重估國家信息安全屏障

一場意料之外的打擊，或許能讓中國的信息安全評估保障體系獲得成長的反思。

10月8日，美國眾議院情報委員會發(fā)布報告稱，總部設(shè)在中國深圳的華為和中興通訊，有可能對美國國家安全構(gòu)成威脅，并建議美國禁止兩家公司在美展開業(yè)務(wù)。此后1個多月時間里，相關(guān)各方展開激烈的論辯沖撞，至今尚未有最終結(jié)論。

隨著此事的進(jìn)一步發(fā)酵，一場關(guān)于中國信息安全的反思也悄然漸起。通過美國立法、政府部門與企業(yè)在此事中的種種作為，行業(yè)人士認(rèn)為，中國信息安全亦處于威脅中，且需要從制度、監(jiān)管等各個環(huán)節(jié)進(jìn)行調(diào)整。

美國之鑒

“華為中興在美國受到調(diào)查的事件教育了我們，要重新調(diào)查技術(shù)標(biāo)準(zhǔn)、法律法規(guī)，以及監(jiān)管機構(gòu)和電信運營商在網(wǎng)絡(luò)信息安全中的角色和作用，建立起安全的防護(hù)墻?！?1月14日，電信專家陳金橋向《財經(jīng)國家周刊》記者表示。

在這一事件爆發(fā)后，多個領(lǐng)域的專家，一直對于中美兩國公司在對方市場受到的不對等待遇表示不滿。外界普遍認(rèn)為，此次調(diào)查的主要推動力并不是美國政府，而更多是在大選年背景下，思科等公司與一些政客假國家信息安全之名，蓄謀打擊競爭對手的手段。

但不論如何，在此過程中，美國從調(diào)查、立法到政府介入的各個環(huán)節(jié)，都已經(jīng)形成一個通暢的體系，這值得中國借鑒。

“比如，美國對中興與華為的調(diào)查，并不是政府進(jìn)行的，而是眾議院下屬的情報委員會?！币晃簧疃葏⑴c此次事件的設(shè)備廠商人士說，“這份報告本身沒有任何的法律約束力，但如果報告通過議會，則可能迅速演變?yōu)榱⒎ǎ瑥亩纬梢粋€堅固壁壘?！?/p>

與之對應(yīng)的是，中國對外資廠商的信息安全監(jiān)管卻并未在立法層面建立類似的機制。這就導(dǎo)致在面臨信息安全威脅或國際摩擦?xí)r，政府干預(yù)會破壞規(guī)則或被人指責(zé)，不干預(yù)則無法形成有效的防范或?qū)?，從而陷入兩難的困局。

就此，多位接受采訪的專家建議，中國應(yīng)考慮效法美國，在人大下設(shè)常態(tài)化的外國投資審查委員會，并對相關(guān)企業(yè)進(jìn)行審查監(jiān)督。

與此同時，基礎(chǔ)網(wǎng)絡(luò)建設(shè)層面相關(guān)法規(guī)的缺失，也導(dǎo)致中國網(wǎng)絡(luò)安全無法得到充分保障。雖然早在2003年，中國就出臺第一部信息安全綱領(lǐng)性文件《關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號文），但直到現(xiàn)在，信息安全依然缺少一個完整保障信息安全的法律體系。

《財經(jīng)國家周刊》從工信部獲悉，工信部信息安全協(xié)調(diào)司經(jīng)過2011年的專項調(diào)研，已于2012年上半年曾形成相關(guān)報告。報告表示，僅在涉及個人信息保護(hù)方面，相關(guān)法規(guī)條文就已經(jīng)眾多，其中涉及個人信息保護(hù)的法律有將近40部、最高人民法院出臺10條個人信息保護(hù)相關(guān)的司法解釋、國務(wù)院發(fā)布的有關(guān)個人信息保護(hù)的法規(guī)約有30部、而各大部委頒布的相關(guān)部門條例、管理辦法、規(guī)定，更是多達(dá)近200部，這還不包括各省級以下政府頒布的區(qū)域性政策和規(guī)定。

然而，這些文件大多是針對具體問題，在總體上，個人信息保護(hù)領(lǐng)域的法律法規(guī)，卻仍然不成體系，對基礎(chǔ)網(wǎng)絡(luò)建設(shè)信息安全領(lǐng)域保護(hù)，更是缺少明確的、體系化的法律文本。

《財經(jīng)國家周刊》從工業(yè)和信息化部（下稱“工信部”）相關(guān)部門獲得的資料表明，工信部2011年已經(jīng)啟動信息保護(hù)立法調(diào)研和研究工作，并約談了包括百度、騰訊等諸多互聯(lián)網(wǎng)公司。

監(jiān)管調(diào)整

降了立法層面之外，專家也建議，中國應(yīng)建立更加立體化的國家網(wǎng)絡(luò)信息安全評估保障機制。

一位資深行業(yè)人士說，中國一直沒有真正著手信息安全體系，更多是由于歷史原因。

“就最基礎(chǔ)的通信設(shè)備和網(wǎng)絡(luò)設(shè)備來說，中國最早是沒有自己的工業(yè)基礎(chǔ)的，在上個世紀(jì)90年代以前，基本上都是依賴進(jìn)口，而且在早期我們還處于大發(fā)展階段，每年都需要興建大量的網(wǎng)絡(luò)，在那個階段，對系統(tǒng)設(shè)備的要求基本上只有最低的要求：能用就行?！痹撊耸空f，雖然當(dāng)年的信產(chǎn)部及后來的工信部，都設(shè)立了入網(wǎng)檢測機構(gòu)與檢測程序，但這一程序也更多是對于設(shè)備可用性的檢測，對信息安全的評估并沒有提到最為重要的等級。

但隨著時代變化，當(dāng)各國的信息通信流量爆漲，并全面滲透進(jìn)入政府、軍事、商業(yè)、工業(yè)與公眾服務(wù)的各個環(huán)節(jié)之后，信息安全的作用變得日益重要。

“信息安全關(guān)系到國家的政治安全、經(jīng)濟(jì)安全、文化安全、國防安全和社會穩(wěn)定，尤其網(wǎng)絡(luò)信息安全已經(jīng)成為事關(guān)國家安全的第一安全，信息技術(shù)產(chǎn)業(yè)的發(fā)展也就直接關(guān)系對國家安全的基本保障能力?！惫ば挪寇浖c集成電路促進(jìn)中心主任邱善勤說，當(dāng)前，世界各國都將信息技術(shù)和信息安全的自主可控能力與維護(hù)國家安全的能力緊密聯(lián)系在一起，控制與反控制的斗爭甚至已經(jīng)對國與國之間的外交、經(jīng)貿(mào)等關(guān)系產(chǎn)生了重要影響。

與此同時，信息安全事故的破壞性越來越大，信息安全問題也越來越成為焦點。近兩年來，微軟、亞馬遜、谷歌等企業(yè)紛紛發(fā)生重大信息安全事故，“震網(wǎng)”病毒更給伊朗造成巨大損失。信息安全事故頻發(fā)，也引起了各國政府的高度重視。比如在美國，奧巴馬將網(wǎng)絡(luò)安全問題視為最嚴(yán)重的國家經(jīng)濟(jì)和國家安全挑戰(zhàn)之一，提出將數(shù)字基礎(chǔ)設(shè)施視為國家戰(zhàn)略資產(chǎn)予以保護(hù)，并組建了網(wǎng)絡(luò)戰(zhàn)司令部。日本則通過了《保護(hù)國民信息安全戰(zhàn)略》，重點加強鐵路、金融系統(tǒng)重要信息基礎(chǔ)設(shè)施的安全防范。

“這也是為什么利益相關(guān)方以信息安全為借口指控中興華為時，美國各方立刻高度緊張的原因?！鼻拔奶峒百Y深行業(yè)人士說。

問題在于，由于過去在開放環(huán)境下的高速發(fā)展，中國過去是既沒有行業(yè)標(biāo)準(zhǔn)，也沒有法律要求，沒有合格的檢測機構(gòu)，對于信息安全成體系的評估監(jiān)管，尤其在設(shè)備領(lǐng)域，幾乎是一個空白。該人士說，在此過程中，過去政府對行業(yè)基本沒有做強制性的規(guī)范，也缺乏強制手段和檢測手段，而是把權(quán)放給了基礎(chǔ)運營商，但在商業(yè)環(huán)境下，運營商所進(jìn)行的檢測乃至防范往往會不自覺地放松要求。

“所以，中國現(xiàn)在除了繼續(xù)開放市場，積極與海外廠商合作外，也要注意保護(hù)與捍衛(wèi)自己的核心利益與國家安全，重新改變政府與企業(yè)過去在對信息安全體系中的定位和分工?！标惤饦蛘J(rèn)為。

據(jù)《財經(jīng)國家周刊》了解，中國從決策層到各個部委，在此之前就已開始意識到相關(guān)的風(fēng)險，并開始考慮如何要進(jìn)一步強化信息安全領(lǐng)域的管理，包括來自物理網(wǎng)絡(luò)層面的國家安全和來自互聯(lián)網(wǎng)傳輸過程中的個人信息安全。

威脅仍在

《財經(jīng)國家周刊》獲得的一份資料表明，以思科、微軟等為主的美國IT公司，仍然占據(jù)著中國基礎(chǔ)網(wǎng)絡(luò)核心。

目前，中國市場仍是思科全球范圍內(nèi)唯一沒有占據(jù)壟斷地位的區(qū)域市場，但這一市場主要份額，仍被思科和H3C兩個美國公司占據(jù)。2011年，H3C銷售收入14.6億美元，而思科在華收入略低于H3C，約占思科全球收入3%。但有報道稱，思科中國業(yè)務(wù)的利潤高達(dá)思科整體利潤的30%。

《財經(jīng)國家周刊》獲得的文件表明，思科網(wǎng)絡(luò)設(shè)備廣泛應(yīng)用于中國信息網(wǎng)絡(luò)關(guān)鍵領(lǐng)域，包括運營商骨干網(wǎng)絡(luò)、醫(yī)療網(wǎng)絡(luò)、航空和交通網(wǎng)絡(luò)，乃至金融網(wǎng)絡(luò)、政府網(wǎng)絡(luò)，甚至于軍隊網(wǎng)絡(luò)。

“值得警惕的是，包括思科、微軟等在內(nèi)的大多數(shù)美國公司，在中國占據(jù)了龐大的市場份額和商業(yè)機會的同時，一直沒有向中國政府開放相關(guān)源代碼，而這些美國公司在中國信息網(wǎng)絡(luò)的關(guān)鍵領(lǐng)域，同樣長期占有較大份額?！敝袊ㄐ艠?biāo)準(zhǔn)化協(xié)會理事、邁普通信CEO肖志輝對《財經(jīng)國家周刊》表示，“中國政府應(yīng)當(dāng)為自身安全考慮，未來應(yīng)對包括思科、微軟在內(nèi)的美國公司予以相應(yīng)審查，以防范關(guān)鍵信息被竊取的事件繼續(xù)發(fā)生?！?/p>

與此同時，正在興起的云計算業(yè)務(wù)中也存在類似風(fēng)險。一位行業(yè)人士說，中小企業(yè)如果沒有主機系統(tǒng)，只有一個服務(wù)的平臺，大量的經(jīng)濟(jì)信息與商業(yè)秘密就會成半裸露狀態(tài)呈現(xiàn)在云服務(wù)器上。為此，歐盟此前就有要求，在12到18個月之內(nèi)，所有入云中小企業(yè)的信息都必須全部刪除，而且不允許跨境傳播。但外國的技術(shù)商向中國客戶提供這一服務(wù)時，卻一直在掩蓋這一事實。

公益律師董正偉也認(rèn)為，中國執(zhí)法機構(gòu)、國家安全機構(gòu)包括信息產(chǎn)業(yè)機構(gòu)應(yīng)盡快對這些產(chǎn)品采取必要的調(diào)查措施，“比如思科的產(chǎn)品，應(yīng)用于我國核心政府以及其他關(guān)鍵領(lǐng)域時，不能保證其是否會通過后門收集情報。思科的設(shè)備已被應(yīng)用在中國的許多關(guān)鍵領(lǐng)域，如果對思科的產(chǎn)品不加以審查或防范，一旦出現(xiàn)重大事故，將對國家和企業(yè)造成不可估量的損失?！?/p>

這些擔(dān)憂并非空穴來風(fēng)。在此之前，《華爾街日報》對中興華為受調(diào)查一事的評論就認(rèn)為，“美國及其盟友不愿讓華為進(jìn)入美國是因為他們自己的經(jīng)驗告訴他們，進(jìn)口的電子設(shè)備可以成為進(jìn)行間諜和破壞活動的武器”，并認(rèn)為美國軍方和政府，曾利用其國內(nèi)公司的產(chǎn)品，達(dá)成對他國的信息竊取和攻擊，早已成為公開事實，比如美國情報機構(gòu)就曾和以色列合作，利用微軟多版本操作系統(tǒng)底層，創(chuàng)建蠕蟲病毒Stuxnet并以此破壞了伊朗核電項目。