作者：中國電子技術標準化研究院 王秉政

隨著經濟全球化發(fā)展，市場競爭已從單一企業(yè)間競爭向產業(yè)供應鏈競爭方向延伸，供應鏈安全管理是保障產業(yè)健康有序發(fā)展的重要舉措。信息通信技術（ICT）的廣泛應用促進了其產業(yè)發(fā)展的全球化進程，ICT系統(tǒng)的運行依賴于分布在全球相互聯(lián)系的供應鏈生態(tài)系統(tǒng)。然而，供應鏈中存在的產品脆弱性、服務非可控、惡意對抗等不安全因素，都會使整個系統(tǒng)面臨嚴重的安全風險，甚至威脅國家安全。

2017年6月1日，《中華人民共和國網絡安全法》（以下簡稱“《網絡安全法》”）正式實施，我國進入了全面規(guī)范網絡空間安全管理的新時代?！毒W絡安全法》明確了包括網絡產品和服務在內的ICT產業(yè)應朝著安全可信的方向發(fā)展。同時，為保障國家安全，關鍵信息基礎設施運營者應當在采購等環(huán)節(jié)落實國家網絡安全審查政策，將供應鏈的安全性和可控性作為采購環(huán)節(jié)的重要參考點，滿足網絡產品和服務安全可信的需求，提高信息通信產業(yè)安全可控水平。

ICT供應鏈面臨的安全風險來源眾多。一是供應鏈自身脆弱性導致其成為網絡攻擊的重要渠道和對象，由于ICT供應鏈包含從規(guī)劃設計到開發(fā)、測試、生產、采購、外包、集成、銷售、物流、安裝、使用、維護等眾多環(huán)節(jié)，使其面臨著信息泄露、惡意篡改、供應中斷與產品質量參差不齊等安全威脅。任一環(huán)節(jié)或組件出現(xiàn)問題，都可能影響整個供應鏈的安全。二是ICT供應鏈的全球化發(fā)展，使系統(tǒng)用戶在復雜的國際環(huán)境下對供應鏈安全風險的察覺和管控能力下降，面臨著來自全球金融資本市場考驗和各國間差異性合規(guī)的挑戰(zhàn)。三是當前企業(yè)對ICT供應鏈安全管理制度缺失與不完善，企業(yè)通常只針對系統(tǒng)及產品開發(fā)生命周期過程部署安全防護措施，而對外部供應鏈安全風險管理意識較為薄弱。

美國作為ICT供應鏈安全管理的先行者，早在2012年就發(fā)布了“美國全球供應鏈國家安全戰(zhàn)略”，將全球供應鏈提升為國家安全戰(zhàn)略。對涉及國家安全的信息系統(tǒng)采購，美國遵循統(tǒng)一負責、分散實施原則，通過分類分級對系統(tǒng)及產品進行安全評估認證。美國國防部通過有關規(guī)劃預算、集成開發(fā)、采購運行的各類系統(tǒng)對采購過程進行風險分析和管理，各系統(tǒng)間相互支撐與制約，確保ICT采購的安全可控性。目前，美國已從國家政策制定、產品測評認證、供應鏈安全評估到外商投資安全審查等層面，逐步形成了針對ICT供應鏈的深層次安全管理體系。

為確保ICT供應鏈安全可控，除充分借鑒國外ICT供應鏈安全管理經驗外，應考慮我國ICT產業(yè)基本國情，從國家政策法規(guī)、行業(yè)安全可信體系、安全管理實施等層面，建立分層次的ICT供應鏈安全管理體系。

一是加強ICT供應鏈安全管理政策研究。 貫徹落實網絡強國戰(zhàn)略，加強ICT供應鏈安全管理頂層設計研究。制定相關國家政策法規(guī)與行業(yè)指導性文件，與現(xiàn)有《網絡產品和服務安全審查辦法（試行）》等規(guī)章制度有效銜接，推動具有針對性和可操作性國家標準的研制，為實施涉及國家安全的網絡產品和服務測評認證、ICT供應鏈安全評估奠定基礎。

二是推動ICT供應鏈安全可信體系建設。 以組件供應商（硬件、軟件和服務）、系統(tǒng)集成商（系統(tǒng)集成和解決方案提供商）、系統(tǒng)用戶（系統(tǒng)運營商、所有者和第三方管理機構）等為主體，將可信要素貫穿于系統(tǒng)全生命周期，明確信任描述、驗證、控制和監(jiān)督關系，實現(xiàn)對各環(huán)節(jié)各要素的良好監(jiān)控，推動形成安全可信的ICT供應鏈生態(tài)系統(tǒng)。

三是配套實施ICT網絡產品與服務安全評估。 加大針對網絡安全關鍵技術與產品的研究投入，提高安全檢測能力。對信息系統(tǒng)供應商、集成商、服務商等開展有關行業(yè)資質、市場信譽、物理安全、保密資質、安全管理與技術等內容的安全評估工作，推動實施可信度跟蹤與持續(xù)性評估制度，完善市場準入與監(jiān)督機制，降低供應鏈系統(tǒng)自身脆弱性。

版權聲明：凡注明“來源：中國西藏網”或“中國西藏網文”的所有作品，版權歸高原（北京）文化傳播有限公司。任何媒體轉載、摘編、引用，須注明來源中國西藏網和署著作者名，否則將追究相關法律責任。