一場(chǎng)意料之外的打擊，或許能讓中國的信息安全評估保障體系獲得成長(cháng)的反思。
10月8日，美國眾議院情報委員會(huì )發(fā)布報告稱(chēng)，總部設在中國深圳的華為和中興通訊，有可能對美國國家安全構成威脅，并建議美國禁止兩家公司在美展開(kāi)業(yè)務(wù)。此后1個(gè)多月時(shí)間里，相關(guān)各方展開(kāi)激烈的論辯沖撞，至今尚未有最終結論。
隨著(zhù)此事的進(jìn)一步發(fā)酵，一場(chǎng)關(guān)于中國信息安全的反思也悄然漸起。通過(guò)美國立法、政府部門(mén)與企業(yè)在此事中的種種作為，行業(yè)人士認為，中國信息安全亦處于威脅中，且需要從制度、監管等各個(gè)環(huán)節進(jìn)行調整。
美國之鑒
“華為中興在美國受到調查的事件教育了我們，要重新調查技術(shù)標準、法律法規，以及監管機構和電信運營(yíng)商在網(wǎng)絡(luò )信息安全中的角色和作用，建立起安全的防護墻?！?1月14日，電信專(zhuān)家陳金橋向《財經(jīng)國家周刊》記者表示。
在這一事件爆發(fā)后，多個(gè)領(lǐng)域的專(zhuān)家，一直對于中美兩國公司在對方市場(chǎng)受到的不對等待遇表示不滿(mǎn)。外界普遍認為，此次調查的主要推動(dòng)力并不是美國政府，而更多是在大選年背景下，思科等公司與一些政客假?lài)倚畔踩?，蓄謀打擊競爭對手的手段。
但不論如何，在此過(guò)程中，美國從調查、立法到政府介入的各個(gè)環(huán)節，都已經(jīng)形成一個(gè)通暢的體系，這值得中國借鑒。
“比如，美國對中興與華為的調查，并不是政府進(jìn)行的，而是眾議院下屬的情報委員會(huì )?！币晃簧疃葏⑴c此次事件的設備廠(chǎng)商人士說(shuō)，“這份報告本身沒(méi)有任何的法律約束力，但如果報告通過(guò)議會(huì )，則可能迅速演變?yōu)榱⒎?，從而形成一個(gè)堅固壁壘?！?/p>
與之對應的是，中國對外資廠(chǎng)商的信息安全監管卻并未在立法層面建立類(lèi)似的機制。這就導致在面臨信息安全威脅或國際摩擦時(shí)，政府干預會(huì )破壞規則或被人指責，不干預則無(wú)法形成有效的防范或對抗，從而陷入兩難的困局。
就此，多位接受采訪(fǎng)的專(zhuān)家建議，中國應考慮效法美國，在人大下設常態(tài)化的外國投資審查委員會(huì )，并對相關(guān)企業(yè)進(jìn)行審查監督。
與此同時(shí)，基礎網(wǎng)絡(luò )建設層面相關(guān)法規的缺失，也導致中國網(wǎng)絡(luò )安全無(wú)法得到充分保障。雖然早在2003年，中國就出臺第一部信息安全綱領(lǐng)性文件《關(guān)于加強信息安全保障工作的意見(jiàn)》（中辦發(fā)[2003]27號文），但直到現在，信息安全依然缺少一個(gè)完整保障信息安全的法律體系。
《財經(jīng)國家周刊》從工信部獲悉，工信部信息安全協(xié)調司經(jīng)過(guò)2011年的專(zhuān)項調研，已于2012年上半年曾形成相關(guān)報告。報告表示，僅在涉及個(gè)人信息保護方面，相關(guān)法規條文就已經(jīng)眾多，其中涉及個(gè)人信息保護的法律有將近40部、最高人民法院出臺10條個(gè)人信息保護相關(guān)的司法解釋、國務(wù)院發(fā)布的有關(guān)個(gè)人信息保護的法規約有30部、而各大部委頒布的相關(guān)部門(mén)條例、管理辦法、規定，更是多達近200部，這還不包括各省級以下政府頒布的區域性政策和規定。
然而，這些文件大多是針對具體問(wèn)題，在總體上，個(gè)人信息保護領(lǐng)域的法律法規，卻仍然不成體系，對基礎網(wǎng)絡(luò )建設信息安全領(lǐng)域保護，更是缺少明確的、體系化的法律文本。
《財經(jīng)國家周刊》從工信部相關(guān)部門(mén)獲得的資料表明，工信部2011年已經(jīng)啟動(dòng)信息保護立法調研和研究工作，并約談了包括百度、騰訊等諸多互聯(lián)網(wǎng)公司。
監管調整
降了立法層面之外，專(zhuān)家也建議，中國應建立更加立體化的國家網(wǎng)絡(luò )信息安全評估保障機制。
一位資深行業(yè)人士說(shuō)，中國一直沒(méi)有真正著(zhù)手信息安全體系，更多是由于歷史原因。
“就最基礎的通信設備和網(wǎng)絡(luò )設備來(lái)說(shuō)，中國最早是沒(méi)有自己的工業(yè)基礎的，在上個(gè)世紀90年代以前，基本上都是依賴(lài)進(jìn)口，而且在早期我們還處于大發(fā)展階段，每年都需要興建大量的網(wǎng)絡(luò )，在那個(gè)階段，對系統設備的要求基本上只有最低的要求：能用就行?！痹撊耸空f(shuō)，雖然當年的信產(chǎn)部及后來(lái)的工信部，都設立了入網(wǎng)檢測機構與檢測程序，但這一程序也更多是對于設備可用性的檢測，對信息安全的評估并沒(méi)有提到最為重要的等級。
但隨著(zhù)時(shí)代變化，當各國的信息通信流量爆漲，并全面滲透進(jìn)入政府、軍事、商業(yè)、工業(yè)與公眾服務(wù)的各個(gè)環(huán)節之后，信息安全的作用變得日益重要。
“信息安全關(guān)系到國家的政治安全、經(jīng)濟安全、文化安全、國防安全和社會(huì )穩定，尤其網(wǎng)絡(luò )信息安全已經(jīng)成為事關(guān)國家安全的第一安全，信息技術(shù)產(chǎn)業(yè)的發(fā)展也就直接關(guān)系對國家安全的基本保障能力?！惫ば挪寇浖c集成電路促進(jìn)中心主任邱善勤說(shuō)，當前，世界各國都將信息技術(shù)和信息安全的自主可控能力與維護國家安全的能力緊密聯(lián)系在一起，控制與反控制的斗爭甚至已經(jīng)對國與國之間的外交、經(jīng)貿等關(guān)系產(chǎn)生了重要影響。
與此同時(shí)，信息安全事故的破壞性越來(lái)越大，信息安全問(wèn)題也越來(lái)越成為焦點(diǎn)。近兩年來(lái)，微軟、亞馬遜、谷歌等企業(yè)紛紛發(fā)生重大信息安全事故，“震網(wǎng)”病毒更給伊朗造成巨大損失。信息安全事故頻發(fā)，也引起了各國政府的高度重視。比如在美國，奧巴馬將網(wǎng)絡(luò )安全問(wèn)題視為最嚴重的國家經(jīng)濟和國家安全挑戰之一，提出將數字基礎設施視為國家戰略資產(chǎn)予以保護，并組建了網(wǎng)絡(luò )戰司令部。日本則通過(guò)了《保護國民信息安全戰略》，重點(diǎn)加強鐵路、金融系統重要信息基礎設施的安全防范。
“這也是為什么利益相關(guān)方以信息安全為借口指控中興華為時(shí)，美國各方立刻高度緊張的原因?！鼻拔奶峒百Y深行業(yè)人士說(shuō)。
問(wèn)題在于，由于過(guò)去在開(kāi)放環(huán)境下的高速發(fā)展，中國過(guò)去是既沒(méi)有行業(yè)標準，也沒(méi)有法律要求，沒(méi)有合格的檢測機構，對于信息安全成體系的評估監管，尤其在設備領(lǐng)域，幾乎是一個(gè)空白。該人士說(shuō)，在此過(guò)程中，過(guò)去政府對行業(yè)基本沒(méi)有做強制性的規范，也缺乏強制手段和檢測手段，而是把權放給了基礎運營(yíng)商，但在商業(yè)環(huán)境下，運營(yíng)商所進(jìn)行的檢測乃至防范往往會(huì )不自覺(jué)地放松要求。
“所以，中國現在除了繼續開(kāi)放市場(chǎng)，積極與海外廠(chǎng)商合作外，也要注意保護與捍衛自己的核心利益與國家安全，重新改變政府與企業(yè)過(guò)去在對信息安全體系中的定位和分工?！标惤饦蛘J為。
據《財經(jīng)國家周刊》了解，中國從決策層到各個(gè)部委，在此之前就已開(kāi)始意識到相關(guān)的風(fēng)險，并開(kāi)始考慮如何要進(jìn)一步強化信息安全領(lǐng)域的管理，包括來(lái)自物理網(wǎng)絡(luò )層面的國家安全和來(lái)自互聯(lián)網(wǎng)傳輸過(guò)程中的個(gè)人信息安全。
威脅仍在
《財經(jīng)國家周刊》獲得的一份資料表明，以思科、微軟等為主的美國IT公司，仍然占據著(zhù)中國基礎網(wǎng)絡(luò )核心。
目前，中國市場(chǎng)仍是思科全球范圍內唯一沒(méi)有占據壟斷地位的區域市場(chǎng)，但這一市場(chǎng)主要份額，仍被思科和H3C兩個(gè)美國公司占據。2011 年，H3C銷(xiāo)售收入14.6億美元，而思科在華收入略低于H3C，約占思科全球收入3%。但有報道稱(chēng)，思科中國業(yè)務(wù)的利潤高達思科整體利潤的30%。
《財經(jīng)國家周刊》獲得的文件表明，思科網(wǎng)絡(luò )設備廣泛應用于中國信息網(wǎng)絡(luò )關(guān)鍵領(lǐng)域，包括運營(yíng)商骨干網(wǎng)絡(luò )、醫療網(wǎng)絡(luò )、航空和交通網(wǎng)絡(luò )，乃至金融網(wǎng)絡(luò )、政府網(wǎng)絡(luò )，甚至于軍隊網(wǎng)絡(luò )。
“值得警惕的是，包括思科、微軟等在內的大多數美國公司，在中國占據了龐大的市場(chǎng)份額和商業(yè)機會(huì )的同時(shí)，一直沒(méi)有向中國政府開(kāi)放相關(guān)源代碼，而這些美國公司在中國信息網(wǎng)絡(luò )的關(guān)鍵領(lǐng)域，同樣長(cháng)期占有較大份額?！敝袊ㄐ艠藴驶瘏f(xié)會(huì )理事、邁普通信CEO肖志輝對《財經(jīng)國家周刊》表示，“中國政府應當為自身安全考慮，未來(lái)應對包括思科、微軟在內的美國公司予以相應審查，以防范關(guān)鍵信息被竊取的事件繼續發(fā)生?！?/p>
與此同時(shí)，正在興起的云計算業(yè)務(wù)中也存在類(lèi)似風(fēng)險。一位行業(yè)人士說(shuō)，中小企業(yè)如果沒(méi)有主機系統，只有一個(gè)服務(wù)的平臺，大量的經(jīng)濟信息與商業(yè)秘密就會(huì )成半裸露狀態(tài)呈現在云服務(wù)器上。為此，歐盟此前就有要求，在12到18個(gè)月之內，所有入云中小企業(yè)的信息都必須全部刪除，而且不允許跨境傳播。但外國的技術(shù)商向中國客戶(hù)提供這一服務(wù)時(shí)，卻一直在掩蓋這一事實(shí)。
公益律師董正偉也認為，中國執法機構、國家安全機構包括信息產(chǎn)業(yè)機構應盡快對這些產(chǎn)品采取必要的調查措施，“比如思科的產(chǎn)品，應用于我國核心政府以及其他關(guān)鍵領(lǐng)域時(shí)，不能保證其是否會(huì )通過(guò)后門(mén)收集情報。思科的設備已被應用在中國的許多關(guān)鍵領(lǐng)域，如果對思科的產(chǎn)品不加以審查或防范，一旦出現重大事故，將對國家和企業(yè)造成不可估量的損失?！?/p>
這些擔憂(yōu)并非空穴來(lái)風(fēng)。在此之前，《華爾街日報》對中興華為受調查一事的評論就認為，“美國及其盟友不愿讓華為進(jìn)入美國是因為他們自己的經(jīng)驗告訴他們，進(jìn)口的電子設備可以成為進(jìn)行間諜和破壞活動(dòng)的武器”，并認為美國軍方和政府，曾利用其國內公司的產(chǎn)品，達成對他國的信息竊取和攻擊，早已成為公開(kāi)事實(shí)，比如美國情報機構就曾和以色列合作，利用微軟多版本操作系統底層，創(chuàng )建蠕蟲(chóng)病毒Stuxnet并以此破壞了伊朗核電項目。（來(lái)源：《財經(jīng)國家周刊》）
35互聯(lián)