信息安全產品插上強采“硬翅膀”

◎本報記者陳昂

信息安全產品將在《政府采購法》規定的范圍內實施強制認證。

按照質檢總局、財政部和認監委于2009年4月印發的《關于調整信息安全產品強制性認證實施要求的公告》要求，從2010年5月1日起，防火墻、網絡安全隔離卡與線路選擇器、安全隔離與信息交換、安全路由器、智能卡COS、數據備份與恢復、安全操作系統、安全數據庫系統、反垃圾郵件、入侵檢測系統、網絡脆弱性掃描、安全審計、網站恢復等13種產品須在《政府采購法》規定的范圍內實行強制性認證。未獲得強制性認證證書和未加施中國強制性認證標志的，不得進入政府采購領域。

中央地方上緊“安全弦”

據記者了解，國家質檢總局和國家認監委于2008年1月聯合發布的《關于部分信息安全產品實施強制性認證的公告》要求，對部分信息安全產品實施強制性認證。已獲得信息安全產品國家認證證書的產品涵蓋邊界安全、通信安全、身份鑒別與訪問控制、數據安全、基礎平臺、內容安全、評估審計與監控、應用安全等方面。

與之相呼應，從中央到地方近兩年都加緊了對采購信息安全類產品的重視程度。央企在新一輪采購正版軟件過程中也將信息安全擺在第一位，中國軟件企業一躍成為由國資委推動的央企正版軟件集中采購的供應商。

繼2009年可信安全計算機、安全服務器、安全域網關等品目作為涉密產品納入國采中心協議供貨之后，2010年國采中心在此基礎上又將網絡安全產品剝離出來，單獨進行采購。無獨有偶，黑龍江省也在近期悄然開啟該省信息安全產品采購目錄的收錄工作。

國家認證認可監督管理委員會主任孫大偉表示，獲得國家信息安全產品認證證書，表明產品的質量和安全性符合相關標準和技術規范的要求，并具備了進入政府采購領域的必要條件。

國采中心負責人則表示，對于網絡安全類產品的采購，其總體要求是政策性或是政治性要高于經濟性，首要關注的是確保進入協議供貨的產品沒有安全問題。

對此，南京市政府采購中心主任助理王九洲認為，國家或相關部門應通過立法形式對信息類產品采購項目的涉密范圍、涉密等級、涉密事項予以界定，并對不同涉密等級的信息類產品項目的政府采購程序、方法、要求作明確規定，以規范采購行為，制止和糾正涉密信息類產品采購的隨意性，讓采購當事人有法可依。

政采應率先為信息安全買單

目前，由公安部等四部委出臺的《信息安全等級安全保護管理辦法》要求，政府采購的安全產品原廠商必須是中國公民或國家投資，產品的核心技術、關鍵部件具有我國自主知識產權，產品研制沒有故意設置漏洞、后門、木馬等。

目前在政府采購領域，無法阻止由進口零件組裝的國產品牌產品進入政府采購，只要在中國組裝就成了非進口產品，大搖大擺地進入了政府采購市場。

浪潮集團董事長兼CEO孫丕恕在今年全國兩會期間曾對本報記者說過：“我國信息安全絕對不能捏在他人手里。”他認為，目前我國核心IT設備嚴重依賴國外品牌的狀況已嚴重威脅到國家信息安全，政府采購應加大采購本國產品的力度，鑄造信息安全的盾牌。

在眾多的信息安全威脅中，最令孫丕恕揪心的是核心電子設備，尤其是存儲和服務器領域大量采用進口產品的現狀讓人擔憂，這些產品中預留的“后門”有可能為他國獲取我國數據提供便利。

“只有國產化才能安全化。”孫丕恕如是說，“目前我國IT行業的核心技術確實比較薄弱，核心技術的發展應該循序漸進，可分兩步走：第一步，從成品的設計層面實現國產化；第二步可以嘗試使用本國產品，最終實現100%的自主可控。”

硬件才是信息安全的“心臟”

在同方股份有限公司副總裁、計算機系統本部總經理李健航看來，要真正實現信息安全，必須從硬件層面保證安全。在面對病毒攻擊時，傳統的軟件保護雖然能應付大部分情況，但依然存在被攻破的可能，只有硬件加密才能萬無一失。

李健航表示，要想從根本上扭轉政府信息安全的弱勢局面，必須在計算機芯片中建立防線，采購具有安全芯片的可信計算產品。他建議在諸多政府機構已制定的計算機類產品的配置標準中，應進一步規定涉密單位的計算機類產品配置必須是可信計算產品，進而使政府采購可信計算產品成為常態。

“構建政府信息安全系統必須由國內具有自主安全技術的廠商守衛，如果使用國外技術無異于把國門拱手讓人。”李健航的話表達了這樣一層意思：如果可信計算產品在芯片方面不使用具有自主知識產權的核心技術，那么信息安全就會變成沒有地基的空中樓閣。