每一级密钥都有严格的派生规则和用途边界               │
└─────────────────────────────────────────────────────┘

2.2 核心网安全的关键要求

TS 33.501要求	内容	落地难点
双向认证	UE与网络互相验证身份	密钥管理复杂
NAS/UP加密	控制面和用户面加密	算法与密钥适配
密钥隔离	各级密钥用途严格分离	密钥体系复杂
网元间安全	SBI接口mTLS	证书管理量大

三、工信部5G安全合规要点

3.1 合规框架

工信部5G安全要求与等保三级、密评要求形成多层合规体系：

合规层次	要求	核心检查项	对应产品能力
等保三级	网络安全等级保护	身份鉴别、访问控制、审计	ASP+UKEY
密评	密码应用评估	国密算法、密钥管理	KSP+HSM
数据安全	数据分类分级	数据加密、脱敏	TDE+DSI
关键基础设施	CII保护	体系化安全防护	KSP+CAS-KMS

3.2 核心网安全的落地方案

将3GPP和工信部要求转化为核心网安全能力，KSP承担密钥管理的中枢角色：

核心网安全能力体系：
  ┌─ 认证能力 ── ASP统一身份认证（运维人员双因素）
  ├─ 加密能力 ── TDE数据加密 + SM4-GCM传输加密
  ├─ 密钥能力 ── KSP统一密钥管理（三级密钥体系）
  ├─ 证书能力 ── CAS-KMS证书签发（SBI接口mTLS）
  └─ 审计能力 ── 全量操作日志SM3签名链

四、核心网安全的落地实践

4.1 密钥统一管理

通过KSP平台，将核心网的业务密钥、证书密钥、加密密钥统一管理：

# 核心网密钥统一管理策略
core_network_key_management:
  key_hierarchy:
    root_key: "HSM保护，永不导出"
    network_keks: "核心网业务KEK，90天轮换"
    session_keys: "每次通信动态派生"

  algorithm_coverage:      # 国密算法覆盖
    SM4: "NAS/UP加密、数据库加密"
    SM2: "签名、证书"
    SM3: "完整性校验、日志签名"

  compliance:
    rotation: "≤90天自动轮换"
    audit: "全量操作日志+SM3签名链"

4.2 数据加密与脱敏

核心网的数据保护通过TDE加密和DSI脱敏能力实现：

-- 核心网计费/用户数据TDE加密
CREATE TABLESPACE core_network_data
  ENCRYPTION 'y'
  DEFAULT ENCRYPTION ALGORITHM 'SM4-CBC'
  ENGINE=InnoDB;

ALTER TABLE subscriber_info TABLESPACE core_network_data;
ALTER TABLE signaling_records TABLESPACE core_network_data;

五、真实案例：某运营商5G核心网安全合规建设

背景

某运营商建设5G核心网，需同时满足3GPP TS 33.501、等保三级和密评要求。

实施步骤

1. 部署KSP统一密钥管理平台，接管核心网业务密钥；
2. 通过CAS-KMS签发网元SBI证书，配置mTLS双向认证；
3. 部署ASP统一身份认证，运维人员UKEY双因素登录；
4. 核心网数据库TDE加密，SM4-CBC表空间加密；
5. 部署SM3签名链审计，全量操作日志可验证。

成效

• 满足3GPP TS 33.501密钥安全要求；
• 一次性通过等保三级和密评；
• 核心网数据加密覆盖100%，密钥统一管理；
• 运维操作全程审计，安全事件可追溯。

六、未来方向：向"5G安全能力平台化"演进

KSP正在支持更先进的5G安全模型：

• 密码能力微服务化：核心网通过标准API调用密码能力；
• 云化密码资源池：本地HSM与云端统一调度；
• 量子安全演进：预留后量子算法扩展槽位。

结语：体系化落地，才是5G安全合规的本质

5G核心网的安全合规不是"逐条打勾"就能完成。3GPP给出技术基线，工信部明确运营要求，而密码能力的统一管理是贯通两者的关键。

KSP为5G核心网提供统一的密钥管理和密码能力支撑，让认证、加密、密钥、审计四大能力协同落地。这，正是5G核心网满足多重要求、保障关键基础设施安全的坚实底座。

文章作者：安当技术负责人