【技術(shù)達(dá)人秀1--劉鋒】

開欄的話：積極運(yùn)用現(xiàn)代信息技術(shù)，對于提高政府采購質(zhì)量、防范采購風(fēng)險(xiǎn)等方面將發(fā)揮重要的作用。為了讓讀者更多地了解新技術(shù)、新趨勢，本報(bào)特開設(shè)《技術(shù)達(dá)人秀》專欄，首先邀請清華同方電腦總工程師劉鋒做客本欄目，分享立足本土開拓創(chuàng)新的行業(yè)經(jīng)驗(yàn)。

劉鋒：信息安全管理標(biāo)準(zhǔn)亟待統(tǒng)一

劉鋒：清華同方電腦總工程師

一段時(shí)期以來，我國對于政府采購信息安全產(chǎn)品的重視程度越來越高。自2010年5月1日起，國家對防火墻、網(wǎng)絡(luò)安全隔離卡與線路選擇器、安全隔離與信息交換、安全路由器、智能卡COS、數(shù)據(jù)備份與恢復(fù)、安全操作系統(tǒng)、安全數(shù)據(jù)庫系統(tǒng)、反垃圾郵件、入侵檢測系統(tǒng)、網(wǎng)絡(luò)脆弱性掃描、安全審計(jì)、網(wǎng)站恢復(fù)等8大類13種產(chǎn)品，在《政府采購法》所規(guī)定的范圍內(nèi)實(shí)行強(qiáng)制性認(rèn)證，未獲得中國信息安全認(rèn)證證書的產(chǎn)品，不能進(jìn)入政府采購范圍。

但是，從專業(yè)技術(shù)角度來看，國內(nèi)對于信息安全的有關(guān)規(guī)定仍稍顯流于形式。目前，相關(guān)部門對政府機(jī)關(guān)采購信息安全產(chǎn)品的規(guī)定分為2類：一是對有保密需求的單位管理得比較嚴(yán)格，但也僅限在采購流程中，而對于執(zhí)行過程和結(jié)果的評估管理相對放松，就是說管控前端重、后端輕。二是對于一般行政類政府機(jī)關(guān)使用產(chǎn)品的信息安全管理較前者而言比較薄弱。在民用領(lǐng)域，即一般意義上的商用密碼領(lǐng)域，如企業(yè)、個(gè)人采購的信息安全相關(guān)產(chǎn)品，來自國家的管制幾乎為零。

在政府采購領(lǐng)域，由于我國對信息安全進(jìn)行管理的政府職能部門較多，且這些部門相互之間欠缺協(xié)調(diào)，這就導(dǎo)致部分產(chǎn)品的信息安全有相關(guān)規(guī)定無人加以執(zhí)行的尷尬局面。

舉例而言，我國要求在中國境內(nèi)生產(chǎn)的反病毒軟件，必須持有公安部頒發(fā)的證明才可上市銷售。但在實(shí)際操作中，很多反病毒軟件生產(chǎn)廠商是外資的。如微軟為windows中小企業(yè)和個(gè)人用戶免費(fèi)提供的MSE反病毒軟件就未得到公安部授權(quán)，而是與操作軟件捆綁銷售。究其原因，這款軟件是針對全球客戶統(tǒng)一發(fā)行，并未在中國市場單獨(dú)銷售，也未單獨(dú)制作版本。
再如，國家對于商用密碼產(chǎn)品，在多年前出臺了《商用密碼產(chǎn)品管理?xiàng)l例》，規(guī)定所有在產(chǎn)品中使用密碼算法的含密產(chǎn)品，都必須取得商用密碼產(chǎn)品許可及型號許可，并通過相關(guān)檢測才能上市銷售。但實(shí)際上這一規(guī)定目前并未得到較好執(zhí)行。如果從專業(yè)技術(shù)層面對這一現(xiàn)象進(jìn)行剖析不難發(fā)現(xiàn)，首先業(yè)界對于所謂的含密產(chǎn)品至今仍沒有明確界定。

例如，現(xiàn)在市場上在售的加密硬盤、加密U盤、用于磁盤加密的加密軟件等，這些產(chǎn)品內(nèi)容廣泛、市場使用率高，每年的銷售額較大。從理論上講，這些產(chǎn)品適用于《商用密碼產(chǎn)品管理?xiàng)l例》，但并沒有一個(gè)部門具體負(fù)責(zé)這些產(chǎn)品的合規(guī)銷售行為。到底是應(yīng)該修訂《商用密碼產(chǎn)品管理?xiàng)l例》，還是加強(qiáng)執(zhí)法力度，或者是重新調(diào)整國家相關(guān)政策，都是值得業(yè)界人士和政府管理部門思考的問題。(梁爽)