来源：中国科学报 发布时间：2015-8-4

    ■本报见习记者 郭爽

    “对网络安全的要求是‘自主可控、安全可信’，这里，我们把自主可控作为安全可信的一个前提，它可以通过第三方机构进行评估，作为衡量软硬件安全属性的一项指标。”中国工程院院士倪光南在日前召开的2015中国网络安全大会上表示。

    应加强并完善计算机系统等级保护制度

    自1994年起，国家陆续出台了一系列实施计算机系统等级保护制度的文件，这些制度目前处于推广阶段。实行信息安全等级保护是客观需求，也符合信息安全发展规律。当前，我们应加强并完善等级保护工作，为保障网络安全、信息安全服务。与此相应，对信息产品要实行分级测评认证。

    据了解，国际上采用的“通用准则（CC）”到1999年成为国际标准（ISO/IEC 15408）。我国于2001年采用这一标准，称为国标GB/T 18336，共分七个安全等级，从低到高，分别为EAL1～EAL7。

    “我们希望信息系统从设计、采购、选型等开始，就以等级保护作为指导。”倪光南表示，美国从2002年7月起，规定政府和军队采购必须优先选用通过CC认证的产品。

    “我们可以借鉴他们的做法，今后要求政府和重要信息系统建设优先采购通过分级测评认证的产品。这种做法既有利于增强网络安全，又符合市场经济自由竞争原则，可以公开、公平、公正地推行。”倪光南说。

    据介绍，现在我国IC卡、SIM卡保护等级最高可达EAL5，操作系统最高可达到EAL4，将来能否达到更高的安全级别还有待研究。

    倪光南表示，目前在这方面我们的标准工作还跟不上需求。“例如对生物特征进行识别，现在只有虹膜识别系统有个标准，而对指纹、掌纹、人脸、声纹等的识别，现在都还没有标准。”

    倪光南认为，现有的分级测评标准远远跟不上安全发展的需要。今后，分级测评认证标准要适应新一代信息技术的要求。

    最近推出的航天元心的移动操作系统，通过研制单位和测评认证机构的共同努力，基本上通过了EAL4测评认证，并在此基础上相应的标准正在加紧制定。“今后这有望作为重要部门采购移动终端的一个必要条件，国产桌面操作系统也可以仿照这一先例。”倪光南表示。

    “我们希望将来重要信息系统，应当采购或者优先采购通过分级测评认证、达到高安全等级的产品，例如要求达到EAL4或EAL3等级，这需要通过第三方机构测评，是可以做到公开、公平、公正的，这样做有助于增进网络安全。”倪光南坦言。

    自主可控的评估标准

    “分级测试认证不能解决全部产品的安全性评估问题。我们需要建立一个对软硬件的自主可控进行评估的体系。”倪光南建议。

    “对于一个信息系统的安全要求可以概括为‘自主可控、安全可信’。”倪光南说，“其中，‘自主可控’比较容易评估，容易操作，而‘安全可信’较难评估，这里，只讨论自主可控的评估问题。”

    “自主可控是非常重要的。我们把自主可控作为达到安全可信的一个前提。自主可控基本上可以保证没有后门，如发现漏洞，也能进行改进、治理，不断地提高安全性。”倪光南说，“这里我们把自主可控作为一种属性，像性能指标、经济指标一样，都是可以评估的，但安全可信的评估要复杂得多，暂时还没有容易操作的方法。对于自主可控，我们提出从五个维度进行考量：即知识产权、技术能力、发展主动权、供应链安全和‘国产’资质。”

    自主可控评估的五个维度

    首先是知识产权（包括标准）自主可控。

    倪光南认为，在当前我们面向全球化的情况之下，对知识产权问题必须十分重视。“当然也不是要求所有的知识产权都是自己的，可以通过合法授权，通过商业运作，取得有足够自主权的知识产权，否则的话，这项工作就不能去做。”

    “其次是技术能力自主可控。”倪光南表示，技术能力指的是团队，没有团队，就没有人掌握知识产权和技术。“例如，即使有了知识产权，几千万行代码没有人读得懂，这个知识产权能有多大用处呢？有时我们会对技术能力有更高的要求，包括产业化的能力，构建产业链、构建生态系统的能力等。”倪光南说。

    “发展主动权与供应链安全也需要自主可控。如果没有发展主动权，即使技术能力很强，掌握了知识产权也没用，结果还会受制于人。”倪光南坦言，在这种情况下，就要及早下决心进行纠正，决心下得越早越好。

    同时，对产业链、供应链的安全也要重视。“一个产品即使有知识产权，团队有设计能力，但生产不出来也没有用；如果产业链的某个重要环节不能控制，生产环节受制于人，还是做不到自主可控。”倪光南说。

    倪光南表示，“国产是自主可控的重要条件，但国产不等于自主可控。”关于“国产”目前还没有统一的标准，我国政府采购法从2003年生效到现在，虽然要求政府采购应当首选本国产品、工程和服务，但是因为缺乏对“国产”的正确界定标准，这项要求实际上难以实施。

    目前，国产往往只用“资质”进行衡量，即用国有、民营、混合所有制、内资、VIE、外资等等进行衡量。“我们建议对‘国产’除了衡量资质外，还需要加上增值准则。”倪光南说，这方面美国经验值得借鉴，“即产品必须是在美国当地生产的、增值达到50%以上的产品，进口件组装的不算本国产品。这个准则对高技术产品和一般产品都适用。我们可以学习他们的经验，采用这个准则。”倪光南认为，增值准则的弊端在于容易发生把进口硬件贴个牌子冒充国产，或者把进口软件通过整合变成国产解决方案的问题。况且，增值大小还可以作为国产化程度的一种考量。“这是需要注意和防范的问题。”倪光南说。