實現網絡安全和發展的同步推進

在網絡安全和信息化領域，我們要樹立新的發展觀，尤其是要處理好安全和發展的關系。習近平總書記在中央網絡安全與信息化領導小組成立之時就指出，網絡安全和信息化是一體之兩翼、驅動之雙輪。在網信工作座談會上，他又強調指出：網絡安全和信息化是相輔相成的。安全是發展的前提，發展是安全的保障，安全和發展要同步推進。因此，如果將網絡安全和信息化作為兩項獨立的工作，分別對待，分別處理，或者僅僅將網絡安全作為信息化的輔助措施，都不符合網信工作的客觀規律，都會給工作帶來損失。

今天，我們實施一個信息化項目，如果像實施傳統項目那樣，只重視經濟效益，那么有可能事與愿違，造成重大的安全損害。特別是現在新一代信息技術蓬勃興起，一個信息系統可能會面向廣大的用戶、處理海量的數據，這類系統一旦出了安全問題，后果就極為嚴重。所以我們從事網信工作，往往要將網絡安全的考量放在優先的地位，而且貫穿在項目的全過程中，包括確定需求、選擇方案、采購設備、組織實施、運營維護等等，無論在哪個環節，都要把網絡安全保障放在重要位置。正像“綠色發展”要求我們在決定某些工業項目是否上馬時，將符合環保要求放在“一票否決”的地位，今天，我們也應將是否符合網絡安全的要求放在類似的地位。

只有通過自主創新才能突破關鍵核心技術

在網信領域，信息化核心技術和信息基礎設施具有特別重要的地位，而且有高度的壟斷性。一直以來，我國在一些關鍵核心技術設備上受制于人，也就是說，我們的“命門”掌握在別人手里。正因為如此，盡管我國的網民和移動網民數都居世界第一，但我們還不是網絡強國。我國只有盡快突破核心技術，把命運掌握在自己手中，才能成為一個網絡強國。

掌握核心技術往往需要付出巨大的、堅持不懈的努力。例如，早期在我國還不能制造高性能計算機時，有些部門（如天氣預報、石油勘探）不得不高價去買外國計算機，但那時，外國只賣給我們較低指標的計算機，外國公司還要派人在機房里監視著計算機的運行。后來，每當我國研制出一臺較高指標的計算機，他們才會放松一些限制，賣給我們高一檔次的計算機。就這樣，隨著我國自己設計的計算機不斷提升，外國才被迫逐漸放寬了對我國的禁運。這兩年，我國的“天河”機登上了世界超級計算機的榜首，他們于心不甘，去年就禁運了“天河”機所使用的“至強”CPU芯片，企圖進行遏制。但這反而激勵了我國科技人員的創新。今年，我國推出了采用國產CPU芯片的“神威·太湖之光”超級計算機，繼續高居世界榜首；而且“天河”也將在明年推出采用國產CPU芯片的新型號。上述中國高性能計算機幾十年的發展史證明：真正的核心技術是買不來的，是市場換不到的。我們只有通過自主創新，自立自強，才能打破發達國家對我們采取的種種遏制，才能將關鍵核心技術掌握在我們自己手中。

正確處理開放和自主的關系

我們強調自主創新，不是關起門來搞研發，一定要堅持開放創新。我們不拒絕任何新技術，自主創新中包括引進那些安全可控的新技術，也包括引進消化吸收再創新。應該說，這些年來基于開源軟件實施引進消化吸收再創新還是卓有成效的。今后，隨著我國軟件人員逐步地從開源軟件的使用者發展到參與者、貢獻者，甚至有的開源軟件可能由我國軟件人員主導，其中將會具有越來越多的自主創新成分。

近來，我國企業和外國同行之間在一些核心技術方面的合作有增多的跡象。因為隨著我國技術水平和創新能力的提高，外國會放寬某些出口限制，這有利于企業間國際合作的擴展。另外，我國廣闊的市場也吸引著外國企業擴展與中國企業的合作。這種合作一般是市場行為，企業可以自行決策。當合作涉及到國家安全或者有可能造成市場壟斷時，需要通過有關部門的審查，包括進行網絡安全審查在內。

一些企業認為，這類國際合作可以達到“合作共贏”或“與狼共舞”。不管怎么說，只要符合法規，都是容許的。不過應當防止出現某些偏差，例如有的“合資”或“合作”采用簡單的“貼牌”或“穿馬甲”等方式，將外國產品通過“合資”或“合作”變為“國產”或“自主可控”產品。這樣做可能會對真正的本國企業造成打壓，也可能誤將不可控的產品當成“自主可控”的，不利于保障網絡安全。

企業間的合作主要取決于經濟利益，但在國家層面上，發展信息化核心技術等重要決策，應突出網絡安全，強調不能受制于人。即使外國公司的某項技術很先進，性價比很高，似乎也能大量供應市場，這作為企業間的國際合作項目是可以的，但如果它在某個方面（如知識產權、供應鏈、技術掌握）會受到別人的制約，那么就不能作為國家層面的選擇。所以不能將企業間的“合作共贏”或“與狼共舞”，無條件地擴展為國家間的關系。

需要發展網絡安全、信息安全的評估方法

如果說，傳統產品和服務可以用經濟技術指標來衡量的話，那么，對于網信領域的產品和服務來說，除了用經濟技術指標以外，還應該用網絡安全、信息安全方面的指標來衡量?，F在我們對所使用的產品和服務一般提出“自主可控安全可靠”的要求，可是目前對此還沒有進行測試評估或認證的普遍適用的方法。最近公布的《網絡安全法》（草案二審稿）第二十條規定：“國家實行網絡安全等級保護制度。”不過等保制度是為了規范信息安全等級保護管理，提高信息安全保障能力和水平，不是針對具體產品和服務的。我國也有一些機構依據有關標準規范，專門對國內外信息技術產品的安全性進行測評認證，但這種工作一般需要花費較高成本和較長時期，往往也只覆蓋一些特定的信息安全產品。所以隨著對網絡安全、信息安全的評估需求越來越普遍，有必要逐步制定一些規范，尤其是對“自主可控”的評估較為容易，有可能制訂一些可操作的評估方法，以便更好地實現安全和發展的同步推進。我們建議，至少應當在知識產權（包括標準）、技術能力、發展主動權、供應鏈、資質和本土增值等方面進行評估，以確保產品和服務能真正滿足自主可控的要求。