每個人心中的中國夢具體是什么，無從得知。但自2013年的"棱鏡門"事件后，中國信息安全產業的中國夢，卻似乎越來越具體真實，在眾多信息安全人士的腦海中，迫不及待地試圖噴薄而出。政府負責人、資深專家、企業高層、學者紛紛變身，就如同《盜夢空間》的造夢師一樣，潛心描繪和構筑心目中的信息安全盛世，固若金湯且自助可控。

如何讓信息安全的中國夢早日變得真實又完美？眾人努力的方向在哪里？記者走訪了 信息安全圈內的專家、廠商，挖掘到實現中國夢的最關鍵因素就在于--管制之道。正所謂無以規矩不成方圓，要想實現國家信息安全，"管制"二字內有乾坤。

專家答疑政策背后

2014年中國政府對信息安全的重視達到了空前的高度。先是政府采購封殺微軟win8，后公安部稱賽門鐵克存在后門，禁止使用。一個是全國操作系統的霸主，一個是全球最大的信息安全廠商，中國政府拿這兩個美國企業開刀，引出無數問號。最核心的問題還是為什么要"管"？為什么現在"管"？如何"管"？

國家信息技術安全研究中心李京春認為，以往我國只是對網絡進行表層化管理，主要包括功能符合檢測和低層面的安全審查。目前網絡產品和服務逐漸向深層次發展，若繼續沿用以前的監管辦法，就很可能會出現網絡監管漏洞，進而給國家安全和用戶安全造成損失。"對發現存在安全隱患的網絡產品和服務，不論是外國企業還是中國境內企業，中國政府都一視同仁，都要遵從、適應這一管理制度的實施，這才能滿足國家關鍵基礎設施和重要信息系統的安全性能要求。"

在他看來，對網絡產品和服務的提供商、運營商和服務商進行審查，還能促使企業規范行為標準，提高服務質量，這也算是硬幣的另一面了。

正確理解中國制造的標簽

中國對信息安全的管控得到大多數人的認可。然而業界討論的另一個話題又冒出來：所有的非中國信息安全企業都要一竿子打倒嗎？是不是只有采購國內企業的信息安全產品才能保證安全？其實這幾個問題的背后，又延伸出新的問題，什么樣的企業才算國內信息安全企業？采購什么樣的產品才能保證安全？顯然這個問題，讓掌握IT設備采購大權的決策者來回答更有權威性。E行網就對眾多CIO用戶提出了這個問題。

采訪中，將近半數的CIO回答非常理性。作為企業單位掌握IT設備采購大權的決策者，大多數人都認為不能將信息安全產品貼上簡單的國字號或非國字號標簽。有一位CIO表示，資本是全球化流動的，企業的資本屬性是變化的，資本屬性不足以證明企業的能力和誠信，資本的流動性是常態，國內知名IT企業也多有外資背景。在滿足國家網絡安全審查技術標準的前提下，人們更應該關注4個關鍵點，才能抓住問題的本質：

1. 產品/代碼的安全性與知識產權所在地的關聯性強于與資本背景的關聯性；

2. 產品/代碼的安全性與研發所在地的關聯性強于與資本背景的關聯性；

3. 產品/代碼的安全性與研發團隊的國籍的關聯性強于資本背景的關聯性；

4. 企業、開發者需對所著代碼安全性作出終身有效的承諾，愿意對審查開放并受中國法律約束（法制保護）。

工業和信息化部電信研究院副院長劉多的話，似乎也在佐證了這位CIO的觀點。劉多表示，網絡安全審查制度可以有多種方式，主要目的是為了維護安全，但網絡安全審查制度不是行政許可，也不是對所有的設備和服務進行審查。他強調，"中國的網絡安全審查制度將'無國別'實施"。

當記者問到信息安全的可控時，一位CIO理智的反問也讓記者思索良久。"一個信息安全企業，身份背景姑且不論，它的核心人員在中國，它的研發、生產制造、服務等業務也在中國，稅收就業還在中國，它的所有關鍵行為遵從可控，它的核心技術和知識產權皆可控，難道這樣的企業還不算可控嗎？采購這樣企業的產品的風險又從何談起呢 ？"

安全與技術進步的兼容

解答了"為什么要管？"、"管的對象是誰？"之后，最關鍵的問題是"如何管？"。記者認為，如何實現信息安全產業的中國夢，其實是一個非常龐大的命題。因為信息安全產業鏈環節眾多，每個環節從自身角度出發，都能描繪出不一樣的中國夢藍圖。但是，作為信息安全產業中最重要的網絡安全環節，它的地位和意義更加特殊，上至政府，下至企業，網絡安全中國夢更離不開"管制之道"。

通過采訪，記者概括起來，管制之道，有三點絕對繞不開，即安全能力、安全可控、安全誠信。三者結合才能切實保障國家的網絡安全。

用中國信息安全測評中心總工王軍的話來說，安全能力是指自身強健，外界難以突破。"安全可靠"則是IT界第一原則，所有國家在關鍵IT系統的技術選擇均把"安全可靠"作為第一原則。前不久發生的NSA事件其實也是對網絡安全的啟示：首先安全能力不等同于企業的資本屬性；其次沒有安全能力，附加任何其它條件，都保障不了信息安全；最后具備安全能力，不等于安全"可控"和安全"誠信"。

而安全誠信則更好理解一些，指主觀上絕不做危害國家信息安全的事情，客觀上積極主動接受國家主管部門的全方位審查，從源代碼到硬件設計。CEC中國信息安全研究院副院長左曉棟明確表示，審查的內容絕不單單是一個單純的技術性的審查。而是將考量各種指標和因素。包括對企業聲譽，背景審查、公司資質，"將從多角度衡量產品和提供商的可控性與安全性。"

其實在采訪中，記者發現，安全審查的目的不是固步自封，而是為了以更好的姿態融入到世界的信息化建設大潮中。國家信息安全固然重要，但在全球化的背景下，推動更多的IT能力中心進入中國，安全與技術進步才能兼而有之，這才是目前國內所有的信息安全人士樂意看到的現實。