呂漢陽(yáng)：應(yīng)盡快建立政采信息安全審查制度

呂漢陽(yáng)：應(yīng)盡快建立政采信息安全審查制度

呂漢陽(yáng)

國(guó)家信息中心助理研究員

信息是一種商品，具有一般商品的屬性，包括價(jià)值屬性，可以進(jìn)行定價(jià)。但是，信息又不是普通商品，不具有排他性，具有外部性和外溢效應(yīng)。信息對(duì)個(gè)人有信息產(chǎn)權(quán)概念，對(duì)國(guó)家有信息主權(quán)概念，因此存在安全風(fēng)險(xiǎn)。WTO框架下歧視政策的例外是國(guó)家安全、GPA等。而信息安全是國(guó)家安全中的重要方面。因此在政府采購(gòu)領(lǐng)域建立信息安全審查合規(guī)，不違背WTO，而且，在國(guó)外，政府采購(gòu)也成為保護(hù)國(guó)家信息安全的重要手段。

2006年3月，美國(guó)國(guó)務(wù)院經(jīng)招標(biāo)確定采購(gòu)聯(lián)想集團(tuán)價(jià)值約1300萬(wàn)美元的1.6萬(wàn)多臺(tái)計(jì)算機(jī)設(shè)備。美中經(jīng)濟(jì)安全調(diào)查委員會(huì)以“使用聯(lián)想計(jì)算機(jī)會(huì)對(duì)美國(guó)國(guó)家安全產(chǎn)生災(zāi)難性后果”為由，提出強(qiáng)烈反對(duì)，并將意見(jiàn)提交于國(guó)會(huì)。最后美國(guó)政府調(diào)整了原來(lái)的采購(gòu)計(jì)劃，在聯(lián)想與美國(guó)國(guó)土安全部簽訂的安全協(xié)定上又多加了限制條件，要求聯(lián)想在參與美國(guó)的政府采購(gòu)時(shí)，不得以任何形式索取、接受、維護(hù)、鑒別有關(guān)美國(guó)政府定購(gòu)電腦產(chǎn)品的用戶信息，同時(shí)還宣布將會(huì)修改政府采購(gòu)流程。

由此，聯(lián)想必須通過(guò)美國(guó)政府認(rèn)可的本地第三方公司代理而不能直接向美國(guó)政府部門(mén)提供產(chǎn)品及售后服務(wù)，同時(shí)必須無(wú)條件接受美國(guó)安全部門(mén)對(duì)其信息系統(tǒng)使用情況的檢查。另外，聯(lián)想必須通過(guò)美國(guó)政府認(rèn)可的本國(guó)公司提供產(chǎn)品售后服務(wù)，而不能直接進(jìn)行產(chǎn)品售后服務(wù)。

無(wú)獨(dú)有偶，IBM的臺(tái)式計(jì)算機(jī)曾一直是日本防衛(wèi)廳采購(gòu)目錄的“注冊(cè)廠商”，也曾經(jīng)是日本防衛(wèi)廳重要的計(jì)算機(jī)設(shè)備提供者。但I(xiàn)BM的臺(tái)式計(jì)算機(jī)部門(mén)被聯(lián)想收購(gòu)后，日本防衛(wèi)廳在2006年4月，以防止“中國(guó)制造”的臺(tái)式計(jì)算機(jī)“滲透”而造成 “泄密”為理由，拒絕接受聯(lián)想生產(chǎn)的IBM品牌臺(tái)式計(jì)算機(jī)，從此聯(lián)想徹底無(wú)緣日本防衛(wèi)廳電腦采購(gòu)招標(biāo)。

2013年3月26日，奧巴馬簽署的一項(xiàng)新開(kāi)支法案中，包含一條禁止美國(guó)政府機(jī)構(gòu)購(gòu)買(mǎi)與中國(guó)政府有關(guān)公司信息技術(shù)的條款。這項(xiàng)法案規(guī)定，有關(guān)機(jī)構(gòu)考慮購(gòu)買(mǎi)IT系統(tǒng)時(shí)須向執(zhí)法機(jī)關(guān)咨詢“網(wǎng)絡(luò)間諜或破壞”風(fēng)險(xiǎn)，必須包括中國(guó)“所有、領(lǐng)導(dǎo)或補(bǔ)貼的一個(gè)或多個(gè)實(shí)體生產(chǎn)、制造、裝配IT系統(tǒng)的任何風(fēng)險(xiǎn)”評(píng)估。

總之，美國(guó)的安全審查制度不但有嚴(yán)密的法律體系，而且還有專(zhuān)業(yè)的操作機(jī)構(gòu)。

據(jù)統(tǒng)計(jì)，在京中央國(guó)家機(jī)關(guān)各單位政府采購(gòu)具有自主知識(shí)產(chǎn)權(quán)的軟件產(chǎn)品僅占通用軟件產(chǎn)品采購(gòu)總金額的10%。其中，數(shù)據(jù)庫(kù)及中間件軟件被國(guó)外產(chǎn)品所壟斷，操作系統(tǒng)和辦公軟件95%為美國(guó)微軟公司的產(chǎn)品。各部門(mén)采購(gòu)的大中型主機(jī)、高端服務(wù)器基本被美國(guó)IBM、HP和SUN公司生產(chǎn)的產(chǎn)品所壟斷，路由器、交換機(jī)等網(wǎng)絡(luò)設(shè)備，國(guó)外產(chǎn)品也占據(jù)了50%以上的市場(chǎng)份額。

而且，國(guó)外企業(yè)及外資控股企業(yè)通過(guò)銷(xiāo)售產(chǎn)品，直接參與產(chǎn)品的售后服務(wù)，可以輕易掌握政府用戶的信息以及政務(wù)網(wǎng)絡(luò)的運(yùn)行狀況；在用戶保密意識(shí)不強(qiáng)的時(shí)候，涉及國(guó)家安全的信息、核心數(shù)據(jù)等都有可能遭到竊取。因此，我國(guó)政府、國(guó)企和金融機(jī)構(gòu)大量采購(gòu)國(guó)外信息類(lèi)產(chǎn)品是國(guó)家信息安全的重要隱患之一。

2009年國(guó)家質(zhì)檢總局印發(fā)了《關(guān)于調(diào)整信息安全產(chǎn)品強(qiáng)制性認(rèn)證實(shí)施要求的公告》，要求8類(lèi)13種信息安全產(chǎn)品進(jìn)入政府采購(gòu)前必須實(shí)行強(qiáng)制性認(rèn)證。2010年財(cái)政部、工信部、國(guó)家質(zhì)檢總局、國(guó)家認(rèn)監(jiān)委等多個(gè)部委聯(lián)合發(fā)布了《關(guān)于信息安全產(chǎn)品實(shí)施政府采購(gòu)的通知》，要求供應(yīng)商必須具備中國(guó)信息安全認(rèn)證中心按國(guó)家標(biāo)準(zhǔn)認(rèn)證頒發(fā)的有效認(rèn)證證書(shū)。2013年8月1日，中央國(guó)家機(jī)關(guān)政府采購(gòu)中心發(fā)布的《關(guān)于信息安全產(chǎn)品資質(zhì)審核的通知》，對(duì)于部分入圍產(chǎn)品的型號(hào)與中國(guó)信息安全產(chǎn)品認(rèn)證證書(shū)上的“產(chǎn)品名稱(chēng)和型號(hào)、規(guī)格、版本”不一致的情況，需要該產(chǎn)品的生產(chǎn)制造廠家向中國(guó)信息安全認(rèn)證中心提交資質(zhì)有關(guān)的差異說(shuō)明，待材料審核、現(xiàn)場(chǎng)質(zhì)詢后出具確認(rèn)意見(jiàn)，采購(gòu)中心審核通過(guò)后，產(chǎn)品名單將在中央政府采購(gòu)網(wǎng)協(xié)議供貨信息類(lèi)產(chǎn)品直接發(fā)布。

但是，已有的政策遠(yuǎn)遠(yuǎn)不夠。建議我國(guó)政府采購(gòu)領(lǐng)域盡快建立信息安全審查制度，其核心是可用、可信。信息安全審查主要有三個(gè)方面的內(nèi)容：一是技術(shù)，二是機(jī)構(gòu)的工商及資格方面的審查，三是加強(qiáng)信息安全審查成為投資并購(gòu)的審查核心。最后，扶持本土創(chuàng)新是根本和長(zhǎng)遠(yuǎn)之計(jì)。