政府采購難堵政府信息安全漏洞
http://www.scshapp.com/index.php
發(fā)布日期：2013年07月17日
■ 本報記者 程紅琳 梁爽
如果說2006年的“聯(lián)想安全門”事件讓公眾對國家信息安全問題一度“猜想”的話，那么由斯諾登引爆的“棱鏡門”則把猜想變成了事實：中國的網(wǎng)絡(luò)安全近乎裸體地站在“武裝到牙齒”的對手面前。
輿論仿佛又回到了2006年：要求政府采購扛起信息安全的大旗，把好最后一道關(guān)。為此，本報記者開始了一路的探究……
政策法規(guī)：折翼的天使
翻出“聯(lián)想安全門”事件的舊日報道會發(fā)現(xiàn)：政策法規(guī)不給力、采購人沒有安全意識是主要“罪狀”。事隔多年之后，事實還是如此嗎？
“鑒于信息安全產(chǎn)品和服務(wù)在國家經(jīng)濟社會中的特殊地位，目前，我國對信息安全產(chǎn)品政府采購已有相關(guān)規(guī)定?！眹倚畔踩行闹硌芯繂T呂漢陽博士向記者介紹道,2009年，國家質(zhì)檢總局印發(fā)了《關(guān)于調(diào)整信息安全產(chǎn)品強制性認證實施要求的公告》，要求8類13種信息安全產(chǎn)品進入政府采購前必須實行強制性認證。2010年，財政部等多個部委聯(lián)合發(fā)布了《關(guān)于信息安全產(chǎn)品實施政府采購的通知》，要求自2010年5月1日起，防火墻、安全路由器、安全數(shù)據(jù)庫系統(tǒng)等13種產(chǎn)品須在《政府采購法》規(guī)定的范圍內(nèi)實行強制性認證，未獲得強制性認證證書和未加施中國強制性認證標志的，不得進入政府采購領(lǐng)域。
那么，這些規(guī)定在執(zhí)行中的效果如何？記者通過調(diào)查發(fā)現(xiàn)，現(xiàn)有的政策在執(zhí)行中被打了折扣。截至2013年5月31日，中國信息安全認證中心雖已頒發(fā)了350張信息安全產(chǎn)品認證證書，強制認證作用卻不甚明顯?！靶畔踩a(chǎn)品有54個品種，但是目前已經(jīng)進入強制性認證范圍的只有13類?！?nbsp;中國信息安全認證中心副主任陳曉樺告訴記者。
“除了有相當一部分信息安全產(chǎn)品未進行政府采購強制認證外，防火墻等13種信息安全產(chǎn)品的招標文件中，有些并未將信息安全產(chǎn)品證書作為強制性準入資格?！眳螡h陽告訴記者。
為什么會出現(xiàn)這種情況？常年從事IT類產(chǎn)品政府采購的上海市政府采購中心采購二部副部長、高級工程師秦志龍給出了他的答案：“我國的網(wǎng)絡(luò)安全、信息安全無法保障的原因，主要在于自主信息技術(shù)軟硬件產(chǎn)品和服務(wù)還不能自成體系，高端數(shù)據(jù)庫、芯片、服務(wù)器和操作系統(tǒng)等不能自給?！鼻刂君堉赋觯畔⒄＿\行的關(guān)鍵在于交換機、手機、芯片、系統(tǒng)等設(shè)備，這些設(shè)備的主流軟硬件廠商均來自美國，如英特爾、微軟、谷歌、蘋果等公司，計算機的核心技術(shù)，包括CPU和操作系統(tǒng)等也都源自美國。
秦志龍的這種說法，記者不但在不少IT行業(yè)的從業(yè)者處得到證實，而且日前出版的《瞭望》新聞周刊也對此論述：整體而言，我國信息安全自主可控的進展相對有限。目前，高端信息產(chǎn)品尚不能完全自主，特別是核心設(shè)備技術(shù)、整體解決方案、信息安全標準等嚴重依賴于國外廠商，國民經(jīng)濟重要部門有近70%的信息設(shè)備來自國外。
即便是自主產(chǎn)品，多數(shù)仍屬“穿衣”模式，基本建立在以WINTEL(微軟+英特爾的縮寫)為代表的國外技術(shù)平臺上，其硬件主要通過對外采購產(chǎn)品或向外購買專利獲得，仍然嚴重受制于人。
那么，采購人的安全意識否一如往昔？在記者的隨機采訪中，絕大多數(shù)的采購人單位都對信息安全有了一個非常明確的認識，而且也認為應(yīng)該采購國貨。然而，面對為什么不能落實的追問，國內(nèi)產(chǎn)品不好用，滿足不了使用需求，不知道哪些是國貨等問題成為最主要的原因。
面對不給力的技術(shù)，再好的政策法規(guī)亦如折翼的天使。
再談國貨：仍是一聲嘆息
即便有現(xiàn)行的政策法規(guī)，有業(yè)內(nèi)人士仍然坦言，在現(xiàn)有法律的框架下，政府采購還是難以最大程度地守衛(wèi)信息安全，主要原因是“國貨”的界定仍然是一道難解的題。
“目前國貨缺乏認定標準?！眳螡h陽說道，我國《政府采購法》第10條要求“政府采購應(yīng)當采購本國貨物、工程和服務(wù)”，其中“國貨”界定依照國務(wù)院規(guī)定執(zhí)行。2010年5月，財政部、商務(wù)部、發(fā)展改革委、海關(guān)總署聯(lián)合起草了《政府采購本國產(chǎn)品管理辦法（征求意見稿）》，延續(xù)了《政府采購法實施條例（征求意見稿）》中的相關(guān)內(nèi)容，并明確規(guī)定“本辦法所稱本國產(chǎn)品是指在中國關(guān)境內(nèi)生產(chǎn)，且國內(nèi)生產(chǎn)成本比例超過50%的最終產(chǎn)品?！?
《征求意見稿》一經(jīng)發(fā)布便在IT行業(yè)引發(fā)了極大的爭議。爭論的焦點不僅集中在標準上，還有適用范圍。有觀點甚至提出，國貨標準不適用于核心技術(shù)完全掌控在國外企業(yè)的IT產(chǎn)業(yè)中，中國工程院院士倪光南和原中國開源軟件推進聯(lián)盟副秘書長袁萌還為此在媒體上口舌相戰(zhàn)。
事實上，盡管政府采購主管部門做出了巨大的努力，但時至今日國貨的認定標準依然無法明確。在以往單一經(jīng)濟環(huán)境下,本國產(chǎn)品、本土企業(yè)都是非常容易認定的,國有企業(yè)的產(chǎn)品就代表著本國產(chǎn)品。但是在多種經(jīng)濟體并存的環(huán)境條件下,問題就變得非常復雜。一方面為吸引外資,就要給外商創(chuàng)造良好的投資環(huán)境，如果將外企在華的企業(yè)所研發(fā)、制造產(chǎn)品視為本國產(chǎn)品，就涉及到核心技術(shù)究竟掌握在誰手里的問題。另一方面，越來越多的國外信息類產(chǎn)品廠商加速本土化，即便是采購“所謂的國貨”，也可能難以實現(xiàn)信息類產(chǎn)品的安全可控。
盡管如此，有關(guān)專家學者們?nèi)匀慌Φ貙ふ铱尚械姆椒?。呂漢陽認為，應(yīng)在不違背WTO的前提下進行政策設(shè)計，明確“本國貨物”的認定標準及量化指標，建立信息安全標準化體系和政府信息安全產(chǎn)品采購指南；強制要求各部門在本國貨物能夠滿足應(yīng)用需求時，必須采購本國貨物并優(yōu)先采購目錄內(nèi)的產(chǎn)品；因技術(shù)原因確需采購非本國貨物時，必須按照有關(guān)規(guī)定報相關(guān)部門審批。同時該產(chǎn)品也必須通過國家的信息安全檢測認證，并以此要求國外廠商開放涉及信息安全的關(guān)鍵技術(shù)。
“此外，在堅持采購本國貨物的基礎(chǔ)上，對國外企業(yè)及外資控股企業(yè)參與信息類產(chǎn)品的政府采購設(shè)定更為嚴格的準入措施。例如，對于微軟、IBM等外資控股企業(yè)的售后服務(wù)必須通過中國第三方非外資控股企業(yè)代理進行，禁止國外企業(yè)及外資控股企業(yè)直接為政府部門服務(wù)?！眳螡h陽說道。
專家呼吁：頂層設(shè)計亟待銜接
與中國政府機關(guān)的用戶親睞國外信息類產(chǎn)品形成鮮明對比的是，美國政府機關(guān)在采購信息產(chǎn)品采購方面慎之又慎。
從1809年為政府采購立法至今，美國已經(jīng)制定相關(guān)法律法規(guī)500余部，并利用這些疏密有致的法律法規(guī)最大程度地維護了本國國家安全。此外，在機構(gòu)設(shè)置上，負責美國《聯(lián)邦采購條例》(FAR)修改工作的聯(lián)邦政府采購政策管理辦公室，下設(shè)FAR理事會，成員包括國防部、聯(lián)邦總務(wù)署（GSA）和航天航空局的行政首長?！堵?lián)邦采購條例》第二十五部分就美國政府部門的對外采購行為做出了具體規(guī)定，包括美國與其他國家間貿(mào)易協(xié)定的執(zhí)行；采購程序；合同標的物的價格評估及中標者評定辦法等內(nèi)容，規(guī)定并原則上限制美國政府部門從國外采購應(yīng)用于國內(nèi)的物品、服務(wù)及建材等，并就可以購買外國產(chǎn)品的情形做了明確列舉。
不僅如此，就在“棱鏡門”事件曝光3個月以前，受“網(wǎng)絡(luò)攻擊”是美國媒體熱議的大事，對此，美國甚至呼吁國會就網(wǎng)絡(luò)安全問題開啟新一輪立法進程。今年3月底，美國總統(tǒng)奧巴馬簽署了一項政府經(jīng)費法案，對政府IT設(shè)備采購加強安全評估，矛頭直指聯(lián)想、華為等中國廠商。
相比起來，無論從立法層面以及機構(gòu)的設(shè)置上，我國在保護國家信息安全方面難掩捉襟見肘的尷尬。“雖然危險不斷、威脅巨大，但不等于我們可以無所作為，聽之任之。我們可利用政府采購支持民族信息產(chǎn)業(yè)。”秦志龍認為，從長遠戰(zhàn)略眼光看，我國信息安全產(chǎn)業(yè)必須立足在一個完整的體系上，不受國際壟斷集團控制，防止國際敵對勢力對信息安全領(lǐng)域的滲透，關(guān)鍵的問題是應(yīng)當立足于自主開發(fā)，研制適應(yīng)各種信息安全需要的CPU芯片和專門芯片，這樣安全性高，而且成本比進口低很多。因此，他認為，政府采購應(yīng)更好地發(fā)揮其政策功能，扶持民族信息產(chǎn)業(yè)發(fā)展。
中國人民大學公共管理學院行政管理系副教授王叢虎認為，反觀“棱鏡門”事件，下一步我國政府采購有兩個問題需要解決：一是《政府采購法》需加強與《保密法》的銜接。涉及國家安全的采購，不受自由貿(mào)易的限制，政府采購應(yīng)充分結(jié)合《保密法》對國家安全和利益的相關(guān)規(guī)定。在制度層面，對涉及國家安全的信息類產(chǎn)品采購實行限定措施。二是在目前政府采購涉及國家安全領(lǐng)域的規(guī)定處于空缺狀態(tài)下，我們的政府采購工作人員在組織采購的過程中，執(zhí)行多過應(yīng)該理解法律的內(nèi)涵和初衷，靈活操作。在他看來，政府采購信息類產(chǎn)品可以上升到國家安全高度，采購自主或是安全可控的信息類產(chǎn)品，無可厚非，這種理由在國際上也是成立的。
來源：中國政府采購報
如果說2006年的“聯(lián)想安全門”事件讓公眾對國家信息安全問題一度“猜想”的話，那么由斯諾登引爆的“棱鏡門”則把猜想變成了事實：中國的網(wǎng)絡(luò)安全近乎裸體地站在“武裝到牙齒”的對手面前。
輿論仿佛又回到了2006年：要求政府采購扛起信息安全的大旗，把好最后一道關(guān)。為此，本報記者開始了一路的探究……
政策法規(guī)：折翼的天使
翻出“聯(lián)想安全門”事件的舊日報道會發(fā)現(xiàn)：政策法規(guī)不給力、采購人沒有安全意識是主要“罪狀”。事隔多年之后，事實還是如此嗎？
“鑒于信息安全產(chǎn)品和服務(wù)在國家經(jīng)濟社會中的特殊地位，目前，我國對信息安全產(chǎn)品政府采購已有相關(guān)規(guī)定?！眹倚畔踩行闹硌芯繂T呂漢陽博士向記者介紹道,2009年，國家質(zhì)檢總局印發(fā)了《關(guān)于調(diào)整信息安全產(chǎn)品強制性認證實施要求的公告》，要求8類13種信息安全產(chǎn)品進入政府采購前必須實行強制性認證。2010年，財政部等多個部委聯(lián)合發(fā)布了《關(guān)于信息安全產(chǎn)品實施政府采購的通知》，要求自2010年5月1日起，防火墻、安全路由器、安全數(shù)據(jù)庫系統(tǒng)等13種產(chǎn)品須在《政府采購法》規(guī)定的范圍內(nèi)實行強制性認證，未獲得強制性認證證書和未加施中國強制性認證標志的，不得進入政府采購領(lǐng)域。
那么，這些規(guī)定在執(zhí)行中的效果如何？記者通過調(diào)查發(fā)現(xiàn)，現(xiàn)有的政策在執(zhí)行中被打了折扣。截至2013年5月31日，中國信息安全認證中心雖已頒發(fā)了350張信息安全產(chǎn)品認證證書，強制認證作用卻不甚明顯?！靶畔踩a(chǎn)品有54個品種，但是目前已經(jīng)進入強制性認證范圍的只有13類?！?nbsp;中國信息安全認證中心副主任陳曉樺告訴記者。
“除了有相當一部分信息安全產(chǎn)品未進行政府采購強制認證外，防火墻等13種信息安全產(chǎn)品的招標文件中，有些并未將信息安全產(chǎn)品證書作為強制性準入資格?！眳螡h陽告訴記者。
為什么會出現(xiàn)這種情況？常年從事IT類產(chǎn)品政府采購的上海市政府采購中心采購二部副部長、高級工程師秦志龍給出了他的答案：“我國的網(wǎng)絡(luò)安全、信息安全無法保障的原因，主要在于自主信息技術(shù)軟硬件產(chǎn)品和服務(wù)還不能自成體系，高端數(shù)據(jù)庫、芯片、服務(wù)器和操作系統(tǒng)等不能自給?！鼻刂君堉赋觯畔⒄＿\行的關(guān)鍵在于交換機、手機、芯片、系統(tǒng)等設(shè)備，這些設(shè)備的主流軟硬件廠商均來自美國，如英特爾、微軟、谷歌、蘋果等公司，計算機的核心技術(shù)，包括CPU和操作系統(tǒng)等也都源自美國。
秦志龍的這種說法，記者不但在不少IT行業(yè)的從業(yè)者處得到證實，而且日前出版的《瞭望》新聞周刊也對此論述：整體而言，我國信息安全自主可控的進展相對有限。目前，高端信息產(chǎn)品尚不能完全自主，特別是核心設(shè)備技術(shù)、整體解決方案、信息安全標準等嚴重依賴于國外廠商，國民經(jīng)濟重要部門有近70%的信息設(shè)備來自國外。
即便是自主產(chǎn)品，多數(shù)仍屬“穿衣”模式，基本建立在以WINTEL(微軟+英特爾的縮寫)為代表的國外技術(shù)平臺上，其硬件主要通過對外采購產(chǎn)品或向外購買專利獲得，仍然嚴重受制于人。
那么，采購人的安全意識否一如往昔？在記者的隨機采訪中，絕大多數(shù)的采購人單位都對信息安全有了一個非常明確的認識，而且也認為應(yīng)該采購國貨。然而，面對為什么不能落實的追問，國內(nèi)產(chǎn)品不好用，滿足不了使用需求，不知道哪些是國貨等問題成為最主要的原因。
面對不給力的技術(shù)，再好的政策法規(guī)亦如折翼的天使。
再談國貨：仍是一聲嘆息
即便有現(xiàn)行的政策法規(guī)，有業(yè)內(nèi)人士仍然坦言，在現(xiàn)有法律的框架下，政府采購還是難以最大程度地守衛(wèi)信息安全，主要原因是“國貨”的界定仍然是一道難解的題。
“目前國貨缺乏認定標準?！眳螡h陽說道，我國《政府采購法》第10條要求“政府采購應(yīng)當采購本國貨物、工程和服務(wù)”，其中“國貨”界定依照國務(wù)院規(guī)定執(zhí)行。2010年5月，財政部、商務(wù)部、發(fā)展改革委、海關(guān)總署聯(lián)合起草了《政府采購本國產(chǎn)品管理辦法（征求意見稿）》，延續(xù)了《政府采購法實施條例（征求意見稿）》中的相關(guān)內(nèi)容，并明確規(guī)定“本辦法所稱本國產(chǎn)品是指在中國關(guān)境內(nèi)生產(chǎn)，且國內(nèi)生產(chǎn)成本比例超過50%的最終產(chǎn)品?！?
《征求意見稿》一經(jīng)發(fā)布便在IT行業(yè)引發(fā)了極大的爭議。爭論的焦點不僅集中在標準上，還有適用范圍。有觀點甚至提出，國貨標準不適用于核心技術(shù)完全掌控在國外企業(yè)的IT產(chǎn)業(yè)中，中國工程院院士倪光南和原中國開源軟件推進聯(lián)盟副秘書長袁萌還為此在媒體上口舌相戰(zhàn)。
事實上，盡管政府采購主管部門做出了巨大的努力，但時至今日國貨的認定標準依然無法明確。在以往單一經(jīng)濟環(huán)境下,本國產(chǎn)品、本土企業(yè)都是非常容易認定的,國有企業(yè)的產(chǎn)品就代表著本國產(chǎn)品。但是在多種經(jīng)濟體并存的環(huán)境條件下,問題就變得非常復雜。一方面為吸引外資,就要給外商創(chuàng)造良好的投資環(huán)境，如果將外企在華的企業(yè)所研發(fā)、制造產(chǎn)品視為本國產(chǎn)品，就涉及到核心技術(shù)究竟掌握在誰手里的問題。另一方面，越來越多的國外信息類產(chǎn)品廠商加速本土化，即便是采購“所謂的國貨”，也可能難以實現(xiàn)信息類產(chǎn)品的安全可控。
盡管如此，有關(guān)專家學者們?nèi)匀慌Φ貙ふ铱尚械姆椒?。呂漢陽認為，應(yīng)在不違背WTO的前提下進行政策設(shè)計，明確“本國貨物”的認定標準及量化指標，建立信息安全標準化體系和政府信息安全產(chǎn)品采購指南；強制要求各部門在本國貨物能夠滿足應(yīng)用需求時，必須采購本國貨物并優(yōu)先采購目錄內(nèi)的產(chǎn)品；因技術(shù)原因確需采購非本國貨物時，必須按照有關(guān)規(guī)定報相關(guān)部門審批。同時該產(chǎn)品也必須通過國家的信息安全檢測認證，并以此要求國外廠商開放涉及信息安全的關(guān)鍵技術(shù)。
“此外，在堅持采購本國貨物的基礎(chǔ)上，對國外企業(yè)及外資控股企業(yè)參與信息類產(chǎn)品的政府采購設(shè)定更為嚴格的準入措施。例如，對于微軟、IBM等外資控股企業(yè)的售后服務(wù)必須通過中國第三方非外資控股企業(yè)代理進行，禁止國外企業(yè)及外資控股企業(yè)直接為政府部門服務(wù)?！眳螡h陽說道。
專家呼吁：頂層設(shè)計亟待銜接
與中國政府機關(guān)的用戶親睞國外信息類產(chǎn)品形成鮮明對比的是，美國政府機關(guān)在采購信息產(chǎn)品采購方面慎之又慎。
從1809年為政府采購立法至今，美國已經(jīng)制定相關(guān)法律法規(guī)500余部，并利用這些疏密有致的法律法規(guī)最大程度地維護了本國國家安全。此外，在機構(gòu)設(shè)置上，負責美國《聯(lián)邦采購條例》(FAR)修改工作的聯(lián)邦政府采購政策管理辦公室，下設(shè)FAR理事會，成員包括國防部、聯(lián)邦總務(wù)署（GSA）和航天航空局的行政首長?！堵?lián)邦采購條例》第二十五部分就美國政府部門的對外采購行為做出了具體規(guī)定，包括美國與其他國家間貿(mào)易協(xié)定的執(zhí)行；采購程序；合同標的物的價格評估及中標者評定辦法等內(nèi)容，規(guī)定并原則上限制美國政府部門從國外采購應(yīng)用于國內(nèi)的物品、服務(wù)及建材等，并就可以購買外國產(chǎn)品的情形做了明確列舉。
不僅如此，就在“棱鏡門”事件曝光3個月以前，受“網(wǎng)絡(luò)攻擊”是美國媒體熱議的大事，對此，美國甚至呼吁國會就網(wǎng)絡(luò)安全問題開啟新一輪立法進程。今年3月底，美國總統(tǒng)奧巴馬簽署了一項政府經(jīng)費法案，對政府IT設(shè)備采購加強安全評估，矛頭直指聯(lián)想、華為等中國廠商。
相比起來，無論從立法層面以及機構(gòu)的設(shè)置上，我國在保護國家信息安全方面難掩捉襟見肘的尷尬。“雖然危險不斷、威脅巨大，但不等于我們可以無所作為，聽之任之。我們可利用政府采購支持民族信息產(chǎn)業(yè)。”秦志龍認為，從長遠戰(zhàn)略眼光看，我國信息安全產(chǎn)業(yè)必須立足在一個完整的體系上，不受國際壟斷集團控制，防止國際敵對勢力對信息安全領(lǐng)域的滲透，關(guān)鍵的問題是應(yīng)當立足于自主開發(fā)，研制適應(yīng)各種信息安全需要的CPU芯片和專門芯片，這樣安全性高，而且成本比進口低很多。因此，他認為，政府采購應(yīng)更好地發(fā)揮其政策功能，扶持民族信息產(chǎn)業(yè)發(fā)展。
中國人民大學公共管理學院行政管理系副教授王叢虎認為，反觀“棱鏡門”事件，下一步我國政府采購有兩個問題需要解決：一是《政府采購法》需加強與《保密法》的銜接。涉及國家安全的采購，不受自由貿(mào)易的限制，政府采購應(yīng)充分結(jié)合《保密法》對國家安全和利益的相關(guān)規(guī)定。在制度層面，對涉及國家安全的信息類產(chǎn)品采購實行限定措施。二是在目前政府采購涉及國家安全領(lǐng)域的規(guī)定處于空缺狀態(tài)下，我們的政府采購工作人員在組織采購的過程中，執(zhí)行多過應(yīng)該理解法律的內(nèi)涵和初衷，靈活操作。在他看來，政府采購信息類產(chǎn)品可以上升到國家安全高度，采購自主或是安全可控的信息類產(chǎn)品，無可厚非，這種理由在國際上也是成立的。
來源：中國政府采購報
