探討網(wǎng)絡(luò)安全自主可控評估標(biāo)準(zhǔn)

責(zé)任編輯:editor006

作者:郭爽

2015-08-04 16:47:52

摘自:《中國科學(xué)報》

“對網(wǎng)絡(luò)安全的要求是‘自主可控、安全可信’,這里,我們把自主可控作為安全可信的一個前提,它可以通過第三方機構(gòu)進行評估,作為衡量軟硬件安全屬性的一項指標(biāo)。

“對網(wǎng)絡(luò)安全的要求是‘自主可控、安全可信’,這里,我們把自主可控作為安全可信的一個前提,它可以通過第三方機構(gòu)進行評估,作為衡量軟硬件安全屬性的一項指標(biāo)。”中國工程院院士倪光南在日前召開的2015中國網(wǎng)絡(luò)安全大會上表示。

應(yīng)加強并完善計算機系統(tǒng)等級保護制度

自1994年起,國家陸續(xù)出臺了一系列實施計算機系統(tǒng)等級保護制度的文件,這些制度目前處于推廣階段。實行信息安全等級保護是客觀需求,也符合信息安全發(fā)展規(guī)律。當(dāng)前,我們應(yīng)加強并完善等級保護工作,為保障網(wǎng)絡(luò)安全、信息安全服務(wù)。與此相應(yīng),對信息產(chǎn)品要實行分級測評認證。

據(jù)了解,國際上采用的“通用準(zhǔn)則(CC)”到1999年成為國際標(biāo)準(zhǔn)(ISO/IEC 15408)。我國于2001年采用這一標(biāo)準(zhǔn),稱為國標(biāo)GB/T 18336,共分七個安全等級,從低到高,分別為EAL1~EAL7。

“我們希望信息系統(tǒng)從設(shè)計、采購、選型等開始,就以等級保護作為指導(dǎo)。”倪光南表示,美國從2002年7月起,規(guī)定政府和軍隊采購必須優(yōu)先選用通過CC認證的產(chǎn)品。

“我們可以借鑒他們的做法,今后要求政府和重要信息系統(tǒng)建設(shè)優(yōu)先采購?fù)ㄟ^分級測評認證的產(chǎn)品。這種做法既有利于增強網(wǎng)絡(luò)安全,又符合市場經(jīng)濟自由競爭原則,可以公開、公平、公正地推行。”倪光南說。

據(jù)介紹,現(xiàn)在我國IC卡、SIM卡保護等級最高可達EAL5,操作系統(tǒng)最高可達到EAL4,將來能否達到更高的安全級別還有待研究。

倪光南表示,目前在這方面我們的標(biāo)準(zhǔn)工作還跟不上需求。“例如對生物特征進行識別,現(xiàn)在只有虹膜識別系統(tǒng)有個標(biāo)準(zhǔn),而對指紋、掌紋、人臉、聲紋等的識別,現(xiàn)在都還沒有標(biāo)準(zhǔn)。”

倪光南認為,現(xiàn)有的分級測評標(biāo)準(zhǔn)遠遠跟不上安全發(fā)展的需要。今后,分級測評認證標(biāo)準(zhǔn)要適應(yīng)新一代信息技術(shù)的要求。

最近推出的航天元心的移動操作系統(tǒng),通過研制單位和測評認證機構(gòu)的共同努力,基本上通過了EAL4測評認證,并在此基礎(chǔ)上相應(yīng)的標(biāo)準(zhǔn)正在加緊制定。“今后這有望作為重要部門采購移動終端的一個必要條件,國產(chǎn)桌面操作系統(tǒng)也可以仿照這一先例。”倪光南表示。

“我們希望將來重要信息系統(tǒng),應(yīng)當(dāng)采購或者優(yōu)先采購?fù)ㄟ^分級測評認證、達到高安全等級的產(chǎn)品,例如要求達到EAL4或EAL3等級,這需要通過第三方機構(gòu)測評,是可以做到公開、公平、公正的,這樣做有助于增進網(wǎng)絡(luò)安全。”倪光南坦言。

自主可控的評估標(biāo)準(zhǔn)

“分級測試認證不能解決全部產(chǎn)品的安全性評估問題。我們需要建立一個對軟硬件的自主可控進行評估的體系。”倪光南建議。

“對于一個信息系統(tǒng)的安全要求可以概括為‘自主可控、安全可信’。”倪光南說,“其中,‘自主可控’比較容易評估,容易操作,而‘安全可信’較難評估,這里,只討論自主可控的評估問題。”

“自主可控是非常重要的。我們把自主可控作為達到安全可信的一個前提。自主可控基本上可以保證沒有后門,如發(fā)現(xiàn)漏洞,也能進行改進、治理,不斷地提高安全性。”倪光南說,“這里我們把自主可控作為一種屬性,像性能指標(biāo)、經(jīng)濟指標(biāo)一樣,都是可以評估的,但安全可信的評估要復(fù)雜得多,暫時還沒有容易操作的方法。對于自主可控,我們提出從五個維度進行考量:即知識產(chǎn)權(quán)、技術(shù)能力、發(fā)展主動權(quán)、供應(yīng)鏈安全和‘國產(chǎn)’資質(zhì)。”

自主可控評估的五個維度

首先是知識產(chǎn)權(quán)(包括標(biāo)準(zhǔn))自主可控。

倪光南認為,在當(dāng)前我們面向全球化的情況之下,對知識產(chǎn)權(quán)問題必須十分重視。“當(dāng)然也不是要求所有的知識產(chǎn)權(quán)都是自己的,可以通過合法授權(quán),通過商業(yè)運作,取得有足夠自主權(quán)的知識產(chǎn)權(quán),否則的話,這項工作就不能去做。”

“其次是技術(shù)能力自主可控。”倪光南表示,技術(shù)能力指的是團隊,沒有團隊,就沒有人掌握知識產(chǎn)權(quán)和技術(shù)。“例如,即使有了知識產(chǎn)權(quán),幾千萬行代碼沒有人讀得懂,這個知識產(chǎn)權(quán)能有多大用處呢?有時我們會對技術(shù)能力有更高的要求,包括產(chǎn)業(yè)化的能力,構(gòu)建產(chǎn)業(yè)鏈、構(gòu)建生態(tài)系統(tǒng)的能力等。”倪光南說。

“發(fā)展主動權(quán)與供應(yīng)鏈安全也需要自主可控。如果沒有發(fā)展主動權(quán),即使技術(shù)能力很強,掌握了知識產(chǎn)權(quán)也沒用,結(jié)果還會受制于人。”倪光南坦言,在這種情況下,就要及早下決心進行糾正,決心下得越早越好。

同時,對產(chǎn)業(yè)鏈、供應(yīng)鏈的安全也要重視。“一個產(chǎn)品即使有知識產(chǎn)權(quán),團隊有設(shè)計能力,但生產(chǎn)不出來也沒有用;如果產(chǎn)業(yè)鏈的某個重要環(huán)節(jié)不能控制,生產(chǎn)環(huán)節(jié)受制于人,還是做不到自主可控。”倪光南說。

倪光南表示,“國產(chǎn)是自主可控的重要條件,但國產(chǎn)不等于自主可控。”關(guān)于“國產(chǎn)”目前還沒有統(tǒng)一的標(biāo)準(zhǔn),我國政府采購法從2003年生效到現(xiàn)在,雖然要求政府采購應(yīng)當(dāng)首選本國產(chǎn)品、工程和服務(wù),但是因為缺乏對“國產(chǎn)”的正確界定標(biāo)準(zhǔn),這項要求實際上難以實施。

目前,國產(chǎn)往往只用“資質(zhì)”進行衡量,即用國有、民營、混合所有制、內(nèi)資、VIE、外資等等進行衡量。“我們建議對‘國產(chǎn)’除了衡量資質(zhì)外,還需要加上增值準(zhǔn)則。”倪光南說,這方面美國經(jīng)驗值得借鑒,“即產(chǎn)品必須是在美國當(dāng)?shù)厣a(chǎn)的、增值達到50%以上的產(chǎn)品,進口件組裝的不算本國產(chǎn)品。這個準(zhǔn)則對高技術(shù)產(chǎn)品和一般產(chǎn)品都適用。我們可以學(xué)習(xí)他們的經(jīng)驗,采用這個準(zhǔn)則。”倪光南認為,增值準(zhǔn)則的弊端在于容易發(fā)生把進口硬件貼個牌子冒充國產(chǎn),或者把進口軟件通過整合變成國產(chǎn)解決方案的問題。況且,增值大小還可以作為國產(chǎn)化程度的一種考量。“這是需要注意和防范的問題。”倪光南說。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號