重模仿輕創(chuàng)新，網(wǎng)絡(luò)安全產(chǎn)品不安全？對話張峰：要把標準提高

今年全國兩會，首次寫入政府工作報告的新質(zhì)生產(chǎn)力，無疑是個高頻詞。在全新的生產(chǎn)力變革中，高質(zhì)量的發(fā)展離不開高水平的安全——尤其是網(wǎng)絡(luò)安全對智能生產(chǎn)、業(yè)務(wù)創(chuàng)新、數(shù)據(jù)與個人隱私保護等，起到基石作用。

可是如果“底座”不穩(wěn)、根基不牢，出現(xiàn)“安全產(chǎn)品不安全”的問題，那該怎么辦?帶著這些年持續(xù)深入調(diào)研而形成的思考，全國政協(xié)委員、中國信息安全測評中心主任張峰于今年兩會期間，提交了一份關(guān)于提升網(wǎng)絡(luò)安全產(chǎn)品創(chuàng)新能力的提案。

全國政協(xié)委員、中國信息安全測評中心主任張峰(受訪者供圖)

他認為在美國對華脫鉤斷鏈、多重施壓的背景下，網(wǎng)絡(luò)安全產(chǎn)品的自主性、安全性、創(chuàng)新性尤為關(guān)鍵，當前亟須從產(chǎn)業(yè)政策、技術(shù)創(chuàng)新和安全監(jiān)管等方面綜合施策，提升網(wǎng)絡(luò)安全產(chǎn)品核心競爭力，為我國網(wǎng)絡(luò)安全產(chǎn)業(yè)高質(zhì)量發(fā)展護航。

網(wǎng)絡(luò)安全產(chǎn)品同質(zhì)化嚴重，行業(yè)囿于低水平重復(fù)競爭

南都：今年您有一份提案，建議提升網(wǎng)絡(luò)安全產(chǎn)品創(chuàng)新能力。是如何關(guān)注到這一問題的?

張峰：黨的十八大以后，國家網(wǎng)絡(luò)安全受到高度重視。其中有幾個標志：一是成立了中央網(wǎng)信委;二是隨著《網(wǎng)絡(luò)安全法》《個人信息保護法》《數(shù)據(jù)安全法》等法律法規(guī)的出臺，網(wǎng)絡(luò)領(lǐng)域的法治建設(shè)上取得了長足的進步;三是從2014年開始，每年舉辦國家網(wǎng)絡(luò)安全宣傳周。

在此背景下，我國網(wǎng)絡(luò)安全產(chǎn)業(yè)迅速發(fā)展;很多高校已經(jīng)建立或正在申請網(wǎng)絡(luò)安全專業(yè)，加強了網(wǎng)絡(luò)安全后備人才的培養(yǎng);全社會的網(wǎng)絡(luò)安全意識也進一步增強。

在取得一系列成果的同時，我們也要清楚地認識到信息化浪潮中存有的安全隱憂。如何統(tǒng)籌發(fā)展與安全的關(guān)系，我個人認為當前做得還不夠。基于這幾年的持續(xù)關(guān)注和調(diào)研發(fā)現(xiàn)，我今年帶來一份提案，呼吁提升網(wǎng)絡(luò)安全產(chǎn)品核心競爭力。

南都：據(jù)您調(diào)研發(fā)現(xiàn)，當前網(wǎng)絡(luò)安全產(chǎn)品存在哪些突出問題?

張峰：我在提案中總結(jié)了四方面的問題：一是質(zhì)量參差，短板效應(yīng)明顯。據(jù)我了解，國內(nèi)網(wǎng)絡(luò)安全市場體量約占全球6%，但產(chǎn)品質(zhì)量與國外先進水平存在較大差距，主要表現(xiàn)出同質(zhì)化嚴重，囿于低水平重復(fù)競爭;安全漏洞頻現(xiàn)、“安全產(chǎn)品不安全”;國際品牌效應(yīng)缺乏的問題。

二是對抗性弱，防護能力有限。在適應(yīng)網(wǎng)絡(luò)空間實戰(zhàn)需求方面，我國網(wǎng)絡(luò)安全產(chǎn)品還存在不少薄弱點——比如系統(tǒng)化動態(tài)防御理念未建立，精細化的防護系統(tǒng)還未普及，協(xié)同化產(chǎn)品還未有效統(tǒng)籌。

三是自主可控程度偏低，“底座”不穩(wěn)，根基不牢。我國網(wǎng)絡(luò)安全產(chǎn)品存在“沙灘建樓”的現(xiàn)象，具體表現(xiàn)為核心代碼自主率低，未形成閉環(huán)的網(wǎng)絡(luò)安全防御體系;基礎(chǔ)軟件大量依賴開源系統(tǒng)，供應(yīng)鏈不透明問題突出。

四是原始創(chuàng)新能力較弱，理念引領(lǐng)力不夠，前瞻性不足。重模仿輕創(chuàng)新，原始創(chuàng)新能力不足，是我國網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展面臨的痛點。我們在理念引領(lǐng)、場景創(chuàng)新、前瞻布局和自主創(chuàng)新能力上，仍需加強。

五是技術(shù)融合不夠，與時俱進能力較弱。我國網(wǎng)絡(luò)安全產(chǎn)業(yè)對新技術(shù)新應(yīng)用的吸收運用具有一定的滯后性，導(dǎo)致智能化網(wǎng)絡(luò)安全水平不高、產(chǎn)品迭代升級慢、“云化”配套機制滯后等問題。

南都：在您看來，出現(xiàn)上述問題的主要原因是什么?

張峰：一個不可忽視的原因是，目前國內(nèi)網(wǎng)絡(luò)安全產(chǎn)品的標準仍有極大的改進和提高空間。2017年6月1日起施行的《網(wǎng)絡(luò)安全法》確立了等級保護制度，各行各業(yè)都在不斷地制定國標，但大部分解決的是標準“從無到有”的問題，而且基本上是“拿來主義”——在國外原有標準的基礎(chǔ)上稍作改進，并沒有充分發(fā)揮標準引領(lǐng)的作用。

現(xiàn)行標準不高，意味著有很多企業(yè)能夠按標準來生產(chǎn)，其產(chǎn)品質(zhì)量參差不齊。若要體現(xiàn)差異化，企業(yè)必須投入大量的資金和時間，去研發(fā)高質(zhì)量高水準的產(chǎn)品。

可是國內(nèi)網(wǎng)絡(luò)安全產(chǎn)業(yè)市場“蛋糕”就這么大，用戶在未充分感知安全風(fēng)險，以及難以辨別質(zhì)量好壞的情況下，也更傾向于選擇滿足國家標準的低價產(chǎn)品，這就導(dǎo)致網(wǎng)絡(luò)安全企業(yè)往往比拼的不是技術(shù)和產(chǎn)品質(zhì)量，而是把更多力氣花在營銷和關(guān)系維護上。

由此形成了一個怪圈：國內(nèi)網(wǎng)絡(luò)安全產(chǎn)品基本沒有質(zhì)的差別，產(chǎn)品迭代升級慢，整個行業(yè)陷入同質(zhì)化競爭。很多網(wǎng)絡(luò)安全產(chǎn)品是在國外的基礎(chǔ)上“改頭換面”包裝而來的，用行話講就是“穿馬甲”——原始創(chuàng)新能力較弱、重模仿輕創(chuàng)新的問題突出。但從發(fā)展角度看，一家企業(yè)不在研發(fā)上做投入，將缺乏后勁、跑不長遠。

要在網(wǎng)絡(luò)產(chǎn)品原創(chuàng)能力上做提升，把標準提上去

南都：一款網(wǎng)絡(luò)安全產(chǎn)品質(zhì)量如何，可以通過第三方檢測機構(gòu)來實測安全性。您所在的中國信息安全測評中心，正是國內(nèi)專門從事信息技術(shù)安全測試和風(fēng)險評估的機構(gòu)。從這些年的檢測結(jié)果來看，有何發(fā)現(xiàn)?

張峰：《網(wǎng)絡(luò)安全法》第22條提到，網(wǎng)絡(luò)產(chǎn)品、服務(wù)應(yīng)當符合相關(guān)國家標準的強制性要求。該法第23條也明確，網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品應(yīng)當按照相關(guān)國家標準的強制性要求，由具備資格的機構(gòu)安全認證合格或者安全檢測符合要求后，方可銷售或者提供。

我們對網(wǎng)絡(luò)安全產(chǎn)品進行檢測時，一般會重點評估兩方面：一是產(chǎn)品的安全等級標準;二是產(chǎn)品的自主創(chuàng)新成分——比如從源代碼上判斷該產(chǎn)品到底“貼牌代工”的結(jié)果，還是具有真正的原創(chuàng)性。

現(xiàn)在國際范圍內(nèi)普遍認可的是CC標準，全稱為信息技術(shù)安全評估通用準則。它共分為7個評估保證等級(EAL)，由低至高依次分為EAL1到EAL7。從我們單位兩千余款產(chǎn)品檢測的情況看，大部分產(chǎn)品實現(xiàn)了EAL3的標準，少部分達到了EAL4的標準，僅有個位數(shù)的產(chǎn)品在EAL5水平，再達到往上水準的產(chǎn)品幾乎沒有。

而很多先進國家的主流安全產(chǎn)品，大量達到EAL5能力，還有的發(fā)展到了EAL6甚至EAL7的水平。這種高保障級別的產(chǎn)品，一般黑客是很難攻破的。

南都：您曾提到，網(wǎng)絡(luò)安全產(chǎn)業(yè)應(yīng)當爭當技術(shù)創(chuàng)新主體。就如何提高網(wǎng)絡(luò)安全產(chǎn)品的原始創(chuàng)新能力，有何建議?

張峰：我建議從產(chǎn)業(yè)政策、技術(shù)創(chuàng)新和安全監(jiān)管等方面綜合施策。

一是，強化政策引導(dǎo)，升級產(chǎn)業(yè)政策。比如加大政府推動和投入，加快先進適用網(wǎng)絡(luò)安全產(chǎn)品的部署應(yīng)用，推進網(wǎng)絡(luò)安全行業(yè)推陳出新。同時不斷推動自主可控產(chǎn)品的產(chǎn)業(yè)鏈發(fā)展，積極優(yōu)化產(chǎn)業(yè)生態(tài)環(huán)境，提高實現(xiàn)科技成果供需高效對接，探索產(chǎn)學(xué)研協(xié)同創(chuàng)新模式。

二是，激勵企業(yè)創(chuàng)新，推進成果轉(zhuǎn)化。一個重要的舉措是，建議培育網(wǎng)絡(luò)安全新技術(shù)應(yīng)用平臺，建立產(chǎn)業(yè)合作研發(fā)機制，促進網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)的協(xié)同創(chuàng)新應(yīng)用，提升安全威脅檢測，態(tài)勢感知、應(yīng)急處置和追蹤溯源能力。同時加大對專精特新企業(yè)的支持力度，創(chuàng)新開發(fā)專用網(wǎng)絡(luò)安全技術(shù)產(chǎn)品，改革專利保護制度，保護企業(yè)創(chuàng)新積極性。

三是，加強安全監(jiān)管，提升測評力度。可以將安全和質(zhì)量列為網(wǎng)絡(luò)安全產(chǎn)品的剛性要求，通過強制檢測強化對產(chǎn)品安全性、可靠性、自主性的有力把關(guān)，促進產(chǎn)業(yè)更加重視技術(shù)研發(fā)能力的提升和軟硬件生態(tài)建設(shè)，建立高等級的安全防護能力。

南都：在提升測評力度上，可以怎么做?

張峰：我建議組建國家級重點產(chǎn)品檢測實驗室，引領(lǐng)國內(nèi)檢測技術(shù)進步;在《數(shù)據(jù)安全法》《反間諜法》等法律實施細則中明確網(wǎng)絡(luò)安全技術(shù)產(chǎn)品高安全級檢測的強制要求，特別是對于重要部門和關(guān)鍵基礎(chǔ)設(shè)施等領(lǐng)域使用的重要產(chǎn)品，開展強制性高安全級檢測，杜絕“穿馬甲”“留后門”“貼牌代工”等嚴重技術(shù)風(fēng)險，防范風(fēng)險隱患。

南都：所依據(jù)的標準是什么?您剛才提到現(xiàn)在標準太低的問題，該怎么解決?

張峰：網(wǎng)絡(luò)安全關(guān)系國家安全，其重要性怎么說都不為過。提高網(wǎng)絡(luò)安全產(chǎn)品的標準勢在必行，而且早做比晚做好，目前我們測評中心正在推進這項工作。

制定標準體系是個龐大的工程，并非一個標準就能解決所有問題。所以，今年我們目標是把這個標準體系的框架先做出來，然后廣泛聯(lián)系相關(guān)高校、科研機構(gòu)及企業(yè)界，團結(jié)產(chǎn)學(xué)研方面的優(yōu)秀專家，共同組成一個專業(yè)團隊研發(fā)標準，再分階段逐步地進行推廣。

我們想邀請的專家，需要對網(wǎng)絡(luò)行業(yè)理解到位、技術(shù)功底深厚，同時緊跟國際潮流、深諳國外的先進標準。這種吸納人才的過程，也有助于讓行業(yè)意識到一個未來趨勢——那就是我們要在網(wǎng)絡(luò)安全產(chǎn)品原創(chuàng)能力上做提升，把標準提上去。

作為全國政協(xié)委員，我今年的提案關(guān)注如何提升網(wǎng)絡(luò)安全產(chǎn)品創(chuàng)新能力。接下來，我還會繼續(xù)瞄準這個問題、持續(xù)深入地做調(diào)研，下一個提案很有可能就是圍繞如何提高網(wǎng)絡(luò)安全產(chǎn)品標準來展開。

來源：南方都市報