目前，我國已經開展了網絡產品和服務安全審查、數據安全專項審查、數據出境安全審查、黨政機關云服務安全評估等工作，同時還開展了網絡安全產品、管理體系、服務資質和人員能力四大類的網絡安全認證工作，下一步還將開展面向關鍵信息基礎設施的云服務安全評估、APP安全認證、數據安全管理認證等重要工作。審查認證工作在我國國家網絡安全保障體系中正在發揮愈來愈大的作用。

9月19日，在湖北省武漢市召開的“2019‘黃鶴杯’網絡安全人才與創新峰會”上，中國網絡安全審查技術與認證中心（以下簡稱網安中心）主任魏昊發表了題為《關鍵信息基礎設施供應鏈安全與審查認證制度》的演講，系統論述了審查認證工作是保障關鍵信息基礎設施安全的重要手段，我國開展審查認證工作的背景和依據等觀點。

供應鏈安全是關鍵信息基礎設施保護的重要內容

中國網絡安全審查技術與認證中心承擔著我國網絡安全審查相關技術支撐和具體組織實施工作，同時負責網絡安全認證工作。

魏昊介紹說，《關鍵信息基礎設施安全保護條例（送審稿）》（以下簡稱《保護條例》）中對關鍵信息基礎設施的定義是，一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的網絡設施、信息系統等。關鍵信息基礎設施從其構成上既有傳統IT系統，也有工業控制系統，結構復雜、差異性大。在我國，重要信息系統的生產、設計、運行維護仍然嚴重依賴全球供應鏈，不僅面臨被植入后門、被監控竊聽風險，還面臨嚴重的斷供威脅。因此，ICT供應鏈安全是關鍵信息基礎設施保護工作的重要組成部分，確保我國關鍵信息基礎設施網絡安全，是目前最緊迫的任務。

ICT供應鏈即網絡產品和服務的供應鏈，是指為滿足供應關系，通過資源和過程將需方、供方相互連接的網鏈結構，可用于將ICT產品和服務提供給需方（《信息安全技術 ICT供應鏈安全風險管理指南》（GB/T36637-2018））。ICT供應鏈的風險來自供應鏈安全威脅和供應鏈本身的脆弱性，具有隱蔽性強，極難發現；攻擊、破壞成本低，效果卻極顯著；防御成本高，產品應用后難以替換；能夠成為政治、經濟、貿易的重要打壓手段的特點。目前，ICT供應鏈安全已經成為各國關注的焦點安全問題。

審查認證制度是保障供應鏈安全的重要手段

據魏昊介紹，審查的作用是對現實和潛在風險進行全面評估、判定及處置，其目的是建立準入、退出和持續監督機制。審查從風險入手，覆蓋所有重要產品和服務，更廣泛、更靈活、更快速；檢測、認證更關注產品和服務的標準符合性，審查需要在此基礎上對產品和服務的可控、可信做出判斷；現有認證、測評等工作都是審查制度的重要支撐。在國際范圍內，審查認證制度被證明是保障IT供應鏈安全行之有效的重要手段。通過認證檢測，有效降低產品服務存在的技術風險，提高管理規范性，拉高安全底線。通過在取得認證的基礎上進行審查，對于關鍵信息基礎設施實施重點保護。

在2016年發布的《網絡安全法》中，關鍵信息基礎設施保護是核心內容之一，作為落實關鍵信息基礎設施保護的重要手段，審查、認證、檢測、評估等在法律條文中多次出現。同年發布實施的《網絡空間安全戰略》中提出，建立實施網絡安全審查制度，加強供應鏈安全管理，對黨政機關、重點行業采購使用的重要信息技術產品和服務開展安全審查，提高產品和服務的安全性和可控性，防止產品服務提供者和其他組織利用信息技術優勢實施不正當競爭或損害用戶利益。

我國發布的《認證認可檢驗檢測發展“十三五”規劃》中提出，建立完善全面覆蓋信息技術產品、系統、服務、管理和人員的信息安全認證評價系等5項網絡安全相關內容。今年5月，由中央網信辦研究起草的《網絡安全審查辦法》（以下簡稱《審查辦法》）面向社會公開征求意見，并將根據各方意見修改完善后，適時發布。

在認證認可方面，魏昊表示，今后我國將加大力度運用認證認可手段，為關鍵信息基礎設施保護工作提供支撐，其中包括開展網絡安全專用產品和網絡關鍵設備的認證工作；改進、完善現行認證、認可體系，與審查工作充分銜接；加強大數據、隱私保護、關鍵信息基礎設施等重點領域的標準、檢測、認證技術研究和制度建設；落實質量提升要求，加強對智能家居等消費品網絡安全的檢測認證工作；積極開展國際認證認可合作，促進我國出口產品、服務走向國際市場；大力開展網絡安全質量技術基礎（NQI）研究工作，在提升供給的同時，提高網絡安全認證有效性。

《中國質量報》