國家互聯網信息辦公室近期宣布我國即將推出網絡安全審查制度，將對關系國家安全和公共利益的系統使用重要信息技術產品和服務進行網絡安全審查。這是在今年初中央網絡安全和信息化領導小組成立后，我國在網絡安全領域推出的一項戰略性舉措，對于維護國家網絡安全、建設網絡強國具有重大推動作用。

這意味著我國網絡安全管理的視野進一步擴大，更加強調對形成網絡安全基本要素的技術和產品的管控與規制。網絡安全審查制度的出臺對于構筑我國全方位、立體、綜合網絡安全保障能力有著十分重大的意義，對于加強我國網絡安全自主創新能力、激發產業創新也有著十分積極的推動作用。

互聯網是現代信息技術高度發展的產物，中國在加入網絡大潮、分享到互聯網絡高速發展帶來的巨大社會經濟效益的同時，也承受著隨之而來的風險。尤其是由于產業格局不對等，在中國的信息化建設中，大量使用國外產品，特別是美國的“八大金剛”（微軟、思科等8家美國公司）的計算機和網絡設備產品，未經審查卻大量部署在我國基礎網絡和重要信息系統中，種種“漏洞”和預置的“后門”給我國的關鍵信息基礎設施帶來很大威脅。正如“棱鏡門”事件所揭示的，包括我國前領導人在內的重要網絡信息均受到美國情報機構的監控。

為應對這種嚴峻的形勢，國家在制度層面強化對網絡技術產品的規制管控，對于加強我國關鍵信息基礎設施保障能力，無疑十分必要而且勢在必行。縱觀美國、歐盟，在大力發展ICT（信息通信技術）產業的同時，均建立了類似的技術產品審查制度，均規定凡是政府信息系統中采購的設備必須經過相應的技術審查和產品認證。我國推出這一審查制度，符合國際趨勢及網絡發展的客觀規律。

技術和產品本身的安全是構筑網絡安全的基本前提，從技術和產品層面實施安全審查，可謂是正本清源，抓住了網絡安全治理的要害和關鍵。其中，相對于產品安全而言，技術安全還要更為基本。從ICT產業規律而言，往往是技術發明在先，相應的工程實現和產品開發在后。計算機、服務器、網絡設備集成了大量事先發明的技術，才具備計算和聯網通信的能力。如果說計算機、服務器和網絡設備是“面包”的話，集成在這些產品中的“芯片架構”、“網絡協議”、“安全協議”等基礎技術就是 “小麥種子”，由它種出小麥，進而加工成面包。

因此，在我們貫徹實施網絡安全審查制度之時，尤其要重視“種子”層面的審查規制，在謹防“毒面包”的同時，還要加大力氣解決管控“毒種子”的問題。很多時候，“毒種子”比“毒面包”更可怕，其散播面更廣，隱藏更深，因此危害更大。

就構成網絡安全的基本技術層面而言，我國目前使用的網絡基礎安全技術都是美國政府和企業主導開發的，比如保證網絡安全連接和數據安全傳輸的網絡安全協議技術；銀行網銀使用的認證技術和簽名技術。大量這類未經嚴格技術審查的基礎安全技術，廣泛應用在我國的基礎網絡和重要信息系統中。有些技術在近些年陸續被驗證有重大安全漏洞，如近期曝光的“SSL心臟出血漏洞”等，對我國政府、企事業單位和廣大網民造成極大的網絡威脅和安全隱患；斯諾登披露的文件也顯示出，美國國家安全局等情報機構正是利用IPSec、SSL等技術漏洞設置后門和實施網絡監控的。

這些網絡基礎安全技術在技術方案本身及其工程實現的軟件代碼層面，均存在嚴重的“漏洞”。這些“漏洞”很大程度上是蓄意為之。這些漏洞不同于普通應用軟件和網絡設備中的“后門”，其影響范圍之廣、危害程度之深超出想象。技術方案層面的漏洞能夠通過產業鏈逐級傳遞，好比種子有毒，從麥子到面粉到饅頭，全產業鏈都受到污染。因此，解決網絡安全核心技術問題，需從網絡安全協議等網絡基礎安全技術這一國家戰略資源抓起。

這一問題的重要性在中美之間圍繞WAPI標準長達十余年的博弈中可見一斑：中國推出自主可控的網絡安全協議技術標準WAPI之后，美國3位內閣部長聯名致信我國政府，并連續在中美貿易談判中施壓，要求中國放棄WAPI標準，背后深層的原因是美國認識到在產業鏈源頭掌握基礎安全技術控制力的重要性及戰略意義。

從技術源頭保證網絡安全的自主可控，才能從根本上加強我國網絡安全的縱深防御能力。因此，網絡安全審查制度的貫徹落實須從產業鏈源頭抓起，除了要對計算機、服務器、路由器等計算機網絡設備及其操作系統和應用軟件行審查之外，還要加強對網絡安全協議等基礎安全技術的審查規制。（作者：曹軍 無線網絡安全技術國家工程實驗室主任、中國計算機行業協會副會長）