吕汉阳：应尽快建立政采信息安全审查制度

吕汉阳：应尽快建立政采信息安全审查制度

吕汉阳

国家信息中心助理研究员

信息是一种商品，具有一般商品的属性，包括价值属性，可以进行定价。但是，信息又不是普通商品，不具有排他性，具有外部性和外溢效应。信息对个人有信息产权概念，对国家有信息主权概念，因此存在安全风险。WTO框架下歧视政策的例外是国家安全、GPA等。而信息安全是国家安全中的重要方面。因此在政府采购领域建立信息安全审查合规，不违背WTO，而且，在国外，政府采购也成为保护国家信息安全的重要手段。

2006年3月，美国国务院经招标确定采购联想集团价值约1300万美元的1.6万多台计算机设备。美中经济安全调查委员会以“使用联想计算机会对美国国家安全产生灾难性后果”为由，提出强烈反对，并将意见提交于国会。最后美国政府调整了原来的采购计划，在联想与美国国土安全部签订的安全协定上又多加了限制条件，要求联想在参与美国的政府采购时，不得以任何形式索取、接受、维护、鉴别有关美国政府定购电脑产品的用户信息，同时还宣布将会修改政府采购流程。

由此，联想必须通过美国政府认可的本地第三方公司代理而不能直接向美国政府部门提供产品及售后服务，同时必须无条件接受美国安全部门对其信息系统使用情况的检查。另外，联想必须通过美国政府认可的本国公司提供产品售后服务，而不能直接进行产品售后服务。

无独有偶，IBM的台式计算机曾一直是日本防卫厅采购目录的“注册厂商”，也曾经是日本防卫厅重要的计算机设备提供者。但IBM的台式计算机部门被联想收购后，日本防卫厅在2006年4月，以防止“中国制造”的台式计算机“渗透”而造成 “泄密”为理由，拒绝接受联想生产的IBM品牌台式计算机，从此联想彻底无缘日本防卫厅电脑采购招标。

2013年3月26日，奥巴马签署的一项新开支法案中，包含一条禁止美国政府机构购买与中国政府有关公司信息技术的条款。这项法案规定，有关机构考虑购买IT系统时须向执法机关咨询“网络间谍或破坏”风险，必须包括中国“所有、领导或补贴的一个或多个实体生产、制造、装配IT系统的任何风险”评估。

总之，美国的安全审查制度不但有严密的法律体系，而且还有专业的操作机构。

据统计，在京中央国家机关各单位政府采购具有自主知识产权的软件产品仅占通用软件产品采购总金额的10%。其中，数据库及中间件软件被国外产品所垄断，操作系统和办公软件95%为美国微软公司的产品。各部门采购的大中型主机、高端服务器基本被美国IBM、HP和SUN公司生产的产品所垄断，路由器、交换机等网络设备，国外产品也占据了50%以上的市场份额。

而且，国外企业及外资控股企业通过销售产品，直接参与产品的售后服务，可以轻易掌握政府用户的信息以及政务网络的运行状况；在用户保密意识不强的时候，涉及国家安全的信息、核心数据等都有可能遭到窃取。因此，我国政府、国企和金融机构大量采购国外信息类产品是国家信息安全的重要隐患之一。

2009年国家质检总局印发了《关于调整信息安全产品强制性认证实施要求的公告》，要求8类13种信息安全产品进入政府采购前必须实行强制性认证。2010年财政部、工信部、国家质检总局、国家认监委等多个部委联合发布了《关于信息安全产品实施政府采购的通知》，要求供应商必须具备中国信息安全认证中心按国家标准认证颁发的有效认证证书。2013年8月1日，中央国家机关政府采购中心发布的《关于信息安全产品资质审核的通知》，对于部分入围产品的型号与中国信息安全产品认证证书上的“产品名称和型号、规格、版本”不一致的情况，需要该产品的生产制造厂家向中国信息安全认证中心提交资质有关的差异说明，待材料审核、现场质询后出具确认意见，采购中心审核通过后，产品名单将在中央政府采购网协议供货信息类产品直接发布。

但是，已有的政策远远不够。建议我国政府采购领域尽快建立信息安全审查制度，其核心是可用、可信。信息安全审查主要有三个方面的内容：一是技术，二是机构的工商及资格方面的审查，三是加强信息安全审查成为投资并购的审查核心。最后，扶持本土创新是根本和长远之计。