安全的程序 忠誠的人
http://www.scshapp.com/index.php
發(fā)布日期：2014年03月24日
政府采購信息安全可以分為兩大類。一是涉及國家安全的采購信息保全，而不單指國家安全系統(tǒng)的技術(shù)、設(shè)備及服務(wù)等采購；二是信息技術(shù)的安全采購。美國采購信息安全政策和措施非常完善，信息安全規(guī)范貫穿《聯(lián)邦采購條例》始末。
完備的法規(guī)支撐體系。第一層次是計劃目標，包括《國家產(chǎn)業(yè)安全計劃》(NISP)與《國家產(chǎn)業(yè)安全計劃實施指南》；第二層次是立法規(guī)范，包括《美國法典》第10部分和第41部分、美國《公法》第40部分、《聯(lián)邦法規(guī)法典》（CFR）第36部分、《1996年卡琳爾-科恩法案》、《隱私權(quán)法》以及《聯(lián)邦信息安全管理法案》；第三層級是具體規(guī)范，包括《產(chǎn)業(yè)安全條例》、《合同安全保密等級規(guī)范》、HSPD-12、預(yù)算管理辦公室第A-130通知、預(yù)算管理辦公室(OMB)指南M-05-24及國家安全部(DHS)與美國公民和移民服務(wù)機構(gòu)的合格雇傭查證計劃(E-Verify)等。對于沒有納入國家產(chǎn)業(yè)安全計劃(NISP)的采購機構(gòu)應(yīng)按照相關(guān)規(guī)定來制定本機構(gòu)的安全規(guī)范。
詳實具體的執(zhí)行標準。政府采購信息安全執(zhí)行第201期《聯(lián)邦信息處理標準》(FIPS PUB)、聯(lián)邦總務(wù)局第70《聯(lián)邦供給目錄》、第132-62期《特別項目》(SIN)、國家標準以及技術(shù)協(xié)會的商業(yè)部門指南和標準，便于機構(gòu)購買已認證的安全貨物和服務(wù)。
國家安全至上原則。政府采購社會政策要讓位于信息安全政策，同時允許合同公告例外、公開競爭及密封投標的例外。
明確的采購機構(gòu)和官員職責(zé)。不僅明確規(guī)范了采購機構(gòu)負責(zé)人和合同官保護祖國信息安全的職責(zé)，而且設(shè)立機構(gòu)首席安全信息管理官和信息技術(shù)采購計劃員職位，并明確他們具體責(zé)任。
忠誠等級審查認證制。對供應(yīng)商、其從業(yè)人員以及臨時雇員進行國家忠誠程度的審查，并依據(jù)其安全等級的不同分別允許他們使用不同保密等級的公共設(shè)施或信息資料。
強化信息安全風(fēng)險管理。在承認風(fēng)險客觀存在的同時，要求最大限度地控制和減少風(fēng)險，加強信息安全的風(fēng)險管理。
因此，我國在實現(xiàn)政府采購信息安全政策中，不僅要借鑒美國政府采購信息安全的規(guī)范性程序設(shè)計，而且要借鑒其對人的安全性管理和規(guī)范。
（作者單位：中南財經(jīng)政法大學(xué)中國政府采購研究所）
來源：中國政府采購報
完備的法規(guī)支撐體系。第一層次是計劃目標，包括《國家產(chǎn)業(yè)安全計劃》(NISP)與《國家產(chǎn)業(yè)安全計劃實施指南》；第二層次是立法規(guī)范，包括《美國法典》第10部分和第41部分、美國《公法》第40部分、《聯(lián)邦法規(guī)法典》（CFR）第36部分、《1996年卡琳爾-科恩法案》、《隱私權(quán)法》以及《聯(lián)邦信息安全管理法案》；第三層級是具體規(guī)范，包括《產(chǎn)業(yè)安全條例》、《合同安全保密等級規(guī)范》、HSPD-12、預(yù)算管理辦公室第A-130通知、預(yù)算管理辦公室(OMB)指南M-05-24及國家安全部(DHS)與美國公民和移民服務(wù)機構(gòu)的合格雇傭查證計劃(E-Verify)等。對于沒有納入國家產(chǎn)業(yè)安全計劃(NISP)的采購機構(gòu)應(yīng)按照相關(guān)規(guī)定來制定本機構(gòu)的安全規(guī)范。
詳實具體的執(zhí)行標準。政府采購信息安全執(zhí)行第201期《聯(lián)邦信息處理標準》(FIPS PUB)、聯(lián)邦總務(wù)局第70《聯(lián)邦供給目錄》、第132-62期《特別項目》(SIN)、國家標準以及技術(shù)協(xié)會的商業(yè)部門指南和標準，便于機構(gòu)購買已認證的安全貨物和服務(wù)。
國家安全至上原則。政府采購社會政策要讓位于信息安全政策，同時允許合同公告例外、公開競爭及密封投標的例外。
明確的采購機構(gòu)和官員職責(zé)。不僅明確規(guī)范了采購機構(gòu)負責(zé)人和合同官保護祖國信息安全的職責(zé)，而且設(shè)立機構(gòu)首席安全信息管理官和信息技術(shù)采購計劃員職位，并明確他們具體責(zé)任。
忠誠等級審查認證制。對供應(yīng)商、其從業(yè)人員以及臨時雇員進行國家忠誠程度的審查，并依據(jù)其安全等級的不同分別允許他們使用不同保密等級的公共設(shè)施或信息資料。
強化信息安全風(fēng)險管理。在承認風(fēng)險客觀存在的同時，要求最大限度地控制和減少風(fēng)險，加強信息安全的風(fēng)險管理。
因此，我國在實現(xiàn)政府采購信息安全政策中，不僅要借鑒美國政府采購信息安全的規(guī)范性程序設(shè)計，而且要借鑒其對人的安全性管理和規(guī)范。
（作者單位：中南財經(jīng)政法大學(xué)中國政府采購研究所）
來源：中國政府采購報
