信息安全產(chǎn)品有別于通用類產(chǎn)品

與同在政府采購領(lǐng)域的節(jié)能產(chǎn)品和環(huán)境標志產(chǎn)品政府采購清單動輒上萬款產(chǎn)品相比，2年半的時間里僅有近300款產(chǎn)品獲政府采購信息安全產(chǎn)品認證，但業(yè)內(nèi)人士認為

信息安全產(chǎn)品有別于通用類產(chǎn)品

■ 本報記者 梁爽

自2010年5月1日我國信息安全產(chǎn)品實施政府采購到2012年9月底，共有293款信息安全產(chǎn)品獲得中國信息安全認證中心頒發(fā)的國家信息安全產(chǎn)品認證證書。

與同在政府采購領(lǐng)域的《節(jié)能產(chǎn)品政府采購清單》、《環(huán)境標志產(chǎn)品政府采購清單》動輒上萬款產(chǎn)品相比，2年半的時間里僅有近300款產(chǎn)品獲得政府采購信息安全產(chǎn)品認證，在數(shù)量上顯得單薄。

中國信息安全認證中心副主任陳曉樺日前在接受《中國政府采購報》記者采訪時表示，信息安全類產(chǎn)品與日常通用類產(chǎn)品的區(qū)別及其有限的應(yīng)用范圍都是造成這種現(xiàn)狀的原因。

與通用類產(chǎn)品差別明顯

與節(jié)能清單和環(huán)保清單中的產(chǎn)品相比，需要進行認證的信息安全產(chǎn)品本身就與通用類產(chǎn)品存在較大差別。

首先從何為信息安全產(chǎn)品說起。在整日與信息打交道，并致力于信息安全防護專業(yè)領(lǐng)域的人看來，信息是有生命的。信息的生成、傳輸、處理、存儲、銷毀等環(huán)節(jié)構(gòu)成了信息的生命周期。周期內(nèi)每個環(huán)節(jié)都涉及到信息安全問題。

“信息安全包括信息是否不被泄漏，是否沒有被隨意修改，是否可以正常使用，是否真實，是否只能被合法人員使用，對信息的操作行為是否不可抵賴等。”負責(zé)政府采購信息安全產(chǎn)品認證工作的陳曉樺這樣說道。

當信息與安全合二為一，需對其加以防護時，至少包含兩方面內(nèi)容，即信息本身（指數(shù)據(jù)或信息內(nèi)容）的安全和信息系統(tǒng)（是否能夠提供持續(xù)服務(wù)）的安全。陳曉樺說，通常來講，所謂信息安全產(chǎn)品是指為了安全目的，在信息的生成、傳輸、處理、存儲等生命周期中使用的硬件、軟件產(chǎn)品和它們的組合。所以，信息安全產(chǎn)品在數(shù)量組成方面與通用類產(chǎn)品相比少之又少。

應(yīng)用范圍有限也是不可忽視的原因

自2010年5月1日開始國家已將信息安全產(chǎn)品認證制度在政府采購領(lǐng)域強制實施。在政府采購之外，由于保障信息安全的重要性，我國對信息安全產(chǎn)品還設(shè)立了其他相關(guān)管理制度。如針對密碼技術(shù)類產(chǎn)品，國家實行生產(chǎn)、銷售、使用的管理制度；對計算機信息安全類產(chǎn)品，實行了銷售許可管理等。

陳曉樺告訴記者，當初國家相關(guān)部門在對政府采購信息安全產(chǎn)品認證制度進行設(shè)計時，本來是計劃將所有信息安全產(chǎn)品進行強制性認證。但受2008年全球金融危機影響以及美、日、歐等國家對此項制度所謂行政許可的質(zhì)疑，縮小了范圍和性質(zhì)，僅針對政府采購信息安全產(chǎn)品進行認證。

“當前實踐中應(yīng)用的信息安全產(chǎn)品大概有50多種，但是納入政府采購信息安全產(chǎn)品認證范圍的僅有13種。這是因為對產(chǎn)品進行認證的前提是該類產(chǎn)品具有國家標準，而滿足這一條件的產(chǎn)品只有13種。”據(jù)陳曉樺介紹，在這13種產(chǎn)品中，有一部分產(chǎn)品在政府采購中的應(yīng)用范圍有限，造成了企業(yè)對自己產(chǎn)品進行信息安全認證的熱情不高。還有的企業(yè)認為，只要自己的產(chǎn)品不涉足政府采購市場，就沒有必要進行信息安全認證。

在已納入認證范圍的13種產(chǎn)品中，防火墻、網(wǎng)絡(luò)入侵檢測產(chǎn)品是采購量較大的產(chǎn)品，相關(guān)企業(yè)的認證熱情相對較高。據(jù)中國信息安全認證中心統(tǒng)計，進行信息安全產(chǎn)品認證的產(chǎn)品數(shù)量能達到獲得國家銷售許可的此類產(chǎn)品的70%。目前，這一目標已基本實現(xiàn)。在防火墻產(chǎn)品領(lǐng)域，獲得信息安全產(chǎn)品認證的產(chǎn)品數(shù)量甚至已超過70%。

陳曉樺告訴記者，與其他認證不同的是，政府采購信息安全產(chǎn)品認證過程中，認證機構(gòu)會派遣專家去企業(yè)對產(chǎn)品的研發(fā)環(huán)境和生產(chǎn)環(huán)境進行實地考察，一旦發(fā)現(xiàn)有不符合認證規(guī)定的地方就會立即指出，幫助企業(yè)提升產(chǎn)品安全品質(zhì)。