呂漢陽：應盡快建立政采信息安全審查制度

呂漢陽：應盡快建立政采信息安全審查制度

呂漢陽

國家信息中心助理研究員

信息是一種商品，具有一般商品的屬性，包括價值屬性，可以進行定價。但是，信息又不是普通商品，不具有排他性，具有外部性和外溢效應。信息對個人有信息產權概念，對國家有信息主權概念，因此存在安全風險。WTO框架下歧視政策的例外是國家安全、GPA等。而信息安全是國家安全中的重要方面。因此在政府采購領域建立信息安全審查合規(guī)，不違背WTO，而且，在國外，政府采購也成為保護國家信息安全的重要手段。

2006年3月，美國國務院經招標確定采購聯(lián)想集團價值約1300萬美元的1.6萬多臺計算機設備。美中經濟安全調查委員會以“使用聯(lián)想計算機會對美國國家安全產生災難性后果”為由，提出強烈反對，并將意見提交于國會。最后美國政府調整了原來的采購計劃，在聯(lián)想與美國國土安全部簽訂的安全協(xié)定上又多加了限制條件，要求聯(lián)想在參與美國的政府采購時，不得以任何形式索取、接受、維護、鑒別有關美國政府定購電腦產品的用戶信息，同時還宣布將會修改政府采購流程。

由此，聯(lián)想必須通過美國政府認可的本地第三方公司代理而不能直接向美國政府部門提供產品及售后服務，同時必須無條件接受美國安全部門對其信息系統(tǒng)使用情況的檢查。另外，聯(lián)想必須通過美國政府認可的本國公司提供產品售后服務，而不能直接進行產品售后服務。

無獨有偶，IBM的臺式計算機曾一直是日本防衛(wèi)廳采購目錄的“注冊廠商”，也曾經是日本防衛(wèi)廳重要的計算機設備提供者。但IBM的臺式計算機部門被聯(lián)想收購后，日本防衛(wèi)廳在2006年4月，以防止“中國制造”的臺式計算機“滲透”而造成 “泄密”為理由，拒絕接受聯(lián)想生產的IBM品牌臺式計算機，從此聯(lián)想徹底無緣日本防衛(wèi)廳電腦采購招標。

2013年3月26日，奧巴馬簽署的一項新開支法案中，包含一條禁止美國政府機構購買與中國政府有關公司信息技術的條款。這項法案規(guī)定，有關機構考慮購買IT系統(tǒng)時須向執(zhí)法機關咨詢“網(wǎng)絡間諜或破壞”風險，必須包括中國“所有、領導或補貼的一個或多個實體生產、制造、裝配IT系統(tǒng)的任何風險”評估。

總之，美國的安全審查制度不但有嚴密的法律體系，而且還有專業(yè)的操作機構。

據(jù)統(tǒng)計，在京中央國家機關各單位政府采購具有自主知識產權的軟件產品僅占通用軟件產品采購總金額的10%。其中，數(shù)據(jù)庫及中間件軟件被國外產品所壟斷，操作系統(tǒng)和辦公軟件95%為美國微軟公司的產品。各部門采購的大中型主機、高端服務器基本被美國IBM、HP和SUN公司生產的產品所壟斷，路由器、交換機等網(wǎng)絡設備，國外產品也占據(jù)了50%以上的市場份額。

而且，國外企業(yè)及外資控股企業(yè)通過銷售產品，直接參與產品的售后服務，可以輕易掌握政府用戶的信息以及政務網(wǎng)絡的運行狀況；在用戶保密意識不強的時候，涉及國家安全的信息、核心數(shù)據(jù)等都有可能遭到竊取。因此，我國政府、國企和金融機構大量采購國外信息類產品是國家信息安全的重要隱患之一。

2009年國家質檢總局印發(fā)了《關于調整信息安全產品強制性認證實施要求的公告》，要求8類13種信息安全產品進入政府采購前必須實行強制性認證。2010年財政部、工信部、國家質檢總局、國家認監(jiān)委等多個部委聯(lián)合發(fā)布了《關于信息安全產品實施政府采購的通知》，要求供應商必須具備中國信息安全認證中心按國家標準認證頒發(fā)的有效認證證書。2013年8月1日，中央國家機關政府采購中心發(fā)布的《關于信息安全產品資質審核的通知》，對于部分入圍產品的型號與中國信息安全產品認證證書上的“產品名稱和型號、規(guī)格、版本”不一致的情況，需要該產品的生產制造廠家向中國信息安全認證中心提交資質有關的差異說明，待材料審核、現(xiàn)場質詢后出具確認意見，采購中心審核通過后，產品名單將在中央政府采購網(wǎng)協(xié)議供貨信息類產品直接發(fā)布。

但是，已有的政策遠遠不夠。建議我國政府采購領域盡快建立信息安全審查制度，其核心是可用、可信。信息安全審查主要有三個方面的內容：一是技術，二是機構的工商及資格方面的審查，三是加強信息安全審查成為投資并購的審查核心。最后，扶持本土創(chuàng)新是根本和長遠之計。