信息安全產品有別于通用類產品

與同在政府采購領域的節能產品和環境標志產品政府采購清單動輒上萬款產品相比，2年半的時間里僅有近300款產品獲政府采購信息安全產品認證，但業內人士認為

信息安全產品有別于通用類產品

■ 本報記者 梁爽

自2010年5月1日我國信息安全產品實施政府采購到2012年9月底，共有293款信息安全產品獲得中國信息安全認證中心頒發的國家信息安全產品認證證書。

與同在政府采購領域的《節能產品政府采購清單》、《環境標志產品政府采購清單》動輒上萬款產品相比，2年半的時間里僅有近300款產品獲得政府采購信息安全產品認證，在數量上顯得單薄。

中國信息安全認證中心副主任陳曉樺日前在接受《中國政府采購報》記者采訪時表示，信息安全類產品與日常通用類產品的區別及其有限的應用范圍都是造成這種現狀的原因。

與通用類產品差別明顯

與節能清單和環保清單中的產品相比，需要進行認證的信息安全產品本身就與通用類產品存在較大差別。

首先從何為信息安全產品說起。在整日與信息打交道，并致力于信息安全防護專業領域的人看來，信息是有生命的。信息的生成、傳輸、處理、存儲、銷毀等環節構成了信息的生命周期。周期內每個環節都涉及到信息安全問題。

“信息安全包括信息是否不被泄漏，是否沒有被隨意修改，是否可以正常使用，是否真實，是否只能被合法人員使用，對信息的操作行為是否不可抵賴等。”負責政府采購信息安全產品認證工作的陳曉樺這樣說道。

當信息與安全合二為一，需對其加以防護時，至少包含兩方面內容，即信息本身（指數據或信息內容）的安全和信息系統（是否能夠提供持續服務）的安全。陳曉樺說，通常來講，所謂信息安全產品是指為了安全目的，在信息的生成、傳輸、處理、存儲等生命周期中使用的硬件、軟件產品和它們的組合。所以，信息安全產品在數量組成方面與通用類產品相比少之又少。

應用范圍有限也是不可忽視的原因

自2010年5月1日開始國家已將信息安全產品認證制度在政府采購領域強制實施。在政府采購之外，由于保障信息安全的重要性，我國對信息安全產品還設立了其他相關管理制度。如針對密碼技術類產品，國家實行生產、銷售、使用的管理制度；對計算機信息安全類產品，實行了銷售許可管理等。

陳曉樺告訴記者，當初國家相關部門在對政府采購信息安全產品認證制度進行設計時，本來是計劃將所有信息安全產品進行強制性認證。但受2008年全球金融危機影響以及美、日、歐等國家對此項制度所謂行政許可的質疑，縮小了范圍和性質，僅針對政府采購信息安全產品進行認證。

“當前實踐中應用的信息安全產品大概有50多種，但是納入政府采購信息安全產品認證范圍的僅有13種。這是因為對產品進行認證的前提是該類產品具有國家標準，而滿足這一條件的產品只有13種。”據陳曉樺介紹，在這13種產品中，有一部分產品在政府采購中的應用范圍有限，造成了企業對自己產品進行信息安全認證的熱情不高。還有的企業認為，只要自己的產品不涉足政府采購市場，就沒有必要進行信息安全認證。

在已納入認證范圍的13種產品中，防火墻、網絡入侵檢測產品是采購量較大的產品，相關企業的認證熱情相對較高。據中國信息安全認證中心統計，進行信息安全產品認證的產品數量能達到獲得國家銷售許可的此類產品的70%。目前，這一目標已基本實現。在防火墻產品領域，獲得信息安全產品認證的產品數量甚至已超過70%。

陳曉樺告訴記者，與其他認證不同的是，政府采購信息安全產品認證過程中，認證機構會派遣專家去企業對產品的研發環境和生產環境進行實地考察，一旦發現有不符合認證規定的地方就會立即指出，幫助企業提升產品安全品質。