北京2022年1月12日 /美通社/ -- 日前，浪潮电子信息产业股份有限公司（简称浪潮信息）、中国网络安全审查技术与认证中心（简称中国网安中心）联合发布了《服务器安全新国标合规实践白皮书》（简称《白皮书》）。《白皮书》指出，服务器产品面临的安全威胁复杂多样，需要从硬件、固件等多个层面进行安全防护，以实现保密性、完整性、可用性及不可抵赖性的安全目标。

近年来，云计算、大数据、移动互联网、物联网等新技术的广泛使用为行业发展注入了新的动力，但随之而来的还有更加复杂的网络安全问题，有效抵御安全威胁面临较大的挑战。

服务器作为信息化的基石，关系到网络安全的根本，2021年7月1日，服务器安全新国标《GB/T 39680-2020信息安全技术 服务器安全技术要求和测评准则》正式实施当月，浪潮英信服务器获得了中国网络安全审查技术与认证中心颁发的IT产品信息安全认证证书，是行业内首家通过该认证的服务器产品该认证依据的标准即为《GB/T 39680-2020信息安全技术 服务器安全技术要求和测评准则》。

新标准在原有相关要求基础上，重点加强了固件安全及自身安全管理相关的安全技术要求浪潮服务器针对相关要求进行了重点设计，通过芯片写保护、安全启动、数字签名、备份恢复等技术减少固件被破坏或被篡改的风险，通过身份标识、访问控制、日志审计、安全加固等技术减少固件自身服务漏洞被利用造成的风险。

在固件程序安全方面，浪潮服务器通过对CPU及PCH芯片进行安全配置来保护BIOS（基本输入输出系统）存储区不被恶意篡改，同时保证服务器启动过程的完整性BMC（基板管理控制器）在更新或升级相关固件时，通过数字签名技术保证固件文件的完整性，防止使用嵌入恶意代码的非官方版本镜像进行滥刷或误刷在固件恢复方面，BMC及BIOS固件均通过双镜像方式支持自动备份恢复。

在固件自身服务的安全性方面，浪潮服务器BMC支持唯一标识的本地用户访问控制管理，支持默认密码修改及提示、密码复杂度及有效期设置，以提高身份鉴别功能的防护能力BMC采用基于角色的本地用户精细化管理，默认支持“管理员”、“操作员”、“普通用户”角色，仅授予所需的最小访问权限，不允许修改其权限BMC审计日志仅管理员权限用户可进行配置和查看，以防止非预期的改动。

《白皮书》中，浪潮信息将以上实践经验进行归纳总结，从硬件、固件、配套软件等层面给出了安全架构设计参考。

《白皮书》还对服务器安全提出了几点建议：组织应通过研发阶段安全保障活动，降低研发过程中引入安全风险的几率安全建设应伴随产品生命周期的整个过程，通过一系列的组织、流程、工具、能力建设来支撑落地，并在实践过程中不断优化提升此外，安全除了由产品自身安全能力来保障，还需要用户的积极配合，以使相关安全能力能够被正确的理解、部署及运转。