“對網絡安全的要求是‘自主可控、安全可信’，這里，我們把自主可控作為安全可信的一個前提，它可以通過第三方機構進行評估，作為衡量軟硬件安全屬性的一項指標。”中國工程院院士倪光南在日前召開的2015中國網絡安全大會上表示。
應加強并完善計算機系統等級保護制度
自1994年起，國家陸續出臺了一系列實施計算機系統等級保護制度的文件，這些制度目前處于推廣階段。實行信息安全等級保護是客觀需求，也符合信息安全發展規律。當前，我們應加強并完善等級保護工作，為保障網絡安全、信息安全服務。與此相應，對信息產品要實行分級測評認證。
據了解，國際上采用的“通用準則（CC）”到1999年成為國際標準（ISO/IEC 15408）。我國于2001年采用這一標準，稱為國標GB/T 18336，共分七個安全等級，從低到高，分別為EAL1～EAL7。
“我們希望信息系統從設計、采購、選型等開始，就以等級保護作為指導。”倪光南表示，美國從2002年7月起，規定政府和軍隊采購必須優先選用通過CC認證的產品。
“我們可以借鑒他們的做法，今后要求政府和重要信息系統建設優先采購通過分級測評認證的產品。這種做法既有利于增強網絡安全，又符合市場經濟自由競爭原則，可以公開、公平、公正地推行。”倪光南說。
據介紹，現在我國IC卡、SIM卡保護等級最高可達EAL5，操作系統最高可達到EAL4，將來能否達到更高的安全級別還有待研究。
倪光南表示，目前在這方面我們的標準工作還跟不上需求。“例如對生物特征進行識別，現在只有虹膜識別系統有個標準，而對指紋、掌紋、人臉、聲紋等的識別，現在都還沒有標準。”
倪光南認為，現有的分級測評標準遠遠跟不上安全發展的需要。今后，分級測評認證標準要適應新一代信息技術的要求。
最近推出的航天元心的移動操作系統，通過研制單位和測評認證機構的共同努力，基本上通過了EAL4測評認證，并在此基礎上相應的標準正在加緊制定。“今后這有望作為重要部門采購移動終端的一個必要條件，國產桌面操作系統也可以仿照這一先例。”倪光南表示。
“我們希望將來重要信息系統，應當采購或者優先采購通過分級測評認證、達到高安全等級的產品，例如要求達到EAL4或EAL3等級，這需要通過第三方機構測評，是可以做到公開、公平、公正的，這樣做有助于增進網絡安全。”倪光南坦言。
自主可控的評估標準
“分級測試認證不能解決全部產品的安全性評估問題。我們需要建立一個對軟硬件的自主可控進行評估的體系。”倪光南建議。
“對于一個信息系統的安全要求可以概括為‘自主可控、安全可信’。”倪光南說，“其中，‘自主可控’比較容易評估，容易操作，而‘安全可信’較難評估，這里，只討論自主可控的評估問題。”
“自主可控是非常重要的。我們把自主可控作為達到安全可信的一個前提。自主可控基本上可以保證沒有后門，如發現漏洞，也能進行改進、治理，不斷地提高安全性。”倪光南說，“這里我們把自主可控作為一種屬性，像性能指標、經濟指標一樣，都是可以評估的，但安全可信的評估要復雜得多，暫時還沒有容易操作的方法。對于自主可控，我們提出從五個維度進行考量：即知識產權、技術能力、發展主動權、供應鏈安全和‘國產’資質。”
自主可控評估的五個維度
首先是知識產權（包括標準）自主可控。
倪光南認為，在當前我們面向全球化的情況之下，對知識產權問題必須十分重視。“當然也不是要求所有的知識產權都是自己的，可以通過合法授權，通過商業運作，取得有足夠自主權的知識產權，否則的話，這項工作就不能去做。”
“其次是技術能力自主可控。”倪光南表示，技術能力指的是團隊，沒有團隊，就沒有人掌握知識產權和技術。“例如，即使有了知識產權，幾千萬行代碼沒有人讀得懂，這個知識產權能有多大用處呢？有時我們會對技術能力有更高的要求，包括產業化的能力，構建產業鏈、構建生態系統的能力等。”倪光南說。
“發展主動權與供應鏈安全也需要自主可控。如果沒有發展主動權，即使技術能力很強，掌握了知識產權也沒用，結果還會受制于人。”倪光南坦言，在這種情況下，就要及早下決心進行糾正，決心下得越早越好。
同時，對產業鏈、供應鏈的安全也要重視。“一個產品即使有知識產權，團隊有設計能力，但生產不出來也沒有用；如果產業鏈的某個重要環節不能控制，生產環節受制于人，還是做不到自主可控。”倪光南說。
倪光南表示，“國產是自主可控的重要條件，但國產不等于自主可控。”關于“國產”目前還沒有統一的標準，我國政府采購法從2003年生效到現在，雖然要求政府采購應當首選本國產品、工程和服務，但是因為缺乏對“國產”的正確界定標準，這項要求實際上難以實施。
目前，國產往往只用“資質”進行衡量，即用國有、民營、混合所有制、內資、VIE、外資等等進行衡量。“我們建議對‘國產’除了衡量資質外，還需要加上增值準則。”倪光南說，這方面美國經驗值得借鑒，“即產品必須是在美國當地生產的、增值達到50%以上的產品，進口件組裝的不算本國產品。這個準則對高技術產品和一般產品都適用。我們可以學習他們的經驗，采用這個準則。”倪光南認為，增值準則的弊端在于容易發生把進口硬件貼個牌子冒充國產，或者把進口軟件通過整合變成國產解決方案的問題。況且，增值大小還可以作為國產化程度的一種考量。“這是需要注意和防范的問題。”倪光南說。
京公網安備 11010502049343號