申江嬰:借鑒他國經驗強化網絡安全

????????當前，網絡被視為繼陸、海、空、天之后的第五空間，已成為大國博弈的一個主戰場，其中危機四伏，暗戰不斷。一個個技術漏洞、產品后門，就如同深埋的定時炸彈，隨時都可能被引爆，給一國的國家利益帶來災難性的損失。

????????作為信息技術后發的網絡大國，中國頭頂上始終懸著一把網絡安全的達摩克利斯之劍。據報道，目前中國的芯片、操作系統、數據庫以及通用協議和標準仍有90%以上依賴進口，關鍵信息系統的主機有99%是外國品牌，金融、電信、能源等核心行業的信息系統被國外提供商壟斷。而且，這些產品中存在漏洞和后門早已不是捕風捉影的臆斷，國內甚至掀起了“去IOE化”的風潮。

????????國外企業在國內市場如入無人之境。與其形成鮮明對比的是，國內企業在國際市場上卻四處碰壁。例如華為在美國遭到眾議院的封殺，在澳大利亞被禁止投標寬帶網項目，在英國遭到議會情報和安全監督機構的調查，在印度也遭到了情報機構的嚴密審查，可謂是屢受排擠。而這些阻撓活動統統都是打著國家安全的旗號，并且受到法律保護。

????????之所以會造成這種被動的局面，在于我國網絡安全審查制度的缺位。近日，國家互聯網信息辦公室宣布，為維護國家網絡安全、保障中國用戶合法利益，我國即將推出網絡安全審查制度。這將為懷有不良意圖的企業和國家敲響警鐘，并為我國網絡安全構筑第一道防火墻。

????????從全球來看，網絡安全審查已成為國際通行做法。美國率先實施，態度也最為強硬，不僅審查的機制、標準和過程不公開，還沒有明確的時間限制；既不披露原因和理由，也不接受申述。而且，要接受審查的不僅包括產品和服務本身，還包括與其配套的產品和服務，以及相關企業的背景；不僅包括產品的安全性能指標，還包括研發過程、程序、步驟、方法、產品的交付方法等。

????????英國實行由通訊電子安全小組負責的安全認證制度，只有通過了由其認可的安全認證，才可以面向英國本土進行銷售，否則將被視為違法。國外設備商必須自建安全認證中心，提交源代碼和可執行代碼以便進行各種測試和驗證。

????????澳大利亞的網絡安全審查重視國際合作，其國防通信局與新西蘭政府通信安全局共同建立澳大拉西亞信息安全評估計劃，采用統一的網絡安全審查機制。雙方制定了一套多國認可的安全評估標準，并簽署了共同標準認可協議。一款產品在協議簽署國之間只需測試認證一次，便可被所有簽署國接受，所有通過安全評估測試和認證的信息通信產品將被列入通過評估產品列表，供兩國政府機構采購。

????????俄羅斯作為飽受網絡黑客攻擊的國家之一，其網絡安全審查制度也十分嚴格，更加側重于產業，確立了一套對外資進入其戰略性產業的安全審查制度，由俄羅斯工業和貿易部接受申請，并征詢俄聯邦安全局和國家保密委員會的審核評估意見，從而確定交易是否存在風險。

????????印度的網絡安全審查制度具有兩大鮮明特征。一是重點突出，重點關注通信產品以及“關鍵核心設備”，要求運營商必須得到內政部的安全審查以及第三方認證后，方可簽署合同。二是將責任下沉，加大懲罰力度。因采購進口設備而引發的安全問題，運營商須全面承擔責任；設備商一旦被發現提供的設備有間諜軟件，將被列入黑名單，禁止在印度從事任何業務，并將被處以等價于合同金額的罰金。

????????總體來看，與發達國家相比，我國在網絡安全審查方面才剛剛起步。但亡羊補牢，未為晚也。我國應博采眾長，積極借鑒美國、英國、澳大利亞、俄羅斯和印度等國家的做法，構建全面的網絡安全審查體系，提升網絡安全檢測技術，開展網絡安全認證、政府采購的國際合作，打造安全可控的網絡安全產業，加大對網絡安全違法行為的懲罰力度，從而構建一個安全可控的網絡空間。