采购国产信息安全产品势在必行

国家信息安全与政府采购

采购国产信息安全产品势在必行

■ 秦志龙

刚刚过去的11月，可谓发生了不少大事。在北京召开的2014年APEC会议拂动着浓浓的“国货风”，有网友认为，国产品牌有望通过APEC会议华丽转身，向世界证明“中国制造”的实力，也有记者提出了“APEC国货风能吹多远”的话题，发人深省；首届世界互联网大会频频聚焦网络安全，来自政府高层的声音，更像是中国向世界发出的捍卫信息安全宣言。笔者想就信息安全和政府采购，谈谈在信息技术领域采购国产产品的必要性和紧迫性。

首先，笔者认为，信息安全的重要性是怎么强调都不会过分的。因为信息安全关系到国计民生、金融经济、军事外交、国家安全等方面，任何个人、企业、政府、国家都异常重视信息安全。例如，2006年3月20日，联想集团在美国的合作伙伴——CDW-G公司宣布，通过公开的招投标程序获得美国国务院价值超过1300万美元的订单，将提供16000台联想Think Center M51台式电脑及相关设备给美国国务院。消息公布不久，美中经济安全调查委员会(USCC)委员Michael Wessel发表声明，质疑在美国国务院使用联想电脑有可能对美国国家安全带来风险。此外，任何一个国外企业若要并购美国企业或其业务，都将受到由12个政府部门组成的外国投资委员会的审查，而否定的理由往往就是“可能损害美国国家安全”。

其次，国产品牌的安全性和可控性高于进口产品，而且政府采购法第十条明确规定“政府采购应当采购本国货物、工程和服务”。信息产品的不安全性主要由两方面造成。一是产品本身存在缺陷（Bug），导致安全“漏洞”，这个问题无论国内外产品都同样存在。二是某些产品在设计时就留有“后门”程序。例如，美国很早就认识到信息安全与国家整体利益和国防的紧密联系，采取了一系列措施加强其信息产业在全球的垄断地位。美国主要通过国家安全局（NSA）对信息产业实行严格的控制，NSA派出既懂密码、电子侦察业务，又懂半导体技术的专家驻入各大公司，其任务就是对销往全球的信息产品进行监控，甚至在大规模集成电路芯片等关键部件安装了“后门”。这些“后门”可以通过特殊手段启动，发回芯片所处理的各种数据，也可使该芯片失去工作能力。而经过中国国家信息安全测评认证中心的测试确认，美国某公司的产品存在“后门”——该公司的产品在客户不知情的情况下，定期向美国回传200K字节的加密数据，经有关部门解密后，可获知重要的客户信息，对用户构成极大的潜在安全危险。最令人担忧的是，在今天的技术条件下，将一块芯片中可能设置的所有“后门”全部排除掉，几乎是不可能的。

再次，在目前我国信息产品大部分核心技术、核心产品都由国外控制的情况下，信息安全问题不是一朝一夕就能解决的。我国的服务器、存储设备、操作系统、数据库、中间件等基本都是国外产品，这些产品构成了OA等应用系统。如果把软硬件基础产品比作“高速公路”的话，那么，应用系统就是与之相适应的“汽车”。而要想将上述基础产品全部换成国产产品，即将国外的“高速公路”改造成本国的“高速公路”，甚至进一步升级成“高速铁路”，难度可想而知。

然而，这个问题拖得时间越久，解决的难度越大，需要的费用也越高。好在“曙光”已现。今年2月27日，我国成立了中央网络安全和信息化领导小组，由习近平总书记担任组长。5月22日，国家互联网信息办公室宣布我国将推出网络安全审查制度。6月24日，国务院印发《国家集成电路产业发展推进纲要》，要求国家扩大内需的各项惠民工程和财政资金支持的重大信息化项目的政府采购部分应采购基于安全可靠软硬件的产品。8月28日，工信部发布《关于加强电信和互联网行业网络安全工作的指导意见》，提出推进安全可控关键软硬件应用等工作重点。9月，银监会下发了《关于应用安全可控信息技术加强银行业网络安全和信息化建设的指导意见》，提出到2019年，安全可控信息技术在银行业总体达到75％左右的使用率。这些无不是针对信息安全难题，大力发展我国具有自主知识产权软硬件产品而作出的重要举措。

在首届国家网络安全宣传周启动仪式上，中共中央政治局常委、中央书记处书记、中央网络安全和信息化领导小组副组长刘云山指出，网络信息人人共享，网络安全人人有责。要不断增强全民网络安全意识，切实维护网络安全，着力推进网络空间法治化，为建设网络强国提供有力保障。中央的重视，对振兴国产软硬件的发展具有积极意义。

最后，要大量采购国产软硬件产品。一方面要完善我国的政策环境，创造出适合“国货”生产、发展的土壤；另一方面，需要政府采购当事各方的相互配合。其中，采购人的积极使用是关键，制造厂商的努力（提高产品质量、技术含量和服务水准等）是重点，政府采购代理机构是桥梁，只有各方共同努力、全面合作，才能形成一个采购“国货”、使用“国货”的良好氛围。

一个国家的自主品牌从培育到壮大离不开政府和民众的支持，而政府采购正是实现支持、培育“国货”的理想手段。从另一层意义上看，不管是什么产品或者软件，只有通过大量使用，才能促进技术进步、产品完善。在掌握信息产品核心技术方面，我国与发达国家的差距不容乐观。在我国目前的现实条件下，仅靠一地之力，“国货”很难与“洋货”相抗衡，在IT领域尤其如此。因此，需打破行政区域的界限，立足于全国一盘棋，让采购人优先购买、使用“国货”，举国上下牢固树立以购买、使用“国货”为荣的意识。

那么，什么样的信息系统才是安全的呢？具体来说，信息安全的目标就是要实现“六个性”：真实性，即对信息来源进行判断，能对伪造来源的信息予以鉴别；保密性，即保证机密信息不被窃听，或窃听者不能了解信息的真实含义；完整性，即保证数据的一致性，防止数据被非法用户篡改；可用性，即保证合法用户对信息和资源的使用不会被不正当地拒绝；不可抵赖性，即建立有效的责任机制，防止用户否认其行为，这在电子商务中尤其重要；可控性，即对信息的传播及内容具有控制能力。归根结底，最关键的还是要掌握核心技术，开发、制造出具有自主知识产权的软硬件产品，才能真正保证我国信息领域的安全。

（作者单位：上海市政府采购中心）