【技术达人秀1--刘锋】

开栏的话：积极运用现代信息技术，对于提高政府采购质量、防范采购风险等方面将发挥重要的作用。为了让读者更多地了解新技术、新趋势，本报特开设《技术达人秀》专栏，首先邀请清华同方电脑总工程师刘锋做客本栏目，分享立足本土开拓创新的行业经验。

刘锋：信息安全管理标准亟待统一

刘锋：清华同方电脑总工程师

一段时期以来，我国对于政府采购信息安全产品的重视程度越来越高。自2010年5月1日起，国家对防火墙、网络安全隔离卡与线路选择器、安全隔离与信息交换、安全路由器、智能卡COS、数据备份与恢复、安全操作系统、安全数据库系统、反垃圾邮件、入侵检测系统、网络脆弱性扫描、安全审计、网站恢复等8大类13种产品，在《政府采购法》所规定的范围内实行强制性认证，未获得中国信息安全认证证书的产品，不能进入政府采购范围。

但是，从专业技术角度来看，国内对于信息安全的有关规定仍稍显流于形式。目前，相关部门对政府机关采购信息安全产品的规定分为2类：一是对有保密需求的单位管理得比较严格，但也仅限在采购流程中，而对于执行过程和结果的评估管理相对放松，就是说管控前端重、后端轻。二是对于一般行政类政府机关使用产品的信息安全管理较前者而言比较薄弱。在民用领域，即一般意义上的商用密码领域，如企业、个人采购的信息安全相关产品，来自国家的管制几乎为零。

在政府采购领域，由于我国对信息安全进行管理的政府职能部门较多，且这些部门相互之间欠缺协调，这就导致部分产品的信息安全有相关规定无人加以执行的尴尬局面。

举例而言，我国要求在中国境内生产的反病毒软件，必须持有公安部颁发的证明才可上市销售。但在实际操作中，很多反病毒软件生产厂商是外资的。如微软为windows中小企业和个人用户免费提供的MSE反病毒软件就未得到公安部授权，而是与操作软件捆绑销售。究其原因，这款软件是针对全球客户统一发行，并未在中国市场单独销售，也未单独制作版本。
再如，国家对于商用密码产品，在多年前出台了《商用密码产品管理条例》，规定所有在产品中使用密码算法的含密产品，都必须取得商用密码产品许可及型号许可，并通过相关检测才能上市销售。但实际上这一规定目前并未得到较好执行。如果从专业技术层面对这一现象进行剖析不难发现，首先业界对于所谓的含密产品至今仍没有明确界定。

例如，现在市场上在售的加密硬盘、加密U盘、用于磁盘加密的加密软件等，这些产品内容广泛、市场使用率高，每年的销售额较大。从理论上讲，这些产品适用于《商用密码产品管理条例》，但并没有一个部门具体负责这些产品的合规销售行为。到底是应该修订《商用密码产品管理条例》，还是加强执法力度，或者是重新调整国家相关政策，都是值得业界人士和政府管理部门思考的问题。(梁爽)