网安中心主任魏昊谈关键信息基础设施供应链安全与审查认证制度

开展审查认证工作保障国家网络安全

——网安中心主任魏昊谈关键信息基础设施供应链安全与审查认证制度

□ 宋 扬 本报记者 丁 莹

目前，我国已经开展了网络产品和服务安全审查、数据安全专项审查、数据出境安全审查、党政机关云服务安全评估等工作，同时还开展了网络安全产品、管理体系、服务资质和人员能力四大类的网络安全认证工作，下一步还将开展面向关键信息基础设施的云服务安全评估、APP安全认证、数据安全管理认证等重要工作。审查认证工作在我国国家网络安全保障体系中正在发挥愈来愈大的作用。

9月19日，在湖北省武汉市召开的“2019‘黄鹤杯’网络安全人才与创新峰会”上，中国网络安全审查技术与认证中心（以下简称网安中心）主任魏昊发表了题为《关键信息基础设施供应链安全与审查认证制度》的演讲，系统论述了审查认证工作是保障关键信息基础设施安全的重要手段，我国开展审查认证工作的背景和依据等观点。

供应链安全是关键信息基础设施保护的重要内容

中国网络安全审查技术与认证中心承担着我国网络安全审查相关技术支撑和具体组织实施工作，同时负责网络安全认证工作。

魏昊介绍说，《关键信息基础设施安全保护条例（送审稿）》（以下简称《保护条例》）中对关键信息基础设施的定义是，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络设施、信息系统等。关键信息基础设施从其构成上既有传统IT系统，也有工业控制系统，结构复杂、差异性大。在我国，重要信息系统的生产、设计、运行维护仍然严重依赖全球供应链，不仅面临被植入后门、被监控窃听风险，还面临严重的断供威胁。因此，ICT供应链安全是关键信息基础设施保护工作的重要组成部分，确保我国关键信息基础设施网络安全，是目前最紧迫的任务。

ICT供应链即网络产品和服务的供应链，是指为满足供应关系，通过资源和过程将需方、供方相互连接的网链结构，可用于将ICT产品和服务提供给需方（《信息安全技术 ICT供应链安全风险管理指南》（GB/T36637-2018））。ICT供应链的风险来自供应链安全威胁和供应链本身的脆弱性，具有隐蔽性强，极难发现；攻击、破坏成本低，效果却极显著；防御成本高，产品应用后难以替换；能够成为政治、经济、贸易的重要打压手段的特点。目前，ICT供应链安全已经成为各国关注的焦点安全问题。

审查认证制度是保障供应链安全的重要手段

据魏昊介绍，审查的作用是对现实和潜在风险进行全面评估、判定及处置，其目的是建立准入、退出和持续监督机制。审查从风险入手，覆盖所有重要产品和服务，更广泛、更灵活、更快速；检测、认证更关注产品和服务的标准符合性，审查需要在此基础上对产品和服务的可控、可信做出判断；现有认证、测评等工作都是审查制度的重要支撑。在国际范围内，审查认证制度被证明是保障IT供应链安全行之有效的重要手段。通过认证检测，有效降低产品服务存在的技术风险，提高管理规范性，拉高安全底线。通过在取得认证的基础上进行审查，对于关键信息基础设施实施重点保护。

在2016年发布的《网络安全法》中，关键信息基础设施保护是核心内容之一，作为落实关键信息基础设施保护的重要手段，审查、认证、检测、评估等在法律条文中多次出现。同年发布实施的《网络空间安全战略》中提出，建立实施网络安全审查制度，加强供应链安全管理，对党政机关、重点行业采购使用的重要信息技术产品和服务开展安全审查，提高产品和服务的安全性和可控性，防止产品服务提供者和其他组织利用信息技术优势实施不正当竞争或损害用户利益。

我国发布的《认证认可检验检测发展“十三五”规划》中提出，建立完善全面覆盖信息技术产品、系统、服务、管理和人员的信息安全认证评价系等5项网络安全相关内容。今年5月，由中央网信办研究起草的《网络安全审查办法》（以下简称《审查办法》）面向社会公开征求意见，并将根据各方意见修改完善后，适时发布。

在认证认可方面，魏昊表示，今后我国将加大力度运用认证认可手段，为关键信息基础设施保护工作提供支撑，其中包括开展网络安全专用产品和网络关键设备的认证工作；改进、完善现行认证、认可体系，与审查工作充分衔接；加强大数据、隐私保护、关键信息基础设施等重点领域的标准、检测、认证技术研究和制度建设；落实质量提升要求，加强对智能家居等消费品网络安全的检测认证工作；积极开展国际认证认可合作，促进我国出口产品、服务走向国际市场；大力开展网络安全质量技术基础（NQI）研究工作，在提升供给的同时，提高网络安全认证有效性。

《中国质量报》