今日頭條
官方微信
官方抖音
資訊頻道2019年4月1日，《信息技術(shù)產(chǎn)品安全可控評價指標》（以下簡稱《標準》）系列國家標準正式實施。這是由全國信息安全標準化技術(shù)委員會（SAC/TC 260）提出并歸口，并經(jīng)國家市場監(jiān)督管理總局、國家標準化管理委員會批準發(fā)布的國家標準。標準的前五部分于2018年9月以推薦性國家標準形式發(fā)布，主要規(guī)定了信息技術(shù)產(chǎn)品安全可控評價指標和評價方法。未來根據(jù)需要還將編制其他產(chǎn)品的安全可控評價指標。
1 安全可控領(lǐng)域標準正式實施
2016年10月9日，習近平總書記在中共中央政治局第三十六次集體學習時提出，“加快推進國產(chǎn)自主可控替代計劃，構(gòu)建安全可控的信息技術(shù)體系”“實施網(wǎng)絡(luò)信息領(lǐng)域核心技術(shù)設(shè)備攻堅戰(zhàn)略”。這充分說明，“構(gòu)建安全可控的信息技術(shù)體系”是我國網(wǎng)信領(lǐng)域的一項重大任務(wù)。
產(chǎn)業(yè)發(fā)展以及技術(shù)體系的建立離不開標準的規(guī)范。為促進安全可控這一領(lǐng)域的快速發(fā)展，由全國信息安全標準化技術(shù)委員會（SAC/TC 260）提出并歸口，并經(jīng)國家市場監(jiān)督管理總局、國家標準化管理委員會批準發(fā)布的《信息技術(shù)產(chǎn)品安全可控評價指標》系列國家標準出臺并于近日正式實施。
根據(jù)《標準》，第一部分為總則，明確了安全可控評價指標體系，從研發(fā)生產(chǎn)、供應(yīng)鏈和運維服務(wù)三個角度，提出了產(chǎn)品設(shè)計實現(xiàn)透明性、產(chǎn)品實現(xiàn)驗證、供應(yīng)鏈保障能力、服務(wù)保障能力等評價指標項，同時給出了評價的原則和程序等，為編制具體信息技術(shù)產(chǎn)品的安全可控評價指標和開展評價工作提供了指引。第二到五部分則依據(jù)總則分別針對中央處理器、操作系統(tǒng)、辦公套件和通用計算機產(chǎn)品給出具體的評價指標。
2 安全可控標準化勢在必行
回顧過去，“棱鏡門事件”、“勒索病毒事件”、“烏克蘭停電事件”、“中興事件”充分證明了我們的核心技術(shù)不能受制于人，沒有網(wǎng)絡(luò)安全就沒有國家安全。網(wǎng)絡(luò)時代，稍有不慎，我們就將暴露于各種風險之下。
《標準》提出，信息技術(shù)產(chǎn)品在安全可控方面所面臨的風險主要包括：
a)產(chǎn)品被非法控制、干擾和中斷運行；
b)產(chǎn)品及關(guān)鍵部件在生產(chǎn) 、測試、交付、技術(shù)支持過程中引發(fā)的供應(yīng)鏈安全問題；
c)產(chǎn)品供應(yīng)方利用提供產(chǎn)品的便利條件非法收集、存儲、處理、使用、銷毀用戶相關(guān)數(shù)；
d)產(chǎn)品供應(yīng)方利用應(yīng)用方對產(chǎn)品的依賴實施不正當競爭或損害應(yīng)用方利益；
e)其他可能危害國家安全和公共利益的情況。
目前，Wintel在中國一統(tǒng)天下。這些國外產(chǎn)品往往存在后門，用戶在遇到問題的情況下只能被動挨打，而自主可控意味著不存在后門，可以主動增強安全，用戶發(fā)現(xiàn)漏洞后可以主動打補丁。
當然，“國產(chǎn)的”并非表示一定安全，更不是安全的充分條件。國外先進技術(shù)之所以能夠得到廣泛的普及，與其相對可靠有著直接的關(guān)系。他們的產(chǎn)品被大量用戶反復(fù)驗證其可靠性和正確性。很多“國產(chǎn)化”的產(chǎn)品并非沒有安全問題，而是存在的安全問題我們并未發(fā)現(xiàn)。技術(shù)發(fā)展沒有捷徑，需要長期不懈的刻苦攻關(guān)才能完善。此《標準》的提出是為了扎實推進國產(chǎn)自主可控替代計劃，使國產(chǎn)信息技術(shù)產(chǎn)品更加安全可控。
3 安全可控從此有了“標尺”
《標準》制定的目的是為了安全可控，具體而言，安全可控保障是應(yīng)用方信任信息技術(shù)產(chǎn)品滿足其安全可控需求的基礎(chǔ)，其目標是保護應(yīng)用方的數(shù)據(jù)支配權(quán)、產(chǎn)品控制權(quán)和產(chǎn)品選擇權(quán)。其中：
a) 數(shù)據(jù)支配權(quán)是指應(yīng)用方能夠自主控制自己的數(shù)據(jù)，信息技術(shù)產(chǎn)品供應(yīng)方不在未經(jīng)授權(quán)情況下以任何形式獲取應(yīng)用方的數(shù)據(jù),損害應(yīng)用方對自己數(shù)據(jù)的支配權(quán);
b) 產(chǎn)品控制權(quán)是指應(yīng)用方能夠自主控制所使用的產(chǎn)品信息技術(shù)產(chǎn)品供應(yīng)方不在未經(jīng)授權(quán)情況下通過網(wǎng)絡(luò)控制和操縱應(yīng)用方產(chǎn)品，損害應(yīng)用方對自己所擁有和使用產(chǎn)品的控制權(quán);
c) 產(chǎn)品選擇權(quán)是指信息技術(shù)產(chǎn)品供應(yīng)方不應(yīng)利用應(yīng)用方對其產(chǎn)品和服務(wù)的依賴性牟取不當利益或損害應(yīng)用方權(quán)益，包括停止提供合理的安全技術(shù)支持、迫使應(yīng)用方更新?lián)Q代、惡意中斷產(chǎn)品供應(yīng)等。
該系列國家標準的制定，為落實《國家安全法》、《網(wǎng)絡(luò)安全法》等政策法規(guī)，有效提升我國信息技術(shù)產(chǎn)品安全可控水平，保障國家網(wǎng)絡(luò)安全提供了重要支撐。其作用主要體現(xiàn)在以下兩方面：
一是為信息技術(shù)產(chǎn)品廠商提升自身安全可控能力提供依據(jù)，推動各廠商不斷強化核心技術(shù)掌握能力、供應(yīng)鏈保障能力等，使安全可控從此有了“標尺”，有助于提升整個行業(yè)的安全可控能力；
二是為推動信息技術(shù)產(chǎn)品應(yīng)用單位提升安全可控保障能力提供手段，為主管部門評估各應(yīng)用單位信息系統(tǒng)的安全可控水平提了量化依據(jù)，進而有效督促重要領(lǐng)域和關(guān)鍵行業(yè)提升安全可控水平，保障國家關(guān)鍵信息基礎(chǔ)設(shè)施安全運行。
附件：
GB_T 36630.1-2018 信息安全技術(shù) 信息技術(shù)產(chǎn)品安全可控評價指標 第1部分：總則.pdf
GB_T 36630.2-2018 信息安全技術(shù) 信息技術(shù)產(chǎn)品安全可控評價指標 第2部分：中央處理器.pdf
GB_T 36630.3-2018 信息安全技術(shù) 信息技術(shù)產(chǎn)品安全可控評價指標 第3部分：操作系統(tǒng).pdf
GB_T 36630.4-2018 信息安全技術(shù) 信息技術(shù)產(chǎn)品安全可控評價指標 第4部分：辦公套件.pdf
GB_T 36630.5-2018 信息安全技術(shù) 信息技術(shù)產(chǎn)品安全可控評價指標 第5部分：通用計算機.pdf
參考文獻
[1]《<信息技術(shù)產(chǎn)品安全可控評價指標>系列國家標準獲批發(fā)布》[EB/OL].中國電子信息產(chǎn)業(yè)發(fā)展研究院網(wǎng)絡(luò)空間所.2018-09-30
[2]《構(gòu)建安全可控的信息技術(shù)體系》[EB/OL].倪光南.2018-05-11
[3]范科峰 工信部電子工業(yè)標準化研究院信息安全研究中心.《自主可控期待可量化標準》[J].信息安全與通信保密.2014.09:35-36
[4]《信息技術(shù)產(chǎn)品安全可控評價指標》系列國家標準GB/T 36630-2018 [Z].2018-09-17
來源： 自主可控新鮮事
北京市公安局海淀分局備案號：11010802023656號