近日,中國(guó)網(wǎng)絡(luò)安全大會(huì)在國(guó)家會(huì)議中心舉行,會(huì)上中國(guó)工程院院士倪光南發(fā)表了題為《網(wǎng)絡(luò)安全相關(guān)的測(cè)評(píng)認(rèn)證探討》的演講,倪光南建議在信息化建設(shè)采購(gòu)產(chǎn)品或者進(jìn)行立項(xiàng)時(shí),除了技術(shù)指標(biāo)、性能指標(biāo)、經(jīng)濟(jì)指標(biāo)以及價(jià)格指標(biāo)等,還要把網(wǎng)絡(luò)安全也加進(jìn)去,作為考量指標(biāo),并通過第三方的測(cè)評(píng)機(jī)構(gòu)進(jìn)行評(píng)估。
倪光南認(rèn)為,在網(wǎng)絡(luò)安全考量制度化建設(shè)中,可以參照已有的規(guī)章制度,比如等級(jí)保護(hù)。等級(jí)保護(hù)本身就是為信息安全保護(hù)歸類的,用以區(qū)分重要信息和次要信息。網(wǎng)絡(luò)安全考量借用等級(jí)保護(hù),可以對(duì)相應(yīng)的產(chǎn)品、服務(wù)和項(xiàng)目進(jìn)行評(píng)估。重要信息系統(tǒng)的采購(gòu),從系統(tǒng)設(shè)計(jì)、產(chǎn)品選型開始就要用等級(jí)保護(hù)來指導(dǎo),甚至有些時(shí)候要進(jìn)行強(qiáng)制認(rèn)證,因?yàn)橛行┉h(huán)節(jié)進(jìn)行強(qiáng)制認(rèn)證更有利于網(wǎng)絡(luò)安全。
等級(jí)保護(hù)或者其他的專門的制度,可以達(dá)成一部分網(wǎng)絡(luò)安全評(píng)估需求,但不能解決全部問題,最重要的還得有“自主可控、安全可信”這個(gè)大前提。“自主可控”是“安全可信”的一個(gè)前提,“自主可控”達(dá)不到,提“安全可信”那是空話。因?yàn)椤白灾骺煽亍笨梢宰龅經(jīng)]有“后門”,自己有能力對(duì)信息產(chǎn)品進(jìn)行改進(jìn)、治理,并不斷地發(fā)展。
“自主可控”是可以評(píng)估的,就像性能指標(biāo)一樣,應(yīng)該成為第三方測(cè)評(píng)機(jī)構(gòu)的評(píng)估標(biāo)準(zhǔn)。倪光南提出自主可控五個(gè)維度:知識(shí)產(chǎn)權(quán)、技術(shù)能力、發(fā)展前景、供應(yīng)鏈、國(guó)產(chǎn)資質(zhì)。
知識(shí)產(chǎn)權(quán)不可靠,一切免談。在當(dāng)前全球化的國(guó)際形勢(shì)下,知識(shí)產(chǎn)權(quán)必須得到足夠重視,必須妥善解決。
技術(shù)能力,其實(shí)指的是人才隊(duì)伍。沒有能力足夠強(qiáng)的人才隊(duì)伍,知識(shí)產(chǎn)權(quán)就是空話。沒有人才隊(duì)伍掌握知識(shí)產(chǎn)權(quán)和技術(shù)應(yīng)用,最后還是做不到自主產(chǎn)權(quán)。
有時(shí)候看起來知識(shí)產(chǎn)權(quán)和技術(shù)能力都可以做,但是可能這個(gè)技術(shù)未來要廢棄、要過時(shí),即使技術(shù)能力很強(qiáng)、掌握知識(shí)產(chǎn)權(quán)也不能做,因?yàn)閹啄暌院筮@種技術(shù)就要廢棄了。
有些產(chǎn)品和技術(shù)還要做到“供應(yīng)鏈”自主可控,如果只是一些環(huán)節(jié)可以做到自主,但不能控制整個(gè)供應(yīng)鏈,從技術(shù)安全角度來講也不行。比如電腦芯片,即使有知識(shí)產(chǎn)權(quán),能夠設(shè)計(jì)出來,但生產(chǎn)不出來,還是不行。
“國(guó)產(chǎn)化”不等于就是自主可控,但“國(guó)產(chǎn)化”是自主可控的重要環(huán)節(jié)。中國(guó)的國(guó)產(chǎn)化還沒有統(tǒng)一的標(biāo)準(zhǔn),包括政府采購(gòu)法從2003年生效到現(xiàn)在,雖然政府采購(gòu)應(yīng)該優(yōu)先采購(gòu)“國(guó)產(chǎn)”產(chǎn)品和服務(wù),但“國(guó)產(chǎn)”產(chǎn)品、服務(wù)和工程還沒有一個(gè)統(tǒng)一的界定,所以在這方面也應(yīng)該出臺(tái)一個(gè)標(biāo)準(zhǔn)。