美國是如何進(jìn)行網(wǎng)絡(luò)安全審查的

新華網(wǎng)北京５月２２日電網(wǎng)絡(luò)安全審查，就是對(duì)關(guān)系國家安全和社會(huì)穩(wěn)定信息系統(tǒng)中使用的信息技術(shù)產(chǎn)品與服務(wù)進(jìn)行測(cè)試評(píng)估、監(jiān)測(cè)分析、持續(xù)監(jiān)督的過程。

２０００年，美國率先在國家安全系統(tǒng)中對(duì)采購的產(chǎn)品進(jìn)行安全審查，隨后陸續(xù)針對(duì)聯(lián)邦政府云計(jì)算服務(wù)、國防供應(yīng)鏈等出臺(tái)了安全審查政策，實(shí)現(xiàn)了對(duì)國家安全系統(tǒng)、國防系統(tǒng)、聯(lián)邦政府系統(tǒng)的全面覆蓋。審查對(duì)象不僅涉及產(chǎn)品和服務(wù)，還會(huì)針對(duì)產(chǎn)品和服務(wù)提供商。

隨后，美國等西方國家為保障國家安全、防范供應(yīng)鏈安全風(fēng)險(xiǎn)，逐步建立了多種形式的網(wǎng)絡(luò)安全審查制度。將全方位、綜合性的供應(yīng)鏈安全審查對(duì)策上升至國家戰(zhàn)略高度。

美國網(wǎng)絡(luò)安全審查標(biāo)準(zhǔn)和過程是不公開的。美國對(duì)供應(yīng)鏈安全審查的過程、標(biāo)準(zhǔn)、機(jī)制完全封閉，不披露原因和理由，不接受供應(yīng)方申訴。主要考慮對(duì)國家安全、司法和公共利益的潛在影響，且其審查沒有明確的時(shí)間限制。

美國安全審查的要害之一，是安全審查結(jié)果具有強(qiáng)制性。美國國家安全系統(tǒng)委員會(huì)２０００年１月發(fā)布的《國家信息安全保障采購政策》規(guī)定，自２００２年７月起進(jìn)入國家安全系統(tǒng)的信息技術(shù)產(chǎn)品必須通過審查。２０１１年１２月，美國政府發(fā)布《聯(lián)邦風(fēng)險(xiǎn)及授權(quán)管理計(jì)劃》，要求為聯(lián)邦政府提供云計(jì)算服務(wù)的服務(wù)商，必須通過安全審查、獲得授權(quán)；聯(lián)邦政府各部門不得采用未經(jīng)審查的云計(jì)算服務(wù)。美國在政府采購招標(biāo)文件中還進(jìn)一步規(guī)定，向聯(lián)邦機(jī)構(gòu)提供云計(jì)算服務(wù)的基礎(chǔ)設(shè)施必須位于美國境內(nèi)。

從開始建立至今，美國的網(wǎng)絡(luò)安全審查范圍不斷延伸。２０００年１月，美國國家安全系統(tǒng)委員會(huì)發(fā)布了《國家信息安全保障采購政策》，對(duì)涉及國家安全的信息系統(tǒng)采購的信息技術(shù)產(chǎn)品進(jìn)行安全審查。２００２年，美國聯(lián)邦政府執(zhí)行美國國家標(biāo)準(zhǔn)技術(shù)研究院制定的信息安全標(biāo)準(zhǔn)，建立了面向聯(lián)邦政府的網(wǎng)絡(luò)安全審查制度。２０１３年１１月，美國國防部頒布臨時(shí)政策，規(guī)定國防系統(tǒng)及其合同商采購的產(chǎn)品和服務(wù)要經(jīng)過供應(yīng)鏈安全審查。

美國網(wǎng)絡(luò)安全審查的內(nèi)容不局限于技術(shù)。美國聯(lián)邦政府要求，不僅要審查產(chǎn)品安全性能指標(biāo)，還要審查產(chǎn)品的研發(fā)過程、程序、步驟、方法、產(chǎn)品的交付方法等，要求企業(yè)自己證明產(chǎn)品已達(dá)到了規(guī)定的安全強(qiáng)度。

美國要求被審查企業(yè)簽署網(wǎng)絡(luò)安全協(xié)議，協(xié)議通常包括：通信基礎(chǔ)設(shè)施必須位于美國境內(nèi)；通信數(shù)據(jù)、交易數(shù)據(jù)、用戶信息等僅存儲(chǔ)在美國境內(nèi)；若外國政府要求訪問通信數(shù)據(jù)必須獲得美國司法部、國防部、國土安全部的批準(zhǔn)；配合美國政府對(duì)員工實(shí)施背景調(diào)查等。