走出信息安全產(chǎn)品認(rèn)證困局

走出信息安全產(chǎn)品認(rèn)證困局

■ 文  沐瀾

這幾天，北京天融信科技有限公司負(fù)責(zé)中央國(guó)家機(jī)關(guān)政府采購(gòu)協(xié)調(diào)工作的林女士的心情與天氣一樣焦灼——公司旗下13款信息安全類產(chǎn)品因協(xié)議供貨入圍型號(hào)與中國(guó)信息安全認(rèn)證中心頒發(fā)的證書上列明的型號(hào)不一致，而被暫停了協(xié)議供貨資格。有此遭遇的不止天融信一家，與她心情一樣的還有其他23家廠商。

前不久，中央國(guó)家機(jī)關(guān)政府采購(gòu)中心（以下簡(jiǎn)稱國(guó)采中心）發(fā)布《關(guān)于信息安全產(chǎn)品資質(zhì)審核的通知》，24家企業(yè)的142款信息安全類產(chǎn)品協(xié)議供貨入圍的型號(hào)與中國(guó)信息安全產(chǎn)品認(rèn)證證書上的“產(chǎn)品名稱和型號(hào)、規(guī)格、版本”不一致，被暫停協(xié)議供貨資格。

根據(jù)財(cái)政部等多個(gè)部委聯(lián)合發(fā)布的《關(guān)于信息安全產(chǎn)品實(shí)施政府采購(gòu)的通知》，自2010年5月1日起，安全路由器、安全數(shù)據(jù)庫(kù)系統(tǒng)等13種產(chǎn)品須在《政府采購(gòu)法》規(guī)定的范圍內(nèi)實(shí)行強(qiáng)制性認(rèn)證。中國(guó)信息安全認(rèn)證中心具體負(fù)責(zé)此項(xiàng)認(rèn)證工作，而擔(dān)負(fù)申請(qǐng)認(rèn)證產(chǎn)品檢測(cè)的機(jī)構(gòu)共有7家。截至2013年5月31日，中國(guó)信息安全認(rèn)證中心已頒發(fā)了350張信息安全產(chǎn)品認(rèn)證證書。

為什么會(huì)出現(xiàn)“產(chǎn)品協(xié)議供貨入圍型號(hào)與中國(guó)信息安全產(chǎn)品認(rèn)證證書上的產(chǎn)品名稱和型號(hào)、規(guī)格、版本不一致”的情況呢？

在我國(guó)現(xiàn)行的信息安全管理體制框架下，企業(yè)所生產(chǎn)的信息安全類產(chǎn)品所要經(jīng)過(guò)的檢測(cè)不只一種，而是涉及多個(gè)國(guó)家職能部門的檢測(cè)要求。每類檢測(cè)所需的時(shí)間、成本對(duì)于企業(yè)盡快營(yíng)利都會(huì)造成一定的影響。因此，對(duì)企業(yè)而言，參與認(rèn)證的次數(shù)、所獲證書的數(shù)量自然是越少越好。而根據(jù)相關(guān)的認(rèn)證規(guī)則，每個(gè)產(chǎn)品型號(hào)不一定都對(duì)應(yīng)一張認(rèn)證證書，同一產(chǎn)品單元認(rèn)證即核心指標(biāo)相同、邊緣指標(biāo)或外形不同的產(chǎn)品也可作為同一認(rèn)證。

在這樣的情況下，部分企業(yè)認(rèn)為：既然國(guó)家并沒(méi)有規(guī)定每款產(chǎn)品與認(rèn)證證書必須一一對(duì)應(yīng)，那么多款規(guī)格類似的產(chǎn)品對(duì)應(yīng)一張證書也無(wú)傷大雅。記者在國(guó)采中心此次公布的清單中發(fā)現(xiàn)，幾乎所有被公示的企業(yè)都有多款產(chǎn)品只對(duì)應(yīng)一個(gè)證書的情況。其中，涉及產(chǎn)品款數(shù)最多的北京神州綠盟科技有限公司，其20款產(chǎn)品只對(duì)應(yīng)了5個(gè)證書。

在記者與部分相關(guān)企業(yè)的溝通中，幾乎每家企業(yè)都會(huì)心虛地表示：“又不是只有我們一家出現(xiàn)這種情況，你看這次被公示的企業(yè)那么多，大家都是這樣做的。”不難看出，多款產(chǎn)品對(duì)應(yīng)一個(gè)證書已是企業(yè)的慣用手段。

從另一個(gè)角度來(lái)看，認(rèn)證機(jī)構(gòu)和集采機(jī)構(gòu)作為獨(dú)立的第三方機(jī)構(gòu)、作為連接采購(gòu)人和供應(yīng)商的橋梁，必須做到正確把關(guān)，才能將國(guó)家對(duì)信息安全產(chǎn)品采購(gòu)的相關(guān)規(guī)定落到實(shí)處。

至于當(dāng)前如何破解企業(yè)“一證對(duì)多品”和“相應(yīng)減少?gòu)S商認(rèn)證成本”的問(wèn)題，記者認(rèn)為，只有集中采購(gòu)機(jī)構(gòu)、認(rèn)證機(jī)構(gòu)、檢測(cè)機(jī)構(gòu)以及企業(yè)4方當(dāng)事人在法律法規(guī)的框架下，針對(duì)信息安全產(chǎn)品采購(gòu)的具體特點(diǎn)認(rèn)真分析、共同探討，方能尋找出一條妥善解決的途徑。