政府采购对部分软件说不

　　最近一段时间，国外软件在我国政府采购项目上可谓遭遇了“滑铁卢”。

　　8月3日，《人民日报》在国外社交网站Twitter上发布消息称，中国政府采购部门已将美国安全软件供应商赛门铁克和俄罗斯安全软件供应商卡巴斯基排除在了杀毒软件采购名单之外。

　　与此相对，政府采购办公室核准使用的5家杀毒软件品牌，分别为奇虎360、启明星辰、冠群金辰、北京江民和瑞星，均是国产安全软件企业。

　　而在此之前，今年5月，中国政府采购网发布《关于进行信息类协议供货强制节能产品补充招标的通知》，要求所有计算机类产品不允许安装Windows 8操作系统。

　　究竟是什么原因，让国外软件接连不断被政府采购“放弃”？此次对于杀毒软件采购的限制，又蕴含着什么样的特殊含义？

　　采购只保留国内企业

　　据法治周末记者了解，《人民日报》在Twitter上所发布消息中涉及的采购事项，为中央国家机关集中采购软件项目。这是由中央国家机关政府采购中心组织的协议采购项目，是中国政府采购领域级别最高、覆盖面最广的采购项目之一。

　　法治周末记者在中央国家机关政府采购中心的“正版软件采购网”上查询后发现，在“杀毒软件”一项中，采购名单上出现的是上文中提到的5家国内杀毒软件品牌——这意味着，除了这5家企业的杀毒软件，包括赛门铁克、卡巴斯基在内的其他安全软件均未入围此次政府采购项目。

　　而除了“杀毒软件”的采购项目外，在“安全管理软件”“云安全管理软件”“入侵检测/漏洞扫描”“公共安全与应急软件”等安全类软件的采购名单中，也都不见了国外品牌的身影。

　　针对此次未入围政府采购项目的事件，卡巴斯基与赛门铁克两方分别作出了回应。

　　卡巴斯基于8月4日发表声明表示：“中央政府采购网现阶段暂时取消了所有国外安全供应商资质，只保留了国产安全供应商。但此变化只涉及中央政府采购预算范围内的中央国家机构，地方政府和国家企事业单位等并不在此规定范围之内。我们正在积极跟有关部门进行沟通，希望可以早日重新成为央采网站供应商，为中央政府信息安全建设保驾护航。”

　　赛门铁克也于8月5日发表声明：“我们注意到部分媒体报道赛门铁克公司未出现在某一家政府采购机构的防病毒供货商名单中的消息。需要澄清的是，该名单仅仅适用于该项目采购范围，而赛门铁克产品并未被中国政府所禁用。我们正针对该报道进行调查，并将继续在中国政府行业参与竞标和力争赢得政府行业的采购项目。”

　　“防盗门”本身要安全

　　为何此次政府采购安全软件的相关名单中，国外安全软件供应商都被排除在外？对外经济贸易大学国际政治经济学系主任、副教授檀有志认为，这与安全软件的重要性有着很大的关系。

　　檀有志表示：“安全软件相当于给电脑等电子设备加装了一道‘防盗门’，其防护意图与作用不言而喻，直接关乎信息的安全生产与存储。”

　　中国软件评测中心信息安全测评部总经理唐刚说：“安全软件能够保护电脑免受黑客攻击，阻止病毒、木马等侵害，防止电脑中数据被破坏、窃取等。对政府的信息安全保护来说，那些关系国计民生、影响国家经济命脉、关系国家政治安全的重要数据，更是要通过有效的安全软件来防护。”

　　受美国“斯诺登事件”的影响，国外很多安全软件被证实存在外国情报机构开设的“后门”和间谍工具，从而使其安全性备受质疑。唐刚表示，安全产品本身的安全，是信息安全的前提。

　　国家信息中心助理研究员、博士后吕汉阳向记者透露：“国外企业及外资控股企业通过销售安全产品，直接参与政府安全服务，可以轻易掌握政府用户的信息以及政务网络的运行状况；在使用者保密意识不强的情况下，涉及国家安全的信息、核心数据等都有可能会遭到窃取。”

　　但吕汉阳也表示，我国对安全软件的采购，在认证标准上对国内外企业来说是一视同仁的，有着明确的法律规范依据。

　　吕汉阳介绍，2009年，国家质检总局印发了《关于调整信息安全产品强制性认证实施要求的公告》，要求8类13种信息安全产品进入政府采购前，必须实行强制性认证。2010年，财政部等多个部委联合发布了《关于信息安全产品实施政府采购的通知》，要求供应商必须具备中国信息安全认证中心按国家标准认证颁发的有效认证证书。

　　“可见，我国政府并不是简单地禁止采购国外安全产品，而是只有通过安全认证后才能参与政府采购，这一点对于国内安全产品来说也是一样。”吕汉阳说。

　　而针对此次国外安全软件没有进入我国政府采购名单，檀有志认为，最主要的原因是考虑到维护国家信息安全；其次，也有制造“杀鸡儆猴”示范效应的这一层考虑。

　　“限制我国政府机构采购国外安全软件，对我国政府信息安全的意义是积极的。”唐刚说，“这能够降低我国政府信息系统被控制、破坏等风险，确保我国政府的重要信息不被泄露，提高国家信息安全水平。”

　　限制采购做法

　　“与国际接轨”

　　事实上，一国政府限制采购国外公司的安全产品、服务等，在国际上不乏先例。

　　唐刚介绍，出于安全考虑，各国对他国包括安全产品在内的信息产品，都存在类似行为。如2011年，美国禁止中国华为参与专供警察、消防队以及急救人员在紧急情况下使用的无线网络项目；2013年，美国曾通过法案禁止美国国家航天航空局、美国商务部等部分政府部门采购中国IT设备。

　　吕汉阳表示，在信息安全业务方面，西方发达国家对于所有的信息安全产品和信息技术相关服务，在重点领域(例如国防和政府部门)均施以严格的准入措施。

　　吕汉阳介绍，以美国为例，多年以来，美国一直在研究“供应链”的安全问题。美国政府在鼓励其企业在各国扩张的同时，警惕对自身在采购信息技术产品和服务过程中面临的风险。

　　2009年5月，美国政府发布了网络空间安全政策评估报告，提出要整合执法、情报、反情报、军事等力量，对从远程网络入侵到供应链安全等全面的信息安全威胁进行抵御。2010年3月，美国政府解密了第54号国家安全总统令的摘要，该摘要显示，美国已将情报威胁和供应链威胁列为信息安全领域的两大重点威胁。

　　“美国政府所关注的供应链问题涵盖了产品、系统和服务这三类对象，提出的解决该问题的工作方向有四个：一是必须提高安全意识；二是在技术层面开发风险控制工具；三是在政策层面调整采购政策；四是加强与工业界的合作。”吕汉阳说。

　　而檀有志表示：“据我了解，中国政府所采取的限制采购，某种程度上是与‘国际接轨’的通行做法，我们是在有充分的证据证明这些安全软件存在‘后门’隐患的前提下做出的选择。而某些外国政府甚至经常在捕风捉影的‘莫须有’借口之下，采取更为激进的市场禁入举措。”

　　金山毒霸反病毒工程师李铁军认为，对于政府采购来说，世界各国政府都遵循一个惯例：优先采购国产商品，以扶持国内企业。

　　“就像美国政府坚持拒绝采购华为的设备。”李铁军说，“更多会涉及到贸易问题或者政治问题。”

　　审查制度把关网络安全

　　除了限制采购外，檀有志认为，政府应当带头践行并鼓励相关企业积极运用法律武器来维护信息安全。

　　檀有志的这种观点，得到了政府相关部门的实践验证。

　　今年5月，国家互联网信息办公室宣布，我国即将推出网络安全审查制度，对进入中国市场的重要信息技术产品及提供者都将进行安全审查，重点是产品安全性和可控性。

　　国家互联网信息办公室发言人姜军表示，通过网络安全审查制度，可以防止产品提供者借助提供产品之便，非法控制、干扰、中断用户系统，非法收集、存储、处理和利用用户有关信息。对于审查不合格的产品和服务，将不得在中国境内使用。

　　中国软件评测中心信息安全技术研究部总经理刘陶对记者说：“信息安全现已成为国家安全的重要一环，进行网络安全审查是信息技术发展的必然趋势。美国、日本等发达国家早在十多年前就已建立了完备的网络安全审查制度体系，对涉及国家重大战略层面的信息技术产品进行评估。”

　　“近年来，少数国家政府和企业长期利用自己产品和技术的垄断优势，大规模收集敏感数据，严重损害了广大用户的利益，对其他国家的网络空间安全造成巨大威胁。”刘陶说。

　　刘陶向记者介绍，中国软件评测中心自2000年起，就开始从事软硬件产品和系统的安全性测试。在测试过程中，发现部分产品和系统确实存在一些安全“后门”。

　　刘陶坦言：“这些后门可能是由于技术人员为方便远程管理调试而专门设置的，也有可能是厂商为其他目的而预设的。如果不通过深度测试，这些隐患很难被发现。”

　　刘陶认为，网络安全审查制度涵盖了国家战略层面和个体安全层面的综合考虑，对外能有效降低我国日益严峻的网络安全风险，对内也将成为用户合法权益不受侵害的重要保障。

　　“作为法治国家的中国，要依法进行网络安全的保障，就要在立法上建立相应的保障网络安全的法律制度。我国网络安全审查制度的出台，将成为维护国家网络安全有效的法理依据，对于网络强国建设具有重大推动作用。”刘陶表示。