“對網(wǎng)絡(luò )安全的要求是‘自主可控、安全可信’，這里，我們把自主可控作為安全可信的一個(gè)前提，它可以通過(guò)第三方機構進(jìn)行評估，作為衡量軟硬件安全屬性的一項指標?！敝袊こ淘涸菏磕吖饽显谌涨罢匍_(kāi)的2015中國網(wǎng)絡(luò )安全大會(huì )上表示。

應加強并完善計算機系統等級保護制度

自1994年起，國家陸續出臺了一系列實(shí)施計算機系統等級保護制度的文件，這些制度目前處于推廣階段。實(shí)行信息安全等級保護是客觀(guān)需求，也符合信息安全發(fā)展規律。當前，我們應加強并完善等級保護工作，為保障網(wǎng)絡(luò )安全、信息安全服務(wù)。與此相應，對信息產(chǎn)品要實(shí)行分級測評認證。

據了解，國際上采用的“通用準則(CC)”到1999年成為國際標準(ISO/IEC15408)。我國于2001年采用這一標準，稱(chēng)為國標GB/T18336，共分七個(gè)安全等級，從低到高，分別為EAL1～EAL7。

“我們希望信息系統從設計、采購、選型等開(kāi)始，就以等級保護作為指導?！蹦吖饽媳硎?，美國從2002年7月起，規定政府和軍隊采購必須優(yōu)先選用通過(guò)CC認證的產(chǎn)品。

“我們可以借鑒他們的做法，今后要求政府和重要信息系統建設優(yōu)先采購通過(guò)分級測評認證的產(chǎn)品。這種做法既有利于增強網(wǎng)絡(luò )安全，又符合市場(chǎng)經(jīng)濟自由競爭原則，可以公開(kāi)、公平、公正地推行?！蹦吖饽险f(shuō)。

據介紹，現在我國IC卡、SIM卡保護等級最高可達EAL5，操作系統最高可達到EAL4，將來(lái)能否達到更高的安全級別還有待研究。

倪光南表示，目前在這方面我們的標準工作還跟不上需求?！袄鐚ι锾卣鬟M(jìn)行識別，現在只有虹膜識別系統有個(gè)標準，而對指紋、掌紋、人臉、聲紋等的識別，現在都還沒(méi)有標準?！?/p>

倪光南認為，現有的分級測評標準遠遠跟不上安全發(fā)展的需要。今后，分級測評認證標準要適應新一代信息技術(shù)的要求。

最近推出的航天元心的移動(dòng)操作系統，通過(guò)研制單位和測評認證機構的共同努力，基本上通過(guò)了EAL4測評認證，并在此基礎上相應的標準正在加緊制定?！敖窈筮@有望作為重要部門(mén)采購移動(dòng)終端的一個(gè)必要條件，國產(chǎn)桌面操作系統也可以仿照這一先例?！蹦吖饽媳硎?。

“我們希望將來(lái)重要信息系統，應當采購或者優(yōu)先采購通過(guò)分級測評認證、達到高安全等級的產(chǎn)品，例如要求達到EAL4或EAL3等級，這需要通過(guò)第三方機構測評，是可以做到公開(kāi)、公平、公正的，這樣做有助于增進(jìn)網(wǎng)絡(luò )安全?！蹦吖饽咸寡?。

自主可控的評估標準

“分級測試認證不能解決全部產(chǎn)品的安全性評估問(wèn)題。我們需要建立一個(gè)對軟硬件的自主可控進(jìn)行評估的體系?！蹦吖饽辖ㄗh。

“對于一個(gè)信息系統的安全要求可以概括為‘自主可控、安全可信’?！蹦吖饽险f(shuō)，“其中，‘自主可控’比較容易評估，容易操作，而‘安全可信’較難評估，這里，只討論自主可控的評估問(wèn)題?！?/p>

“自主可控是非常重要的。我們把自主可控作為達到安全可信的一個(gè)前提。自主可控基本上可以保證沒(méi)有后門(mén)，如發(fā)現漏洞，也能進(jìn)行改進(jìn)、治理，不斷地提高安全性?！蹦吖饽险f(shuō)，“這里我們把自主可控作為一種屬性，像性能指標、經(jīng)濟指標一樣，都是可以評估的，但安全可信的評估要復雜得多，暫時(shí)還沒(méi)有容易操作的方法。對于自主可控，我們提出從五個(gè)維度進(jìn)行考量：即知識產(chǎn)權、技術(shù)能力、發(fā)展主動(dòng)權、供應鏈安全和‘國產(chǎn)’資質(zhì)?！?/p>

自主可控評估的五個(gè)維度

首先是知識產(chǎn)權(包括標準)自主可控。

倪光南認為，在當前我們面向全球化的情況之下，對知識產(chǎn)權問(wèn)題必須十分重視?！爱斎灰膊皇且笏械闹R產(chǎn)權都是自己的，可以通過(guò)合法授權，通過(guò)商業(yè)運作，取得有足夠自主權的知識產(chǎn)權，否則的話(huà)，這項工作就不能去做?！?/p>

“其次是技術(shù)能力自主可控?！蹦吖饽媳硎?，技術(shù)能力指的是團隊，沒(méi)有團隊，就沒(méi)有人掌握知識產(chǎn)權和技術(shù)?！袄?，即使有了知識產(chǎn)權，幾千萬(wàn)行代碼沒(méi)有人讀得懂，這個(gè)知識產(chǎn)權能有多大用處呢?有時(shí)我們會(huì )對技術(shù)能力有更高的要求，包括產(chǎn)業(yè)化的能力，構建產(chǎn)業(yè)鏈、構建生態(tài)系統的能力等?！蹦吖饽险f(shuō)。

“發(fā)展主動(dòng)權與供應鏈安全也需要自主可控。如果沒(méi)有發(fā)展主動(dòng)權，即使技術(shù)能力很強，掌握了知識產(chǎn)權也沒(méi)用，結果還會(huì )受制于人?！蹦吖饽咸寡?，在這種情況下，就要及早下決心進(jìn)行糾正，決心下得越早越好。

同時(shí)，對產(chǎn)業(yè)鏈、供應鏈的安全也要重視?！耙粋€(gè)產(chǎn)品即使有知識產(chǎn)權，團隊有設計能力，但生產(chǎn)不出來(lái)也沒(méi)有用;如果產(chǎn)業(yè)鏈的某個(gè)重要環(huán)節不能控制，生產(chǎn)環(huán)節受制于人，還是做不到自主可控?！蹦吖饽险f(shuō)。

倪光南表示，“國產(chǎn)是自主可控的重要條件，但國產(chǎn)不等于自主可控?！标P(guān)于“國產(chǎn)”目前還沒(méi)有統一的標準，我國政府采購法從2003年生效到現在，雖然要求政府采購應當首選本國產(chǎn)品、工程和服務(wù)，但是因為缺乏對“國產(chǎn)”的正確界定標準，這項要求實(shí)際上難以實(shí)施。

目前，國產(chǎn)往往只用“資質(zhì)”進(jìn)行衡量，即用國有、民營(yíng)、混合所有制、內資、VIE、外資等等進(jìn)行衡量?！拔覀兘ㄗh對‘國產(chǎn)’除了衡量資質(zhì)外，還需要加上增值準則?！蹦吖饽险f(shuō)，這方面美國經(jīng)驗值得借鑒，“即產(chǎn)品必須是在美國當地生產(chǎn)的、增值達到50%以上的產(chǎn)品，進(jìn)口件組裝的不算本國產(chǎn)品。這個(gè)準則對高技術(shù)產(chǎn)品和一般產(chǎn)品都適用。我們可以學(xué)習他們的經(jīng)驗，采用這個(gè)準則?！蹦吖饽险J為，增值準則的弊端在于容易發(fā)生把進(jìn)口硬件貼個(gè)牌子冒充國產(chǎn)，或者把進(jìn)口軟件通過(guò)整合變成國產(chǎn)解決方案的問(wèn)題。況且，增值大小還可以作為國產(chǎn)化程度的一種考量?！斑@是需要注意和防范的問(wèn)題?！蹦吖饽险f(shuō)。

來(lái)源：《中國科學(xué)報》作者：郭爽