天地和興：從工業(yè)網(wǎng)絡(luò)安全廠商角度看《網(wǎng)絡(luò)安全審查辦法》

2020年4月27日，國(guó)家網(wǎng)信辦、發(fā)改委等12個(gè)部門(mén)聯(lián)合發(fā)布了《網(wǎng)絡(luò)安全審查辦法》（以下簡(jiǎn)稱《辦法》），《辦法》于2020年6月1日起正式實(shí)施。

通覽全文，《辦法》明確了主要適用主體 -- 關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者，從《辦法》第一條規(guī)定中便可明顯看出。此外，《辦法》中還規(guī)定了另一個(gè)間接義務(wù)主體 -- 產(chǎn)品和服務(wù)提供者。

工業(yè)網(wǎng)絡(luò)安全企業(yè)作為傳統(tǒng)的網(wǎng)絡(luò)產(chǎn)品和服務(wù)提供商，如何適用《網(wǎng)絡(luò)安全審查辦法》？北京天地和興科技有限公司（以下簡(jiǎn)稱“天地和興”）認(rèn)為可以從以下幾點(diǎn)來(lái)考慮。

一、辦法第六條規(guī)定：對(duì)于申報(bào)網(wǎng)絡(luò)安全審查的采購(gòu)活動(dòng)，運(yùn)營(yíng)者應(yīng)通過(guò)采購(gòu)文件、協(xié)議等要求產(chǎn)品和服務(wù)提供者配合網(wǎng)絡(luò)安全審查，包括承諾不利用提供產(chǎn)品和服務(wù)的便利條件非法獲取用戶數(shù)據(jù)、非法控制和操縱用戶設(shè)備，無(wú)正當(dāng)理由不中斷產(chǎn)品供應(yīng)或必要的技術(shù)支持服務(wù)等。

該點(diǎn)其實(shí)在《辦法》的征求意見(jiàn)稿中第七條也有所體現(xiàn)，但意見(jiàn)稿中僅規(guī)定了供應(yīng)商具有配合審查的義務(wù)，并未詳細(xì)說(shuō)明義務(wù)的具體內(nèi)容。而在《辦法》中，對(duì)于網(wǎng)絡(luò)產(chǎn)品和服務(wù)供應(yīng)商應(yīng)配合審查義務(wù)進(jìn)行了細(xì)化，對(duì)供應(yīng)商應(yīng)做出的承諾內(nèi)容進(jìn)行了明確的規(guī)定。

作為網(wǎng)絡(luò)產(chǎn)品和服務(wù)供應(yīng)商，工業(yè)網(wǎng)絡(luò)安全廠商應(yīng)主動(dòng)在與運(yùn)營(yíng)商簽訂采購(gòu)文件、協(xié)議中增加相應(yīng)條款，說(shuō)明自身企業(yè)產(chǎn)品確定已得到相關(guān)第三方機(jī)構(gòu)的安全檢測(cè)認(rèn)證證書(shū)，以方便關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)機(jī)構(gòu)運(yùn)營(yíng)者了解已采購(gòu)的產(chǎn)品安全性，在需要申報(bào)網(wǎng)絡(luò)安全審查時(shí)，方便提供相關(guān)材料。同時(shí)，為了更好地保護(hù)供應(yīng)商相關(guān)產(chǎn)品的知識(shí)產(chǎn)權(quán)和商業(yè)機(jī)密，建議與運(yùn)營(yíng)商簽訂合同條款中加入必要的知識(shí)產(chǎn)權(quán)和商業(yè)機(jī)密保護(hù)機(jī)制，從而避免因安全審查造成產(chǎn)權(quán)和機(jī)密外泄進(jìn)而產(chǎn)生不必要的損失。

二、辦法第七條規(guī)定：運(yùn)營(yíng)者申報(bào)網(wǎng)絡(luò)安全審查，應(yīng)當(dāng)提交以下材料：

（一）申報(bào)書(shū)；
（二）關(guān)于影響或可能影響國(guó)家安全的分析報(bào)告；
（三）采購(gòu)文件、協(xié)議、擬簽訂的合同等；
（四）網(wǎng)絡(luò)安全審查工作需要的其他材料。

此條辦法規(guī)定，與關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)機(jī)構(gòu)合作的工業(yè)網(wǎng)絡(luò)安全企業(yè)售賣的產(chǎn)品，只有按照相關(guān)國(guó)家標(biāo)準(zhǔn)的強(qiáng)制性要求，取得安全認(rèn)證或者安全檢測(cè)且符合要求后，方可進(jìn)行銷售。運(yùn)營(yíng)商在采購(gòu)此類產(chǎn)品，啟動(dòng)安全審查時(shí)需要《辦法》中明確規(guī)定的影響或可能影響國(guó)家安全的分析報(bào)告。

工業(yè)網(wǎng)絡(luò)安全廠商提供產(chǎn)品安全性測(cè)試認(rèn)證報(bào)告作為分析報(bào)告材料的部分支撐基礎(chǔ)，將進(jìn)一步推動(dòng)安全審查實(shí)施和雙方合作進(jìn)程。而安全性測(cè)試認(rèn)證或許可參考中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心的網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品安全認(rèn)證或國(guó)家信息安全產(chǎn)品認(rèn)證等，也更加說(shuō)明了前文中提到的在合同中進(jìn)行相應(yīng)產(chǎn)品安全性承諾的必要性。

三、辦法第九條有如下規(guī)定：網(wǎng)絡(luò)安全審查重點(diǎn)評(píng)估采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)可能帶來(lái)的國(guó)家安全風(fēng)險(xiǎn)，主要考慮以下因素：

（一）產(chǎn)品和服務(wù)使用后帶來(lái)的關(guān)鍵信息基礎(chǔ)設(shè)施被非法控制、遭受干擾或破壞，以及重要數(shù)據(jù)被竊取、泄露、毀損的風(fēng)險(xiǎn)；
（二）產(chǎn)品和服務(wù)供應(yīng)中斷對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施業(yè)務(wù)連續(xù)性的危害；
（三）產(chǎn)品和服務(wù)的安全性、開(kāi)放性、透明性、來(lái)源的多樣性，供應(yīng)渠道的可靠性以及因?yàn)檎?、外交、貿(mào)易等因素導(dǎo)致供應(yīng)中斷的風(fēng)險(xiǎn)；
（四）產(chǎn)品和服務(wù)提供者遵守中國(guó)法律、行政法規(guī)、部門(mén)規(guī)章情況；
（五）其他可能危害關(guān)鍵基礎(chǔ)設(shè)施安全和國(guó)家安全的因素。

《辦法》第九條對(duì)于可能影響國(guó)家安全的因素做出了詳細(xì)描述，總結(jié)為供應(yīng)鏈安全問(wèn)題，這與本《辦法》第一條相互呼應(yīng)，道出了制定《辦法》的目的在于確保關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈安全，從而維護(hù)國(guó)家安全。從供應(yīng)鏈安全的角度而言，網(wǎng)絡(luò)產(chǎn)品和服務(wù)的采購(gòu)對(duì)于關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)行帶來(lái)不同層面的影響，包括可能導(dǎo)致關(guān)鍵信息基礎(chǔ)設(shè)施被非法控制、重要信息泄露、產(chǎn)品組件遭遇中斷威脅等。尤其是產(chǎn)品組件斷供威脅，它不僅是關(guān)鍵信息基礎(chǔ)設(shè)施廠商可能面臨的威脅，也是工業(yè)網(wǎng)絡(luò)安全廠商應(yīng)該時(shí)刻防范的危險(xiǎn)。為此，工業(yè)網(wǎng)絡(luò)安全廠商應(yīng)盡量采用開(kāi)放式的軟硬件技術(shù)架構(gòu)，制定多邊的采購(gòu)策略，保證充足的后備供應(yīng)，進(jìn)行合理的需求管理，保持一定的庫(kù)存冗余，積極應(yīng)對(duì)供應(yīng)鏈安全問(wèn)題。

《網(wǎng)絡(luò)安全審查辦法》是我國(guó)推進(jìn)《中華人民共和國(guó)國(guó)家安全法》、《中華人民共和國(guó)網(wǎng)絡(luò)安全法》兩大法律落地的重要行政辦法。工業(yè)網(wǎng)絡(luò)安全廠商是該辦法的重要參與方，應(yīng)充分理解該辦法，準(zhǔn)確執(zhí)行該辦法，肩負(fù)起保障我國(guó)關(guān)鍵基礎(chǔ)設(shè)施安全的廠商責(zé)任。

天地和興致力于工業(yè)網(wǎng)絡(luò)安全研究多年，傾力打造“天墀”、“地盾”、“和睿”、“興邦”四大產(chǎn)品系列，持續(xù)為用戶提供安全檢測(cè)評(píng)估類、安全防護(hù)隔離類、安全審計(jì)分析類、安全平臺(tái)管理類等全方位的產(chǎn)品、服務(wù)和全生命周期的工業(yè)網(wǎng)絡(luò)安全解決方案。多個(gè)產(chǎn)品已通過(guò)EAL3、歐盟國(guó)際CE、3C、中標(biāo)麒麟等資質(zhì)認(rèn)證以及工信部、公安部、水利部、中國(guó)信息安全測(cè)評(píng)中心、賽可達(dá)實(shí)驗(yàn)室等機(jī)構(gòu)認(rèn)證，符合《網(wǎng)絡(luò)安全審查辦法》審查重點(diǎn)評(píng)估采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)要求。天地和興砥礪前行，不斷推出應(yīng)對(duì)技術(shù)快速迭代、政策持續(xù)升級(jí)的新一代工業(yè)網(wǎng)絡(luò)安全業(yè)務(wù)框架，傾力打磨符合當(dāng)下、放眼未來(lái)的全方位多領(lǐng)域工業(yè)網(wǎng)絡(luò)安全產(chǎn)品及服務(wù)體系，助力工業(yè)企業(yè)安全建設(shè)，為工業(yè)網(wǎng)絡(luò)安全事業(yè)添磚加瓦，協(xié)同國(guó)家、行業(yè)各界力量共建工業(yè)網(wǎng)絡(luò)安全新生態(tài)。