走出信息安全產品認證困局

走出信息安全產品認證困局

■ 文  沐瀾

這幾天，北京天融信科技有限公司負責中央國家機關政府采購協調工作的林女士的心情與天氣一樣焦灼——公司旗下13款信息安全類產品因協議供貨入圍型號與中國信息安全認證中心頒發的證書上列明的型號不一致，而被暫停了協議供貨資格。有此遭遇的不止天融信一家，與她心情一樣的還有其他23家廠商。

前不久，中央國家機關政府采購中心（以下簡稱國采中心）發布《關于信息安全產品資質審核的通知》，24家企業的142款信息安全類產品協議供貨入圍的型號與中國信息安全產品認證證書上的“產品名稱和型號、規格、版本”不一致，被暫停協議供貨資格。

根據財政部等多個部委聯合發布的《關于信息安全產品實施政府采購的通知》，自2010年5月1日起，安全路由器、安全數據庫系統等13種產品須在《政府采購法》規定的范圍內實行強制性認證。中國信息安全認證中心具體負責此項認證工作，而擔負申請認證產品檢測的機構共有7家。截至2013年5月31日，中國信息安全認證中心已頒發了350張信息安全產品認證證書。

為什么會出現“產品協議供貨入圍型號與中國信息安全產品認證證書上的產品名稱和型號、規格、版本不一致”的情況呢？

在我國現行的信息安全管理體制框架下，企業所生產的信息安全類產品所要經過的檢測不只一種，而是涉及多個國家職能部門的檢測要求。每類檢測所需的時間、成本對于企業盡快營利都會造成一定的影響。因此，對企業而言，參與認證的次數、所獲證書的數量自然是越少越好。而根據相關的認證規則，每個產品型號不一定都對應一張認證證書，同一產品單元認證即核心指標相同、邊緣指標或外形不同的產品也可作為同一認證。

在這樣的情況下，部分企業認為：既然國家并沒有規定每款產品與認證證書必須一一對應，那么多款規格類似的產品對應一張證書也無傷大雅。記者在國采中心此次公布的清單中發現，幾乎所有被公示的企業都有多款產品只對應一個證書的情況。其中，涉及產品款數最多的北京神州綠盟科技有限公司，其20款產品只對應了5個證書。

在記者與部分相關企業的溝通中，幾乎每家企業都會心虛地表示：“又不是只有我們一家出現這種情況，你看這次被公示的企業那么多，大家都是這樣做的。”不難看出，多款產品對應一個證書已是企業的慣用手段。

從另一個角度來看，認證機構和集采機構作為獨立的第三方機構、作為連接采購人和供應商的橋梁，必須做到正確把關，才能將國家對信息安全產品采購的相關規定落到實處。

至于當前如何破解企業“一證對多品”和“相應減少廠商認證成本”的問題，記者認為，只有集中采購機構、認證機構、檢測機構以及企業4方當事人在法律法規的框架下，針對信息安全產品采購的具體特點認真分析、共同探討，方能尋找出一條妥善解決的途徑。