走出信息安全產(chǎn)品認證困局

走出信息安全產(chǎn)品認證困局

■ 文  沐瀾

這幾天，北京天融信科技有限公司負責中央國家機關政府采購協(xié)調(diào)工作的林女士的心情與天氣一樣焦灼——公司旗下13款信息安全類產(chǎn)品因協(xié)議供貨入圍型號與中國信息安全認證中心頒發(fā)的證書上列明的型號不一致，而被暫停了協(xié)議供貨資格。有此遭遇的不止天融信一家，與她心情一樣的還有其他23家廠商。

前不久，中央國家機關政府采購中心（以下簡稱國采中心）發(fā)布《關于信息安全產(chǎn)品資質(zhì)審核的通知》，24家企業(yè)的142款信息安全類產(chǎn)品協(xié)議供貨入圍的型號與中國信息安全產(chǎn)品認證證書上的“產(chǎn)品名稱和型號、規(guī)格、版本”不一致，被暫停協(xié)議供貨資格。

根據(jù)財政部等多個部委聯(lián)合發(fā)布的《關于信息安全產(chǎn)品實施政府采購的通知》，自2010年5月1日起，安全路由器、安全數(shù)據(jù)庫系統(tǒng)等13種產(chǎn)品須在《政府采購法》規(guī)定的范圍內(nèi)實行強制性認證。中國信息安全認證中心具體負責此項認證工作，而擔負申請認證產(chǎn)品檢測的機構共有7家。截至2013年5月31日，中國信息安全認證中心已頒發(fā)了350張信息安全產(chǎn)品認證證書。

為什么會出現(xiàn)“產(chǎn)品協(xié)議供貨入圍型號與中國信息安全產(chǎn)品認證證書上的產(chǎn)品名稱和型號、規(guī)格、版本不一致”的情況呢？

在我國現(xiàn)行的信息安全管理體制框架下，企業(yè)所生產(chǎn)的信息安全類產(chǎn)品所要經(jīng)過的檢測不只一種，而是涉及多個國家職能部門的檢測要求。每類檢測所需的時間、成本對于企業(yè)盡快營利都會造成一定的影響。因此，對企業(yè)而言，參與認證的次數(shù)、所獲證書的數(shù)量自然是越少越好。而根據(jù)相關的認證規(guī)則，每個產(chǎn)品型號不一定都對應一張認證證書，同一產(chǎn)品單元認證即核心指標相同、邊緣指標或外形不同的產(chǎn)品也可作為同一認證。

在這樣的情況下，部分企業(yè)認為：既然國家并沒有規(guī)定每款產(chǎn)品與認證證書必須一一對應，那么多款規(guī)格類似的產(chǎn)品對應一張證書也無傷大雅。記者在國采中心此次公布的清單中發(fā)現(xiàn)，幾乎所有被公示的企業(yè)都有多款產(chǎn)品只對應一個證書的情況。其中，涉及產(chǎn)品款數(shù)最多的北京神州綠盟科技有限公司，其20款產(chǎn)品只對應了5個證書。

在記者與部分相關企業(yè)的溝通中，幾乎每家企業(yè)都會心虛地表示：“又不是只有我們一家出現(xiàn)這種情況，你看這次被公示的企業(yè)那么多，大家都是這樣做的。”不難看出，多款產(chǎn)品對應一個證書已是企業(yè)的慣用手段。

從另一個角度來看，認證機構和集采機構作為獨立的第三方機構、作為連接采購人和供應商的橋梁，必須做到正確把關，才能將國家對信息安全產(chǎn)品采購的相關規(guī)定落到實處。

至于當前如何破解企業(yè)“一證對多品”和“相應減少廠商認證成本”的問題，記者認為，只有集中采購機構、認證機構、檢測機構以及企業(yè)4方當事人在法律法規(guī)的框架下，針對信息安全產(chǎn)品采購的具體特點認真分析、共同探討，方能尋找出一條妥善解決的途徑。