信息安全產(chǎn)品插上強(qiáng)采“硬翅膀”

◎本報(bào)記者陳昂

信息安全產(chǎn)品將在《政府采購(gòu)法》規(guī)定的范圍內(nèi)實(shí)施強(qiáng)制認(rèn)證。

按照質(zhì)檢總局、財(cái)政部和認(rèn)監(jiān)委于2009年4月印發(fā)的《關(guān)于調(diào)整信息安全產(chǎn)品強(qiáng)制性認(rèn)證實(shí)施要求的公告》要求，從2010年5月1日起，防火墻、網(wǎng)絡(luò)安全隔離卡與線路選擇器、安全隔離與信息交換、安全路由器、智能卡COS、數(shù)據(jù)備份與恢復(fù)、安全操作系統(tǒng)、安全數(shù)據(jù)庫(kù)系統(tǒng)、反垃圾郵件、入侵檢測(cè)系統(tǒng)、網(wǎng)絡(luò)脆弱性掃描、安全審計(jì)、網(wǎng)站恢復(fù)等13種產(chǎn)品須在《政府采購(gòu)法》規(guī)定的范圍內(nèi)實(shí)行強(qiáng)制性認(rèn)證。未獲得強(qiáng)制性認(rèn)證證書(shū)和未加施中國(guó)強(qiáng)制性認(rèn)證標(biāo)志的，不得進(jìn)入政府采購(gòu)領(lǐng)域。

中央地方上緊“安全弦”

據(jù)記者了解，國(guó)家質(zhì)檢總局和國(guó)家認(rèn)監(jiān)委于2008年1月聯(lián)合發(fā)布的《關(guān)于部分信息安全產(chǎn)品實(shí)施強(qiáng)制性認(rèn)證的公告》要求，對(duì)部分信息安全產(chǎn)品實(shí)施強(qiáng)制性認(rèn)證。已獲得信息安全產(chǎn)品國(guó)家認(rèn)證證書(shū)的產(chǎn)品涵蓋邊界安全、通信安全、身份鑒別與訪問(wèn)控制、數(shù)據(jù)安全、基礎(chǔ)平臺(tái)、內(nèi)容安全、評(píng)估審計(jì)與監(jiān)控、應(yīng)用安全等方面。

與之相呼應(yīng)，從中央到地方近兩年都加緊了對(duì)采購(gòu)信息安全類產(chǎn)品的重視程度。央企在新一輪采購(gòu)正版軟件過(guò)程中也將信息安全擺在第一位，中國(guó)軟件企業(yè)一躍成為由國(guó)資委推動(dòng)的央企正版軟件集中采購(gòu)的供應(yīng)商。

繼2009年可信安全計(jì)算機(jī)、安全服務(wù)器、安全域網(wǎng)關(guān)等品目作為涉密產(chǎn)品納入國(guó)采中心協(xié)議供貨之后，2010年國(guó)采中心在此基礎(chǔ)上又將網(wǎng)絡(luò)安全產(chǎn)品剝離出來(lái)，單獨(dú)進(jìn)行采購(gòu)。無(wú)獨(dú)有偶，黑龍江省也在近期悄然開(kāi)啟該省信息安全產(chǎn)品采購(gòu)目錄的收錄工作。

國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)主任孫大偉表示，獲得國(guó)家信息安全產(chǎn)品認(rèn)證證書(shū)，表明產(chǎn)品的質(zhì)量和安全性符合相關(guān)標(biāo)準(zhǔn)和技術(shù)規(guī)范的要求，并具備了進(jìn)入政府采購(gòu)領(lǐng)域的必要條件。

國(guó)采中心負(fù)責(zé)人則表示，對(duì)于網(wǎng)絡(luò)安全類產(chǎn)品的采購(gòu)，其總體要求是政策性或是政治性要高于經(jīng)濟(jì)性，首要關(guān)注的是確保進(jìn)入?yún)f(xié)議供貨的產(chǎn)品沒(méi)有安全問(wèn)題。

對(duì)此，南京市政府采購(gòu)中心主任助理王九洲認(rèn)為，國(guó)家或相關(guān)部門應(yīng)通過(guò)立法形式對(duì)信息類產(chǎn)品采購(gòu)項(xiàng)目的涉密范圍、涉密等級(jí)、涉密事項(xiàng)予以界定，并對(duì)不同涉密等級(jí)的信息類產(chǎn)品項(xiàng)目的政府采購(gòu)程序、方法、要求作明確規(guī)定，以規(guī)范采購(gòu)行為，制止和糾正涉密信息類產(chǎn)品采購(gòu)的隨意性，讓采購(gòu)當(dāng)事人有法可依。

政采應(yīng)率先為信息安全買單

目前，由公安部等四部委出臺(tái)的《信息安全等級(jí)安全保護(hù)管理辦法》要求，政府采購(gòu)的安全產(chǎn)品原廠商必須是中國(guó)公民或國(guó)家投資，產(chǎn)品的核心技術(shù)、關(guān)鍵部件具有我國(guó)自主知識(shí)產(chǎn)權(quán)，產(chǎn)品研制沒(méi)有故意設(shè)置漏洞、后門、木馬等。

目前在政府采購(gòu)領(lǐng)域，無(wú)法阻止由進(jìn)口零件組裝的國(guó)產(chǎn)品牌產(chǎn)品進(jìn)入政府采購(gòu)，只要在中國(guó)組裝就成了非進(jìn)口產(chǎn)品，大搖大擺地進(jìn)入了政府采購(gòu)市場(chǎng)。

浪潮集團(tuán)董事長(zhǎng)兼CEO孫丕恕在今年全國(guó)兩會(huì)期間曾對(duì)本報(bào)記者說(shuō)過(guò)：“我國(guó)信息安全絕對(duì)不能捏在他人手里。”他認(rèn)為，目前我國(guó)核心IT設(shè)備嚴(yán)重依賴國(guó)外品牌的狀況已嚴(yán)重威脅到國(guó)家信息安全，政府采購(gòu)應(yīng)加大采購(gòu)本國(guó)產(chǎn)品的力度，鑄造信息安全的盾牌。

在眾多的信息安全威脅中，最令孫丕恕揪心的是核心電子設(shè)備，尤其是存儲(chǔ)和服務(wù)器領(lǐng)域大量采用進(jìn)口產(chǎn)品的現(xiàn)狀讓人擔(dān)憂，這些產(chǎn)品中預(yù)留的“后門”有可能為他國(guó)獲取我國(guó)數(shù)據(jù)提供便利。

“只有國(guó)產(chǎn)化才能安全化。”孫丕恕如是說(shuō)，“目前我國(guó)IT行業(yè)的核心技術(shù)確實(shí)比較薄弱，核心技術(shù)的發(fā)展應(yīng)該循序漸進(jìn)，可分兩步走：第一步，從成品的設(shè)計(jì)層面實(shí)現(xiàn)國(guó)產(chǎn)化；第二步可以嘗試使用本國(guó)產(chǎn)品，最終實(shí)現(xiàn)100%的自主可控。”

硬件才是信息安全的“心臟”

在同方股份有限公司副總裁、計(jì)算機(jī)系統(tǒng)本部總經(jīng)理李健航看來(lái)，要真正實(shí)現(xiàn)信息安全，必須從硬件層面保證安全。在面對(duì)病毒攻擊時(shí)，傳統(tǒng)的軟件保護(hù)雖然能應(yīng)付大部分情況，但依然存在被攻破的可能，只有硬件加密才能萬(wàn)無(wú)一失。

李健航表示，要想從根本上扭轉(zhuǎn)政府信息安全的弱勢(shì)局面，必須在計(jì)算機(jī)芯片中建立防線，采購(gòu)具有安全芯片的可信計(jì)算產(chǎn)品。他建議在諸多政府機(jī)構(gòu)已制定的計(jì)算機(jī)類產(chǎn)品的配置標(biāo)準(zhǔn)中，應(yīng)進(jìn)一步規(guī)定涉密單位的計(jì)算機(jī)類產(chǎn)品配置必須是可信計(jì)算產(chǎn)品，進(jìn)而使政府采購(gòu)可信計(jì)算產(chǎn)品成為常態(tài)。

“構(gòu)建政府信息安全系統(tǒng)必須由國(guó)內(nèi)具有自主安全技術(shù)的廠商守衛(wèi)，如果使用國(guó)外技術(shù)無(wú)異于把國(guó)門拱手讓人。”李健航的話表達(dá)了這樣一層意思：如果可信計(jì)算產(chǎn)品在芯片方面不使用具有自主知識(shí)產(chǎn)權(quán)的核心技術(shù)，那么信息安全就會(huì)變成沒(méi)有地基的空中樓閣。