6月起，國家將對技術供應商進行新的安全評估

為加強國家對信息和技術的控制，中國網信辦正式發布《網路產品和服務安全審查辦法(試行)》將從6月1日起正式實行。旨在提高網路產品和服務安全可控水平，防範網路安全風險，維護國家安全。

其中一項重要內容是對國內外技術供應商進行新的安全評估。這一評估將適用於提供網路產品和服務的企業，因此可能包括在華出售硬體及軟體產品的國際公司IBM(International Business Machines, IBM)和微軟(Microsoft Co., MSFT)等IT公司。

《辦法》指出，關係國家安全的網路和信息系統採購的重要網路產品和服務，應當經過網路安全審查。網路安全審查重點審查網路產品和服務的安全性、可控性，主要包括：

產品和服務自身的安全風險，以及被非法控制、干擾和中斷運行的風險；

產品及關鍵部件生產、測試、交付、技術支持過程中的供應鏈安全風險；

產品和服務提供者利用提供產品和服務的便利條件非法收集、存儲、處理、使用用戶相關信息的風險；

產品和服務提供者利用用戶對產品和服務的依賴，損害網路安全和用戶利益的風險；

其他可能危害國家安全的風險。

為此，國家互聯網信息辦公室會同有關部門將成立網路安全審查委員會，負責審議網路安全審查的重要政策，統一組織網路安全審查工作，協調網路安全審查相關重要問題。同期還會聘請相關專家組成網路安全審查專家委員會，在第三方（國家依法認定網路安全審查第三方機構）評價基礎上，對網路產品和服務的安全風險及其提供者的安全可信狀況進行綜合評估。

金融、電信、能源、交通等重點行業和領域主管部門，根據國家網路安全審查工作要求，組織開展本行業、本領域網路產品和服務安全審查工作。

公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，以及其他關鍵信息基礎設施的運營者採購網路產品和服務，可能影響國家安全的，應當通過網路安全審查。

這些規定同樣適用於向能源、交通運輸和金融行業的中資公司提供硬體或服務、以及向政府機構、公共服務和其他關鍵基礎設施機構出售產品或服務的外資企業。這些供應商必須將其產品和服務提交給中國互聯網監管機構國家互聯網信息辦公室網路安全審查委員會進行評估。

上述的各類行業包括其技術服務供應商的產品和服務是否影響國家安全由關鍵信息基礎設施保護工作部門確定。產品安全性將根據是否易篡改、供應鏈風險和客戶信息保護等基準進行評估。該委員會權叫停對國家安全構成未明示風險的產品。

雖然本周所宣布的標準較現行做法限制更多，但較2016年2月份所發布的行業徵求意見稿有所放寬。此前各方爭議的焦點在於是否將要求軟體公司、網路設備生產商和其它科技供應商披露其專有源代碼，以證明其產品不會受到黑客的攻擊。

微軟(Microsoft Co., MSFT)、英特爾公司(Intel Co., INTC)、IBM(International Business Machines, IBM)等公司紛紛提交了反對意見，稱這將加大其代碼流入競爭對手或犯罪分子手中的風險，而且可能也無法保證可防黑客攻擊。這三家公司是對規定草案作出回應的最大的美國公司，其他作出回應的還包括數十家中國公司、政府機構和一些安全專家。

微軟在評論中寫道，共享源代碼本身並不能證明有能力做到安全和可控，而只能證明源代碼存在。

英特爾表示，強迫晶元生產商披露其產品細節的規定將損害技術創新並降低產品的安全等級。

IBM稱，應該對商業用途的計算服務和政府應用的計算服務加以區分。完全為商業雲計算用途而設立的機房沒有必要一定位於中國境內。

對於爭議，全國信息安全標準化技術委員會的工作人員在一份書面回應中表示，許多行業均涉及社會穩定和公共利益，不純粹是商業問題。反恐和網路安全法律並不針對境外公司，但措施對於防範在中國使用的軟體被嵌入外國間諜工具是很有必要的。例如美國國家安全局承包商前僱員斯諾登(Edward Snowden)曾稱銷往海外的美國科技產品中通常都有這種後門工具。

在6月1號前，網路安全審查委員會將陸續公布網路安全法規的技術參數，包含但不限於符合規定的操作系統、微處理器、辦公軟體和其他產品的標準。

歡迎關注微信公眾號：【IT戰略家】，這裡是IT界和金融圈交集的風眼。切記勿用戰術上的勤快來掩蓋戰略上的懶惰。歡迎爭議，擁抱您獨特的觀點！

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！