致力信息安全認證強國夢

——寫在中國信息安全認證中心成立十周年之際

中國信息安全認證中心在京召開信息安全產品認證頒證大會

□ 孫霞云

隨著信息技術在我國經濟社會發展中的廣泛應用，信息安全已經成為涉及國家安全、經濟安全和社會穩定的重大戰略問題。2006年11月17日，中國信息安全認證中心（ISCCC）在北京隆重成立。

“來之不易，輕視不得”——國家質檢總局局長支樹平曾用8個字概括這一“信息安全保障新銳”的組建歷程及信息安全認證工作的重要性。

“來之不易”——組建信息安全認證機構涉及眾多相關部門，這中間既有統一認識的過程，也有管理格局調整的過程，從醞釀到成立歷時5年。

“輕視不得”——信息安全認證是保障信息安全的基礎性工作，特別是在我國信息技術與產業核心競爭力還不強，關鍵技術、關鍵設備還受制于人的情況下，信息安全認證工作在維護整個國家信息安全的鏈條中處于舉足輕重的地位。

肩負使命以誕生，懷抱志向而成長。十年來，中國信息安全認證中心順應我國信息安全保障科學化、規范化、制度化之迫切需要，以保障國家信息安全為己任，以打造一流的信息安全認證機構為目標，從零起步，砥礪前行，奏響了一曲勇擔信息安全衛士的激揚樂章，展示了奮力追逐信息認證強國夢的精彩歷程。

十年筑夢，這是我國統一的信息安全認證體系從起步到成熟的關鍵十年。

讓制度“立起來”

隨著信息時代的到來，網絡信息技術成為全球研發投入最集中、創新最活躍、應用最廣泛、輻射帶動作用最大的技術創新領域和競爭高地，代表著新的生產力和新的發展方向。

但是，從維金蠕蟲泛濫引發企業用戶網絡癱瘓，到熊貓燒香導致病毒狂潮，從大規模信息泄露，到棱鏡門計劃曝光……近年來，層出不窮的安全事件以及云計算、大數據、移動互聯網等新技術新應用帶來的安全問題，給國家網絡安全帶來威脅，成為困擾和限制行業、產業發展的屏障，同時也成為信息安全認證發展的直接現實需求。

建立完善的信息安全認證認可體系，是進入信息化時代后主權國家捍衛自身安全的重要屏障，也是維護自身利益的主要手段。美國從上世紀80年代就開始了信息安全評估標準制定工作，經過30多年的實踐，已形成一套比較完整的信息安全檢測與認證體系。英國、德國、法國等國隨后也建立起了各自的國家信息安全檢測與認證體系。從國際實踐看，推行信息安全產品認證及管理服務認證無疑是保障信息安全普遍和可行的做法。

反觀我國，“十五”期間有關部門雖然分別實施了一些與信息安全有關的評價制度，取得了一些積極的成效。但由于這些評價制度存在多重管理和標準不一致等問題，影響了我國信息安全產業的健康與快速發展，產業界對此反映強烈，呼吁建立統一的評價制度。

2006年11月17日，中國信息安全認證中心在北京組建，這標志著我國統一的信息安全認證認可體系邁出了實質步伐。但啟動建立統一的信息安全產品認證制度談何容易。從國內環境看，既需要整合評價制度又需要調整管理方式，而且社會上普遍對信息安全認證的認識不足。從國際環境看，一些國家為保持他們在IT領域的領先地位不受任何威脅，從產業、貿易等層面表達了對我方的強烈關注和質疑。制度建立和推行一開始就遭遇了很大的阻力。

挑戰更檢驗強者的成色。為了推動這項制度的建立，信安中心從成立伊始便開始了艱苦的攻堅。“白加黑，5+2”成了信安人對那段時間最深刻的記憶——筆者在中心采訪時不止一個人提到了這個場景。信安中心堅定道路自信、理論自信、制度自信，堅持統籌規劃，在2008年至2009年間組織起草了百萬字的技術文件；上下奔走，與相關部委進行了緊密溝通；配合認監委與外方進行了數十次會談、視頻對話及郵件溝通。在國務院領導的關心和協調下，在國家質檢總局、國家認監委的不懈推動下，信息安全產品認證制度幾經反復，終于發布實施，為保障我國信息安全又筑起了一道堅實的制度屏障。截至目前，各類產品認證證書頒證量已突破1000張大關，一舉進入世界前列，成為信息安全產品認證大國。

十年來，從積極爭取承擔政策研究和制度設計工作，到積極推動中歐、中俄雙邊信息安全互認機制的建立，再到多次通過參事提案、政協提案、院士提議等多種渠道為信息安全認證建言獻策……信安中心克服重重困難，全力支撐國家質檢總局和國家認監委落實中央和國務院的要求，配合相關部委推動國家信息安全產品認證制度在政府采購領域的強制實施，實現了“發揮作用、規范服務、嚴格把關、降低收費”的制度目標，使信息安全認證認可在國家網絡安全保障工作中占據重要位置。

“經過這十年發展，算是真正‘立起來了’，最根本的一點是，國家統一的信息安全認證制度立住腳了。”信安中心主任魏昊在接受采訪時欣慰地說。

建立健全認證體系

信息安全保障涉及多個環節，不僅僅是國家信息安全產品的采購準入，而且還有管理環節的信息安全管理體系認證、資質審查環節的信息安全服務認證、人員能力評價環節的信息安全保障人員認證。針對國家和社會需求，信安中心在推動國家信息安全產品認證的同時，以滿足國家網絡安全重大需求、順應社會需要為導向，既遵循國際通行規則，又兼顧網絡安全領域的特殊敏感性，創新建立了產品認證、體系認證、服務認證、人員認證“四大業務”體系，涵蓋了網絡安全認證服務的所有門類。

有個日子至今讓信安人記憶猶新。2007年11月1日，一個寒冷的冬日。體系認證處工程師景育明只身南下赴深圳，去參加在那里舉辦的深圳證券交易所信息安全管理體系認證項目競標。他的行程牽動了中心全體員工的心，因為此行他將代表信安中心在招標會上與外資認證機構同臺競爭，這是對信安中心實力的一次公開的檢驗！一天后消息傳來：中國信息安全認證中心中標！員工們歡呼雀躍，慶祝來之不易的勝利。

而今，中心體系認證客戶已覆蓋銀行、郵政、證券、電信、資產管理、計算機服務、軟件、電力、熱力生產和供應、信息傳輸服務等十大重要領域，頒發證書近600張，在國家重要信息基礎設施中的占有量更達到85%以上，大大減少了由于境外認證引入的安全風險，塑造了權威認證品牌。

從2008年開始，信安中心針對社會需求，按照分級分類原則，啟動了服務資質認證。這既是業務創新，也是制度創新。依據國內現有信息安全標準或行業技術規范，中心從完善技術文件著手，率先開展了應急處理服務資質認證。2008年7月8日，中心為北京啟明星辰信息安全技術有限公司等企業頒發信息安全應急處理服務資質認證證書，滿足了啟明星辰等公司進入北京奧運會提供網絡安全服務的資質要求。目前信息安全服務資質認證已擴展到風險評估、災難備份、安全集成、軟件開發、安全運維等領域，頒發證書近700張，塑造了權威服務認證品牌，并成為政府機構及企業采購招標的重要條件。

信息安全從業人員的信息安全意識和專業技能是決定信息安全防護水平的關鍵因素，對此西方國家都建立了信息安全人員認證制度，并不遺余力推動。在我國，由于國家政策要求和各機構加強自身安全保障的雙重驅動，這一需求尤其強烈。信安中心急企業之所急，創新開展了信息安全保障人員認證，目前已涵蓋安全集成、安全管理、風險管理、安全運維、軟件安全開發、電子政務安全、CA認證等16個專業方向，頒發證書5000余張，較好地滿足了社會需求，為我國信息安全保障事業的發展交上了一份滿意的答卷。

補齊信息安全檢測短板

信息安全認證高度依賴檢測技術，加強信息安全技術研發，著力提高核心競爭力是信息安全認證中心主動開辟的又一戰場。

與國外相比，國內檢測技術方面的短板還是比較明顯的。具體表現為“三缺”：一是對某些關鍵產品和服務，因缺少基于度量理論的評價指標體系和標準，或缺少檢測所需的技術和方法等，存在“評價不了”的問題；二是因缺乏一致性溯源，檢測結果不確定度未知，存在“評價不準”的問題；三是因缺乏對關鍵產品和服務整體質量風險的監測技術手段，難以評估認證有效性，存在“評價效果不明”的問題。同時由于信息安全的敏感性，檢測技術的國際交流十分困難，沒有現成的經驗可以借鑒。信安中心緊密跟蹤國內外最新政策和技術發展動態，堅持自主創新并持續發力，籌建了國家信息安全基準實驗室和國家信息安全產品質量監督檢驗中心，于2015年正式獲批，其能力建設水平被專家評定為“國際先進、國內領先”。基準實驗室、國家質檢中心的建成及投入使用，填補了國內外信息安全檢測領域結果質量控制、溯源體系的空白。2015年質檢中心首次承擔了網閘產品的質量監督抽查工作，2016年又首次承擔了無線路由器、移動支付終端（軟件）2種重點工業產品信息安全風險監測任務，首次將國家產品質量監督手段引入到了網絡安全領域，進一步強化了質檢對國家網絡安全保障的支撐作用。

十年間，信安中心申請并承擔了國家863計劃、“十二五”科技支撐計劃、國家發改委信息安全專項等24項重大課題，產出了一批重要成果，制定發布了29項國家、行業標準，獲得軟件著作權9項；持續開展基準樣機、檢測工具、基準庫指標管理系統、基準檢測方法等技術研究，不斷完善和提升技術實力，檢測能力覆蓋率超過85%，為國家信息安全保障工作提供了強有力支撐。

當前，網絡安全成為熱點話題，政府關注，企業重視，群眾關心。而“十三五”期間，信息安全認證對象、認證模式、檢測認證手段等都將面臨著變革和發展的嚴峻考驗。

11月7日，我國發布了《網絡安全法》，從法律層面進一步的明確了檢測認證工作在網絡安全領域的重要作用，這對信息安全認證的推廣和采信將帶來前所未有的機遇，也將帶來新的發展動力。

“來吧，讓我們踏上圓夢之路；

共同建設一個，

信息安全的中國，

質量過硬的中國，

誠信和諧的中國，

美麗富強的中國！”

——在質檢總局“放飛中國夢，詩話質檢情”詩歌朗誦會上，信安人曾這樣抒發他們的情懷。而今隨著《網絡安全法》的發布，這份信心與決心將更加堅定，步履也將更加鏗鏘有力。

“下一步，我們將圍繞網絡強國、質量強國、‘互聯網+’等國家戰略，著眼國家和社會的網絡安全實際需要，以全面提高信息安全保障服務能力為中心，以改革和創新為動力，堅持‘抓質量，保安全、促發展、強質檢’工作方針，在供給和需求兩端發力，一方面加強信息安全認證供給側改革，不斷優化認證制度供給、不斷完善認證業務體系，不斷提高認證服務質量；另一方面引導和滿足市場對認證服務的需求，提高信息安全認證的質量和有效性，努力使認證認可制度成為落實國家網絡空間安全戰略的重要手段，為保障國家安全、促進產業發展發揮重要作用。”魏昊主任躊躇滿志地表達了對未來的期許。

《中國質量報》