2022 年 5 月 26 日，美國國土安全部科學技術局、網絡安全與基礎設施安全局、國防部研究與工程部長辦公室聯合發布《5G 安全評估流程指南》。這份指南并非新的安全要求或框架，而是立足于現有標準框架等成果，為政府機構評估其 5G 系統安全水平是否符合生產要求而制定的一個五步安全評估流程。該流程要求聯邦政府的 5G 網絡安全評估方法具有靈活性，以考慮不斷引入新的 5G 標準、部署功能和政策，以及不斷識別新的威脅向量。聯邦機構利用該流程可以評估、理解和解決其技術評估標準和政策的安全性及彈性評估差距。

第五代（5G）蜂窩網絡技術的第一階段和第二階段的標準已經完成，蜂窩運營商正在推出 5G 服務。聯邦機構使用移動無線網絡已有多年；然而在 5G 出現之前，各機構傾向于將蜂窩網絡僅僅視為傳輸層通信的管道。5G 出現之后，各機構希望擴展 5G 的不同使用場景，即低、中、高頻段的頻譜。但是，要將非機密的聯邦系統從原型過渡到生產，需要進行安全評估才能獲得操作授權（Authorization To Operate，ATO）。由 于 5G 獨 立 體 系 結 構（Standalone，SA）、 移 動 邊 緣 計 算（Mobile Edge Computing，MEC）和網絡切片的部署還處于早期階段，在移動運營商廣泛部署 5G 服務和功能之前，聯邦政府要了解和研究 5G 服務和功能，這可能會給系統安全帶來挑戰。對于政府而言，需要一種靈活、自適應和可重復的方法對任何 5G 網絡部署的安全性和彈性做出評估。此外，該方法需要評估系統是否符合現有的聯邦網絡安全政策、法規和最佳實踐，以解決已知的攻擊向量、尚未發現的威脅和具體實施中存在的漏洞。

2022 年 5 月 26 日，美國國土安全部科學技術局、網絡安全與基礎設施安全局、國防部研究與工程部長辦公室聯合發布《5G 安全評估流程指南》。本文探討了 5G 對安全評估流程和框架，如美國國家標準與技術研究院（National Institute of Standards and Technology，NIST）的風險管理框架（Risk Management Framework，RMF）中定義的傳統 ATO 流程帶來的獨特挑戰。這項工作是由美國國土安全部科學技術局、網絡安全和基礎設施安全局以及國防部研究與工程部長辦公室領導的研究小組共同開發的，這些機構目前都活躍在 5G 研究和安全領域。

1. 背景

當 5G 網絡大規模部署時，核心網絡基礎設施的升級將是必需的。在網絡基礎設施升級、技術標準迅速演變、充滿活力的全球市場（包括許多電信市場的新進入者）以及不斷變化和多樣化的威脅環境期間，政府必須采用靈活、自適應和可重復的方法來評估任何 5G 網絡部署的安全性和彈性。

本文提出了 5G 安全評估五步流程，可廣泛應用于各種 5G 系統架構、部署場景和運行環境。步驟一要求使用用例定義，以確定作為系統一部分的 5G 子系統、組件配置、應用程序和系統操作中涉及的接口。5G 技術的復雜性使得聯邦ATO 定義安全評估邊界的過程極具挑戰性。因此，步驟二涉及定義邊界，以確定需要評估和授權（Assessment and Authorization，A＆A）的技術和系統，同時考慮到包含用例的產品和服務的所有權和部署。定義評估邊界后，步驟三包括對每個 5G 子系統進行高級威脅分析，以確定需要通過評估和授權來解決被降低的網絡安全能力（例如，身份、憑據和訪問管理，網絡安全，通信和接口安全）。步驟四涉及創建一個聯邦安全指南目錄，其中包括 RMF、NIST 的網絡安全框架、供應鏈風險管理、聯邦風險和授權管理計劃（Federal Risk and Authorization Management Program，FedRAMP）、其他與安全能力相關的 NIST 和聯邦網絡安全指南，以及相關行業規范。步驟五檢查安全要求和聯邦安全指導及評估程序之間的一致性。如果存在安全需求，但沒有評估指南來指導 A&A 活動，那么就可以確定差距，并制定彌補評估缺陷的替代方案。例如，如果沒有開放無線電接入網（Open Radio Access Network，O-RAN）的聯邦評估指南，則可以考慮國際或商業項目，如 O-RAN 聯盟的測試和集成中心認證。

2. 5G 安全及威脅概述

2.1 5G 安全

與 4G 蜂窩網絡技術相比，5G 將服務于更多不同類型的設備和更多的使用案例。5G 引入了新的功能和服務，主要包括：（1）性能增強的新空口（New Radio，NR），頻譜增加，頻譜共享，低、中、高頻段頻率；（2）為大量用戶提供服務的小區加密技術和波束形成等新技術，可將無線通信信道定向到用戶并減少干擾；（3）MEC 將典型的集中式應用程序移至更靠近網絡邊緣的位置，以縮短延遲、維持高數據傳輸速率并攝入大量數據；（4）網絡切片可以創建多個虛擬網絡，在共享的物理基礎設施上提供不同質量的服務水平；（5）虛擬化的無線接入網絡（Radio Access Network，RAN）和 5G 核心，以動態擴展網絡功能。

第 三 代 合 作 伙 伴 項 目（3rd Generation Partnership Project，3GPP）是 5G 的主要標準開發組織，進行了許多 5G 安全方面的改進，其要點總結如表 1 所示。

表 1 5G 安全的改進（獨立架構）

續表

2.2 5G 威脅現狀

威脅分析是任何安全風險評估的一個關鍵要素，為了幫助描述威脅，并作為各機構開發自己的 5G 威脅模型的起點，研究團隊將潛在威脅進行了分類。了解這些威脅有助于企業風險管理人員確定安全活動的優先級以及所需的安全能力，以減輕其啟用 5G 系統邊界內與 5G 系統和子系統相關的威脅。威脅類別包括：

（1）一般網絡安全威脅。這些威脅影響所有 5G 子系統，包括配置錯誤、人為錯誤、未能正確加固軟硬件、對手橫向移動、信息泄露和一般的未經授權訪問攻擊。組件配置錯誤或軟硬件加固失敗可能會被攻擊者利用并重新配置5G 元素，將流量引導給攻擊者，或竊取數據。

（2）虛擬化威脅。對虛擬機（Virtual Machine，VM）和容器服務平臺的威脅影響到 5G 核心、RAN、MEC、網絡切片、虛擬化以及協調和管理脅包括持續拒絕服務（Denial of Service，DoS）、虛擬機 / 容器逃逸、側信道攻擊和云服務消費者錯誤配置。在多租戶虛擬化環境中，一個租戶的極端資源消耗可以為相鄰的租戶系統創建一個 DoS 事件。這個事件可以阻止或嚴重降低任務功能。同樣，主機托管攻擊，如虛擬機 / 容器逃逸或側信道攻擊，可以使相鄰的計算工作負載面臨資源被剝奪、橫向移動和數據保密性、完整性或可用性被破壞的風險。對 5G RAN 或核心功能的側信道攻擊可能導致繞過用戶賬戶權限、虛擬化邊界或受保護的內存區域，而暴露敏感信息。

（3）網絡和管理界面威脅。這些威脅影響所有 5G 子系統的網絡、管理和空中接口，包括DoS、干擾、竊聽、地址欺騙、流量 / 消息篡改、系統 / 協議發現、不適當的租戶通信隔離和訪問控制攻擊。空中接口威脅位于用戶終端（User Equipment，UE）和 RAN 之間，使用無線電干擾技術可以造成干擾，從而阻止 UE 的訪問或造成 5G 業務的丟失。虛擬化 / 容器化的核心網絡功能作為租戶部署在共享云基礎設施上，租戶之間的通信隔離不當可能會使這些虛擬環境面臨未授權訪問或機密性信息丟失（例如用戶數據、網絡配置等）。

（4）應用和服務威脅。與 5G 應用和服務交付相關的威脅會影響所有 5G 子系統，包括惡意軟件和惡意代碼注入、DoS 和分布式拒絕服務攻擊（Distributed Denial of Service，DDoS）、應 用 程 序 編 程 接 口（Application Programming Interface，API）操縱、利用軟件漏洞和訪問控制攻擊。智能手機等終端很容易受到應用程序和惡意代碼的利用，這些應用程序和惡意代碼可以將私人數據暴露給威脅者。MEC 中未受保護或易受攻擊的 API 可能導致對 MEC 的應用程序和信息的未授權訪問，并助長來自網絡內部的進一步攻擊。

（5）惡意元素。來自惡意 UE、惡意基站或 RAN 中的無線電單元以及惡意網絡主機或MEC 中的欺騙組件的威脅可被用來攻擊 5G 系統。例如，惡意基站可以使用干擾迫使 UE 使用惡意基站，然后捕獲用戶信息和位置，而 MEC中的惡意組件可以破壞 MEC 應用，刪除、改變或竊取數據。

（6）隱私威脅。對 UE、RAN 和 5G 核心中涉及 5G 網絡用戶間相關信息的處理、共享、存儲和通信系統的威脅，包括竊聽、用戶及設備標識符和位置跟蹤，以及用戶、協議和系統欺騙攻擊。攻擊者可以監控 RAN 和 UE 設備之間的空中接口，以提取不受保護的唯一設備標識符并跟蹤設備用戶，而未經授權訪問存儲在 5G核心區的用戶數據可用于身份盜竊或電信欺詐。

（7）環境和物理威脅。環境和物理訪問控制系統的漏洞和脆弱點、停電及自然災害將影響 RAN、5G 核心、MEC 和虛擬化子系統。其中，對端口、設備和裝置的物理訪問、自然災害、電磁脈沖和斷電是最主要的問題。在 RAN 中，放置在燈柱上的小電池可能會受到物理盜竊或損壞，而停電或自然災害可能會損壞 RAN 節點或 5G 核心，導致其無法被訪問。

（8）供應鏈威脅。威脅可能發生在 UE、RAN、5G 核心和虛擬化子系統的軟件、固件和硬件組件的供應、獲取和整合過程中。威脅包括漏洞或惡意組件插入、漏洞或惡意開源組件，以及對漏洞硬件、固件或操作系統的攻擊。惡意代碼注入用于構建系統軟件以發布到生產中的通用代碼庫，會對運營產生嚴重影響，特別是當受影響的系統可以訪問特權用戶系統時，如用于身份和訪問管理或網絡健康和配置管理的系統。包含來歷不明或安全態勢未知的固件 /硬件組件（例如在 UE 或 RAN 中）可能會將惡意或假冒組件引入這些子系統，從而導致將敏感用戶和網絡數據暴露給對手。

（9） 人 工 智 能 / 機 器 學 習（Artificial Intelligence/Machine Language，AI/ML）的威脅。對 UE（例如物聯網或網絡物理設備的網關）、RAN、協調和管理子系統的數據完整性、機密性和可用性的威脅。這些威脅影響到 AI/ML 軟件和系統，以及依靠數據的準確性、及時性和可信度來進行基于 AI/ML 的決策（如網絡功能的動態分配）的網元和服務。例如，用于執行算法分析功能的代碼損壞或虛假、受污染的數據插入 AI/ML 算法將使得網絡運行速率降低，對人身安全造成潛在影響（例如，在使用自動駕駛車輛或智能城市交通管理時）。

3. 建議的 5G 安全評估流程

3.1 5G 概念部署場景

在聯邦政府中，許多早期的 5G 使用者會選擇一種私有的 5G 網絡解決方案，該方案可以根據特定的安全和性能要求進行定制，以支撐特定任務的執行。私有 5G 網絡可以在多種配置下構建和運行，從完全獨立的解決方案（內部部署 + 未授權 / 共享頻譜接入 + 政府擁有的基礎設施 + 政府運營商）到混合政府和商業運營組件、服務的“混合”解決方案。本文展示的示例部署將通過一個全新的、使用網絡切片的公私混合方式來實現。該方案使用了簡單且實際的組件、服務和參與者配置，并不旨在服務于單一的任務或應用，相反，該網絡可以被分割，以滿足各種應用和任務需要。其關鍵部署細節如下文所述。

（1）網絡基礎設施。私有網絡將由網絡運營商交付，它通過運營商的公共 RAN 和 SA 核心網絡基礎設施進行傳輸。網運營商將獲取、安裝和維護 RAN 基礎設施（包括塔、基站和無線電）。政府可以選擇創建子網支持多個租戶組織，或通過創建額外的切片來滿足獨特的應用性能需求。

（2）頻譜。私有網絡的無線部分將使用網絡運營商授權的頻譜產品。對于對安全性或彈性要求不高的用例，可以通過共享中頻頻譜 [ 例如公民寬帶無線電服務（Citizens Broadband Radio Service，CBRS）] 的方式來實現網絡容量的增加。

（3）安全。政府必須明確規定滿足本地3GPP 安全措施和特性的聯邦法規和安全要求。此外，根據部署場景和相關任務風險，每個網段可能需要額外地進行安全增強和遠程訪問控制。例如，運營商可以通過其網絡切片產品提供“端到端”安全，但是，其安全能力可能無法滿足政府的安全要求甚至需要額外的安全緩解措施。政府提供的智能設備將使用基于軟件的公共密鑰基礎設施（Public Key Infrastructure，PKI）證書，并由企業的統一終端管理（Unified Endpoint Management，UEM）系統進行遠程管理。與政府的周邊安全解決方案、零信任架構或其他有線 / 無線網絡和網關的整合也可按成本增加。

（4）網絡管理。網絡切片的 RAN 部分的管理和協調將由政府獨家控制。其他層的故障、配置、記賬、性能和安全功能可以由政府或授權承包商應用于 RAN 部分。

（5）云計算。本例部署方案中政府運營的部分不包括 MEC 解決方案或任何公共云基礎設施或服務。預計網絡運營商的數據中心和邊緣云節點將在商品硬件上執行虛擬化的網絡功能。

3.2 第一步：定義聯邦 5G 用例

該過程的第一步是定義用例和 5G 使用場景（增強移動寬帶、超可靠低延遲通信、大規模機器類型通信），它包括在 UE、RAN、核心、MEC 以及與接口系統和應用程序的相關 5G 參考設計之中。根據用例及其相關使用場景，可以描述 5G 系統元素及其他系統和網絡的集成。定義用例包括：（1）描述用例的用途（例如連接設備、可穿戴設備、環境傳感器和構建傳感器，以便為第一響應者提供態勢感知）；（2）標識用例包含的 5G 使用場景。許多聯邦用例將利用第三代合作伙伴計劃的 5G 使用場景；（3）描述支持用例所需的系統、子系統、接口、應用程序、端點、安全性等；（4）提供 2.1 節中討論的 5G 系統模型和參考設計的細節，以及與其他系統、網絡或應用程序的接口。

由于示例網絡部署場景是一種簡化的最佳場景，以下備選部署場景詳細說明了對安全評估過程的潛在影響。

（1）交付專用 5G 網絡。超大規模云提供商正在迅速推進將托管服務交付專用 5G 網絡作為一個新興市場。這些服務包括預先配置好的網絡設備和管理系統軟件，這些軟件可以快速安裝到經過許可的頻譜和共享的中段 CBRS頻譜（僅在美國可用）。使用這種托管服務不會簡化或減少評估單個設備（包括 SIM 卡）和軟件組件所需的工作量，但可以加快網絡的部署。

（2）中立主機網絡（Neutral Host Network，NHN）。為了減少成本開支和運營費用，擁有多個租戶組織的政府網站可以選擇分擔 RAN 基礎設施成本，并將網絡運營外包給合格的第三方。中立主機讓多個組織和用戶共享網絡（包括共享 RAN 和核心網絡）。由于網絡設備和可能的頻譜將被共享，硬件占用和基礎設施投資會大大減少。因此，NHN 部署將形成一個更簡單、更快的安全評估過程，該過程可能會涉及更多的利益攸關方和增加行政管理費用（例如諒解備忘錄、分開收費和計費）。

3.3 第二步：確定評估邊界

5G 技術的復雜性使得為聯邦 ATO 定義安全評估邊界的過程變得困難。第二步涉及定義邊界以識別需要 A&A 的技術和系統，考慮包含用例的產品和服務的所有權和部署，以及定義安全能力的實現、管理和監控的角色和職責。在定義評估邊界后，就可以確定 A&A 活動要處理的安全需求。邊界包括系統中所有被授權運行的組件，不包括系統連接的單獨授權系統。邊界示例包括：

（1）單一邊界（如獨立的專用網絡）；

（2）系統中的系統（如與組成 / 租戶系統共享的網絡基礎設施）；

（3）混合（如公共和私人）。

由于目前已定義了專用 5G 網絡的實例，因此評估邊界是明顯的。大部分的公共核心網位于網絡運營商的數據中心，網絡流量通過端到端網絡切片進行分割。獨特的安全需求可能需要對核心網絡元素、流程和供應商進行詳細評估。否則，評估邊界可能包括運營商提供的網絡切片、政府運營 RAN 段的基礎設施構建和運行，以及端點設備。

但是，如果一個政府租戶組織被分配了一個政府網絡切片子網，那么該組織可以獲得一個 MEC 節點來提供靠近網絡邊緣的額外處理。MEC 的安裝將引入威脅向量，需要進行安全評估。如果第三方 MEC 解決方案自帶管理系統，也將納入考核范圍。

3.4 第三步：確定安全需求

第三步是一個多階段步驟，包括對每個 5G子系統進行高級威脅分析，并確定 A&A 活動要解決的網絡安全要求。它要求徹底了解所考慮的用例，以便為評估邊界內采用的技術和與外部系統的所有接口提供背景。該步驟包括執行RMF 系統級準備步驟中定義的威脅分析和風險評估。在此過程中，重點關注單個 5G 系統元素和 5G 連接系統。

為 了 簡 化 對 需 求、 評 估 策 略 和 指 導 的 映射，將 2.2 節中總結的各種威脅的安全功能進行了分類。例如，身份驗證、授權和最低權限訪問控制被歸入身份、憑證和訪問管理（Identity,Credential, and Access Management，ICAM）類別，而入侵檢測、網絡分段和端口 / 協議安全被歸入網絡安全類別。

3.4.1 用戶設備

以私有 5G 網絡為例，政府配備（Government Furnished Equipment，GFE）智能設備是網絡終端，受到來自政府專用 5G 網絡內部和外部的一系列威脅。由于對 GFE 設備的安全風險和漏洞進行了預評估，這一步主要是針對那些完全符合安全保護要求的設備完成的，并且是最新的。GFE智能設備提供端點安全保護，由企業設備管理系統管理，并使用個人身份驗證、公共訪問卡憑據、基于軟件的憑據進行身份驗證。根據機構的指導，這些安全能力的應用允許 GFE 設備可以立即在政府 5G 網絡上使用。如果非 GFE智能設備被引入私人 5G 網絡，則有必要對適用的硬件、ICAM、應用、數據和通信安全要求進行全面評估。

3.4.2 5G 無線接入網

根據系統評估邊界和配置，5G RAN 基礎設施可以包括來自一個或多個地理位置的基礎設施元素，并涉及各種網絡交換機 / 路由器、基站以及接入點 / 小區站點設備和軟件。例如，私有5G 網絡涉及一個帶有 RAN 切片的局域 RAN 段，以支持多租戶應用程序。所有硬件和軟件組件，包括云 / 邊緣平臺以及內部和外部系統接口，都將接受威脅和安全能力分析。某些安全條件和保證需求可能要求進行更廣泛的調查，可能涉及第二級（及以上）供應商，以及每個軟件材料清單的完整性證明。

如果 RAN 段采用開放的、分類的 RAN 解決方案，與傳統的 RAN 解決方案相比，將有更多的一級供應商（及其組件硬件和 / 或軟件產品） 涉及這個安全評估步驟。互操作性和滲透測試的水平可能會提高，識別和緩解潛在的開放 RAN 攻擊向量的能力也會提高。

3.4.3 5G 核心網絡

5G 核心網絡是 5G 系統的核心。它通過可靠且安全的連接方式將終端用戶與網絡所提供的服務連接起來。5G 核心網提供的基本功能包括用戶認證與授權、數據連接、移動管理、用戶數據管理、策略管理及控制。根據運營商的網絡切片實現，這種分段技術可能會減輕核心網絡某些方面的評估結果。然而，由于網絡切片是一項新技術，其威脅向量還沒有完全被理解，因此還需進一步的測試。

如果共享頻譜接入（例如 CBRS 頻譜）被納入專用 5G 網絡，則需要采取額外的措施，確保商業運營商獲得許可，并進行適當的流量管理，在網絡的許可頻譜部分實現高保證流量。在審查時可能需要額外的措施。

3.4.4 部署環境和運營責任的考慮

一個系統不僅僅是各部分的總和。在評估單個 5G 系統元素時亦是如此，還有一些額外的安全需求和考慮因素會影響端到端系統的整體保障。在確定安全需求時，了解所涉及技術的預期部署環境以及誰將擁有和操作相關系統也很重要。例如，部署環境的屬性可能會引入額外的風險或緩解措施，從而嚴重影響網絡的安全狀況。如果在基站設備位于政府場所的情況下，實際訪問可能僅限于獲得授權的政府和承包商人員。如果特定地點或特定部署的屬性被接受為系統安全能力，這些屬性將被包括在評估范圍內。

此外，由于子系統所有者和操作者遵守他們的操作和維護政策，系統安全評估必須確定是否有新的漏洞被引入。如果一個系統是為政府獨家擁有和運營而建立的，那么該系統就需要適用于政府的網絡安全要求。

3.5 第四步：將安全要求映射到聯邦指南和行業規范中

聯邦安全要求滿足國際行業規范中列舉的要求。第四步涉及創建聯邦安全 A&A 指南目錄，該目錄與評估邊界中包含的技術和第三步確定的隱含安全能力相一致。例如，RMF 適用于所有類別的安全能力，以及與 ICAM、供應鏈 風 險 管 理（Supply Chain Risk Management，SCRM）、數據安全、虛擬化 / 云 / 容器安全和網絡安全保護相關的其他 NIST 和國防部網絡安全指南。聯邦系統可能需要具有以下可審核的安全能力：

（1）由《采辦政策》《行政命令》《國防授權法案》以及《行政命令 13556》（受控非機密信息）定義的 SCRM；

（2）由 NIST SP 800-37、NIST SP 800-53A和國防部指令 8510.01 定義的 RMF；

（3）由 FIPS 199、FIPS 200 和 FIPS 140-2/3界定的聯邦信息處理標準（Federal Information Processing Standards，FIPS）；

（4）由美國國防信息系統局的安全技術實 施 指 南、 美 國 國 家 信 息 安 全 聯 盟（National Information Assurance Partnership，NIAP）的通用標準和保護配置文件定義的組織特定政策和 / 或安全指南定義的系統強化；

（5）體系結構，如組織零信任參考架構和采用原則和 / 或 NIST SP 800-207 定義的結構；

（6）聯邦或國防部、PKI 和 ICAM 政策界定的信任根基；

（7）聯合國家安全局、CISA 出版物系列中闡述的 5G 基礎設施安全指南；

（8）持續診斷和緩解程序，如由 DHS 或NIST SP 800-137 定義的程序。商業服務提供商可能被要求遵守《聯邦采辦條例》或《國防聯邦采辦條例補充》、NIST SP 800-171、國防部網絡安全成熟度模型認證或FedRAMP 或國防部 FedRAMP+ 云服務。

3.6 第五步：評估安全指導方針的差距

第五步檢查安全功能和可用的聯邦安全指南之間的一致性，以指導 A&A 活動。如果需要安全能力來緩解已識別的威脅并降低聯邦企業的風險，那么必須有一種方法來評估其實施的有效性。可采用機構特定政策或一般政府指導及政策，和 / 或成立獨立評估機構進行評估。如果存在安全需求，而沒有評估指導、政策或組織來驗證其對政府運營的有效性，則會發現差距。當認為安全需求的存在是為了減輕威脅，但沒有建立正式的需求時，也會出現缺口。

在缺乏美國政府評估計劃或公認的政府標準的情況下，風險管理人員可能會確定替代評估制度，如行業認證、商業貿易團體創建的安全保證計劃或其他最佳實踐評估框架。然而，在嘗試使用評估替代品之前，風險管理人員應仔細評估任何此類方法的適用性和全面性。例如，在檢查啟用 5G 的物聯網設備安全時，發現缺乏 NIAP 通用標準保護配置文件指導安全實施或執行安全評估。經過合理評估后，機構將會發現現有的行業認證計劃可以作為合適的評估替代方案。

通過初步分析，本研究發現了一些差距。此外，研究團隊預計，3GPP、歐洲電信標準協會和 O-RAN 聯盟將繼續致力于開展項目研究和安全規范制定，并可能會發現其他威脅。

4.結語

5G 網絡旨在提供比 4G 網絡更好的安全性。然而，具有新功能和服務的 5G 網絡極具復雜性，同時 5G 網絡設備數量和類型預計將大幅增加，再加上 RAN 和 5G 核心的虛擬化和分解使用，擴大了威脅面，使得界定系統邊界具有很大的挑戰性。實施或計劃實施 5G 系統的企業可能沒有意識到納入 5G 技術對系統風險評估 /ATO 過程的影響。此外，由于 5G的部署尚處于早期階段，企業可能沒有意識到5G 面臨的潛在威脅，也沒有準備好訪問 5G 提供的安全功能。

為了確定在聯邦系統中納入 5G 技術可能對 ATO 過程產生的影響，研究團隊制定了本文提出的五步 5G 安全評估流程，確定了 5G 系統網絡評估的重要威脅框架、5G 系統安全考慮因素、行業安全規范、聯邦安全指導文件以及相關組織和方法。通過調查，研究小組得出結論：NIST RMF 是技術中立的，不需要對 5G 進行修改。本文描述的 5G 安全評估流程是一種可重復的方法，聯邦計劃 / 項目管理者在為 5G 系統進行 NIST RMF 的準備步驟時可以使用，也可以應用于廣泛的 5G 系統架構、部署場景 / 用例等其他操作環境。