事件:
    國家(jiā)互聯網信息辦公室消息,為(wèi)維護國家(jiā)網絡安全、保障中國用戶合法利益,我國即将推出網絡安全審查制(zhì)度。該項制(zhì)度規定,關系國家(jiā)安全和(hé)公共安全利益的系統使用的重要信息技(jì)術(shù)産品和(hé)服務,應通(tōng)過網絡安全審查。
    點評:
    1.網絡審查制(zhì)度推出的背景
    1)2014.5.19美國以網絡竊密為(wèi)由宣布起訴5名中國軍官;此前,早在2012年,美國衆議院情報委員會(huì)就以國家(jiā)安全為(wèi)由,對中國企業進行(xíng)知識産權、竊取商業機密調查。由此可(kě)見,網絡安全已經逐步成為(wèi)一種重要的外交環節。對于IBM、思科等供應商而言,面臨很(hěn)大(dà)的挑戰。
    2)近期國內(nèi)出現多(duō)起恐怖暴力事件,包括2014.5.22兩家(jiā)吉祥航空(kōng)客機迫降檢查事件,國內(nèi)安全形勢很(hěn)嚴峻,中國已經進入反恐時(shí)代。信息技(jì)術(shù)産品,無論作(zuò)為(wèi)反恐利器(qì),還(hái)是被攻擊的目标,都得(de)到了前所未有(yǒu)的重視(shì)。
    3)2014.5.21中國政府稱,中央政府機關采購的IT系統不允許安裝微軟WIN8系統。國産化進程穩步推進。
    2.審查制(zhì)度制(zhì)定和(hé)發布的主體(tǐ)
    此次審查制(zhì)度發布的主體(tǐ)是國家(jiā)互聯網信息辦公室,國內(nèi)在信息安全監管層面有(yǒu)衆多(duō)的監管機構,除了國家(jiā)互聯網信息辦公室以外,還(hái)包括工信部以及各個(gè)行(xíng)業自己的信息安全監管部門(mén)。在國安委成立後,有(yǒu)望整合各個(gè)信息安全監管的主體(tǐ),統一标準,有(yǒu)利于行(xíng)業的發展。
    3.審查制(zhì)度審查的範圍
    審查範圍包括“關系國家(jiā)安全和(hé)公共安全利益的系統使用的重要信息技(jì)術(shù)産品和(hé)服務”。根據工信部的統計(jì),2013年我國信息消費整體(tǐ)規模達到2.2萬億元,比上(shàng)年增長28%。我們估計(jì),事關國家(jiā)安全以及公衆利益的IT消費規模占整體(tǐ)信息消費的70%左右,即1.5萬億元左右,包括政府機構、交通(tōng)、電(diàn)力、金融、電(diàn)信等主要領域的IT采購。即大(dà)部分的國內(nèi)IT采購以後都要經過審查。
    4.審查內(nèi)容
    審查內(nèi)容包括IT産品安全和(hé)自主可(kě)控2個(gè)層面。
    1)從IT産品安全的角度講,有(yǒu)利于具有(yǒu)核心技(jì)術(shù)的各個(gè)細分行(xíng)業的龍頭企業。這些(xiē)企業通(tōng)常技(jì)術(shù)領先,産品得(de)到了客戶的廣泛認可(kě)。在審查制(zhì)度推出以後,這些(xiē)企業的産品市占率有(yǒu)望進一步提升,如金融IT領域的恒生(shēng)電(diàn)子、建築信息化的廣聯達、酒店(diàn)信息化的石基信息以及信息安全領域的啓明(míng)星辰和(hé)綠盟科技(jì)等。
    2)從自主可(kě)控的角度而言,對國外采購的IT産品審查會(huì)更加嚴格,旨在防止産品提供者利用提供産品的方便,非法控制(zhì)、幹擾、中斷用戶系統,非法收集、存儲、處理(lǐ)和(hé)利用用戶有(yǒu)關信息。我國已經在服務器(qì)、基礎軟件等領域展開(kāi)自主可(kě)控工作(zuò)。本次審查着重突出了可(kě)控的地位,在技(jì)術(shù)上(shàng)與國外企業相差不多(duō)的領域有(yǒu)望大(dà)大(dà)推進國産化進程。比如服務器(qì)的浪潮信息、曙光,中間(jiān)件龍頭東方通(tōng)等。
    5.審查方式
    今年我國将以雲計(jì)算(suàn)平台安全測試作(zuò)為(wèi)工作(zuò)試點,制(zhì)定雲計(jì)算(suàn)安全标準,主要從安全技(jì)術(shù)要求和(hé)服務能力标準、可(kě)控性等進行(xíng)審查,從中找出安全短(duǎn)闆,進而盡快彌補安全漏洞。此次網絡安全審查制(zhì)度從出台到全面實施将循序漸進,從重點行(xíng)業開(kāi)始逐步擴展到各個(gè)領域和(hé)行(xíng)業。我們認為(wèi)重點行(xíng)業包括政府機構、交通(tōng)、電(diàn)力、金融、電(diàn)信等。
    6.處罰結果
    “對不符合安全要求的産品和(hé)服務,将不得(de)在中國境內(nèi)使用。”
    7.審查隻是第一步,未來(lái)行(xíng)業規範的制(zhì)定有(yǒu)利于有(yǒu)行(xíng)業健康發展
    1)此次僅僅推出了網絡審查制(zhì)度,沒有(yǒu)明(míng)确審查的依據和(hé)規範。我們認為(wèi),審查隻是第一步,未來(lái)推出行(xíng)業規範的可(kě)能性很(hěn)大(dà)。如果行(xíng)業規範推出,會(huì)大(dà)大(dà)加強技(jì)術(shù)壁壘較高(gāo)的行(xíng)業龍頭公司的競争優勢。
    2)行(xíng)業标準有(yǒu)可(kě)能是一種非公開(kāi)的形式。美國對安全審查的過程、标準、機制(zhì)完全封閉,不披露原因和(hé)理(lǐ)由,不接受供應方申訴。美國的網絡安全審查包含産品安全性能指标、研發過程、程序、步驟、方法、産品的交付方法等。美國網絡安全審查主要考慮對國家(jiā)安全、司法和(hé)公共利益的潛在影(yǐng)響,不公開(kāi)标準和(hé)過程,不披露原因和(hé)理(lǐ)由,不接受供應方申訴,且無明(míng)确時(shí)間(jiān)限制(zhì)。
    8.信息安全行(xíng)業會(huì)極大(dà)的受益于審查制(zhì)度
    我國首次推出IT産品安全性、可(kě)控性審查制(zhì)度,将信息産品的安全性審查作(zuò)為(wèi)一直制(zhì)度,不僅大(dà)大(dà)加強信息安全産品的剛性屬性,而且會(huì)由于審查的嚴格性而加大(dà)安全産品的增量需求。我們認為(wèi),網絡安全審查制(zhì)度的推出對于信息安全行(xíng)業是一個(gè)标志(zhì)行(xíng)的事件。