倪光南：網(wǎng)絡(luò)安全保障對(duì)互聯(lián)網(wǎng)+戰(zhàn)略十分重要

完善等級(jí)保護(hù)工作

倪光南表示，等級(jí)安全保護(hù)工作是網(wǎng)絡(luò)安全本質(zhì)的需求，也是符合信息安全發(fā)展的規(guī)律，應(yīng)該加強(qiáng)和完善等級(jí)保護(hù)工作。

提到等級(jí)保護(hù)，就必然要提及認(rèn)證產(chǎn)品等級(jí)問題。等級(jí)保護(hù)尤其要對(duì)重要的要求高等級(jí)的產(chǎn)品保護(hù)，對(duì)一般的可能相對(duì)不那么需要。實(shí)際上由于各種原因，一個(gè)系統(tǒng)三級(jí)保護(hù)并不是說所有的產(chǎn)品都是三級(jí)，因?yàn)槟壳坝行┊a(chǎn)品還沒有相應(yīng)的標(biāo)準(zhǔn)。產(chǎn)品的認(rèn)證關(guān)鍵的等級(jí)保護(hù)和系統(tǒng)保護(hù)有關(guān)系，但也不完全等同。

倪光南建議在信息化建設(shè)中對(duì)于重要的產(chǎn)品應(yīng)該優(yōu)先采購(gòu)?fù)ㄟ^高級(jí)別測(cè)評(píng)認(rèn)證的產(chǎn)品，對(duì)關(guān)鍵技術(shù)核心領(lǐng)域，比如像CPU、操作系統(tǒng)這些技術(shù)軟件也能進(jìn)行分級(jí)認(rèn)證。

倪光南舉例，美國(guó)從2002年7月開始規(guī)定政府和軍隊(duì)必須優(yōu)先采用通過CC認(rèn)證的產(chǎn)品。CC認(rèn)證是目前國(guó)際上通行的一個(gè)準(zhǔn)則，從1985年開始國(guó)際上就有一些關(guān)于CC的準(zhǔn)則，一直到1999年成為國(guó)際標(biāo)準(zhǔn)。我家在2001年采用相同標(biāo)準(zhǔn)成為國(guó)標(biāo)就是18336。

在18336里我國(guó)相應(yīng)的標(biāo)準(zhǔn)有七個(gè)級(jí)別，從EAL1到EAL7。這主要取決于產(chǎn)品的情況，比如目前對(duì)IC卡、SIM卡最高到EAL5，服務(wù)器操作系統(tǒng)最高到EAL4，很多產(chǎn)品還沒有這樣的標(biāo)準(zhǔn)。我們希望按照這樣的方式把重要的產(chǎn)品，包括關(guān)鍵核心技術(shù)設(shè)備也能夠制定標(biāo)準(zhǔn)進(jìn)行分級(jí)認(rèn)證。

設(shè)立自主可控評(píng)估標(biāo)準(zhǔn)

在網(wǎng)絡(luò)安全層面，“自主可控安全可信”是目前最常見的提法。如何達(dá)到這樣的要求，倪光南認(rèn)為，通過等級(jí)保護(hù)分級(jí)認(rèn)證是十分必要的，網(wǎng)信辦已經(jīng)發(fā)布了網(wǎng)絡(luò)安全審查制度，所以目前我們建議出臺(tái)一些新的制度保證。自主可控是非常重要的條件，而且是可以評(píng)估的。

在自主可控的評(píng)估標(biāo)準(zhǔn)中，倪光南認(rèn)為要從知識(shí)產(chǎn)權(quán)、技術(shù)能力、發(fā)展格局、供應(yīng)鏈和“國(guó)產(chǎn)”資質(zhì)五個(gè)維度進(jìn)行評(píng)估。

在當(dāng)前的國(guó)際競(jìng)爭(zhēng)格局下，知識(shí)產(chǎn)權(quán)自主可控可以說是有一票否決權(quán)的，這個(gè)產(chǎn)品很好、技術(shù)很好就看你能不能采用就看是不是有知識(shí)產(chǎn)權(quán)，別人很可能用知識(shí)產(chǎn)權(quán)就卡住了你的脖子。

在知識(shí)產(chǎn)權(quán)上面一層就是技術(shù)能力。如果沒有技術(shù)能力支撐就無法掌握知識(shí)產(chǎn)權(quán)，買來的產(chǎn)品還需要外國(guó)人來設(shè)計(jì)。所以自主可控包含一定的技術(shù)能力也就是創(chuàng)新能力。

從長(zhǎng)期看，自主可控還需要具備后續(xù)發(fā)展的能力。倪光南舉例，比如國(guó)內(nèi)很多手機(jī)廠商都在安卓系統(tǒng)上做本地化的改進(jìn)，但是你當(dāng)前看可能暫時(shí)沒有問題，有能力做改變但是關(guān)鍵是發(fā)展是誰掌握的。如果新的版本不能兼容，你是否還有繼續(xù)發(fā)展的能力?

自主可控還需要完整供應(yīng)鏈的支持。比如芯片產(chǎn)業(yè)，你能設(shè)計(jì)這個(gè)芯片，好像知識(shí)產(chǎn)權(quán)似乎沒問題，但是你發(fā)現(xiàn)你做不了，國(guó)內(nèi)無法生產(chǎn)，你還得交到外國(guó)廠子生產(chǎn)，最后你發(fā)現(xiàn)還是被別人控制的，還是受制于人的。